🍏 Jade Sleet заражает Mac разработчиков через поддельные Terraform-репозитории

Привет! Северокорейская Jade Sleet снова зашла через разработчика. SentinelOne обнаружила два её бэкдора - FLATROOF и ROOFDECK - на MacBook DevOps-инженера из индийской IT-компании.

👨‍💻 Сценарий начинается как обычное тестовое задание. Жертве предлагают GitHub-репозиторий с инфраструктурным проектом для собеседования. Внутри лежит поддельный .terraform.lock.hcl, который направляет Terraform на домен атакующих. Разработчик запускает terraform init - и вместе с зависимостями получает вредоносный модуль.

➡️Дальше на Apple Silicon Mac приезжает FLATROOF. Он общается с оператором через Telegram, выполняет команды и умеет таскать файлы. Плюс собирает данные браузеров, историю Terminal, список приложений, процессы, информацию о системе и копию login.keychain-db.

⏺Следом подключается ROOFDECK. У него C2 через Nostr, удалённый shell, работа с файлами и persistence через Launch Agents. Команды перед выполнением проверяются криптографической подписью - бэкдор не будет выполнять команды без корректного ключа оператора.

☄️На заражённом Mac импланты нашли ещё 18 марта, но почти две недели они молчали. 29 марта активность началась буквально через несколько секунд после открытия DevOps-проекта ~/DevOps-Automation/cloudshield в Cursor. А 20 апреля атакующие поставили новую версию ROOFDECK, уже без символов и debug-информации.

P.S. В таких атаках разработчик становится точкой входа во всю инфраструктуру. Его Mac может иметь доступ к GitHub, облаку, CI/CD и Terraform — поэтому одного заражённого рабочего места хватает для дальнейшего продвижения.

#MacOS #Malware #Terraform #Infosec
👍 Белый хакер

Исследователь выложил инструмент который блокирует обновления Defender заполняя диск

Привет! Абдельхамид Насери опубликовал на GitHub BigDiskBuster - zero-day PoC без патча, без CVE и без координации с Microsoft. Инструмент не взламывает Defender, он тупо не даёт ему обновляться 😁

👨‍💻 Механика простая. Инструмент следит за директориями обновлений Defender. Как только тот начинает скачивать свежие сигнатуры - BigDiskBuster создаёт скрытый файл который занимает всё свободное место на диске. Обновление падает с ошибкой. Файл удаляется и ждёт следующей попытки. Defender работает, но сигнатуры стоят на месте.

🛡Это уже четвёртый инструмент против Defender от Насери с апреля. Предыдущие три: BlueHammer, RedSun, UnDefend - успели поэксплуатировать в реальных атаках до патча, все три в KEV-каталоге CISA. Насери говорит что его уволили из Microsoft Security Response Center в 2024 году и с тех пор он просто публикует что находит.

🔐Патча нет и неизвестно когда будет. Проверить актуальность сигнатур: Get-MpComputerStatus в PowerShell, поля AMEngineVersion и AMProductVersion. Стоит мониторить повторные ошибки обновления и аномально большие скрытые файлы во временных директориях.

P.S. Defender с устаревшими сигнатурами не выключен - он просто не видит свежие угрозы. Для атакующего этого достаточно.

#Defender #ZeroDay #Infosec
👍 Белый хакер

❌ Миф: атрибуция нужна, чтобы найти виновных

Привет! Когда в отчёте пишут «за атакой стоит Jade Sleet», легко подумать, что дальше кто-то должен найти конкретного человека и наказать его.

👨‍💻 Для защиты от этого толку немного. Гораздо важнее понять, что эта группа обычно делает после получения доступа. Например, Jade Sleet известна атаками через фейковые задания для разработчиков. Подсовывает репозиторий, заражённую зависимость или другой инструмент, который выглядит частью работы. Если знаешь такой сценарий, уже понятно, где искать следы.

