Планы сорвались

Спецслужбы нарушили планы иранских хакеров по саботажу Олимпийских игр 2024 в Париже.

ФБР совместно с Минфином США и Национальной дирекцией по кибербезопасности Израиля завили, что к инциденту причастны участники группы Emennet Pasargad.

Они же ранее попались на атаке французского поставщика дисплеев, цель которой заключалась в том, чтобы пробно вывести на табло Олимпийских игр иллюстрации с осуждениями и угрозами в адрес израильских спортсменов от лица фальшивой французской группы.

Характерными действиями Emennet Pasargad является использование компании Aria Sepehr Ayandehsazan, подставных хостинг-провайдеров, а также ИИ для создания поддельных изображений и новостных материалов.

В ходе расследования стало известно, что эта группировка взаимодействует организациями и лицами, связанными с КСИР. В октябре этого года Госдеп США объявил о вознаграждении в размере $10 миллионов за сведения об иранских злоумышленниках.

НеКаспреский

qБитый

В популярном BitTorrent-клиенте более 14 лет существовала уязвимость, позволяющая проводить MITM атаки.

С 6 апреля 2010 года в компоненте DownloadManager отсутствовала проверка SSL/TLS-сертификатов, поэтому qBittorrent доверял всем.

Уязвимость устранили только в версии, выпущенной в конце октября 2024. Но разработчики решили об этом умолчать и даже не присвоили проблеме идентификатор CVE. Интересный подход к безопасности 🧐

Ранее qBittorrent зарегистрировал много других опасных CVE, вспомним некоторые из них. В одной из них использование учетных данных по умолчанию в веб-интерфейсе позволяло эксплуатировать RCE через функцию "внешней программы". В другой уязвимости специальные символы в имени торрента могли привести к RCE через RSS-ленту. И как вишенка на торте: неэкранированные значения могли привести к XSS-атакам.

НеКасперский

Шило в мешке не утаишь

Компания Nokia начала расследование возможной утечки данных после заявления хакера IntelBroker на BreachForums о краже их исходного кода.

По словам злоумышленника, доступ был получен через сервер стороннего подрядчика из-за слабых паролей на SonarQube. В руки хакера попали SSH-ключи, исходный код и другие конфиденциальные данные.

Nokia пока не подтвердила факт утечки, но активно изучает ситуацию. Это далеко не первый громкий взлом от IntelBroker. Среди них — взлом портала экспертов Европола, утечка исходного кода внутренних инструментов Apple, компрометация данных AMD, включая исходные коды прошивок, а также взлом T-Mobile. Хакер также причастен к атакам на крупнейшие банки Великобритании HSBC и Barclays, а также на подрядчиков ЦРУ и АНБ.

Ситуация вновь поднимает вопрос о безопасности в цепочке поставок. Компании часто забывают, что слабое звено может находиться за пределами их собственной инфраструктуры. Ждём развития событий и официальных заявлений от Nokia.

НеКасперский

SOC Forum: день первый

SOC Forum 2024 проходит в еще более масштабном виде по сравнению с прошлым годом. Но что-то остается неизменным — кибербар с «безопасными коктейлями» традиционно собрал на себе большую часть внимания 🍸

Рядом с тем же кибербаром наш взгляд привлек стенд компании RED Security, про которых мы раньше не слышали. Мир ИБ небольшой и новые имена сразу выделяются. Подошли познакомиться, а оказалось, что это те же самые ребята из одной красной экосистемы провернули ребрендинг и таким образом решили стать более взрослыми и самостоятельными — похвально.

Помимо стендов тут как всегда насыщенная программа с докладами и дискуссиями, которые можно посмотреть онлайн. Ну а мы пойдем посмотрим, что тут еще есть 😉

Покупки и немного больше

Житель Твери придумал лёгкий способ нажиться за счёт пользователей Ozon.

Этот горе-предприниматель создал софт для генерации QR-кодов, чтобы получать посылки, оплаченные другими пользователями маркетплейса.

Его первым уловом стал новенький айфон. Счастливый обладатель бесплатного гаджета не стал останавливаться на достигнутом и пришёл на пункт выдачи снова, только во второй раз схему провернуть не удалось.

Злоумышленник пытался забрать заказ, который, как оказалось, принадлежал сотруднику того самого ПВЗ. Работник быстро понял что к чему, запер дверь и вызвал полицию.

Теперь этому товарищу предъявлены обвинения сразу по нескольким статьям, в том числе тайное хищение чужого имущества и неправомерный доступ к охраняемой законом компьютерной информации.

Теперь он будет получать посылки только в виде передачек 🤪

НеКасперский

Ночная миссия

В ночь на 6 ноября пользователи массово начали жаловаться на проблемы с доступом к сайтам с ECH.

