Как в воду глядели

Представителей американской транснациональной корпорации Fortinet обвинили в том, что они молчат о критической уязвимости в API FortiManager.

Специалисты сообщили, что брешь FortiJump была обнаружена 13 октября 2024 года. Пока в компании держали рот на замке, пользователи писали, что злоумышленники используют брешь для выполнения вредоносного кода на серверах.

Официальное заявление в Fortinet было опубликовано только спустя несколько дней. В корпорации рассказали, что проблема затрагивает порядка десяти версий от FortiManager Cloud 6.4 до FortiManager 7.6.

С помощью уязвимости хакеры могут получить доступ к сертификату Fortigate, добавить в панель управления FortiManager устройства с неизвестными серийными номерами, а также похитить файлы, содержащие IP-адреса, учётные данные и конфигурации управляемых устройств.

При этом, прикрываясь расследованием, в Fortinet не говорят о подробностях, инцидента, количестве жертв и группировках, совершивших атаку.

НеКасперский

За пределами поля

Злоумышленники контролируют сети пользователей по всей России с помощью Wi-Fi роутеров.

В сентябре 2024 года специалисты обнаружили уязвимость в чипах маршрутизаторов. С помощью ошибки «out-of-bounds write» хакеры проникают в закрытые сети и воруют все ПДн владельцев.

Преступники без взаимодействия с пользователем могут получить данные устройства, запустить вредонос в память, похитить пароли и трафик. Проблема затронула устройства таких брендов, как Xiaomi, Netgear и Ubiquiti.

Причём от атак через Wi-Fi модули могут пострадать не только роутеры, но и все гаджеты, подключённые к интернету. Вирус всего лишь в одном девайсе может стать причиной взлома системы умного дома, смартфонов, холодильников и других устройств.

По словам исследователей, программный код, эксплуатирующий брешь, есть в публичном доступе. Они полагают, что ключевым решением проблемы является установка последних ПО от производителей на всех устройствах.

Но, судя по тому, с каким энтузиазмом пользователи обновляют свои устройства, велика вероятность, что мы ещё не раз вернёмся к этой проблеме.

НеКасперский

Игра на миллион

Lazarus снова удивляет: на этот раз они использовали уязвимость нулевого дня в Google Chrome — CVE-2024-4947, чтобы заразить компьютеры пользователей через поддельную криптовалютную игру.

Злоумышленники создали сайт с рекламой танковой игры «play to earn». Но вместо развлечения посетители получали малварь, дающий хакерам полный доступ к их устройствам.

13 мая «Лаборатория Касперского» обнаружила атаку, когда их антивирус поймал бэкдор Manuscrypt на ПК пользователя в России. Они сразу сообщили о проблеме в Google, и через два дня вышло обновление браузера.

Оказалось, Lazarus украли исходный код игры DeFiTankLand (DFTL). 2 марта разработчики DFTL сообщили, что их холодный кошелек был взломан, и монеты DFTL2 на $20 000 похищены — вероятно, это дело рук Lazarus. Хакеры слегка изменили логотип и ссылки игры для правдоподобности.

Lazarus даже пытались привлечь инфлюенсеров и активно вели соцсети, чтобы всё выглядело убедительно. Вот это основательный подход 🧐

НеКасперский

Приспосабливаемся

Злоумышленники скомпрометировали БД страховой компании «Аско».

Файлы объёмом 50 ГБ, содержат более 3 миллионов страховок ОСАГО. В открытый доступ были слиты сведения, включающие:

• ФИО
• Возраст
• Номер телефона
• Паспортные данные
• Госномер машины и VIN
• Адрес проживания

Актуальность украденной информации датируется сентябрём 2023 года.

Если не можешь изменить ситуацию — измени своё отношение к ней. Сейчас самое время объявить об акции, в рамках которой клиенты смогут застраховать свои ПДн от кражи 🤪

НеКасперский

Под корень

Хакеры из Ukrainian Cyber Alliance утверждают, что полностью уничтожили ИТ-инфраструктуру Тверской администрации. По их заявлениям, десятки виртуальных машин, хранилища с бэкапами, сайты, почта и сотни рабочих станций были снесены.

Хакеры сообщают, что у администрации не осталось ничего: интернет не работает, телефоны молчат, даже парковка перестала функционировать. В руках злоумышленников якобы оказались:

• Панель управления виртуальными машинами
• Конфигурации безопасности из Kaspersky Security Center
• Таблицы маршрутизации с IP-адресами ключевых объектов, включая ЗАГС, Правительство ТО и даже УФСБ
• Настройки Asterisk с данными SIP-транков и расширений
• Содержимое веб-серверов с доменами tver.ru, cloud.adm.tver.ru и другими
• Списки учетных записей пользователей и сотрудников

Официального подтверждения этой информации пока нет, однако сайты Твери действительно не работают.