🔎 То же самое с инфраструктурой. Один и тот же C2, способ загрузки пейлоада, ключ подписи или техника persistence могут связать новую атаку с предыдущими. Вместо «мы впервые видим эту малварь» получаем готовый контекст: вот как она обычно появляется, вот что делает дальше, вот какие артефакты оставляет.

⚙️ Поэтому отчёт о Jade Sleet полезен даже компании, которую эта группа никогда не атаковала. Можно взять её TTP и проверить GitHub, рабочие машины разработчиков, Terraform, CI/CD и облачную инфраструктуру. Чужое расследование уже проделало часть работы за тебя.

P.S. Имя группы в отчёте интересно. Ещё интереснее - что она делала на предыдущих взломах и какие из этих приёмов можно найти у себя.

#Мифы #ThreatIntel #Infosec
👍 Белый хакер

Microsoft 365 взломали через аккаунты, о которых забыли даже админы 🤦‍♂️

Привет! Proofpoint нашла активную кампанию TeamFiltration: атакующие перебрали больше 5 700 аккаунтов в 28 Microsoft 365-тенантах. В итоге забрали семь. И нет, это были не сотрудники. Это были сервисные аккаунты, которые, похоже, уже сами не помнили, зачем существуют…

👨‍💻 Механика простая. TeamFiltration перебирал аккаунты с дефолтными и давно не менявшимися паролями. Шесть из семи взломали меньше чем за 7 минут. Видимо, где-то IT однажды придумали пароль для сервисной учётки, поставили его и решили: «Ну всё, теперь навсегда».

☁️ Дальше атакующие уже чувствовали себя вполне как дома: полезли в Office, OneDrive и Teams. В одном случае меньше чем через две минуты после входа переключились на немецкий туннель, проверили корпоративный туннель, Azure Portal, SharePoint и Microsoft Graph. Правда, сам вход ещё не означает, что данные действительно успели вынести.

🔐 Самое смешное и одновременно неприятное: все семь аккаунтов были сервисными. Не сотрудник, который может случайно открыть фишинговое письмо, а условный backup-prod-final-2, созданный когда-то «на пять минут» и благополучно забытый на следующие пять лет.

P.S. Атакующие использовали 1 487 AWS-адресов и три волны атак. В одной из них под удар попал чилийский ритейлер, на который пришлось 78,3% всех попыток входа. Иногда для атаки на Microsoft 365 не нужен ни zero-day, ни суперсложный эксплойт. Достаточно найти аккаунт, который админ когда-то создал, а потом торжественно забыл.

#Microsoft365 #Infosec #CloudSecurity
👍 Белый хакер

👍 Белый хакер #мем

⌨️ Команда недели

Привет! Нашли подозрительный процесс внутри контейнера, а ps и ss показывают какую-то урезанную картину?

Можно не заходить через Docker или Kubernetes. Если знаете PID процесса, nsenter позволит попасть прямо в его namespace.

nsenter -t 1847 -m -u -i -n -p -- /bin/bash

👨‍💻 1847 - PID процесса на хосте.

-m — mount namespace -u — UTS namespace -i — IPC -n — network namespace -p — PID namespace

После этого shell работает в тех же namespace, что и выбранный процесс. То есть можно увидеть его файловую систему, hostname, процессы и сетевое окружение. nsenter как раз предназначен для запуска программы в namespace другого процесса.

🔎 Круче всего при разборе контейнеров: процесс выглядит обычным с хоста, но внутри его namespace могут оказаться свои интерфейсы, маршруты, процессы и mount’ы. Можно быстро проверить окружение, не меняя конфигурацию самого контейнера.

P.S. Если подозрительный процесс живёт в контейнере, полезно сначала посмотреть его PID на хосте, а уже потом заходить через nsenter.

