Полёт совы

Украинские СМИ заявляют, что ГУР Украины взломал Туполев и утащил 4,4 ГБ секретных данных о российской стратегической авиации.

Украинская военная разведка месяцами отслеживала внутренний документооборот Объединённой авиастроительной корпорации. В итоге хакеры получили доступ к переписке руководства, личным данным сотрудников с домашними адресами, резюме инженеров и конструкторов, закупочным документам и протоколам закрытых совещаний.

По словам источника в разведсообществе, теперь у украинцев есть полная картина того, кто и как обслуживает российские стратегические бомбардировщики.

В качестве «доказательств» операции показывают изображение сгенерированной совы, подставленной на сайт Туполева, два скриншота резюме и список каких-то имён — ничего особо секретного. Сайт tupolev.ru действительно редиректит на uacrussia.ru, но причины этого неясны.

Во всех СМИ циркулирует одна и та же картинка с совой и этими резюме, а конкретных технических доказательств взлома не представлено. Украинские источники традиционно склонны к преувеличениям, а насколько всё это соответствует действительности — вопрос открытый.

НеКасперский

Страстно

Платформа Passion.io для создания мобильных приложений оставила без защиты колоссальные 12.2 ТБ пользовательских данных.

Сервис помогает инфлюенсерам и предпринимателям создавать приложения без программирования. База данных с 3.6 миллиона записей оказалась доступна всем желающим без пароля и шифрования.

Исследователь обнаружил имена, адреса, платёжные данные пользователей и даже фотографии детей из приватных аккаунтов. В утечку попали финансовые записи, контент создателей курсов и внутренние документы компании.

Что злоумышленники могли использовать эти данные для фишинга, выдавая себя за представителей платформы. У Passion.io заявлено более 15 тысяч приложений и 2 миллиона платящих пользователей.

Компания быстро ограничила доступ после уведомления, но остаётся неясным, сколько времени данные были открыты и кто ещё мог их получить.

НеКасперский

Не ноутбук

Dell закрыла критическую дыру в корпоративных системах хранения PowerScale OneFS, которая позволяла получать полный доступ к файлам без авторизации.

Речь не о потребительских ноутбуках Dell, которые мало кто покупает. PowerScale OneFS — это enterprise-платформа для управления файловыми системами в крупных организациях. Именно такие системы обрабатывают конфиденциальные корпоративные данные и используются сотрудниками с высоким уровнем доступа.

Уязвимость с рейтингом CVSS 9.8 кроется в NFS-экспорте. Злоумышленник может удаленно и без аутентификации читать, изменять и удалять произвольные файлы.

Кроме этой, есть ещё одна. Она оценена на 5.3 баллов по CVSS и заключается в опасности SQL-инъекций для локальных пользователей с низкими привилегиями.

Есть временное решение — перезагрузка NFS-зон командой isi nfs export reload. Но это не защищает от повторных атак, Dell уже выпустила патчи, пора обновляться.

НеКасперский

Знакомьтесь

Исследователи обнаружили zero-click уязвимость в iMessage, которая позволяла атаковать iPhone без участия пользователя через банальное обновление никнейма.

Дыра получила название NICKNAME и затрагивала процесс обновления профиля в мессенджере. Злоумышленник мог отправить серию никнейм-апдейтов, вызывая состояние гонки и краш процесса imagent. В результате появлялась возможность выполнить произвольный код на устройстве жертвы.

iVerify утверждает, что под удар попали высокопоставленные лица из США и Евросоюза — политики, журналисты, топ-менеджеры IT-компаний. Краши составляли менее 0,001% от всех зафиксированных сбоев, но почему-то «случайно» происходили именно на смартфонах этих людей.

Apple закрыла брешь в iOS 18.3.1, но категорически отрицает факт целевых атак. Купертиновцы называют находку «обычным багом».

НеКасперский

Кибер протект

В Acronis Cyber Protect обнаружили целый букет критических уязвимостей, три из которых получили максимальный балл CVSS 10 из 10.

Проблемы кроются в слабой аутентификации и отсутствующей авторизации. Злоумышленники могут читать и изменять конфиденциальные данные без особых усилий. Под удар попали версии Acronis Cyber Protect 16 для Linux и Windows до билда 39938. Выяснилось, что в общей сложности исследователи нашли 11 уязвимостей разной степени опасности.

Также пострадал Acronis Cyber Protect Cloud Agent на всех платформах. Там хакеры способны получить несанкционированный доступ и потенциально манипулировать чувствительными сведениями. В довесок нашлись проблемы со слабым серверным ключом для TLS-шифрования и возможность эскалации привилегий через небезопасные права папок.

