Флэшбэк

Вся критическая инфраструктура США оказалась под угрозой из-за атаки на оборудование Cisco, установленное в госучреждениях.

В СМИ пишут, что неизвестные хакеры скомпрометировали межсетевые экраны Cisco ASA 5500-X с помощью уязвимости, которая позволила получить контроль над важными системами, установить шпионское ПО и украсть конфиденциальные данные ведомств.

Представители CISA подтвердили факт взлома и выпустили чрезвычайную директиву, согласно которой федеральные агентства должны незамедлительно проверить все сети и устранить проблему.

Хотя имена виновников неизвестны, исследователи считают, что за этим стоят участники китайский группировки ArcaneDoor. КНР, в свою очередь, как обычно, отрицает свою причастность к случившемуся.

По классике жанра, ждём ответных обвинений 🤪

НеКасперский

Бредит

Великобритания обвинила Россию в кибератаках на Jaguar Land Rover, Marks & Spencer, Co-op и Harrods.

Такое заявление прозвучало из уст министра финансов Рейчел Ривз в интервью ITV. Однако весомых доказательств за этим не последовало. Вероятно, она целенаправленно не принимала во внимание тот факт, что реальные улики указывают на британскую группировку Scattered Spider.

На прошлой неделе Национальное агентство по борьбе с преступностью арестовало четверых обвиняемых, среди которых было трое британцев и один гражданин Латвии.

По данным следствия, в ходе нападений атакующие занимались социальной инженерией, звонками сотрудникам колл-центров, а также эксплуатацией методов фишинга и замены SIM-карт.

Как ни странно для министра финансов Великобритании, никаких признаков участия государства в их деятельности выявлено не было.

НеКасперский

Закрыли уши

Корпорация Microsoft заблокировала доступ военному подразделению Израиля Unit 8200 к облачной инфраструктуре Azure.

Это произошло после нашумевшего расследования журналистов The Guardian, +972 Magazine и Local Call, доказавших, что в Azure хранилось 200 миллионов часов записей телефонных звонков, полученных в результате ежедневной слежки за жителями Газы и Западного берега.

Компания была привлечена к этому проекту ещё в 2021 году, после встречи директора Microsoft Сатьи Наделлы с командиром Unit 8200 Йосси Сариэля. Корпорация позволила военным Израиля хранить порядка 11500 ТБ данных на серверах в Нидерландах, Израиле и Иордании.

Изначально представители Microsoft заявляли, что их технологи не используются для шпионажа, а работа с Unit 8200 направлена исключительно на защиту от кибератак и террористов.

Однако доступом к облачным хранилищам обладали десятки подразделений ЦАХАЛ. Данные из Azure применялись для планирования нападений, арестов и спецопераций в течение двух лет.

В СМИ считают, что решение Microsoft прекратить доступ Израиля к ключевым технологиям связано с давлением со стороны сотрудников и инвесторов.

НеКасперский

Хакерская этика

Хакеры похитили 8000 детских фото, взломав сеть детских садов Kido International в Лондоне.

Группировка Radiant уже опубликовала в даркнете профили 20 детей и угрожают обнародовать информацию еще о 30 детях и 100 сотрудниках, если не получат выкуп.

Также хакеры заявили, что находились в сетях детсадов несколько недель, собирая уязвимые данные данные. Всего у них имеется информация тысячи детей, включающая фотографии, имена, домашние адреса и контакты родителей.

Эксперты называют это новым дном, потому что даже среди киберпреступников существовали негласные запреты на атаки больниц и социальных учреждений. LockBit, например, предоставляли дешифраторы и извинялись. Конечно, сейчас уже всё больше случаев подобной аморальности. Злоумышленники же прокомментровали свои действия и заявили, что «делают это за деньги, не для чего больше»

Считаем это педофилией.

НеКасперский

Болезненные утечки

В продолжение темы с больницами, медицинский центр на Аляске подтвердил утечку данных 60 тысяч пациентов.

