В тур по дарквебу

Вчера DLBI нашли на BreachForums интересную утечку туроператора «СканТур», которая занимается турами по Карелии и Северо-Западу России.

Несмотря на узкий спектор туров, в базе оказалось аж 477 тыс. записей «туристов» с их паспортными данными. Кроме этого, в открытый доступ в сумме попало ещё 4 таблицы с общим количеством записей превышающем 600 тыс. строчек. Актуальный на прошедшую пятницу дамп содержит:

• ФИО
• Телефон (250 тыс. уникальных)
• Почта (62 тыс. уникальных)
• Серия и номер паспорта
• Адрес
• Дата рождения
• Информация о туре

НеКасперский

Грабли

В понедельник утром появилась информация об очередной критической 0-day на IOS, связанной с iMessage.

О наличии уязвимости первыми заговорили крипто- биржи и обменники, т.к. брешь позволяет проникнуть в хранилище устройства без необходимости пользователю открывать какие-либо вредоносные ресурсы.

Однако, в отличие от Операции Треангуляции, подтверждений на данный момент мало. Все опасения связаны с публикации в дарквебе объявления о продаже за $2 млн такого эксплойта. Кроме того, представители Apple также отказались комментировать новость, хотя это может быть связано и с готовящемся хотфиксе.

НеКасперский

Сапожники без сапог

Злоумышленники атаковали компанию, отвечающую за телефонную связь в службе многофакторной аутентификации Cisco Duo.

Специалисты компании сообщили, что 1 апреля 2024 года преступники использовали учётные данные сотрудников компании-поставщика и скомпрометировали неназванный провайдер, который занимается обработкой SMS и VoIP.

По словам представителей, украденные файлы включают в себя:

• Сведения о местоположениях
• Номера телефонов сотрудников
• Данные об операторах связи
• Типы сообщений
• Даты и время отправки SMS

Стоит отметить, что Cisco Duo обслуживает более 100 тысяч клиентов и ежемесячно обрабатывает порядка миллиардов проверок аутентификации. Хоть и масштаб инцидента пока неизвестен, но, судя по числам, он может быть довольно внушительным.

НеКасперский

Нехперия

Нидерландский производитель полупроводников со штатом, насчитывающим более 15 тыс. сотрудников, столкнулся с крупнейшей кибератакой.

Данные о тысячах микросхем таких компаний как Apple, IBM, SpaceX и Huawei — 109ГБ оказались в руках хакеров. Группировка Dunghill, взявшая на себя ответственность за атаку, заявляет, что украла более 1ТБ данных компании, среди которых внутренние кадровые и отчётные документы, письма, интеллектуальная собственность: данные о конструкциях продукции, её спецификациях, схемах и инструкциях, а так же NDA сотрудников и их личные данные, в т.ч. и паспорта.

Сейчас идёт расследование, поэтому компания не может подтвердить или опровергнуть причастность группировки к произошедшему, но, судя по детализации данных из утечки, хакеры явно при делах.

НеКасперский

Недолго музыка играла

Исследователи из Лаборатории Касперского проанализировали последствия утечки конструктора LockBit 3.0, которая произошла в 2022 году.

Благодаря доступу к конфигурационному файлу, преступники смогли активировать функции шифрования сетевых дисков, подмены идентификаторов, распространения по сети и отключения защиты. Это позволило участникам группировки настроить вредоносное ПО так, чтобы увеличить поле заражения и скрыть следы своего вторжения.

В ходе исследования стало известно, что злоумышленники использовали файлы, различные инструменты и техники для распространения и управления атакой, а также скрипт SessionGopher для извлечения сохранённых учётных данных.

В феврале 2024 года правоохранительные органы провели операцию по ликвидации инфраструктуры LockBit. Но, несмотря на это, группа вскоре возобновила свою деятельность по всему миру, в том числе в странах СНГ.

НеКасперский

Заслужено

В среду специалисты из McAfee обнаружили, что в демке читерского софта маскируется серьёзный инфостиллер Redline.

Распространяется демо-версия CheatLab в формате .zip с установщиком MSI, запустив который, подтянется вредонос в виде Lua. Байт-код запустит другой установщик и с этого момента малварь плотно сядет в системе, запускаюсь при каждом включении ПК.

