Открыткам быть

Недавно мы рассказывали о том, что исследователь-одиночка обнаружил критическую уязвимость в Telegram.

Было много сомнений по поводу достоверности этого факта, так как команда мессенджера заявила, что не может подтвердить выдвинутые утверждения и предоставить сведения о бреши. Однако, на следующий же день на форуме XSS было опубликовано доказательство концепции эксплойта.

Как оказалось, причиной проблемы стала опечатка в исходном коде Telegram для Windows. Вместо расширения «pyzw» было прописано несуществующее название файла «pywz». 🗿

Уязвимость позволяла обойти предупреждения безопасности и автоматического запуска скриптов Python. Эксплойт замаскировал файл «video.pywz» под видео, после загрузки которого Python открывал командную строку.

Теперь же Telegram будет использовать серверное расширение, которое заставит Windows спросить, какую программу вы хотите использовать для запуска файлов, а не автоматически запускать в Python.

НеКасперский

В копилку

Если раньше дипфейки довольно долгое время применялись в развлекательных целях, то сейчас с развитием технологий мы всё чаще сталкиваемся с тем, что злоумышленники используют генерацию таких медиа в корыстных целях.

Не так давно мы рассказывали о нескольких инцидентах, связанных с этой проблемой. Ярким примером стал эфир на украинском телеканале, где зрители увидели сгенерированную карикатуру с Зеленским, извиняющимся перед жителями Донбасса и поздравляющим россиян с государственным праздником.

Ещё одной жертвой стал финансовый работник транснациональной компании в Гонконге. После фейковой видеоконференции с «коллегами» он перевёл преступникам в общей сложности 200 млн гонконгских долларов.

А буквально недавно на эту же наживку пытались поймать сотрудника корпорации LastPass. Липовое руководство компании отправило ему голосовое сообщение в WhatsApp с целью получить доступ к ПДн. К счастью, он заподозрил неладное и не повёлся на провокацию.

НеКасперский

В тур по дарквебу

Вчера DLBI нашли на BreachForums интересную утечку туроператора «СканТур», которая занимается турами по Карелии и Северо-Западу России.

Несмотря на узкий спектор туров, в базе оказалось аж 477 тыс. записей «туристов» с их паспортными данными. Кроме этого, в открытый доступ в сумме попало ещё 4 таблицы с общим количеством записей превышающем 600 тыс. строчек. Актуальный на прошедшую пятницу дамп содержит:

• ФИО
• Телефон (250 тыс. уникальных)
• Почта (62 тыс. уникальных)
• Серия и номер паспорта
• Адрес
• Дата рождения
• Информация о туре

НеКасперский

Грабли

В понедельник утром появилась информация об очередной критической 0-day на IOS, связанной с iMessage.

О наличии уязвимости первыми заговорили крипто- биржи и обменники, т.к. брешь позволяет проникнуть в хранилище устройства без необходимости пользователю открывать какие-либо вредоносные ресурсы.

Однако, в отличие от Операции Треангуляции, подтверждений на данный момент мало. Все опасения связаны с публикации в дарквебе объявления о продаже за $2 млн такого эксплойта. Кроме того, представители Apple также отказались комментировать новость, хотя это может быть связано и с готовящемся хотфиксе.

НеКасперский

Сапожники без сапог

Злоумышленники атаковали компанию, отвечающую за телефонную связь в службе многофакторной аутентификации Cisco Duo.

Специалисты компании сообщили, что 1 апреля 2024 года преступники использовали учётные данные сотрудников компании-поставщика и скомпрометировали неназванный провайдер, который занимается обработкой SMS и VoIP.

По словам представителей, украденные файлы включают в себя:

• Сведения о местоположениях
• Номера телефонов сотрудников
• Данные об операторах связи
• Типы сообщений
• Даты и время отправки SMS

Стоит отметить, что Cisco Duo обслуживает более 100 тысяч клиентов и ежемесячно обрабатывает порядка миллиардов проверок аутентификации. Хоть и масштаб инцидента пока неизвестен, но, судя по числам, он может быть довольно внушительным.

