Чух-чух

Сегодня в результате крупной кибератаки у РЖД отвалились сайт, мобильное приложение и некоторые веб-сервисы.

Физические кассы продолжают продавать билеты в штатном режиме, а компания уже работает над устранением последствий инцидента.

С аналогичной DDoS-атакой компания уже сталкивалась в феврале прошлого года. Правда, тогда все обошлось сбоями в работе портала. На текущий момент работа всех систем восстановлена.

Несмотря на оптимистичные мнения представителей госперевозчика и ИБ-экспертов, а также быструю реакцию компании, напомним, что подобные инциденты могут служить лишь отвлекающим фактором на пути к реализации более масштабных атак, а в случае с РЖД – за примером далеко идти не придется.

НеКасперский

О насущном…

Уязвимости, возникающие на всех этапах создания программ, становятся ахиллесовой пятой многих крупных технологических гигантов. Только за эту неделю две критические уязвимости, обнаруженные в разных частях мира:

В первом случае, уязвимость затронула систему мониторинга солнечной энергии Contec SolarView. Эксплуатация могла потенциально привести к нарушению глобальных цепочек поставок электроэнергии. Эксплуатация второй уязвимости могла отключить медицинские системы жизнеобеспечения Medtronic и привести к десяткам или сотням смертей.

DevSecOps-процессы сегодня не являются панацеей, но их грамотная автоматизация точно станет эффективным способом минимизации критических уязвимостей. Shift-Left Security практики позволят предупредить появление уязвимостей и ошибок конфигурации на старте процесса разработки, что определенно даст возможность свести к минимуму будущие атаки после релиза любого программного решения.

Так, тот же Start REQ от отечественной «‎Антифишинг» содержит интерактивную базу требований по безопасности к программным продуктам, внешние и внутренние регламенты, законы и отраслевые практики. Ваша команда по кибербезопасности получит актуальные требования по безопасности на понятном для разработчиков языке, включая критерии приемки по безопасности на стадии релиза. Эти требования автоматически доставляются в рабочую среду разработчиков – трекер задач и реализуются командой вместе с функциональным требованиями.

Это позволяет ускорить выпуск цифровых продуктов и, что самое важное, обеспечить их уровень защищенности от возможных атак, утечек и сбоев.

НеКасперский

Увидеть лицо парижан и умереть

Пока французы готовят свои лица к осмотру на Олимпийских играх, новая инициатива французского правительства дает добро на слежку за подозреваемыми в совершении преступлений.

Законопроект позволяет правоохранительным органам тайно активировать камеры, микрофоны и собирать геолокацию подозреваемых с личных устройств: от личного телефона до автомобиля. В положении указано, что слежка должна быть одобрена судьей, а общая продолжительность не может превышать 6 месяцев.

Такая новость вызвала массу недовольств среди правозащитных групп. С их слов такое нововведение вызывает серьезную озабоченность по поводу нарушения фундаментальных свобод и сползания к жестким мерам безопасности. Нечто похожее уже приходилось наблюдать в ЕС ранее.

Вероятно, активное истребление базовых демократических принципов связанно с недавними акциями протеста, прошедшими вдоль берегов Сены.

Стоп-машина

Хакерская группировка Lockbit атаковала крупнейший в Японии порт, ответственный за обработку части экспортных и импортных поставок Toyota Motor Corp.
В обмен на восстановление системы злоумышленники потребовали крупную сумму денег.

То, что компьютерная система заражена зловредом, было отправлено на принтер, сообщили в одном из японских источников.

Порт является центром экспорта и импорта Toyota. Производители заявили, что из-за сбоя они не могут загружать и разгружать автозапчасти. Но логистика готовых автомобилей остается незатронутой, поскольку она управляется с помощью другой компьютерной системы.

Ко всему прочему, к сегодняшнему дню в порту наблюдалось значительное скопление трейлеров.

Со слов одного из работников порта, если такое количество трейлеров возобновит работу одновременно, будет очень тесно.