Неизвестные хакеры получили доступ к электронным медицинским картам, номерам социального страхования и паспортным данным клиентов медцентра. Также появились сведения о том, что хакеры напрямую обращались к пациентам, рассылая им письма с их же персональными данными.

Этот случай продолжает историю с центром крови в в Нью-Йорке, где также пострадали десятки тысяч пациентов.

ФБР уже подтвердило осведомленность о случившемся, началось расследование. По Американской классике, пострадавшим предложили бесплатный кредитный мониторинг, как меру поддержки.

Хоть от кредитного мониторинга кайфуйте 🇺🇸🍔

НеКасперский

Открытка

OnePlus забыли закрыть дыру в OxygenOS, через которую любое приложение может читать SMS без разрешений и уведомлений.

Беда в модифицированном Telephony provider, где OnePlus добавили свои content providers без правильных разрешений на запись. Злоумышленники эксплуатируют слепую SQL-инъекцию в ServiceNumberProvider, методично выковыривая SMS-сообщения через булевые запросы. Уязвимость работает через update метод, который пропускает WHERE параметр без валидации прямо в SQLiteDatabase.

Rapid7 нашли баг ещё в мае, пытались достучаться до OnePlus пять месяцев, но тем особенно это было не интересно. Пришлось раскрыть CVE публично с готовым эксплойтом.

OnePlus очнулись только после публикации и пообещали патч к середине октября. Пока советуют удалить все подозрительные приложения и перейти с SMS-кодов на аутентификаторы.

НеКасперский

Ведрофоны победили

Более половины iOS-приложений небезопасно обрабатывают чувствительные данные, тогда как для Android всего треть.

Разрыв становится еще более заметным при анализе защиты от реверс-инжиниринга — 60% iOS-приложений вообще не имеют такой защиты против 24% в случае с Android.

Проблема приобрела системный характер. Почти половина всех мобильных приложений до сих пор содержат захардкоженные секреты и ключи. Также масштабы рутирования и джейлбрейка довольно значительны. При этом одно из 400 устройств Android имеет root-доступ, а одно из 2500 устройств iOS — взломано. Это может дать злоумышленникам полный контроль над системой.

Исследователи отмечают, что разработчикам следует внедрить в кодовую базу проверку логирования чувствительных данных, шифрование локального хранилища, мониторинг сетевого трафика, аудит SDK-библиотек, обфускацию кода и валидацию API-вызовов, чтобы избежать потенциальные взломы. Но кто этими пустяками будет заниматься 🙃

Смартфон vivo

НеКасперский

Техобслуживание

Проукраинские хакеры заявили о «техническом обновлении» на двух российских предприятиях ВПК.

Под удар попали Курганмашзавод, производящий БМП и бронетранспортеры в Кургане, и 560 БТРЗ из Белогорского района Амурской области, занимающийся ремонтом бронетехники. Злоумышленники опубликовали скриншоты и сообщили о двадцати терабайтах увезённых данных.

На опубликованных скриншотах видна админка корпоративного менеджера паролей Teampass с учётками, имеющими рут права. Также представлены кадры с камер видеонаблюдения и фрагменты внутренней переписки.

Среди материалов от 560 БТРЗ засветилось письмо о постоянной видеотрансляции цехов через VPN с шифрованием для оперативной группы НЦУО РФ. Если скриншоты подлинные, компрометация такого канала открывает доступ не только к видеопотокам, но и к метаданным производственных процессов и служебной связи.

Заявленные 20 терабайт предполагают вынос не только баз данных, но и полных резервных копий, архивов документов и записей с камер.

Официальных подтверждений от предприятий нет, однако опубликованные материалы выглядят правдоподобно.

НеКасперский

Вскрытие

Правоохранительные органы США получили разрешение суда на подключение к серверам Telegram.

Для осуществления своих планов местное министерство юстиции будет использовать «технику удалённого поискового доступа», позволяющую тайно посылать команды на серверы платформы.