НеКасперский

Нехперия

Нидерландский производитель полупроводников со штатом, насчитывающим более 15 тыс. сотрудников, столкнулся с крупнейшей кибератакой.

Данные о тысячах микросхем таких компаний как Apple, IBM, SpaceX и Huawei — 109ГБ оказались в руках хакеров. Группировка Dunghill, взявшая на себя ответственность за атаку, заявляет, что украла более 1ТБ данных компании, среди которых внутренние кадровые и отчётные документы, письма, интеллектуальная собственность: данные о конструкциях продукции, её спецификациях, схемах и инструкциях, а так же NDA сотрудников и их личные данные, в т.ч. и паспорта.

Сейчас идёт расследование, поэтому компания не может подтвердить или опровергнуть причастность группировки к произошедшему, но, судя по детализации данных из утечки, хакеры явно при делах.

НеКасперский

Недолго музыка играла

Исследователи из Лаборатории Касперского проанализировали последствия утечки конструктора LockBit 3.0, которая произошла в 2022 году.

Благодаря доступу к конфигурационному файлу, преступники смогли активировать функции шифрования сетевых дисков, подмены идентификаторов, распространения по сети и отключения защиты. Это позволило участникам группировки настроить вредоносное ПО так, чтобы увеличить поле заражения и скрыть следы своего вторжения.

В ходе исследования стало известно, что злоумышленники использовали файлы, различные инструменты и техники для распространения и управления атакой, а также скрипт SessionGopher для извлечения сохранённых учётных данных.

В феврале 2024 года правоохранительные органы провели операцию по ликвидации инфраструктуры LockBit. Но, несмотря на это, группа вскоре возобновила свою деятельность по всему миру, в том числе в странах СНГ.

НеКасперский

Заслужено

В среду специалисты из McAfee обнаружили, что в демке читерского софта маскируется серьёзный инфостиллер Redline.

Распространяется демо-версия CheatLab в формате .zip с установщиком MSI, запустив который, подтянется вредонос в виде Lua. Байт-код запустит другой установщик и с этого момента малварь плотно сядет в системе, запускаюсь при каждом включении ПК.

При этом, группировка даже предлагает полную версию ПО для читеров, если те убедят знакомых установить демку 🤡

В целом, креативности у Redline не занимать, они уже были замечены в распространении через «reCAPTCHA» в word-файле и рекламе читов на YouTube

НеКасперский

Никакого аниме

Злоумышленники угоняют Telegram-аккаунты с помощью вредоносных сайтов.

В декабре 2023 года была создана сеть, состоящая из сотен однотипных ресурсов, посвященных аниме, фанфикам, мемам, сериалам и порнографии.

По словам специалистов, преступники уделили большое внимание вопросам поисковой оптимизации, поэтому вероятность наткнуться на один из таких сайтов очень высока, особенно если искать по картинкам.

Если кликнуть по ссылке на такое изображение, то система перекинет пользователя на фишинговый сайт, очень похожий на страницу Telegram-канала с названием «Тебе понравится». А чтобы вступить в сообщество, нужно заполнить форму для входа. И после того, как какой-нибудь мамонт введёт свои данные, информация будет автоматически передана преступникам.

Примечательно, что от такой атаки не защитит даже двухфакторная аутентификация, злоумышленники могут попросту завершить сессию владельца учётной записи.

НеКасперский

Помоги себе сам

Проукраинская группа Cyber Legions совершила атаку на ведущего российского производителя готовых рационов питания Performance Group.

От рук злоумышленников пострадало несколько сетей компании, таких как Performance Food, Level Kitchen, Easy Meal, My Food и др. Группировка скомпрометировала 96 ГБ ПДн, в числе которых:

• Исходный код программ и проектов
• Внутренние документы
• База данных
• Информация о сотрудниках и клиентах компании

После атаки группировка опубликовала обращение к владельцу организации со словами о том, что ему плевать на своих подчинённых, потому что тот даже не удосужился ответить на сообщение о взломе. В своём посте Cyber Legions открыто слили его паспортные данные и номер телефона.

НеКасперский

Беспечность — родня преступлению

В программе удалённого администрирования PuTTY была найдена брешь, которая затрагивает с 0.68 по 0.80 версии.