При этом, группировка даже предлагает полную версию ПО для читеров, если те убедят знакомых установить демку 🤡

В целом, креативности у Redline не занимать, они уже были замечены в распространении через «reCAPTCHA» в word-файле и рекламе читов на YouTube

НеКасперский

Никакого аниме

Злоумышленники угоняют Telegram-аккаунты с помощью вредоносных сайтов.

В декабре 2023 года была создана сеть, состоящая из сотен однотипных ресурсов, посвященных аниме, фанфикам, мемам, сериалам и порнографии.

По словам специалистов, преступники уделили большое внимание вопросам поисковой оптимизации, поэтому вероятность наткнуться на один из таких сайтов очень высока, особенно если искать по картинкам.

Если кликнуть по ссылке на такое изображение, то система перекинет пользователя на фишинговый сайт, очень похожий на страницу Telegram-канала с названием «Тебе понравится». А чтобы вступить в сообщество, нужно заполнить форму для входа. И после того, как какой-нибудь мамонт введёт свои данные, информация будет автоматически передана преступникам.

Примечательно, что от такой атаки не защитит даже двухфакторная аутентификация, злоумышленники могут попросту завершить сессию владельца учётной записи.

НеКасперский

Помоги себе сам

Проукраинская группа Cyber Legions совершила атаку на ведущего российского производителя готовых рационов питания Performance Group.

От рук злоумышленников пострадало несколько сетей компании, таких как Performance Food, Level Kitchen, Easy Meal, My Food и др. Группировка скомпрометировала 96 ГБ ПДн, в числе которых:

• Исходный код программ и проектов
• Внутренние документы
• База данных
• Информация о сотрудниках и клиентах компании

После атаки группировка опубликовала обращение к владельцу организации со словами о том, что ему плевать на своих подчинённых, потому что тот даже не удосужился ответить на сообщение о взломе. В своём посте Cyber Legions открыто слили его паспортные данные и номер телефона.

НеКасперский

Беспечность — родня преступлению

В программе удалённого администрирования PuTTY была найдена брешь, которая затрагивает с 0.68 по 0.80 версии.

С помощью уязвимости злоумышленники могут скомпрометировать закрытый ключ, подделать подпись и аутентифицироваться на любых серверах, которые использует жертва.

Причиной инцидента стала невнимательность работников, которые для генерации 521-битного вектора инициализации (nonce) использовали 512-битную случайную последовательность.

Это привело к тому, что первые 9 бит каждого одноразового номера ECDSA приняли нулевые значения, а значит восстановить приватный ключ можно по 58 подписям.

Проблему обнаружили специалисты Рурского университета в Бохуме. По словам экспертов, все клиентские ключи NIST P-521, используемые с PuTTY, должны считаться скомпрометированными, потому что атака может быть осуществлена даже после того, как основная проблема в исходном коде была исправлена.

НеКасперский

Видать заняты

Хакеры из DumpForums, скомпрометировавшие ДИТ Москвы, слили часть директорий сервера Confluence.

В результате инцидента технические ресурсы компании были отключены, а на проверке оказались более 2 тысяч хостов. Сейчас в открытом доступе находится вся конфиденциальная информация, связанная с внутренней работой ДИТ.

Больше всего вопросов вызывает отсутствие реакции департамента на происходящее. Согласно ФЗ-152, с момента выявления инцидента, организация обязана сообщить об этом в течение суток.

Однако, представители компании никак не комментируют ситуацию и до сих пор игнорируют наши запросы. Кто знает, вдруг, если не обращать внимания, то оно само уйдёт 🤷🏻‍♂️

НеКасперский

Давай, напиши нам гневный комментарий

Комментарии в Git могут помочь хакерам запушить малварь в ваш репозиторий.

Череда уязвимостей началась с GitHub, в субботу стало известно об абузе бага с комментариями, чаще всего используя Microsoft GitHub URLs. Дело в том, что после того, как вы оставляете комментарий с прикреплённым файлом, GitHub автоматически создаст ссылку на скачивание файла вместо того, чтобы генерировать ссылку на сам комментарий. Так, после загрузки в CDN, вредонос закрепится в гите с уникальным URL в формате https://www.github.com/{project_user}/{repo_name}/files/{file_id}/{file_name}.