Иными словами, они хотят заставить Telegram передавать нужную информацию, в том числе сообщения подозрительных пользователей мессенджера, основатель которого дал понять, что не согласен идти навстречу властям, если не убедится в обоснованности их требований.

Эта лазейка была создана на основании юридических принципов, согласно которым любые цифровые данные, попадающие в США, автоматически становятся объектом федерального контроля, независимо от местоположения серверов.

При этом представители платформы утверждают, что получить доступ к перепискам технически не могут даже менеджеры Telegram. По их словам, серверы надёжно защищены, а взломов обнаружено не было.

Американские власти решили обойти сопротивление молча, не наступая на грабли французов, которых Паша попустил.

НеКасперский

Миссинжир

WhatsApp на Apple-устройствах взломали через эксплойт с использованием DNG-файлов без единого клика жертвы.

Исследователи собрали цепочку из двух уязвимостей. Первая из них даёт доступ через пропущенную проверку синхронизации связанных устройств в WhatsApp. Злоумышленник отправляет сообщение, которое выглядит легитимным, поэтому мессенджер его обрабатывает автоматом. Следом срабатывает вторая проблема в парсере DNG-изображений Apple. Кривой файл вызывает memory corruption и даёт RCE на iOS, macOS и iPadOS.

Возможно, атаку уже применяли против конкретных персон. WhatsApp разослал уведомления целям и рекомендует делать сброс до заводских настроек, потому что одним патчем приложения не обойтись, если система скомпрометирована глубже.

Обе дыры закрыты в свежих версиях. Остаётся только обновиться и не открывать подозрительные картинки от незнакомцев, хотя при 0-click это уже неважно.

НеКасперский

Японцы без пива

Взлом вынудил крупную пивоваренную компанию Asahi Group Holdings приостановить работу своего завода.

Пострадавшая организация имеет филиалы в Европе, Океании, Юго-Восточной Азии и др. Представители отметили, что от хакерской атаки пострадали только подразделения концерна в Японии.

Виновников преступления, подробности и последствия случившегося ещё предстоит выяснить, однако, судя по статистике, убытки будут приличные. За прошлый год прибыль Asahi составила почти $20 миллиардов за 100 миллионов гектолитров напитков.

Специалисты Asahi пока не берутся называть точные сроки восстановления систем, однако компания успокаивает клиентов тем, что утечки ПДн обнаружено не было.

НеКасперский

Ниндзя

CERT-UA зафиксировал атаки UAC-0245 на украинских офицеров через Signal.

Целями хакеров стали члены Союза украинских офицеров, которые используют Signal именно из-за его репутации безопасного канала связи.

Они рассылали ZIP-архивы под видом документов о задержаниях на границе. Внутри архива лежал XLL-файл, который при открытии в Excel разворачивал целую инфраструктуру. Дроппер размещал исполняемый файл в автозагрузку, загрузчик в XLSTART, а PNG-файл содержал зашифрованный шелл-код.

Бэкдор, написанный на C, поддерживает сбор информации, выполнение команд, перехват скриншотов и передачу файлов. Связь идёт через TCP после последовательного стука в четыре порта. Данные сжимаются MSZIP и фрагментируются при превышении 65 КБ.

Все компоненты малвари напичканы проверками на запуск в песочнице. Он проверяет отсутствия wine_get_unix_file_name, ищет артефакты гипервизоров в BIOS, и даже замеряет времени выполнения CPUID через RDTSC, потому что в песочнице, как правило, эти операции выполняются дольше. Поймать шпиона в лабораторных условиях почти невозможно.

НеКасперский

Disмораль

Discord допустил утечку ПДн из-за атаки вымогателей.

Компания выпустила официальное предупреждение, в котором указано, что причиной случившегося стала атака на подрядчика, обслуживающего системы технической помощи и работающего с отделом безопасности.