НеКасперский

Последствия

Злоумышленники получили доступ к информации из пропусков для передвижения по Москве во время пандемии.

Актуальность скомпрометированных данных, очевидно, датируется 2020 годом. Утекло порядка 13 миллионов строк, включающих в себя:

• ФИО
• Номер телефона
• Электронную почту
• Паспортные данные
• Адрес проживания
• Место работы
• Номер машины

Как выяснилось, украденные сведения принадлежат, в том числе, сотрудникам правительства Москвы, МО РФ, МИД, ФСО и др.

Классика: Собрали ПДн, но поинтересоваться, кто будет следить за их безопасностью забыли. Вечная сверхмера о хранении очередного пласта данных, чтобы не дай бог человек без регистрации не попал на футбольный стадион, например. Идею Шадаева тоже поддержали?)

НеКасперский

Карманы пустеют

Неназванные злоумышленники в очередной раз похитили крипту у правительства США.

Сразу несколько специалистов сообщили об атаке на подконтрольный властям США кошелёк. Исследователи полагают, что на нём хранились средства, удержанные после инцидента со взломом криптобиржи Bitfinex в 2016 году.

Аналитики выяснили, что $20 млн были выведены на неизвестные счета в разных активах. По данным Arkham, средства, которые лежали на кошельке порядка восьми месяцев, были украдены с кредитной криптоплатформы Aave.

Пока представители супер анонимных платформ отмалчиваются, преступники спокойно отмывают деньги через Swiftchain и Binance.

По всей видимости, защита крипы сделана на коленке, иначе как объяснить такое количество инцидентов? 🤷🏻‍♂️

НеКасперский

Пойман с поличным

Власти США обвинили гражданина РФ в разработке программы RedLine, с помощью которой злоумышленники получали доступ к ПДн пользователей, их логинам и финансовым сведениям.

В окружном суде Техаса заявили, что к созданию ПО причастен некий Максим Рудометов, в его арсенале был код RedLine, доступ администратора к инфраструктуре и криптоаккаунтам, через которые прогонялись денежные средства подписчиков MaaS.

Об этом стало известно в ходе операции «Магнус», которую провели международные правоохранительные органы совместно с ФБР, полицией Нидерландов и Eurojust.

В результате расследования по всему миру было обнаружено более 1200 серверов, используемых в качестве хостинг инфостилеров. Также обезврежено три ключевых сервера и ликвидированы Telegram-каналы для взаимодействия с клиентами MaaS.

В США Рудометова обвиняют в нескольких преступлениях, в том числе в мошенничестве, отмывании денег и заговоре с целью компьютерного вторжения. Теперь ему грозит до 35 лет лишения свободы.

НеКасперский

Затишье перед бурей

Хакерская группировка StormouS.X Ransomware неделю назад заявила о масштабном взломе компании Transak, занимающейся криптовалютными платежами. По их словам, они получили доступ к внутренним системам, включая AWS, системы управления клиентами и сервисы KYC, связанные с внешними партнёрами.

Хакеры похитили более 300 ГБ личных документов свыше миллиона пользователей таких сервисов, как Trust Wallet, MetaMask, ZilSwap и других. Среди утекших данных:

• Паспорта и селфи
• Подтверждения прописки
• Финансовая выписка

StormouS.X уже опубликовали более 60 ГБ данных и угрожают слить оставшиеся 250 ГБ или продать их наивысшему покупателю, если Transak не пойдёт навстречу. При этом Transak утверждает, что инцидент затронул лишь 1,14% пользователей, что хакеры называют откровенной ложью.

Мы следили за развитием событий и ждали кульминации, однако после нескольких постов с угрозами всё затихло. Вероятно, Transak замяли ситуацию тихонько, без широкой огласки)

НеКасперский

Bad, Google

На днях все начали обсуждать мартовскую находку специалистов PT. Мы удивились, опросили коллег из android-разработки и удивление наше подтвердили.

Дело в том, что около 25% приложений Android работает на базе уязвимой библиотеки Android Jetpack. Но все разработчики это прекрасно знают. Как правило, библиотеку используют в стартапах или дешёвых приложениях.

Причиной всему брешь, с помощью которой злоумышленники могут получить доступ к данным, следить за пользователями с помощью прослушки и камеры, а также открывать фрагменты внутри приложения и выгружать в него любые сведения, независимо от ограничений, установленных производителем.

Только после мартовской публикации из изменений можно было заметить лишь новое предупреждение от Google на странице описания обработки диплинков.

Вряд ли такая большая компания станет в корне разбираться с этой проблемой, ведь намного выгодней успокоить пользователей с помощью простого оповещения.

НеКасперский

Трейдинг по-тёмному

Злоумышленники распространяют троян через telegram-каналы о финансах и трейдинге.