В октябре 2024 года сервис Cloudflare запустила на своих серверах расширение TLS ECH, предназначенное для шифрования части метаданных при HTTPS-соединении. Эта функция позволяет обойти систему блокировки и скрыть от провайдера домен.

Такое нововведение не понравилось представителям Роскомнадзора, так как оно очевидно мешает контролировать и блокировать доступ к запрещённым ресурсам))) В результате Федеральная служба по надзору начала ограничивать доступ к сайтам с ECH.

Количество заблокированных ресурсов перевалило за несколько тысяч. Учитывая, что Cloudflare является одним из самых распространённых хостингов в мире, жалобы от пользователей с каждым днём только растут.

Конечно, ГРЧЦ нужно как-то оправдывать заявленные расходы, только стоит ли тратить на это миллиарды, если пользователи продолжат обходить систему с помощью бесплатных VPN? 🤷🏻‍♂️

НеКасперский

Ещё по кредиту?

Мы обнаружили, что ряд МФО передали данные миллионов паспортов своих клиентов краудсорсинговому сервису Dbrain для обучения нового продукта.

Об этом открыто заявил проджект-менеджер Dbrain Артём Мещеряков. Информация также подтверждается на официальном сайте сервиса.

Очевидно, передача паспортных данных третьим лицам разрешена только с письменного согласия клиента или в случаях, предусмотренных законом. Конечно, такие согласия никто не собирал.

При этом Dbrain использует ручной труд посторонних для ввода данных паспортов. То есть все паспорта, которые МФО передали сервису, по сути оказались в открытом доступе.

Мы просмотрели положения о защите персональных данных нескольких упомянутых МФО, и ни в одном не было пункта, который разрешал бы раздачу паспортов.

НеКасперский

Большие сливыши

Букмекерская компания 1win недавно оказалась в центре серьёзной утечки данных. В сеть попала база с информацией о примерно 100 миллионах пользователей. В частности пароли, личные данные разработчиков и даже алгоритмы работы онлайн-казино.

Злоумышленники потребовали выкуп в размере $15 миллионов, угрожая дальнейшим распространением информации и нанесением ущерба, и без того не лучшей, репутации 1win. Изначально сумма была скромнее — всего $1 миллион, но, видимо, решили, что раз компания любит большие выигрыши, то и выкуп должен быть соответствующим.

В ответ на инцидент руководство 1win заявило, что усилило меры ИБ и инфраструктура компании находится под надёжной защитой. Но после этой утечки их слова звучат не очень убедительно.

В азартных играх игроки выигрывают крайне редко, но и казино не всегда в плюсе. Порой главный приз достаётся кое-кому еще 🫠

НеКасперский

Кофемайн

После вибраторов, лампочек, холодильников и стиральных машинок хакеры добрались и до кофемашин.

В 2020 году специалист по кибербезопасности из Avast решил проверить, насколько «умны» умные устройства, и взломал кофемашину Smarter iKettle, превратив её в вымогателя и майнера.

Он обнаружил, что при первом включении кофемашина создаёт открытую Wi-Fi сеть для настройки, к которой может подключиться любой желающий. Поскольку передача данных между устройством и приложением не защищена, ему удалось перехватить и проанализировать трафик. Скопировав оригинальную прошивку, он внёс в неё изменения и загрузил обратно через незащищённое соединение.

В результате кофемашина начала требовать выкуп, выводя на дисплей зловещий смайлик и QR-код с ссылкой для оплаты. Она бесконтрольно разливала кипяток и издавала странные звуки, не останавливаясь до отключения от сети. Ещё она пыталась майнить Monero, хотя с её железом далеко не уедешь.

НеКасперский

Файловое фиаско

Хакеры из CROK опубликовали скриншоты без подписи, демонстрирующие серьёзные проблемы с безопасностью, скорее всего в одном из ведомств Украины. На изображениях видно содержимое файловой системы, наполненной документами по аккредитации, отчётами и коммерческими предложениями. Но это ещё не всё.

Другие скриншоты показывают состояние серверов: четыре жёстких диска по 11 ТБ, списки пользователей с выделенным пространством по 30 ТБ, а также информацию о текущих процессах и подключённых пользователях с их IP-адресами. Также есть военные документы и официальные письма от Верховной Рады Украины, адресованные Министерству культуры.

Кроме того, обнаружены мультимедийные файлы, связанные с общественными событиями, религиозными темами и политикой. Такой объём потенциально конфиденциальной информации в открытом доступе заставляет задуматься 😏

НеКасперский

Удобно

Выяснилось, что мультимедийная система Mazda Connect позволяет установить вредоносное ПО с правами root. Затронуты многие популярные модели, включая Mazda 3.

Как и в случае с недавними проблемами у KIA, исследователи обнаружили, что через незащищённые компоненты можно получить доступ к внутренним системам автомобиля. Через SQL-инъекции и командные инъекции хакеры могут манипулировать базами данных и выполнять произвольные команды, просто подключив USB-флешку.