С помощью уязвимости злоумышленники могут скомпрометировать закрытый ключ, подделать подпись и аутентифицироваться на любых серверах, которые использует жертва.

Причиной инцидента стала невнимательность работников, которые для генерации 521-битного вектора инициализации (nonce) использовали 512-битную случайную последовательность.

Это привело к тому, что первые 9 бит каждого одноразового номера ECDSA приняли нулевые значения, а значит восстановить приватный ключ можно по 58 подписям.

Проблему обнаружили специалисты Рурского университета в Бохуме. По словам экспертов, все клиентские ключи NIST P-521, используемые с PuTTY, должны считаться скомпрометированными, потому что атака может быть осуществлена даже после того, как основная проблема в исходном коде была исправлена.

НеКасперский

Видать заняты

Хакеры из DumpForums, скомпрометировавшие ДИТ Москвы, слили часть директорий сервера Confluence.

В результате инцидента технические ресурсы компании были отключены, а на проверке оказались более 2 тысяч хостов. Сейчас в открытом доступе находится вся конфиденциальная информация, связанная с внутренней работой ДИТ.

Больше всего вопросов вызывает отсутствие реакции департамента на происходящее. Согласно ФЗ-152, с момента выявления инцидента, организация обязана сообщить об этом в течение суток.

Однако, представители компании никак не комментируют ситуацию и до сих пор игнорируют наши запросы. Кто знает, вдруг, если не обращать внимания, то оно само уйдёт 🤷🏻‍♂️

НеКасперский

Давай, напиши нам гневный комментарий

Комментарии в Git могут помочь хакерам запушить малварь в ваш репозиторий.

Череда уязвимостей началась с GitHub, в субботу стало известно об абузе бага с комментариями, чаще всего используя Microsoft GitHub URLs. Дело в том, что после того, как вы оставляете комментарий с прикреплённым файлом, GitHub автоматически создаст ссылку на скачивание файла вместо того, чтобы генерировать ссылку на сам комментарий. Так, после загрузки в CDN, вредонос закрепится в гите с уникальным URL в формате https://www.github.com/{project_user}/{repo_name}/files/{file_id}/{file_name}.

Позже уязвимость заметили и в GitLab. Принцип формирования ссылки такой же за тем исключением, что хост будеt от gitlab.

НеКасперский

Вот и правда вскроется

Злоумышленники угрожают слить 5 млн записей из украденной БД в облачном инструменте проверки клиентов World-Check.

А чтобы показать серьёзность своих намерений, хакеры из GhostR предоставили образец ПДн, содержащий 10 тысяч записей. Среди пострадавших оказались судьи, политические деятели, дипломаты, которых подозревают в отмывании денег, терроризме и других преступных действиях.

В случае утечки в открытый доступ могут попасть файлы, содержащие:

• Полное имя
• Другие известные псевдонимы
• Дату и место рождения
• Категорию
• Должность
• Причину, по которой человек находится в этом списке

Это уже не первый инцидент, связанный со взломом базы данных компании. Предыдущая версия была скомпрометирована в 2016 году. Тогда World-Check принадлежала компании Thomson Reuters, а среди имеющейся информации было около 2,2 млн записей.

НеКасперский

Безопасность = наука + бизнес

Обратили внимание на новость российского разработчика инфраструктурного ПО «Базис» и Института системного программирования РАН. Расширяют работу в области инфобеза, верификации и тестирования ПО, обработки больших данных и программной инженерии.

Команды собираются создать экспертное коммьюнити в области доверенного ПО и привлекать студентов к совместным исследованиям. Всем нужны квалифицированные ИТ-кадры.

Пишут, что ИСП РАН изучает уязвимости ПО «Базис» с 2023 года. Применяют статический и динамический анализы на мощностях Центра исследований безопасности системного ПО, созданного по инициативе ФСТЭК России. Логично. Когда продукты интегрируют в ключевые госпроекты вроде Гостеха и еще 120+ ГИС и ИС, их безопасность всегда будет у разработчика на первом месте.

НеКасперский