По словам специалистов, вредоносное ПО содержится в архивах с файлами, которые прикрепляют к постам андминистраторы каналов.

Сразу после того, как пользователь откроет эти файлы, на устройство загрузится вирус DarkMe, позволяющий скомпрометировать данные и удалённо выполнить команды на устройстве жертвы.

Чаще всего в эту ловушку попадают любители быстрого заработка. Вместо того чтобы приумножить свои сбережения, горе-предприниматели пополняют ассортимент даркнета.

У хакеров свой способ заработка на трейдинге 🤪

НеКасперский

На опыте

Nvidia обнаружила более 8 уязвимостей в софте для виртуальных GPU, а также в графических драйверах для Windows и Linux.

Брешь позволяет злоумышленникам получить доступ к устройству пользователя с повышением привилегий и скомпрометировать конфиденциальные данные.

Компания выпустила обновления для Tesla, Quadro, NVS, NVIDIA RTX и GeForce. Проблема была устранена в драйвере GeForce 566.03.

Представители Nvidia настоятельно советуют пользователям обновить ПО до последней версии.

Будем надеяться, что ситуация с CosmicString была поучительной, и в этот раз юзеры не станут игнорировать рекомендации производителей.

НеКасперский

Планы сорвались

Спецслужбы нарушили планы иранских хакеров по саботажу Олимпийских игр 2024 в Париже.

ФБР совместно с Минфином США и Национальной дирекцией по кибербезопасности Израиля завили, что к инциденту причастны участники группы Emennet Pasargad.

Они же ранее попались на атаке французского поставщика дисплеев, цель которой заключалась в том, чтобы пробно вывести на табло Олимпийских игр иллюстрации с осуждениями и угрозами в адрес израильских спортсменов от лица фальшивой французской группы.

Характерными действиями Emennet Pasargad является использование компании Aria Sepehr Ayandehsazan, подставных хостинг-провайдеров, а также ИИ для создания поддельных изображений и новостных материалов.

В ходе расследования стало известно, что эта группировка взаимодействует организациями и лицами, связанными с КСИР. В октябре этого года Госдеп США объявил о вознаграждении в размере $10 миллионов за сведения об иранских злоумышленниках.

НеКаспреский

qБитый

В популярном BitTorrent-клиенте более 14 лет существовала уязвимость, позволяющая проводить MITM атаки.

С 6 апреля 2010 года в компоненте DownloadManager отсутствовала проверка SSL/TLS-сертификатов, поэтому qBittorrent доверял всем.

Уязвимость устранили только в версии, выпущенной в конце октября 2024. Но разработчики решили об этом умолчать и даже не присвоили проблеме идентификатор CVE. Интересный подход к безопасности 🧐

Ранее qBittorrent зарегистрировал много других опасных CVE, вспомним некоторые из них. В одной из них использование учетных данных по умолчанию в веб-интерфейсе позволяло эксплуатировать RCE через функцию "внешней программы". В другой уязвимости специальные символы в имени торрента могли привести к RCE через RSS-ленту. И как вишенка на торте: неэкранированные значения могли привести к XSS-атакам.

НеКасперский

Шило в мешке не утаишь

Компания Nokia начала расследование возможной утечки данных после заявления хакера IntelBroker на BreachForums о краже их исходного кода.

По словам злоумышленника, доступ был получен через сервер стороннего подрядчика из-за слабых паролей на SonarQube. В руки хакера попали SSH-ключи, исходный код и другие конфиденциальные данные.

Nokia пока не подтвердила факт утечки, но активно изучает ситуацию. Это далеко не первый громкий взлом от IntelBroker. Среди них — взлом портала экспертов Европола, утечка исходного кода внутренних инструментов Apple, компрометация данных AMD, включая исходные коды прошивок, а также взлом T-Mobile. Хакер также причастен к атакам на крупнейшие банки Великобритании HSBC и Barclays, а также на подрядчиков ЦРУ и АНБ.

Ситуация вновь поднимает вопрос о безопасности в цепочке поставок. Компании часто забывают, что слабое звено может находиться за пределами их собственной инфраструктуры. Ждём развития событий и официальных заявлений от Nokia.

НеКасперский

SOC Forum: день первый

SOC Forum 2024 проходит в еще более масштабном виде по сравнению с прошлым годом. Но что-то остается неизменным — кибербар с «безопасными коктейлями» традиционно собрал на себе большую часть внимания 🍸

Рядом с тем же кибербаром наш взгляд привлек стенд компании RED Security, про которых мы раньше не слышали. Мир ИБ небольшой и новые имена сразу выделяются. Подошли познакомиться, а оказалось, что это те же самые ребята из одной красной экосистемы провернули ребрендинг и таким образом решили стать более взрослыми и самостоятельными — похвально.