НеКасперский

Под водой еще одна

Хакеры из UHG продолжают топить отечественную частную медицину.

В последний раз злоумышленникам удалось вытащить 14 Тб данных из «СИТИЛАБ», а теперь в распоряжении группировки более 170 тыс. строк данных медицинской компании «Моя Наука».

Данные актуальны на 27 июня и поделены на несколько таблиц. В сеть попали такие сведения о клиентах и сотрудниках компании как:

• ФИО
• Эл. почта (125 тыс. строк)
• Телефон (127 тыс. строк)
• Логин и пароль (в открытом виде)
• Год рождения
• IP-адрес
• Специализация врача
• Полные сведения об обращениях в компанию

Слив может быть ответом на продолжающиеся атаки хакеров из XakNet Team на украинскую СИНЭВО, а, возможно, это просто очередная эксплуатация уязвимости CMS «Битрикс».

НеКасперский

Вас заметили

Студенты-хакеры из КНДР забрали первые места на международном хакерском конкурсе HackerEarth в Сан-Франциско.

О факте участия представителей из КНДР в соревновании и их поразительных способностях организаторам известно не было. Хакеры использовали автоматически созданные никнеймы, буквенная часть которых отсылала к названиям Северокорейских университетов – KUT (Университета Ким Чэка) и RNS (Университета имени Ким Ир Сена).

По сообщениям СМИ, в одном из соревнований студенты смогли забрать первые места с максимальным количеством возможных баллов, что вызвало опасения международного сообщества, поскольку участие студентов из Северной Кореи в подобных мероприятиях дает стране возможность взрастить опытных хакеров для проведения кибератак на другие государства.

По итогам соревнований победителям достанутся купоны Amazon на сумму $225. Вот только Amazon в КНДР не работает.

НеКасперский

Хакеры из NLB не теряются из виду. На этот раз в открытом доступе более 5 млн строк персональных данных с сайта конкурсной программы «Большая перемена». С 2020 года мероприятие с проводится на платформе «Россия – страна возможностей».
В пяти утёкших .csv-файлах оказались подробные сведения о студентах, школьниках и преподавателях, а именно:

• ФИО
• Дата рождения
• Класс
• Место обучения
• Почта (более 5,2 млн уникальных)
• Телефон (более 3,4 млн уникальных)
• Роль (ученик, студент, учитель)
• Сведения об участии в конкурсах

Напомним, что ранее очень похожая утечка случилась у АРТЕКа.

НеКасперский

Больше не безопасно?

У Telegram произошли изменения в политике конфиденциальности.
Теперь мессенджер официально собирает IP-адреса пользователей не только для обеспечения безопасности, но и для доставки более качественной таргетированной рекламы.

В зависимости от геолокации мессенджер будет предоставлять релевантную рекламу. Кроме того, рекламодатели могут теперь получить обезличенные списки телефонных номеров.

А изюминка нововведения в том, что, если у вас оформлена платная подписка, изменения вас не коснутся.

Stonks?

НеКасперский

Зато с подсветкой

Геймеры на месте? Базы данных, исходный код и ключи шифрования компании Razer продаются на одном из хакерских форумов.

Неизвестный пользователь продает данные Razer за $100 тыс. в анонимной криптовалюте Monero. Несмотря на то, что о подлинности сообщения умалчивается, ряд источников утверждает, что некоторые связки логинов и паролей действительно актуальны.

По последним данным, Razer серьезно отнеслась к возможной утечке, но факт взлома пока не подтвержден. В компании провели тщательную проверку всех сайтов и приняли все необходимые меры для защиты своих платформ. Все пароли уже успели сбросить.

НеКасперский

Да, серьезно, а ты не верил?

Злоумышленники в России используют фейковые сайты официальных госресурсов для создания у жертв иллюзии, что им звонят сотрудники центробанка или полиции.

С помощью одного из таких сайтов преступники втираются в доверие к жертве, убеждая ее, что это один из официальных ресурсов Банка России и просят проверить свой личный идентификатор на сайте. На некоторых ресурсах по личному идентификатору жертвы можно будет даже столкнутся с фейковыми сообщениями о попытках мошенничества со счетами клиента.