#Linux #Containers #NSenter #КомандаНедели
👍 Белый хакер

🤖 Android-троян RatHat подключил Gemini, чтобы искать богатых жертв

Привет! У RatHat появился необычный элемент в панели управления: она отправляет собранные с телефона SMS в Gemini и просит оценить, сколько денег может быть на банковском счёте жертвы.

👨‍💻 RatHat продаётся по модели malware-as-a-service. Оператор получает веб-консоль, собирает через неё данные с заражённых телефонов и может в один клик получить shell на устройстве. В последней версии консоль сама раскладывает жертв на high-value и mid-value - по оценке Gemini.

➡️Сам троян при этом не поручает Gemini перевести деньги. Модель нужна для сортировки: если в SMS виден крупный баланс, оператор понимает, что этому телефону стоит уделить время. В старой версии можно было выбирать разные AI-сервисы, сейчас оставили только Gemini.

⚙️ Есть Gemini и на самом телефоне. RatHat пытается включить wireless debugging через Accessibility. Если интерфейс Android отличается от того, под который писали малварь, она отправляет Gemini структуру экрана и получает инструкцию, куда нажать. То есть модель помогает самому трояну пройти нестандартный интерфейс.

🔎 А дальше начинается совсем неприятная часть. После включения ADB RatHat запускает Go-программу с reverse tunnel. Через неё оператор получает управление экраном без обычного запроса на запись экрана: используются minicap и minitouch. Причём процесс продолжает работать даже после удаления приложения - до перезагрузки телефона.

P.S. Cleafy нашла почти 100 развёртываний панели RatHat с апреля по сентябрь 2026 года. Это именно копии консоли, а не количество заражённых телефонов.

#Android #Malware #Gemini #Infosec
👍 Белый хакер

🇫🇷 У налоговой Франции украли данные 600 000 человек и компаний

Привет! Атака на французскую налоговую DGFIP продолжалась около семи недель и при этом не требовала какой-то сложной эксплойт-цепочки. Хакеры просто использовали украденные пароли сотрудников и спокойно ходили по внутренним системам.

👨‍💻 Пароли собирали несколько месяцев, вероятно, инфостилеры с личных компьютеров сотрудников. Два портала DGFIP - PIGP и ADER - принимали только пароль, поэтому украденного доступа хватало. Через ADER атакующий добрался до E-Contact, где хранилась переписка налогоплательщиков.

🚨В результате могли быть просмотрены или скачаны данные чуть более 350 000 физлиц и 250 000 компаний. У людей это налоговый ID, контакты, семейный статус, налогооблагаемый доход, ставка удержания и список обращений в налоговую. Содержимое самих сообщений затронуто у менее 250 человек. Пароли личных налоговых кабинетов при этом не украли.

⚙️ А дальше сработала довольно странная защита. SOC несколько раз замечал подозрительные запросы и просто сбрасывал пароль. Но уже открытая сессия в ADER продолжала работать. 24 июня атакующий начал автоматизированно выгружать E-Contact постранично. Пароль сбросили в 10:40, а данные продолжали уходить ещё почти 16 часов.

🌐Мониторинг вообще не видел ADER. Не сопоставлялись ночные входы, VPN, индийские IP и известные вредоносные адреса. Даже 11 ГБ трафика за несколько дней не вызвали тревогу. Саму кражу обнаружили только 12 августа, когда атакующий заявил о ней на форуме.

P.S. Здесь хорошо видно, почему «мы сбросили скомпрометированный пароль» ещё не означает, что доступ закрыт. Если активную сессию не отозвали, атакующий может продолжать работать уже с валидным токеном.

#France #DataBreach #MFA #Infosec
👍 Белый хакер

❌ Миф: если пароль украли, достаточно его поменять

Привет! Кажется логичным: заметили компрометацию аккаунта → поменяли пароль → доступ злоумышленника закрыт. На практике это может вообще ничего не изменить.

👨‍💻 Пароль — только один из способов подтвердить вход. После авторизации приложение может выдать сессию, cookie или access token. Если атакующий уже получил такой токен, смена пароля не обязательно завершит его сессию.

