По накатанной

Жертвами пропалестинской группировки Handala стали миллионы клиентов десятков израильских компаний.

Одна из таких — организация, предоставляющая услуги по управлению проектами Elitech Engineering & Projects Ltd. Злоумышленники похитили и слили в даркнет 4,9ТБ данных, которые могут включать в себя внутренние документы, промышленные проекты, личные данные сотрудников и клиентов компании.

Также, Handala брала на себя ответственность за атаки на такие компании, как «Shop Bar», «Wango Caravans», «Full Service» и «China Steel». По словам преступников, в Сеть утекло 52ГБ ПДн.

Кроме того, под угрозу попали данные компании Massad Quality. Злоумышленники утверждают, что слили 152ГБ скомпрометированных данных, в состав которых входят десятки тысяч SMS и писем с электронной почты.

В качестве доказательств Handala публикует скриншоты с образцами украденных сведений и подробную информацию об эксплойтах. Зачастую объектами их нападений становятся секторы здравоохранения, инфраструктуры, СМИ и обороны.

НеКасперский

Замкнутый круг

Шесть лет назад на веб-сервере Lighttpd, который используется в контроллерах управления серверными платами была найдена уязвимость, которая до сих пор вредит тысячам пользователей.

Проблему обнаружили и решили ещё в 2018 году во время плановых сканирований контроллеров управления серверными платами BMC. Но упущением стал тот факт, что уязвимость была устранена в автоматическом режиме, без присвоения идентификатора отслеживания.

Такая ошибка привела к тому, что разработчики AMI MegaRAC BMC не интегрировали исправление в свой продукт и продолжили распространять уязвимость по цепочке поставок.

Сейчас брешь затрагивает более 2 тысяч продуктов крупных производителей оборудования, в том числе Intel и Lenovo. Она позволяет обходить защитные механизмы и удалённо считывать данные из памяти.

Кстати, на уязвимых устройствах нет механизма обновления, поэтому заражёнными они останутся навсегда.

НеКасперский

Открыткам быть

Недавно мы рассказывали о том, что исследователь-одиночка обнаружил критическую уязвимость в Telegram.

Было много сомнений по поводу достоверности этого факта, так как команда мессенджера заявила, что не может подтвердить выдвинутые утверждения и предоставить сведения о бреши. Однако, на следующий же день на форуме XSS было опубликовано доказательство концепции эксплойта.

Как оказалось, причиной проблемы стала опечатка в исходном коде Telegram для Windows. Вместо расширения «pyzw» было прописано несуществующее название файла «pywz». 🗿

Уязвимость позволяла обойти предупреждения безопасности и автоматического запуска скриптов Python. Эксплойт замаскировал файл «video.pywz» под видео, после загрузки которого Python открывал командную строку.

Теперь же Telegram будет использовать серверное расширение, которое заставит Windows спросить, какую программу вы хотите использовать для запуска файлов, а не автоматически запускать в Python.

НеКасперский

В копилку

Если раньше дипфейки довольно долгое время применялись в развлекательных целях, то сейчас с развитием технологий мы всё чаще сталкиваемся с тем, что злоумышленники используют генерацию таких медиа в корыстных целях.

Не так давно мы рассказывали о нескольких инцидентах, связанных с этой проблемой. Ярким примером стал эфир на украинском телеканале, где зрители увидели сгенерированную карикатуру с Зеленским, извиняющимся перед жителями Донбасса и поздравляющим россиян с государственным праздником.

Ещё одной жертвой стал финансовый работник транснациональной компании в Гонконге. После фейковой видеоконференции с «коллегами» он перевёл преступникам в общей сложности 200 млн гонконгских долларов.

А буквально недавно на эту же наживку пытались поймать сотрудника корпорации LastPass. Липовое руководство компании отправило ему голосовое сообщение в WhatsApp с целью получить доступ к ПДн. К счастью, он заподозрил неладное и не повёлся на провокацию.

НеКасперский

В тур по дарквебу

Вчера DLBI нашли на BreachForums интересную утечку туроператора «СканТур», которая занимается турами по Карелии и Северо-Западу России.

Несмотря на узкий спектор туров, в базе оказалось аж 477 тыс. записей «туристов» с их паспортными данными. Кроме этого, в открытый доступ в сумме попало ещё 4 таблицы с общим количеством записей превышающем 600 тыс. строчек. Актуальный на прошедшую пятницу дамп содержит:

• ФИО
• Телефон (250 тыс. уникальных)
• Почта (62 тыс. уникальных)
• Серия и номер паспорта
• Адрес
• Дата рождения
• Информация о туре

НеКасперский

Грабли

В понедельник утром появилась информация об очередной критической 0-day на IOS, связанной с iMessage.

О наличии уязвимости первыми заговорили крипто- биржи и обменники, т.к. брешь позволяет проникнуть в хранилище устройства без необходимости пользователю открывать какие-либо вредоносные ресурсы.