Помимо стендов тут как всегда насыщенная программа с докладами и дискуссиями, которые можно посмотреть онлайн. Ну а мы пойдем посмотрим, что тут еще есть 😉

Покупки и немного больше

Житель Твери придумал лёгкий способ нажиться за счёт пользователей Ozon.

Этот горе-предприниматель создал софт для генерации QR-кодов, чтобы получать посылки, оплаченные другими пользователями маркетплейса.

Его первым уловом стал новенький айфон. Счастливый обладатель бесплатного гаджета не стал останавливаться на достигнутом и пришёл на пункт выдачи снова, только во второй раз схему провернуть не удалось.

Злоумышленник пытался забрать заказ, который, как оказалось, принадлежал сотруднику того самого ПВЗ. Работник быстро понял что к чему, запер дверь и вызвал полицию.

Теперь этому товарищу предъявлены обвинения сразу по нескольким статьям, в том числе тайное хищение чужого имущества и неправомерный доступ к охраняемой законом компьютерной информации.

Теперь он будет получать посылки только в виде передачек 🤪

НеКасперский

Ночная миссия

В ночь на 6 ноября пользователи массово начали жаловаться на проблемы с доступом к сайтам с ECH.

В октябре 2024 года сервис Cloudflare запустила на своих серверах расширение TLS ECH, предназначенное для шифрования части метаданных при HTTPS-соединении. Эта функция позволяет обойти систему блокировки и скрыть от провайдера домен.

Такое нововведение не понравилось представителям Роскомнадзора, так как оно очевидно мешает контролировать и блокировать доступ к запрещённым ресурсам))) В результате Федеральная служба по надзору начала ограничивать доступ к сайтам с ECH.

Количество заблокированных ресурсов перевалило за несколько тысяч. Учитывая, что Cloudflare является одним из самых распространённых хостингов в мире, жалобы от пользователей с каждым днём только растут.

Конечно, ГРЧЦ нужно как-то оправдывать заявленные расходы, только стоит ли тратить на это миллиарды, если пользователи продолжат обходить систему с помощью бесплатных VPN? 🤷🏻‍♂️

НеКасперский

Ещё по кредиту?

Мы обнаружили, что ряд МФО передали данные миллионов паспортов своих клиентов краудсорсинговому сервису Dbrain для обучения нового продукта.

Об этом открыто заявил проджект-менеджер Dbrain Артём Мещеряков. Информация также подтверждается на официальном сайте сервиса.

Очевидно, передача паспортных данных третьим лицам разрешена только с письменного согласия клиента или в случаях, предусмотренных законом. Конечно, такие согласия никто не собирал.

При этом Dbrain использует ручной труд посторонних для ввода данных паспортов. То есть все паспорта, которые МФО передали сервису, по сути оказались в открытом доступе.

Мы просмотрели положения о защите персональных данных нескольких упомянутых МФО, и ни в одном не было пункта, который разрешал бы раздачу паспортов.

НеКасперский

Большие сливыши

Букмекерская компания 1win недавно оказалась в центре серьёзной утечки данных. В сеть попала база с информацией о примерно 100 миллионах пользователей. В частности пароли, личные данные разработчиков и даже алгоритмы работы онлайн-казино.

Злоумышленники потребовали выкуп в размере $15 миллионов, угрожая дальнейшим распространением информации и нанесением ущерба, и без того не лучшей, репутации 1win. Изначально сумма была скромнее — всего $1 миллион, но, видимо, решили, что раз компания любит большие выигрыши, то и выкуп должен быть соответствующим.

В ответ на инцидент руководство 1win заявило, что усилило меры ИБ и инфраструктура компании находится под надёжной защитой. Но после этой утечки их слова звучат не очень убедительно.

В азартных играх игроки выигрывают крайне редко, но и казино не всегда в плюсе. Порой главный приз достаётся кое-кому еще 🫠

НеКасперский

Кофемайн

После вибраторов, лампочек, холодильников и стиральных машинок хакеры добрались и до кофемашин.

В 2020 году специалист по кибербезопасности из Avast решил проверить, насколько «умны» умные устройства, и взломал кофемашину Smarter iKettle, превратив её в вымогателя и майнера.

Он обнаружил, что при первом включении кофемашина создаёт открытую Wi-Fi сеть для настройки, к которой может подключиться любой желающий. Поскольку передача данных между устройством и приложением не защищена, ему удалось перехватить и проанализировать трафик. Скопировав оригинальную прошивку, он внёс в неё изменения и загрузил обратно через незащищённое соединение.

В результате кофемашина начала требовать выкуп, выводя на дисплей зловещий смайлик и QR-код с ссылкой для оплаты. Она бесконтрольно разливала кипяток и издавала странные звуки, не останавливаясь до отключения от сети. Ещё она пыталась майнить Monero, хотя с её железом далеко не уедешь.

НеКасперский