Проблема усугубляется тем, что физический доступ к автомобилю не так сложно получить: сервисные центры или злоумышленники на парковке.

Хакер может не только взломать мультимедийную систему, но и получить доступ к CAN-шине, влияя на работу двигателя, тормозов и других критических систем.

Зато с телефона открыть можно 🤭

НеКасперский

Средство защиты виртуальных средств Basis Virtual Security получило крупное обновление

Разработчик инфраструктурного ПО «Базис» представил новый релиз системы защиты виртуальной инфраструктуры Basis Virtual Security 3.2. Продукт получил более ста новых функций и улучшений.

Разработчики представили новую функцию резервного копирования виртуальных машин с возможностью их последующего размещения в NFS-хранилище. Также были улучшены политики обеспечения целостности:

• реализована поддержка различных уровней применимости этих политик для вычислительных узлов и виртуальных машин под управлением Linux и Windows;
• добавлено выполнение определенных действий с работающими виртуальными машинами в случае обнаружения нарушений целостности;
• появилась возможность блокировки запуска виртуальных машин при несоответствии эталону контрольных сумм вычислительных узлов;
• внедрено ведение журналов операций по расчету контрольных сумм, причем для этого допускается применение российских алгоритмов согласно стандарту ГОСТ Р 34.11–2012.

При содействии Центра исследований безопасности системного ПО, созданного на базе ИСП РАН, вендор прошел испытания ФСТЭК на соответствие требованиям по 4-му уровню доверия в сжатые сроки – всего за 3 месяца.

Учитывая многочисленные случаи компрометации российских компаний через уязвимости в платформе виртуализации VMware vSphere, релиз выглядит крайне своевременным. Напомним, что российские пользователи зарубежной платформы не могут обновлять ее из-за санкций, что и приводит к взломам.

НеКасперский

Налоховая

Проукраинские хакеры из DumpForums снова заявили о себе, совершив атаку на государственный портал «Электронные счета-фактуры», который является официальным ресурсом Министерства по налогам и сборам Республики Беларусь.

По словам злоумышленников, в результате атаки было скомпрометировано несколько БД, включающих в себя:

• ФИО
• Должность
• Название организации
• Номер телефона
• Адрес электронной почты
• Хешированный пароль

Актуальность украденной информации датируется 26 октября 2024 года.

Вследствие инцидента уничтожены веб-сайты, внутренние документы и файлы документооборота, без которых работа ведомств будет временно парализована.

НеКасперский

Перуанская дырка

Хакер под ником ExKase20 выложил на BreachForums более 20 тысяч записей одного из муниципалитетов Перу — Pueblo Libre, включая личные данные жителей, платежную информацию и данные чиновников.

Что ещё утекло:

• Электронные адреса
• Номера телефонов
• Адреса проживания
• ФИО

Но и это не всё. В руки злоумышленника попали данные из более чем 650 баз PostgreSQL. Сервер муниципалитета работал на Linux Ubuntu 18.04 с Apache 2.4.29 и, видимо, был уязвим для атак. Хакер предоставил доказательства в виде скриншотов и дампов баз данных.

НеКасперский

По принципу «всё включено»

МойОфис выпустил корпоративный мессенджер Squadus PRO, который заменит компаниям приложения, часто не связанные между собой. По сути, продукт представляет собой единую точку доступа ко всем офисным инструментам с ВКС, редакторами документов и файловым хранилищем.

В одном решении много возможностей:

• Удобный мессенджер с видеоконференциями, каналами, тредами и календарем.
• Совместное редактирование документов в режиме реального времени.
• Управление правами доступа к файлам.
• Безопасная коммуникация в режиме on-premise.
• Гостевой доступ для партнеров и подрядчиков по внешней ссылке.
• Встроенные боты для автоматизации процессов и много чего еще.

МойОфис предусмотрел сценарии быстрой миграции с зарубежных решений. Даже если вы переходите с Microsoft Teams и Slack, проблем не будет.

Оставьте заявку на бесплатное тестирование Squadus PRO здесь

Двойное фиаско

Очередной атаке подверглись ресурсы Парламентского телеканала Верховной Рады Украины.

Ответственность за инцидент на себя взяли хакеры из CROK. По их словам, в результате атаки была уничтожена вся сетевая инфраструктура организации, нарушена работа сайта и официального аккаунта в YouTube.

Причём взламывают телеканал уже не впервые. Позавчера CROK получили доступ к файловой системе, содержащей документы по аккредитации, отчёты, письма, информацию о пользователях с их IP-адресами и др.

Только тогда единственной мерой по устранению проблемы стала простая смена паролей от серверов. Но, как оказалось, так просто им отделаться не удалось. Вероятно, хакеры снова обошли защиту уже проверенным способом.

