Про наше активное участие в проекте «Кибериспытание» мы писали тут, ну а сейчас вышел целый подкаст о проекте!

Первое наше упоминание в рейтинге лучший ТГ каналов по кибербезопасности!

Спасибо за высокую оценку нашего скромного труда)

Представляем первый рейтинг Топ — 43 лучших каналов в тематике ИБ в российском Telegram.

Основной критерий ранжирования в рейтинге — качество контента в канале и содержание. Каналы по шкале от 1 до 10 в нашем закрытом опроснике оценивала фокус группа из специалистов по инфобезу разных направлений. Ведь именно для них все эти каналы и были созданы.

Итак, наш ТОП:

Корпоративные каналы:

1. МТС Red
2. Kaspersky
3. F.A.C.C.T
4. k8s security
5. Echelon Eyes
6. 3side
7. Future Crew
8. Positive Technologies

Микроблоги:

1. README.hta
2. Сицебрекс!
3. CyberBox
4. Ever Secure
5. Ильдар пишет

Новостные/агрегаторы:

1. SecAtor
2. НеКасперский
3. Offensive Twitter
4. RUSCADANEWS
5. НеЛукацкий

Юмор/мемы:

1. Cybersecurity memes
2. Bimbosecurity
3. Information Security Memes
4. Спасите Нарциссо
5. #memekatz

Авторские каналы:

1. Пост Лукацкого
2. Пакет Безопасности
3. Управление уязвимостями и прочее
4. Солдатов в Телеграм
5. Топ кибербезопасности Батранкова

Offensive:

1. RedTeam brazzers
2. Кавычка
3. PRO:Pentest
4. Похек
5. Ralf Hacker Chanel

Defensive:

1. Security Wine
2. PurpleBears
3. AppSec Jorney
4. AlexRedSec
5. Кибервойна

Смешанная тематика:

1. DanaScully
2. Mobile AppSec World
3. PWN AI
4. Кибербез образование
5. BESSEC

@cybersachok

Долгожданная статья о том, как мы организовывали SEQuest для блога Positive Technologies!

https://habr.com/ru/companies/pt/articles/846552/

Попробую поучаствовать в нем в следующем году, начал писать текст)

Взлом в прямом эфире

Трое злоумышленников возрастом 20-21 года украли более 4100 биткойнов (более 230 млн долларов). И для этого они использовали лишь социальную инженерию!

Своими целями они выбирали клиентов криптовалютной биржи Genesis. Злоумышленники писали и звонили жертвам, представляясь службой безопасности Google и компании Gemini, утверждали что учетная запись жертвы взломана и нужно срочно сбросить ее двухфакторную аутентификацию. Они не устанавливали никакую малварь, нет, просили установить клиент удаленного рабочего стола AnyDesk и так получали доступ к закрытым ключам кошельком Bitcoin Core!

Минимум техники, максимум социальной инженерии. Далее "социальные" взломщики пытались эти деньги отмывать с использованием множество счетов, бирж и криптомиксеров. Но регулярно допускали ошибки, путая при покупках и переводах "чистые" кошельки, с еще не "отмытыми". А с учетом трат этих денег исключительно на шикарный образ жизни: премиум автомобили, дорогие часы, дизайнеские сумки и самые дорогие клубы Лос-Анжелеса и Майями, шанс их поимки стремился к 100%.

Но больше всего подвело их не это. Воры записывали экран и транслировали "для друзей" процесс взлома, и реакции своих жертв на взлом! Посмотрите такое видео сами, и постарайтесь прикинуть сколько информации о себе, "социальные" хакеры сообщили о себе на видео)

В середине сентября они предстали перед судом и ожидают приговора!

Podlodka #393 – Социальная инженерия

В этом выпуске мы обсуждаем социальную инженерию — угрозу, которая касается каждого, будь то человек или компания. Мы разберем основные методы атак, и какие психологические техники используют мошенники. Вы узнаете, насколько опасно переходить по ссылкам, открывать видео и скачивать файлы. Эксперт Антон Бочкарев – эксперт по информационной безопасности и сооснователь площадки «Третья Сторона», поделится советами, как защитить себя, помочь близким и бороться с этой угрозой на уровне компании.