🔎 Именно это регулярно встречается в реальных атаках. Например, в недавнем инциденте во французской налоговой сотрудники SOC несколько раз сбрасывали скомпрометированные пароли. Но открытая сессия в другом внутреннем сервисе продолжала работать, и данные продолжали выгружаться ещё несколько часов.

⚙️ Поэтому при компрометации аккаунта нужно смотреть шире: отозвать активные сессии и токены, проверить действия аккаунта после предполагаемой кражи, сбросить MFA при необходимости и только потом считать доступ закрытым.

P.S. Смена пароля отвечает на вопрос «может ли он снова войти с этим паролем?». При инциденте нужно проверить ещё один: «а не находится ли он уже внутри?».

#Мифы #ThreatIntel #Infosec
👍 Белый хакер

👀Один из подозреваемых ShinyHunters начал сотрудничать с FBI

Привет! В Иордании 29 сентября задержали Саифа аль-Дина Хадера, известного как Rey и ReyXBF. По данным Reuters, сейчас он сотрудничает с FBI и помогает следствию устанавливать других участников ShinyHunters.

👨‍💻 Rey не случайный человек в этой истории. Он был администратором Hellcat, в 2024 году взял под контроль очередную версию BreachForums, а позже его называли одним из админов Scattered LAPSUS$ Hunters, где пересекались участники Scattered Spider, LAPSUS$ и ShinyHunters.

➡️ Теперь у следствия появился человек, который знает эту кухню изнутри. Псевдонимы, аккаунты, роли, связи между участниками, доступ к инфраструктуре. Именно такие детали могут превратить отдельные никнеймы в реальные имена и конкретные эпизоды.

🔎 И сама ShinyHunters уже давно выглядит не как одна закрытая команда. Sekoia и Beazley Security описывают её скорее как бренд: одни добывают доступ, другие подключаются к социальной инженерии и вымогательству, а зарабатывать могут уже другие участники.

⚠️Параллельно FBI расследует взломы более 140 организаций. По словам бюро, группа получила не меньше $70 млн выкупами, причём часто заходила через сторонних облачных провайдеров.

P.S. Если Rey действительно рассказывает FBI всё, что знает, последствия могут быть интереснее очередного закрытого leak-сайта. Один человек изнутри иногда объясняет структуру лучше десятков собранных логов.

#ShinyHunters #Cybercrime #FBI #Infosec
👍 Белый хакер

🇺🇸 Microsoft закрыла уязвимость в Exchange, через которую можно читать чужую почту

Привет! Microsoft выпустила срочное обновление для Exchange Server. Уязвимость CVE-2026-96940 имеет оценку 8.8 и позволяет авторизованному атакующему повысить привилегии.

👨‍💻 Проблема в слабой проверке прав. Если атакующий уже имеет учётку в организации, он может получить доступ к почтовым ящикам других пользователей и читать письма вместе с вложениями.

🚨 При этом межорганизационный доступ невозможен. Exchange Online уже исправили на стороне Microsoft, а вот владельцам локального Exchange Server нужно установить обновления самостоятельно.

⚙️Уязвимость пока не замечена в атаках, но Microsoft оценивает её эксплуатацию как «более вероятную». Под ударом Exchange Server Subscription Edition, 2016 и 2019.

P.S. Особенно неприятный сценарий здесь в том, что для атаки не нужен полный компромисс сервера. Достаточно уже иметь действующую учётную запись внутри организации.

#Microsoft #Exchange #Vulnerability #Infosec
👍 Белый хакер

🎭 Фейковые ChatGPT и Gemini воруют доступ к рекламным аккаунтам

Привет! Исследователи Island обнаружили фишинговую платформу, которая маскируется под рекламные сервисы ChatGPT, Gemini, Claude, Perplexity и других AI-продуктов. Её задача - красть логины, пароли и коды MFA.