В одном продукте умудрились накопить такое количество критичных дыр. Три уязвимости с максимальным баллом CVSS — это уже прямо закономерность, а не случайность 🤭

НеКасперский

Дорогие подписчики!

Открываем небольшой набор в нашу команду редакторов.

Если ты увлечён новостями в сфере информационной безопасности, умеешь интересно и доступно рассказывать о сложном, любишь следить за трендами и хочешь расти в профессиональной сфере, то это твой шанс!

Готовы принять в нашу команду креативных и инициативных редакторов с желанием учиться и развиваться. Переходи по ссылке и заполняй анкету до 22 июня включительно.

НеКасперский

КииПАС

Вредоносная версия популярного менеджера паролей KeePass в течение восьми месяцев позволяла хакерам получать доступ к учётным данным и проникать в корпоративные сети.

Всё началось с того, что сотрудник одной из пострадавших организаций скачал KeePass с фейкового сайта, продвигаемого при помощи рекламы в Bing.

Как выяснилось позже, атакующие скопировали открытый исходный код KeePass и адаптировали его под свои цели.

За оригинальным интерфейсом скрывалась программа KeeLoader. При её установке на устройстве жертвы запускался компонент Cobalt Strike, используемый для анализа и управления системой жертвы.

В ходе атаки были зашифрованы виртуальные серверы компании. Также KeeLoader копировал все данные из базы KeePass, включая логины, пароли, заметки и сайты. Все сведения хакеры получали в открытом виде.

Исследователи полагают, что за этим стоят участники UNC4696, связанные с вымогателем из BlackCat.

НеКасперский

Тирекс

Майнер T-Rex добывал криптовалюту, захватив несколько интернет-кафе в Южной Корее.

По данным AhnLab, в целях получения контроля над заражёнными системами хакеры использовали вредоносное ПО Gh0st RAT, а для его установки применялись специальные дропперы.

Атакующие захватили несколько программ для управления сетью неназванных интернет-кафе, а затем запускали на заражённых компьютерах майнер T-Rex.

Хакеры занялись этим ещё в 2024 году, однако разработчики взломанного софта занялись устранением проблемы только сейчас.

Известно, что Gh0st RAT был создан китайской C. Rufus Security Team. Его исходный код хранится в открытом доступе и используется атакующими для создания собственных версий, поэтому виновники случившегося неизвестны.

НеКасперский

Кредит доверия слит

Участники проукраинской UCA опубликовали данные клиентов финансовой компании по выдаче займов под залог Carmoney.

Слитые файлы содержат конфиденциальные сведения порядка 15 тысяч человек, включающие:

• ФИО
• Возраст
• Номер телефона
• Электронную почту
• Паспортные данные
• Место работы

Актуальность скомпрометированной информации датируется 14 февраля текущего года. По словам хакеров, опубликована лишь часть дампа.

Украинцы выразили своё недовольство тем, как российские госорганы и сама компания отреагировали на случившееся.

Напомним, что после взлома группировкой компании в феврале, представители пострадавшей организации отрицали факт утечки. Тогда они заявили, что в результате нападения был затронут лишь один из старых сайтов.

Охотно верим 🫠

НеКасперский

Рекордсмен

4 миллиарда записей пользователей оказались в открытом доступе — Китай установил антирекорд по утечкам данных.

Исследователи обнаружили незащищённую базу весом 631 ГБ, содержащую данные WeChat, Alipay, финансовые сведения и адреса сотен миллионов китайцев. База состояла из 16 коллекций, крупнейшая wechatid_db включала свыше 805 миллионов записей.

Судя по всему, информация собиралась для тотального профилирования граждан. В руки потенциальных злоумышленников попали номера карт, даты рождения, паспортные данные и точные адреса проживания. Эксперты считают, что такой массив мог использоваться для наблюдения или разведки.

Владелец базы остаётся неизвестным — сервер закрыли сразу после обнаружения. Пострадавшие не могут ничего предпринять для защиты.

НеКасперский

Реанимация

В немецком медицинском ПО B.Braun OnlineSuite нашли сразу три критические дыры, одна из которых получила максимальный балл CVSS 10.0 за удаленное выполнение кода.

Проблемы затронули OnlineSuite AP 3.0 и более ранние версии, которые используются в больницах по всему миру для управления инфузионными насосами. Самая серьезная уязвимость позволяет злоумышленникам выполнять произвольный код с максимальными привилегиями через Expression Language Injection. Вторая дыра дает возможность читать любые файлы на сервере благодаря обходу путей.

Третья проблема оказалась особенной. В системе обнаружили зашитый админский аккаунт, который нельзя ни удалить, ни отключить. Хотя напрямую на пациентов это не влияет, серверная инфраструктура больниц оказалась под серьезной угрозой.