🎧 Слушать выпуск

👀 Смотреть выпуск

Партнёр эпизода — образовательная платформа Грейд от Яндекс Практикума.
Грейд помогает руководителям и тимлидам точечно обучать сотрудников или целые команды навыкам для конкретных бизнес-задач: подготовить команду к новому проекту, вырастить стажеров или переобучить сотрудника для новой роли. На платформе Грейда более 1000 навыков, а также возможность конструировать обучение под запрос, наблюдать за прогрессом и измерять эффективность — там, где раньше нужно было несколько разных решений, теперь достаточно одной подписки.

Переходите по ссылке и оставляйте заявку, чтобы получить бесплатный демо-доступ на неделю — он работает сразу для всей команды.

Реклама. АНО ДПО «Образовательные технологии Яндекса»,
ИНН 7704282033, erid:2SDnjeio5Gn

Судебная база по всей РФ перестала работать — кибератака на ГАС «Правосудие»?

Результативные кибератаки на государственную инфраструктуру России продолжаются — вслед за ВГТРК вчера, сегодня был атакован и перестал работать портал sudrf.ru и сайты региональных судов. Главной "жертвой" атаки стала ГАС «Правосудие».

Как мы много раз писали, тут как и в истории с ВГТРК речь идет о хактивизме — очевидно, получить выкуп от российского государства будет довольно сложно (даже если что-то действительно пошифровали). Судя по результатам, хактивизм достаточно высокоуровневый.

И об этом мы тоже много раз писали: рано или поздно те тысячи junior black hat, которые ломали россисйскую инфраструктуру в 22-23 годах вырастут и уйдут — или в рансом, или в высокоуровневый "коммерческий" хактивизм. В любом случае, именно хактивисты нам кажутся самой недооцененной угрозой последних лет.

Казаться, а не быть?

В далекие годы начала моей карьеры, один из коллег, с которым я часто пересекался по работе сказал мне примерно следующее:

"Для заказчика главное как ты выглядишь и как уверенно ты говоришь.
Даже если ты говоришь, в чем не особо разбираешься, или не разбираешься вовсе, говори это так, будто ты уверен на все 100%.
Ты для него дорогой эксперт. Важно казаться, а не быть."

И действительно продавали такие услуги дорого, но я согласен с ним не был. Но я наглядно видел эту "магию сверхуверенности", даже опытный заказчик начинал сомневаться в себе, и это помогало скрыть косяки работы. Что тоже мне не нравилось.

А сейчас, вы сами можете легко угодить под эту "магию", спросив что-то у ChatGPT или иных LLM! Они абсолютно уверенно, красиво и структурированно могут нести полную чушь. Так как не понимают смысла того, что генерируют.

Для полного повторения эффекта "дорого консультанта" не хватает только высокой цены, она в разы усиливает эффект. Ведь признаться, что ты заплатил столько денег за красивое презентабельное и структурированное фуфло еще сложнее.

Web.archive.org взломан

Кем и как - пока неизвестно.
Антиизраильские хактивисты, которые одновременно и публично проводили DDOS на данный ресурс за поддержку Израиля утверждают, что это не они.

Мог пострадать 31 миллион пользователей ресурса.

Взлом подтвердили профильные ИБ-журналисты.


UPD. Аутентификационная база 31 миллиона пользователей сервиса размером более 6ГБ была выложена в сеть несколько дней назад. Что осталось без внимания до сегодняшнего дня.

Наши друзья из ProIT Fest, у которых я много раз выступал, организовали вот такую инициативу на конфе! Велком!)

Взлом TeamViewer - атака на цепочку поставок удалась?

Компания Teamviewer вышла из России в 2022 году.
А 26 июня 2024 года компания сообщила, что подверглась атаке и зафиксировала взлом своей офисной сети.
Тогда она заявила, что сеть клиентов и их данные затронуты взломом не были. Сослались на значительно разделение продуктовой части и офисной. Однако, возможно это было не совсем так.