👨‍💻 После нажатия Connect открывается поддельное окно авторизации прямо внутри страницы. В адресной строке может быть accounts.google.com или настоящий домен Okta, хотя пользователь всё ещё находится на фишинговом сайте. Такой приём называется Browser-in-the-Browser.

🚨 Введённые данные сразу получает оператор атаки. Он пытается войти в настоящий аккаунт, а если сервис запрашивает MFA, показывает жертве нужную форму и перехватывает код практически в реальном времени.

⚙️ Целятся в сотрудников рекламных агентств, медиабайеров и администраторов бизнес-аккаунтов. Получив доступ, атакующие могут добавить своих администраторов и использовать рекламные кабинеты с хорошей историей для собственных кампаний.

⚠️Исследователи нашли у фишинговых сайтов общий стек на Next.js и Socket.IO, а исходники ранних версий платформы обнаружили в открытых GitHub-репозиториях.

P.S. При Browser-in-the-Browser даже правильный адрес в нарисованной строке браузера ничего не гарантирует. Проверять нужно адрес реальной вкладки, а не окна авторизации внутри сайта.

#Phishing #BitB #CyberSecurity #Infosec
👍 Белый хакер

👍 Белый хакер #мем

🍏 DarkSword научился красть криптокошельки и управлять iPhone удалённо

Привет! Исследователи iVerify обнаружили новую версию эксплойт-кита DarkSword под названием P7 DarkSword. Теперь вредонос может извлекать данные криптокошельков, читать iCloud Keychain и получать команды от атакующих.

👨‍💻 DarkSword использует цепочку уязвимостей iOS для выхода из песочницы браузера и повышения привилегий до уровня ядра. После этого имплант внедряется в процесс SpringBoard, который отвечает за домашний экран и запуск приложений. Ранее комплект применяли против iPhone на iOS 18.4–18.7.

🚨 В P7 появилась полноценная двусторонняя связь с C2. Каждые 15 секунд имплант проверяет новые команды: может выгружать фотографии, заметки, файлы приложений, искать криптокошельки и выполнять команды ОС. Данные Keychain теперь обрабатываются прямо на устройстве перед отправкой.

⚙️ Нашли и необычный способ распространения. Атакующие перерегистрировали домен закрывшегося аналитического сервиса ecomtrack[.]io. Его JavaScript-тег всё ещё оставался на сайтах интернет-магазинов, поэтому посетители могли попасть на страницу с эксплойтом DarkSword. Один из обнаруженных вариантов собирал данные более чем 25 криптокошельков.

P.S. Исследователи также находили попытки адаптировать DarkSword под iOS 26, но многие из них оказались нерабочими. Подтверждённой успешной эксплуатации этой версии iOS в представленном исследовании нет.

#DarkSword #iOS #ExploitKit #Infosec
👍 Белый хакер

🇺🇸 В США ещё четыре штата подали в суд на TP-Link из-за безопасности роутеров

Привет! У TP-Link новые проблемы в США. Флорида, Айова, Монтана и Небраска подали иски против производителя роутеров. Компанию обвиняют в том, что она преувеличивала безопасность своих устройств и недостаточно честно рассказывала о связях с Китаем.

👨‍💻 Одна из претензий касается HomeShield. TP-Link обещала защиту практически от любых угроз, хотя некоторые роутеры уже давно не получают патчи. Например, две версии Archer AX21 перестали поддерживать ещё в мае 2024 года.

🚨 И претензии появились не на пустом месте. Microsoft ранее обнаружила ботнет из взломанных роутеров, который использовали для атак с подбором паролей. В среднем в нём работало около 8000 устройств, причём большинство составляли TP-Link. Правда, попадались и другие производители.

⚙️ А 8 октября исследователи SEC Consult раскрыли детали пяти уязвимостей в роутерах TP-Link для провайдеров. Через одну из них, CVE-2025-30237, атакующий с доступом к веб-интерфейсу управления может обойти авторизацию, создать себе Superadmin и включить SSH. Патчи уже есть, но устанавливать их должны сами провайдеры.