B.Braun выпустила патч, но учитывая масштабы использования системы в медучреждениях, процесс обновления может затянуться.

НеКасперский

Домашняя слежка

Запрещённая в РФ Meta и родной Yandex годами использовали localhost-соединения для тайного отслеживания миллиардов пользователей Android, обходя все защиты приватности.

Схема работала гениально просто. Запрещённые приложения Facebook, Instagram и Yandex молча слушали определённые порты на localhost. Когда пользователь заходил на сайт с Meta Pixel или Yandex Metrica, JavaScript отправлял cookies прямо в приложения через WebRTC и HTTP-запросы. Так эфемерные веб-идентификаторы связывались с реальными аккаунтами.

Meta использовала SDP Munging через WebRTC, пряча данные в технических сообщениях. Yandex работал проще, через HTTP. Метод обходил режим инкогнито, очистку cookies и песочницы Android.

Meta Pixel засветился на 5,8 млн сайтов, Yandex Metrica на 3 млн. В 78% случаев отслеживание начиналось без согласия пользователей.

Meta прекратила практику 3 июня, а про Yandex мы такой информации не нашли. Chrome уже блокирует злоупотребления портами, а Firefox готовит патчи.

НеКасперский

Дракошки

Китайские хакеры атаковали собственную телеком-компанию China Mobile Tietong, используя продвинутые техники маскировки и уклонения от песочниц.

Операция, под названием DRAGONCLONE, началась с ZIP-файла, замаскированного под программу корпоративного обучения. Хакеры подменили файлы легитимного софта Wondershare Repairit, чтобы загрузить вредонос VELETRIX.

Загрузчик использует ряд инструментов, чтобы обмануть Windows. Вредоносный процесс маскируется под IP-адреса и запускается через системные функции. В итоге в память загружается изменённый VShell — кроссплатформенный OST фреймворк на Go.

Исследователи обнаружили 44 образца с одинаковой солью шифрования «qwe123qwe». Инфраструктура пересекается с группировками UNC5174 и Earth Lamia, которые ранее использовали Cobalt Strike и SuperShell.

Китайцы атакуют китайцев через китайские инструменты. Логично 🐉🍚🇨🇳

НеКасперский

Вебинар от Контур.Эгида «Как согласовывать ИБ-инициативы с CEO и получать поддержку?»

О чем?
Расскажем, как донести ценность ИБ-инициатив до первых лиц компании.

Этот вебинар не про страхи. Он про возможности. Про то, как встроить ИБ в стратегию компании — без сопротивления, лишних документов и сложностей.

Когда?
18 июня в 11:00 мск

Кто спикер?
Даниил Бориславский, заместитель генерального директора

Регистрируйтесь, чтобы не пропустить.
И начните путь от сопротивления — к поддержке.

Реклама. ООО «АТОМ БЕЗОПАСНОСТЬ», ИНН 5408298569, ОГРН 1125476195459

Сенсорно

Американская промтех-компания Sensata Technologies пострадала от атаки вымогателей, в результате которой скомпрометированы персональные данные тысяч сотрудников и их семей.

Злоумышленники проникли в сеть 28 марта, но обнаружили их только 6 апреля. За 9 дней хакеры успели выкачать файлы с полными именами, адресами, номерами соцстрахования, водительскими правами, паспортными данными, финансовой и медицинской информацией, а так же платёжными данными. Пострадали как действующие, так и бывшие работники и их иждивенцы.

Компания с оборотом $4 млрд занимается производством сенсоров для автопрома, аэрокосмоса и ВПК. Атака временно парализовала производство, отгрузку и другие ключевые процессы. Пострадавшим по канонам предоставили год бесплатного кредитного мониторинга через Experian.

Ни одна группировка вымогателей пока не заявила об ответственности за этот взлом.

НеКасперский

Хакерам виднее

Цифровые видеорегистраторы в РФ стали частью новой версии Mirai, эксплуатирующей уже известную уязвимость.

Модификация ботнета нацелена на устройства DVR, часто используемые для обеспечения безопасности в общественных местах, на предприятиях, железнодорожных станциях, в аэропортах и различных учреждениях.

По данным исследователей, обновлённый вариант Mirai может вести свою деятельность незаметно благодаря способности распознавать виртуальные машины, песочницы и эмуляторы.

Чтобы убедиться в том, что ботнет имеет дело не с обманкой вроде VirtualBox и QEMU, зловред перебирает список запущенных процессов и ищет там соответствующие названия. Кроме того, малварь может проверить, не ведётся ли вредоносная активность за пределами разрешённого каталога.

Более 50 тысяч случаев заражения было зафиксировано в России, Турции, Китае, Бразилии, Индии и Египте. В основном такая деятельность направлена на проведение DDoS-атак.