По словам одного из пользователей, который прислал мне это фото (да, фото монитора!) он пользовался TV до самого выхода компании из России. С тех пор подключиться куда-либо из России было нельзя, но вот в обратную сторону судя по всему можно. ПО оставалось у него в автозапуске и исправно запускалось, о чем он благополучно забыл.

Некоторое время назад пользователь обнаружил у себя на ПК программу-майнер, и пытаясь понять, как майнер мог оказаться в системе, обнаружил логи TV. С тремя нелегальными сессиями! Первый вход произошел аккурат во время взлома сети компании! Совпадение? Все предыдущие сессии были легальные и осуществлялись в 2022 году. Ровно до даты взлома. На скриншоте указаны эти 3 сессии, и замазаны идентификаторы прошлых легальных сессий, кроме даты.

Я попытался поискать в сети аналогичные случаи, но поисковую выдачу значительно замусоривает взлом самой компании, и подобные случае мной обнаружены не были. Если вы использовали TV в конце июня этого года, рекомендую проверить логи подключения. Если вы обнаружите подобные сессии, напишите пожалуйста нам в личные сообщения!

Пока это единичный случай, однозначно утверждать, что это не совпадение и не ошибка пользователя - нельзя.

Чудовищный размах телефонного мошенничества в России — ущерб к концу года достигнет ... триллиона рублей?

Мы традиционно много пишем про телефонное мошенничество — это классика социальной инженерии и это касается всех. Но так вышло, что объем ущерба от действий мошенников очень долго было сложно оценить. Есть данные ЦБ — около 20 млрд рублей ущерба — которым на рынке не верит приблизительно никто. Есть известная оценка Сбера, там говорят про 300 млрд рублей к концу года.

В реальности ущерб может быть гораздо выше. По непубличным данным, уже сейчас CoR (стоимость риска) портфеля нескольких крупных банков вырос приблизительно на процент (в смысле, процентный пункт) — то есть мошенники становятся вообще главной угрозой банкам! Для справки, РКП (розничный кредитный портфель) условного Сбера под 18 трлн, и если взять 1% от него, то получится около 180 млрд. Это, подчеркнем, только кредиты — "обычные" кражи со счетов мы не учитываем. Повторимся, что Сбер мы взяли только для примера — для условного ВТБ цифра будет в районе 80 млрд, для Альфы еще меньше.

А теперь считаем — банковский сектор в прошлом году заработал 3,3 трлн (все вместе), то есть даже если чистый рост резервов составит пол-триллиона, то это все очень существенно повлияет на прибыль. А значит, банки наконец начнут всерьез бороться с мошенниками.

Кстати, на наш взгляд прямо сейчас самым адекватным способом может быть не попытка предсказать фрод через транзакции, звонки или прочее. Вполне возможно, что оценка действия пользователя (нервного пользователя) в мобильном приложении может быть гораздо эффективнее. Мы точно знаем, что у банков такая информация есть.

Онлайн-конференция по безопасности приложений SafeCode 2024 Autumn

30 октября пройдет онлайн-конференция, посвященная практикам AppSec для всех, кто хочет писать надежный и безопасный код.

В программе будут доклады о безопасности: авторизации, веба, контейнеров, ML/AI, фронтенда и других систем. Спикеры расскажут про культуру DevSecOps, инструменты пентестера, безопасную разработку и многое другое. Ведущие конференции возьмут интервью у ИБ-специалистов из крупных компаний.

Участников также ждет воркшоп по защите контейнеров и мастер-класс, где хакер будет в прямом эфире искать уязвимости в сайте самой конференции.

Подробности о мероприятии — на сайте SafeCode.

За какую сумму вас можно взломать?

Статья про Кибериспытание, в котором мы принимаем крайне активное участие!
Самая реалистичная и практическая оценка защищенности из возможных)

А о том, какие у нас будут совместные проекты - расскажем в следующий раз!

17.11 - ключевая дата