🔎 Отдельная история - Китай. Штаты считают, что TP-Link преуменьшает свои связи с китайским бизнесом и возможные риски для пользовательских данных. Сама компания всё отрицает и утверждает, что работает независимо от иностранных правительств.

P.S. Подтверждённых данных о встроенных TP-Link бэкдорах или передаче информации китайским властям в этих исках нет. А вот реальные взломы роутеров и проблемы с обновлениями уже задокументированы.

#TPLink #RouterSecurity #CyberSecurity #Infosec
👍 Белый хакер

⌨️ Команда недели: pidfd_open

Привет! В Linux PID может освободиться после завершения процесса и достаться другому. Если скрипт следит за процессом по PID, есть риск перепутать его с новым.

Для этого в Linux есть pidfd_open() - системный вызов, который возвращает файловый дескриптор конкретного процесса.

👨‍💻 В Python его можно использовать так:

import os
import select

fd = os.pidfd_open(1847)

poller = select.poll()
poller.register(fd, select.POLLIN)

poller.poll()
print("Процесс завершился")

os.close(fd)

Здесь 1847 - PID нужного процесса.
os.pidfd_open() получает дескриптор, а poll() ждёт, пока процесс завершится. Не нужно постоянно проверять его существование или опрашивать /proc.

🔎 Допустим, вы пишете watchdog, который должен дождаться завершения конкретного процесса. С обычным PID можно столкнуться с его повторным использованием. А открытый pidfd продолжает ссылаться на исходный процесс.

⚙️ Работает механизм начиная с Linux 5.3. При этом pidfd_open() не решает проблему, если PID успели переиспользовать ещё до открытия дескриптора. Для собственных дочерних процессов pidfd лучше получать сразу при их создании.

P.S. Через pidfd_send_signal() можно также отправлять сигналы конкретному процессу, не рискуя попасть в другой из-за повторного использования PID.

👍 Белый хакер

🇺🇸 В США закрыли более 40 «ферм ноутбуков» северокорейских хакеров

Привет! Минюст США предъявил обвинения 14 участникам схемы, с помощью которой северокорейские IT-специалисты устраивались на удалённую работу в американские компании под чужими именами. Во время рейдов в Техасе закрыли более 40 так называемых laptop farms и изъяли около 187 компьютеров.

👨‍💻 Схема работала довольно хитро. Человек из КНДР проходил отбор под поддельной личностью, а рабочий ноутбук компания отправляла на адрес посредника в США. Тот держал устройство у себя, обеспечивал удалённый доступ и помогал создать впечатление, что сотрудник действительно работает из Америки.

🚨 По данным следствия, так удалось устроиться более чем в 70 компаний и заработать около $3 млн. Часть денег, как утверждает Минюст, направлялась в КНДР в обход санкций. Среди пострадавших оказались компании из здравоохранения, торговли, производства и IT.

⚙️ CrowdStrike обнаружила и другие уловки. Например, злоумышленники подавали фальшивые заявления о краже ноутбуков, чтобы работодатели отправляли замену на нужный адрес. А с мая 2026 года начали подменять идентификаторы устройств, в том числе выдавать плату видеозахвата за веб-камеру.

🖥 FBI также выяснило, что некоторые северокорейские работники передавали свои задачи фрилансерам из Индии, Пакистана и Нигерии, оставляя себе разницу в зарплате. Иногда сторонних специалистов нанимали даже для прохождения собеседований.

P.S. По данным FBI, схема уже затрагивает и оборонных подрядчиков США. А CrowdStrike предупреждает, что закрытие нескольких десятков ферм вряд ли остановит её надолго: посредников и адреса можно заменить.

#NorthKorea #FamousChollima #Cybercrime #Infosec
👍 Белый хакер