НеКасперский

Достаём наличку

Атаке злоумышленников подверглась израильская организация Hyp, занимающаяся обработкой платежей.

В результате инцидента клиенты в течение нескольких часов не могли расплачиваться своим банковскими картами через терминалы в магазинах и на АЗС.

Услугами Hyp пользуется множество популярных израильских компаний, таких как такси Gett, фонд здравоохранения Maccabi, сервис для заказов Wolt, ресурсы общественного транспорта Hop-On и др.

В пострадавшей компании сообщили, что проблема, кроме прочего, привела и к сбоям в работе Credit Guard, а также в приложении для онлайн платежей Bit, управляемом банком Hapoalim.

Название группировки, причастной к атаке на Hyp, не разглашается. В СМИ полагают, что виновниками инцидента являются хакеры, связанные с Ираном, однако никто не взял на себя ответственность.

НеКасперский

Капля в море

Гражданам РФ, пострадавшим от утечек ПДн будут выплачивать от 1 до 5 тысяч рублей в качестве компенсации.

Такую гениальную выдал Всероссийского союза страховщиков Владимир Новиков во время выступления в Совфеде РФ.

Ясное дело, предложенная сумма смехотворна по сравнению с реальным ущербом, который могли понести пострадавшие. Это решение явно принято для того, чтобы устранить последствия инцидентов, не разбираясь в их причинах. Конечно, проще замять ситуацию с помощью символических выплат и замены паспорта.

Как ни странно, инициаторы предлагают установить общий лимит покрытия рисков в пределах от 5 млн до 1 млрд рублей, в соответствии с количеством ПДн, содержащихся в БД компании.

А что насчёт 105 миллионов россиян, чьи данные оказались в открытом доступе? Интересно, как они собираются уложиться заданные объёмы? Если выплата на каждого пострадавшего составляет от 1 до 5 тыс., то общая может составить от 105 млрд до 525 млрд. При том, что данные мы берём за 2022, но цифры уже составляют от 0,29 до 1,45% годового дохода всей страны.

В каждой шутке есть доля шутки…

НеКасперский

Посылочки на дом

Хакер под ником Nam3L3ss выложил на BreachForums более 2,8 миллиона записей с данными сотрудников Amazon: имена, контактная информация, местоположения офисов и электронные адреса.

Представитель Amazon сообщил, что системы компании не пострадали. По его словам, были скомпрометированы только рабочие контакты сотрудников, без доступа к социальным номерам, удостоверениям личности или финансовой информации. Причиной же утечки сообщается о компрометации некого подрядчика.

Однако это не единственная компания, пострадавшая от Nam3L3ss. В списке также значатся Lenovo, HP, TIAA, HSBC, Delta, McDonald's и многие другие. Хакер утверждает, что данные были получены из разных источников, включая утечки других групп и неправильно настроенные облачные хранилища.

На самом деле всё довольно прозрачно. Атаки и ПДн совпадают по дате с известными инцидентами, связанными с уязвимостью в MOVEit Transfer, которая позволила похитить данные сотен организаций.

НеКасперский

Стабильность

Миллионы устройств на базе Android заражены малварью семейства FakeApp.

Исследователи из Dr. Web обнаружили очередное вредоносное ПО, замаскированное под приложения, которые распространяются через популярный магазин Google Play.

По словам специалистов, при запуске открывается зловредный веб-сайт, после чего вместо нужной пользователю программы на экране высвечиваются казино, ставки и прочая нечисть.

Особое внимание экспертов привлёк один из образцов малаври Android.FakeApp.1669, который с помощью модифицированной библиотеки dnsjava получает конфигурацию с вредоносного DNS-сервера, содержащую целевую ссылку.

Известные варианты трояна были загружены из официального магазина ОС Android более 2,1 млн раз.

Впрочем, мы уже не раз поднимали тему распространения мошеннического ПО через подобные сервисы. Ранее суммарное количество скачиваний превышало 20 млн.

НеКасперский

Instadump

Четверть пользователей запрещённого на территории РФ Instagram стали жертвами очередной кибератаки.

На просторах даркнета было опубликовано объявление о продаже ПДн почти 500 миллионов юзеров. Скомпрометированная информация включает в себя:

• Имя
• Никнейм
• Электронную почту
• Описание профиля
• Количество подписчиков
• Дата создания и категория
• Внешний URL-адрес
• Географическую принадлежность

В качестве доказательств злоумышленники опубликовали файлы, содержащие сведения из более 100 учётных записей. По словам Cybernews, украденные данные могут быть актуальны и достоверны, в предыдущих дампах они не светились.

Подробности инцидента не разглашаются, однако известно, что скомпрометированная информация была получена из некого внутреннего API сервиса.

НеКасперский