В результате взлома неизвестными хакерами были скомпрометированы:

• ФИО
• Электронная почта
• IP-адрес
• Частично платёжная информация
• История покупок
• Внутренние обучающие материалы
• Содержимое переписок
• Фото документов, удостоверяющих личность

Discord отозвал у пострадавшей организации доступ к системе обработки запросов, а также начал расследование совместно с правоохранительными органами и компанией по компьютерной криминалистике.

НеКасперский

Больше никакого геншина

Все игры на Unity содержат в себе критическую уязвимость, которую, скорее всего, никто не исправит.

В Unity обнаружили брешь, позволяющую хакерам похищать конфиденциальные данные пользователей. Уязвимость присутствует аж с 2017 года, она работает на компьютерах с Windows, macOS и Linux, а также на устройствах с Android. Проблема касается всех игр и приложений, сделанных на Unity за последние восемь лет.

Для устранения неполадок разработчикам ПО и игр советуют заново собрать свои проекты, но уже на модернизированной версии Unity. Для ускорения процесса им предлагается специальный патчер, однако он не подойдёт играм, использующим собственные античит-системы.

Хотя командой Unity не было зафиксировано случаев эксплуатации уязвимости, некоторые компании временно убрали свои продукты из онлайн-магазинов.

А теперь имажжинируем лица фанатов инди-игр, которые обновления получают раз в 5 лет 😎

НеКасперский

Дым без огня

Медицинские данные бразильской военной полиции утекли в результате атаки на компанию по разработке IT-решений для сектора здравоохранения Maida.health.

Новость об этом появилась в даркнете. Автор публикации утверждает, что в его руках оказались файлы объёмом более 2 ТБ, в составе которых «чрезвычайно конфиденциальная информация».

Хакеры заявили, что им удалось скомпрометировать медицинские карты офицеров и членов их семей, удостоверения личности, счета-фактуры, нормативные сертификаты, административные протоколы и др.

Достоверность этой информации пока не подтверждена, так как исследователям не удалось получить доступ к образцам украденных сведений. В случае их подлинности третьи лица смогут использовать эти ПДн для бесплатного лечения или получения рецептурных лекарств.

Чтож, упаковку морфина, пожалуйста 🥸

НеКасперский

Утечка крови

Американская некоммерческая компания по заготовке, анализу и распределению донорской крови OneBlood выплатит $1 миллион за утечку ПДн клиентов.

Организация поставляет материалы в 250 больниц в штатах Джорджия, Флорида, Алабама и Каролина. Полтора года назад OneBlood стала жертвой кибератаки, в результате которой хакерам удалось скомпрометировать данные более 167 тысяч человек.

В ходе расследования стало известно, что дамп включает в себя полные имена, платёжные и медицинские сведения, номера социального страхования, а также информацию о психическом и физическом здоровье доноров.

Взлом нарушил работу компании, сотрудники были вынуждены вести все записи вручную. Как итог в организации возникли проблемы с запасами крови, OneBlood пришлось просить помощи у других клиник.

По решению суда во Флориде, жертвы кибератаки смогут получить компенсацию в размере $60 или доказать ущерб и потребовать выплату до $2500. Финальное слушание дела запланировано на декабрь.

НеКасперский

Хакерский тимбилдинг

Пророссийская группа Z-Pentest совместно с PalachPro взломала компьютерную сеть управления чешской насосной станцией SCADA для очистки сточных вод.

Среди её функций скомпроментированной админ-панели подача и перемешивание воздуха, и удаление отходов, а также уведомление о проблемах, если возникают сбои в работе приборов.

В своих социальных сетях хакеры и заявили, что им удалось получить доступ ко всем настройкам. Они могут управлять станцией, регулировать скорость работы насосов, контролировать процесс очистки воды, частоту проверок и др.

Подробности случившегося пока не разглашаются, однако известно, что это нападение было совершено с целью поддержать хакеров группировки NoName057(16) в их операциях против стран Прибалтики.