Позже уязвимость заметили и в GitLab. Принцип формирования ссылки такой же за тем исключением, что хост будеt от gitlab.

НеКасперский

Вот и правда вскроется

Злоумышленники угрожают слить 5 млн записей из украденной БД в облачном инструменте проверки клиентов World-Check.

А чтобы показать серьёзность своих намерений, хакеры из GhostR предоставили образец ПДн, содержащий 10 тысяч записей. Среди пострадавших оказались судьи, политические деятели, дипломаты, которых подозревают в отмывании денег, терроризме и других преступных действиях.

В случае утечки в открытый доступ могут попасть файлы, содержащие:

• Полное имя
• Другие известные псевдонимы
• Дату и место рождения
• Категорию
• Должность
• Причину, по которой человек находится в этом списке

Это уже не первый инцидент, связанный со взломом базы данных компании. Предыдущая версия была скомпрометирована в 2016 году. Тогда World-Check принадлежала компании Thomson Reuters, а среди имеющейся информации было около 2,2 млн записей.

НеКасперский

Безопасность = наука + бизнес

Обратили внимание на новость российского разработчика инфраструктурного ПО «Базис» и Института системного программирования РАН. Расширяют работу в области инфобеза, верификации и тестирования ПО, обработки больших данных и программной инженерии.

Команды собираются создать экспертное коммьюнити в области доверенного ПО и привлекать студентов к совместным исследованиям. Всем нужны квалифицированные ИТ-кадры.

Пишут, что ИСП РАН изучает уязвимости ПО «Базис» с 2023 года. Применяют статический и динамический анализы на мощностях Центра исследований безопасности системного ПО, созданного по инициативе ФСТЭК России. Логично. Когда продукты интегрируют в ключевые госпроекты вроде Гостеха и еще 120+ ГИС и ИС, их безопасность всегда будет у разработчика на первом месте.

НеКасперский

Вокруг пальца

Пополняем коллекцию самых изощрённых методов атак. Ранее мы рассказывали, как злоумышленники даже в шумных помещениях с помощью звуковых волн распознают текст, который набирает пользователь на своём устройстве.

Теперь же перехват нажатия клавиш можно осуществить на китайских клавиатурах для Android-смартфонов. Такая возможность появилась благодаря уязвимостям, которые затрагивают восемь приложений от Samsung, Tencent, Xiaomi, Honor, OPPO, Baidu, Vivo и iFlytek.

Выявленные баги позволяют передавать нажатия клавиш по HTTP, восстанавливать неправильно зашифрованные сетевые передачи в виде простого текста, а также раскрывать данные и извлекать введённые символы.

По словам исследователей, проблема может коснуться миллиарда людей по всему миру. Обнаруженные бреши можно использовать для полного раскрытия информации.

НеКасперский

В этот раз без подарков

Злоумышленники совершили атаку на американский сервис по доставке цветов и подарков «Blooms Today».

В результате инцидента преступники слили более 15 млн записей из украденной БД компании. В открытый доступ попали файлы, содержащие:

• Полное имя
• Номер телефона
• Адрес проживания
• Адрес электронной почты
• Данные платёжной карты

Также стало известно, что несколькими днями ранее вся скомпрометированная информация была выставлена на продажу за $5 тыс.

НеКасперский

Обновить не судьба

Тысячи серверов CrushFTP, доступные в Сети, оказались беззащитными перед атаками, эксплуатирующими уязвимость внедрения шаблонов, ранее использованную в качестве 0-day.

Брешь позволяет злоумышленникам обойти процесс аутентификации для доступа к аккаунту администратора и удалённо выполнить код на необновлённых системах.

По словам исследователей из Shadowserver, от бага пострадали более 1400 ресурсов, причём большинство из них находятся в Канаде, Германии и США.

Специалисты из Shodan отслеживают около 5200 интернет-доступных серверов, но пока не сообщают, сколько из них могут стать жертвами подобных атак.

Управление кибербезопасности и защиты инфраструктуры США добавило брешь в каталог известных эксплуатируемых уязвимостей и предписало местным федеральным агентствам обеспечить безопасность серверов в течение недели.

НеКасперский