Заполучив доверие мамонтов в свое распоряжение, мошенники действуют по классической схеме: рекомендуют выполнять любые свои указания, убеждают взять кредиты и переводить деньги на «безопасный» счет.

НеКасперский

Взлом сурка

Китайские хакеры взломали личный почтовый аккаунт министра торговли США.

Используя уязвимость в облачном сервисе корпорации Microsoft, злоумышленники смогли получить доступ к некоторым ящикам на почтовом сервере Министерства торговли и Госдепартамента, среди которых оказался ящик Джины Раймондо.

Несмотря на то, что все взломанные ящики удалось восстановить в кратчайшие сроки, госдеп всё же запустил расследование киберинцидента. Подробности взлома мы вряд ли узнаем, но нечто похожее уже происходило в начале года по вине майков. Не будет удивлением, если окажется, что Microsoft так и не признали уязвимость, а китайские школьники демонстративно ее проэксплуатировали.

Вопрос остается актуальным. Сколько еще аналогичных дыр остается в инфраструктуре госаппарата США?

НеКасперский

Адептам 5G и не снилось

Li-Fi — стандарт связи, скорость которого в 100 раз выше Wi-Fi.

Вместо использования радиоволн данные передаются через свет, мерцающий на частоте выше 60 Гц, что неуловимо для человеческого глаза. Технология позволяет достичь скорости передачи данных до 224 гигабайт в секунду.

Кроме того, преимуществом нового стандарта является безопасность. Свет не проходит сквозь стены, а значит, перехват данных злоумышленником за пределами помещения почти исключен. Для таких сфер как IoT, военная связь, финансовые транзакции данная характеристика может стать решающей в выборе стандарта передачи данных.

Стандарт предполагает совместное использование с Wi-Fi, а не полную его замену, поскольку не все готовы жертвовать удобством в угоду скорости соединения.

Интересный факт: ваши кошки и собаки воспринимают частоту света в 80 Гц, а значит для них высокочастотное мерцание может вызвать эпилептические припадки.

НеКасперский

Кешбэк за перевод

Госдума приняла сразу во втором и третьем чтении поправки в закон "О национальной платежной системе", обязывающие банки возмещать средства клиентов, похищенные мошенниками. Правда, вступят в силу изменения только через год.

Банки будут обязаны возместить всю сумму операции, совершенную без добровольного согласия клиента в течении 30 дней после подачи соответствующего заявления. В этих условиях операторы переводов будут вправе двое суток игнорировать любую транзацкию с подозрением на мошенническую, даже несмотря на волю клиента.

Из подводных камней – право банков отказывать в компенсации в случаях нарушения порядка использования электронного средства платежа. Что будет пониматься по нарушением, узнаем от лидеров сектора через год.

Похожую «акцию» не так давно предлагали в Минцифре, но тогда речь шла об утечках. Так или иначе, инициатива точно будет положительно принята массами, а банки в очередной раз ужесточат требования для одобрения крупных переводов.

НеКасперский

Microsoft Outleak

Майки на этой неделе на гребне волны сливов.

Не успела компания дать комментарий по взлому почтовых аккаунтов министерства торговли США и госдепа, как китайская группировка Storm-0558 вскрыла и распотрошила почтовые ящики двадцати пяти организаций по всему миру.

Подделав токены аутентификации для Outlook Web Access и Outloоk.coм при помощи MSA ключа, хакеры начали получать доступ к чужим учетным записям уже в середине мая 2023 года. Как хакерам удалось заполучить ключ для подписи потребительских токенов не уточняется, но самыми правдоподобными версиями стали:

• утечка ключа из собственной сети Microsoft
• компрометация всего УЦ Microsoft

Вопреки тому, что компания активно расследует инцидент и предпринимает компенсирующие меры, любой из возможных сценариев утечки MSA ключа увеличивает в разы число потенциальных жертв хакеров.