НеКасперский

Атака не волк, волк — это ходить

Группировка Cavalry Werewolf атаковала российские госучреждения, энергетику и производства, используя малварь собственной разработки.

С мая по август хакеры рассылали фишинг под видом писем от киргизских чиновников. В архивах прятались FoalShell и StallionRAT. Первый даёт доступ к командной строке жертвы, второй управляется через Telegram-бот и умеет выполнять команды, грузить файлы и сливать данные.

Судя по всему, киберпреступники не ограничились подделкой адресов. В одном из случаев они взломали настоящий email киргизского гос регулятора и использовали его для рассылки. Также в атаках применялись SOCKS5-прокси вроде ReverseSocks5Agent.

Анализ показал файлы на английском и арабском языках, что намекает на более широкий охват целей. Не исключено, что под ударом оказались не только Россия и СНГ, но и страны Ближнего Востока.

Пока одни готовят курсы по OSINT за 600 тысяч, другие используют Телеграм как командный центр для RAT 🤫

НеКасперский

ИИ-стукач

Школьника в США арестовали после того, как он спросил у ChatGPT «как убить моего друга посреди урока».

Все произошло в средней школе Southwestern Middle School в Флориде, где система мониторинга Gaggle зафиксировала опасный запрос.

ИИ-платформа, использующаяся во многих американских школах, сканирует все чаты и документы на школьных устройствах. Мальчик объяснил, что просто троллил друга, который его раздражал, но это не помешало властям арестовать подростка и доставить в окружную тюрьму.

Вдобавок, это уже не первый случай, когда системы слежки в школах приводят к арестам детей за шутки. В августе 2023 года в Теннесси 13-летняя девочка была арестована за оскорбительную шутку в онлайн-чате с одноклассниками, которую зафиксировала система Gaggle. Девочка провела ночь в тюрьме, подверглась обыску, и ей назначили 8 недель домашнего ареста.

Вот вам и ИИ-агент 😎

НеКасперский

Признали поражение

Власти Норвегии замяли уголовные дела, связанные с пророссийскими хакерами.

Ранее мы рассказывали, что участники Z-Pentest взяли на себя ответственность за взлом норвежской плотины для рыборазведения. В сети атакующие опубликовали видео, где показан доступ к панели управления дамбой.

Несмотря на то, что все следы указывали на хакеров из РФ, посольство России отрицало причастность группировки к случившемуся, апеллируя тем, что западные государства неоднократно обвиняли нашу страну в кибератаках.

Через месяц Z-Pentest вновь заявила о своих достижениях в социальных сетях, рассказав о взломе другой норвежской организации из Эстланна. Исследователи полагают, что нападения произошли из-за слабых паролей.

Хотя у полиции имелись улики, оба дела по статье straffeloven §130, связанной с влиянием иностранной разведки, были закрыты. Это решение обосновали тем, что выявить конкретных хакеров невозможно, тем более что российские власти не станут содействовать в этом расследовании.

Как говорится, пока не доказано… 🤭

НеКасперский

Диван на вынос

Oracle EBS подверглась массовой атаке через zero-day уязвимость, позволяющей удалённо выполнять код без аутентификации.

CrowdStrike связывает эксплуатацию с группой GRACEFUL SPIDER, которая, судя по всему, и есть печально известная CL0P. Письма с вымогательством рассылались от имени «CL0P team», что подтверждает эту связь.

Кампания стартовала ещё 9 августа, но только в конце сентября злоумышленники начали массово рассылать письма руководителям компаний с требованиями выкупа. В письмах они открыто заявляли о краже конфиденциальных данных из систем Oracle E-Business Suite.

Брешь позволяет обойти аутентификацию через POST запрос к /OA_HTML/SyncServlet, после чего хакеры загружают вредоносный XSLT-шаблон через XML Publisher. Далее разворачиваются веб-шеллы на Java для постоянного доступа к системе.

Oracle выпустила экстренный патч 4 октября. До этого компании оставались беззащитными почти два месяца.

НеКасперский