НеКасперский

День тишины

Тысячи жителей Сибири остались без связи из-за атаки на крупный интернет-провайдер Орион Телеком.

Так с Днём России нас поздравили участники проукраинской BO Team. В соцсетях хакеры заявили, что им удалось проникнуть в систему и парализовать работу оператора. Сбои наблюдаются в Красноярске, Иркутске, Зеленогорске, Братске и ещё ряде городов Сибири.

В пострадавшей компании подтвердили наличие проблемы и сообщили, что сетевая и серверная инфраструктура подверглась мощной DDoS-атаке.

В результате нападения абоненты столкнулись с проблемами связи, подключения к интернету и телевидению. Восстановить работу сервисов Орион Телеком планирует в течение дня.

Мимо праздничной даты не смогла пройти и группа 4B1D. Хакеры решили впечатлить жителей РФ, закинув в сеть часть БД информационного сайта пограничников. Если верить на слово, то в их руки попали логины, адреса электронной почты, IP и переписки 90 тысяч профилей. Вчера они ещё скинули что-то с военторга, но там совсем писать не о чем.

НеКасперский

Накаляется

От хакерской атаки пострадали правительственные сайты Саудовской Аравии и Кувейта, а также официальный ресурс вооружённых сил Иордании.

Ответственность за случившееся взяли на себя участники группировки Fatemiyoun Cyber Team. Заявляется, что атакующие вели свою деятельность в сотрудничестве с российской киберкомандой.

Совместные нападения также направлены на серверы глобальной системы отслеживания полётов FlightAware, показывающей карты воздушного движения, информацию о статусе рейсов и геолокации самолётов в режиме реального времени.

Несмотря на отсутствие официальных доказательств, исследователи полагают, что Fatemiyoun Cyber Team является прикрытием для специалистов КСИР, а взлом мотивирован очередным обострением политической обстановки на Ближнем Востоке.

Между тем Иран начал подавлять сигналы GPS возле границы с Ираком. В ближайшие часы весь мир и власти Ирана ожидают удар Израиля по ядерным объектам страны-оппонента.

НеКасперский

Третьесортные

Так власти КНР назвали представителей военного киберкомандования Тайваня, обвинив их в проведении атак и шпионаже.

Китайский национальный центр CVERC совместно с 60 Digital Security сообщили, что армия несуществующей страны много лет занималась отслеживанием, кражей и продажей секретных сведений о научных достижениях и оборонных технологиях КНР.

Атакующие рассылали фишинговые письма, эксплуатировали уязвимости, использовали фреймворки Sliver и Cobalt Strike, трояны QuasarRAT, а также инструменты по типу JumpDesktop и GotoHTTP для закрепления в заражённых системах.

В отчёте «Operation Futile» указаны названия группировок, причастных к проведению киберопераций. Среди них Poison Vine, Viola Tricolor, Anonymous 64, Neon Pothos и Ursa.

Считается, что во главе этой деятельности стоит военное подразделение ICEFCOM, участниками которого являются шесть высокопоставленных офицеров. Личные данные этих лиц были опубликованы в открытый доступ.

НеКасперский

Неудаляемая

У пользователей Windows появилась загадочная папка C:\inetpub, которая может блокировать все обновления системы.

Оказалось, что Microsoft исправила уязвимость, создав эту папку после апрельских патчей. Многие решили её удалить, не понимая зачем она нужна. Microsoft быстро выкатила объяснение и PowerShell-скрипт для восстановления, строго предупредив «не трогать папку».

Но исследователь обнаружил подвох. Любой пользователь без админских прав может создать точку соединения между inetpub и любым системным файлом одной командой:

mklink /j c:\inetpub c:\windows\system32\notepad.exe

После этого Windows отказывается устанавливать обновления с ошибкой 0x800F081F.

Microsoft присвоила багу среднюю важность и закрыла тикет со словами «исправим когда-нибудь». Видимо, считают что отказ от обновлений не критичен 🤷‍♂️

НеКасперский

Техасский разбор

Дорожная служба Техаса слила данные 300 тысяч участников ДТП из-за скомпрометированного аккаунта.

12 мая в системе учёта аварий CRIS заметили подозрительную активность. Выяснилось, что хакер использовал взломанную учётку сотрудника для массового скачивания отчётов о ДТП. В руки злоумышленника попали имена, адреса, номера водительских прав, госномера машин и данные страховых полисов.

TxDOT мгновенно заблокировал скомпрометированный аккаунт и запустил расследование. Ведомство рассылает письма пострадавшим, советуя усилить бдительность против фишинга и социальной нженерии.

Ни одна группа вымогателей пока не взяла ответственность за атаку, так что мотивы остаются загадкой.

НеКасперский