НеКасперский

Плюс одна фобия

Персональные данные и другая чувствительная информация 25 тыс. людей попали в открытый доступ через сервис по онлайн-переводу текстов «Kings of Translation».

ИБ-исследователь из США обнаружил в сети базу данных, не защищенную паролем, которая содержала более 25 тыс. записей. Все из них были общедоступны, включая тексты особо секретных документов различных госорганов и частных компаний.

Помимо прочей информации в базе содержались скриншоты исходного кода, налоговые декларации, паспорта, свидетельства о рождении и браке, водительские удостоверения и судебная документация. Информация такого содержания может легко стать предметом шантажа или мошенничества.

Компания претендует претендовала на звание поставщика переводческих услуг премиум-класса в США, обеспечивая перевод более чем на 120 языков.

Что дальше? Утечки из сервисов конвертации из Word в PDF?

НеКасперский

Зато с салона

Из-за уязвимости в системах защиты китайские автомобили стало легче угнать. К легкодоступным автомобилям относятся марки: Chery, Geely, Haval, Tank, Omoda и Exeed.

Преступники могут получить доступ к блокирующему коду автомобиля, зная только его VIN-номер. Эта уязвимость возникает из-за возможности получения PIN-кода от производителя с помощью VIN-номера, который позволяет обойти иммобилайзер - противоугонное устройство. Код можно приобрести на Алике или через дилера.

Безусловно, существуют и другие способы, но они более сложные и требуют дополнительного оборудования. А купить код с AliExpress, да еще и с кешбэком намного проще.

В качестве защитных мер предлагается установить дополнительный иммобилайзер с меткой, который позволяет завести двигатель, но блокирует его при попытке начать движение.

Как вам «опция» от Китайцев?

НеКасперский

Мы не знаем что это такое

Продолжаем разбираться с инцидентом у Microsoft. В ходе расследования выяснилось, что злоумышленники получили доступ в чужим учетным записям в результате ошибки валидации ключей подписи токенов Azure AD в самом коде Microsoft. Как хакерам удалось получить сам ключ — до сих пор не ясно.

Несмотря на то, что повторные атаки с использованием уязвимости маловероятны, компания заблокировала использование украденного ключа для всех пользователей и закрыла всю инфраструктуру, которую Storm-0558 использовали для воспроизведения ключей.

Так или иначе, об устранении самой уязвимости в коде Microsoft ничего не сказали, а значит обязательно найдется кто-то кроме китайских хакеров, желающий поживиться конфиденциальными данными.

НеКасперский

Полетели?

Проукраинские хакеры из UHG после чреды сливов отечественных медицинских организаций отправляют по горячей путевке в свободный доступ данные клиентов туроператора "Интурист".

В совокупности слито чуть более 5,5 миллионов строк данных, среди которых оказались:

• ФИО
• Номер телефона (почти 70к уникальных)
• Адрес
• Дата рождения
• Пол
• Гражданство и место рождения
• Серия и номер паспорта (включая заграничные)

Среди данных много проходной и неактуальной информации, но вряд ли это успокоит клиентов компании.

НеКасперский

Нужно больше лицензий

Роскомнадзор хочет сертифицировать операторов персональных данных.

Соответствующую инициативу госорган рекомендует внести в готовящийся проект закона об оборотных штрафах. Поправка должна коснуться в первую очередь операторов, обрабатывающих наибольший объем ПДн.

Лицензировать таких «спецоператоров» РКН будет самостоятельно, а сам процесс включит в себя соответствующие аудиты IT-инфраструктуры. На какие требования будут ориентированы аудиты пока не ясно.

Не исключаем, что орган в коллаборации со ФСТЭК и ФСБ выкатит новую бумажку с требованиями по обеспечению защиты ПДн у подобных спецоператоров, либо инициирует расширение существующих требований 21 и 378 приказов.

Лучше бы просто поторопились с введением оборотных штрафов, а то скоро по второму кругу потечём.

НеКасперский