Однако, в отличие от Операции Треангуляции, подтверждений на данный момент мало. Все опасения связаны с публикации в дарквебе объявления о продаже за $2 млн такого эксплойта. Кроме того, представители Apple также отказались комментировать новость, хотя это может быть связано и с готовящемся хотфиксе.

НеКасперский

Сапожники без сапог

Злоумышленники атаковали компанию, отвечающую за телефонную связь в службе многофакторной аутентификации Cisco Duo.

Специалисты компании сообщили, что 1 апреля 2024 года преступники использовали учётные данные сотрудников компании-поставщика и скомпрометировали неназванный провайдер, который занимается обработкой SMS и VoIP.

По словам представителей, украденные файлы включают в себя:

• Сведения о местоположениях
• Номера телефонов сотрудников
• Данные об операторах связи
• Типы сообщений
• Даты и время отправки SMS

Стоит отметить, что Cisco Duo обслуживает более 100 тысяч клиентов и ежемесячно обрабатывает порядка миллиардов проверок аутентификации. Хоть и масштаб инцидента пока неизвестен, но, судя по числам, он может быть довольно внушительным.

НеКасперский

Нехперия

Нидерландский производитель полупроводников со штатом, насчитывающим более 15 тыс. сотрудников, столкнулся с крупнейшей кибератакой.

Данные о тысячах микросхем таких компаний как Apple, IBM, SpaceX и Huawei — 109ГБ оказались в руках хакеров. Группировка Dunghill, взявшая на себя ответственность за атаку, заявляет, что украла более 1ТБ данных компании, среди которых внутренние кадровые и отчётные документы, письма, интеллектуальная собственность: данные о конструкциях продукции, её спецификациях, схемах и инструкциях, а так же NDA сотрудников и их личные данные, в т.ч. и паспорта.

Сейчас идёт расследование, поэтому компания не может подтвердить или опровергнуть причастность группировки к произошедшему, но, судя по детализации данных из утечки, хакеры явно при делах.

НеКасперский

Недолго музыка играла

Исследователи из Лаборатории Касперского проанализировали последствия утечки конструктора LockBit 3.0, которая произошла в 2022 году.

Благодаря доступу к конфигурационному файлу, преступники смогли активировать функции шифрования сетевых дисков, подмены идентификаторов, распространения по сети и отключения защиты. Это позволило участникам группировки настроить вредоносное ПО так, чтобы увеличить поле заражения и скрыть следы своего вторжения.

В ходе исследования стало известно, что злоумышленники использовали файлы, различные инструменты и техники для распространения и управления атакой, а также скрипт SessionGopher для извлечения сохранённых учётных данных.

В феврале 2024 года правоохранительные органы провели операцию по ликвидации инфраструктуры LockBit. Но, несмотря на это, группа вскоре возобновила свою деятельность по всему миру, в том числе в странах СНГ.

НеКасперский

Заслужено

В среду специалисты из McAfee обнаружили, что в демке читерского софта маскируется серьёзный инфостиллер Redline.

Распространяется демо-версия CheatLab в формате .zip с установщиком MSI, запустив который, подтянется вредонос в виде Lua. Байт-код запустит другой установщик и с этого момента малварь плотно сядет в системе, запускаюсь при каждом включении ПК.

При этом, группировка даже предлагает полную версию ПО для читеров, если те убедят знакомых установить демку 🤡

В целом, креативности у Redline не занимать, они уже были замечены в распространении через «reCAPTCHA» в word-файле и рекламе читов на YouTube

НеКасперский

Никакого аниме

Злоумышленники угоняют Telegram-аккаунты с помощью вредоносных сайтов.

В декабре 2023 года была создана сеть, состоящая из сотен однотипных ресурсов, посвященных аниме, фанфикам, мемам, сериалам и порнографии.

По словам специалистов, преступники уделили большое внимание вопросам поисковой оптимизации, поэтому вероятность наткнуться на один из таких сайтов очень высока, особенно если искать по картинкам.

Если кликнуть по ссылке на такое изображение, то система перекинет пользователя на фишинговый сайт, очень похожий на страницу Telegram-канала с названием «Тебе понравится». А чтобы вступить в сообщество, нужно заполнить форму для входа. И после того, как какой-нибудь мамонт введёт свои данные, информация будет автоматически передана преступникам.

Примечательно, что от такой атаки не защитит даже двухфакторная аутентификация, злоумышленники могут попросту завершить сессию владельца учётной записи.

НеКасперский

Помоги себе сам

Проукраинская группа Cyber Legions совершила атаку на ведущего российского производителя готовых рационов питания Performance Group.

От рук злоумышленников пострадало несколько сетей компании, таких как Performance Food, Level Kitchen, Easy Meal, My Food и др. Группировка скомпрометировала 96 ГБ ПДн, в числе которых:

• Исходный код программ и проектов
• Внутренние документы
• База данных
• Информация о сотрудниках и клиентах компании

После атаки группировка опубликовала обращение к владельцу организации со словами о том, что ему плевать на своих подчинённых, потому что тот даже не удосужился ответить на сообщение о взломе. В своём посте Cyber Legions открыто слили его паспортные данные и номер телефона.

НеКасперский