Как отметила в своем блоге вице-президент Google по безопасности, с 2022 года более 400 миллионов учетных записей Google активировали защиту с помощью ключей доступа (passkeys).

Юзеры аккаунтов Google прошли аутентификацию, используя passkeys, более 1 миллиарда раз. Это явный показатель того, что новая функция безопасности становится все популярнее.

В мире ИТ в первый четверг мая отмечается Всемирный день пароля, который обращает внимание людей на необходимость их использования.

Passkeys состоят из двух частей: открытый ключ хранится на сервере, а закрытый — на устройстве пользователя. Сам девайс является одним из факторов аутентификации.

Хоть и звучит все это очень сложно, но на деле ключи доступа помогают пользователю легко и быстро войти в систему. Владелец устройства лишь использует своё лицо, отпечаток пальца или ПИН-код.

По сообщению Google, время входа пользователей в систему с помощью ключей доступа на 50% быстрее, чем при использовании традиционной двухэтапной верификации, включая одноразовые пароли на основе СМС и OTP-коды в приложениях. Этот факт повышает безопасность и эффективность процессов аутентификации.

В планах Google уже лежит идея по интеграции ключей доступа в программу Advanced Protection Program, которая обеспечивает повышенные меры безопасности для пользователей Google-аккаунтов с повышенным риском, к которым относятся активисты, политики и журналисты. Юзеры смогут использовать только passkeys для входа, а также сочетать их с традиционными паролями или аппаратными ключами безопасности, что звучит очень удобно и безопасно.

Но вопрос о том, почему же люди не переходят на использование простых и надежных ключей доступа, остается открытым. Юзерам много лет говорили, что длинные и сложные пароли — это лучший метод защиты учетных записей. Людям тяжело поспевать за стремительным темпом развития цифровой безопасности.

Команда Google разработала новый способ идентификации оригинальных государственных приложений.

Новое обозначение правительственных приложений появилось в Google Play Store. Оно выглядит как небольшой значок в виде здания с колоннами, подписанное словом Government и найти его можно в верхней части странички с описанием приложения, рядом с рейтингом и возрастной категорией.

Новое обозначение усложнит жизнь мошенникам: теперь будет невозможно выдать фейковое приложение за правительственное, даже если модерация Google Play Store и пропустит клона в магазин. Единственными жертвами фейков будут лишь самые невнимательные пользователи.

Чтобы получить значок, госучреждения-владельцы приложений должны соблюсти определенные условия, например, использовать для аккаунта разработчика официальный email ведомства. Сейчас приложения активно получают новое обозначение в США и некоторых странах Европы и Азии, а через некоторое время нововведение распространится на весь мир.

Исследователи из компании Oversecured обнаружили многочисленные уязвимости в различных приложениях и системных компонентах устройств Xiaomi и Google, работающих под управлением Android. По словам экспертов, эти баги дают доступу к произвольным операциям, ресиверам и сервисам с системными привилегиями, чреваты кражей произвольных файлов, а также утечкой данных устройства, настроек и учетной записи.

В Oversecured сообщают, что 20 уязвимостей затрагивают различные приложения и компоненты Xiaomi, включая:

Gallery;
GetApps;
Mi Video;
MIUI Bluetooth;
Phone Services;
Print Spooler;
Security;
Security Core Component;
Settings;
ShareMe;
System Tracing;
Xiaomi Cloud.

Отмечается, что Phone Services, Print Spooler, Settings и System Tracing являются легитимными компонентами из Android Open Source Project (AOSP), но они были модифицированы китайским производителем для добавления дополнительной функциональности, что и привело к появлению обнаруженных недостатков.

Среди наиболее значимых проблем, найденных исследователями, можно отметить инъекцию шелл-команд, затрагивающую приложение System Tracing, а также ошибки в приложении Settings, которые могли привести к хищению произвольных файлов, а также утечке через намерения информации об устройствах Bluetooth, подключенных сетях Wi-Fi и экстренных контактах.

Также был обнаружен баг, связанный с повреждением памяти в приложении GetApps, которое, в свою очередь, берет начало от Android-библиотеки LiveEventBus. По словам Oversecured, сопровождающим проекта сообщили о проблеме больше года назад, однако она до сих пор не устранена.

Oversecured пишет, что уведомила Xiaomi об уязвимостях в конце апреля 2023 года, и к настоящему времени все проблемы уже устранены. Теперь пользователям рекомендуется как можно скорее установить последние обновления для защиты от потенциальных рисков.

Интересно, что помимо перечисленного исследователи обнаружили еще шесть уязвимостей в ОС Google в целом. Две из них характерны для устройств Pixel, а остальные четыре затрагивают любые Android-устройства.

В начале 2024 года в киберпространстве активизировалась группировка MorLock, атакующая предприятия с использованием программ-вымогателей. За короткий период времени было атаковано не менее 9 крупных и средних российских компаний. О тактике группы рассказали специалисты F.A.C.C.T. в новом отчете.

Злоумышленники MorLock используют вымогательские программы LockBit 3.0 и Babuk, что характерно и для других кибергрупп, но благодаря уникальным тактикам, техникам и процедурам MorLock удается выделить среди прочих. Группа предпочитает действовать втайне, не проявляя активности на киберфорумах и в соцсетях, контакты для выкупа передают через зашифрованные каналы коммуникации.

Интересный момент в деятельности MorLock связан с отсутствием эксфильтрации данных перед их шифрованием, что сокращает время проведения атаки и уменьшает шансы на предотвращение инцидента. В случаях успешной атаки компании-жертвы сталкиваются с требованиями о выкупе, размер которого может достигать сотен миллионов рублей.

Как начальный вектор атаки MorLock часто использует уязвимости в публично доступных приложениях, например, Zimbra, или скомпрометированные учетные данные, приобретенные на закрытых торговых платформах. Для дальнейшего распространения вредоносного ПО в сетях жертв применяются инструменты – Sliver для постэксплуатации и SoftPerfect Network Scanner для сетевой разведки. Некоторые инструменты киберпреступники загружали на хосты непосредственно с официальных сайтов с помощью веб-браузера жертвы.

Особенность MorLock также в том, что в случае наличия в сети жертвы «популярного российского корпоративного антивируса», атакующие получают доступ к его административной панели, отключают защиту и используют этот вектор для дальнейшего распространения вредоносного ПО.

Инструменты и методы MorLock постоянно развиваются, а список индикаторов компрометации доступен для общего ознакомления на GitHub, что позволяет IT-специалистам и компаниям-жертвам оперативно реагировать на угрозы.

Лаборатория Касперского представила обзор изменений в ландшафте киберугроз за первый квартал 2024 года. В отчёте отмечается рост числа уязвимостей в программном обеспечении, что подчеркивает важность своевременной реакции на новые угрозы.

По статистике, последние 5 лет демонстрируют устойчивый рост количества уязвимостей, зарегистрированных с CVE-идентификаторами. Такая тенденция связана с развитием программ поощрения за выявление уязвимостей и соревнований по поиску недостатков в системе безопасности, что стимулирует научные исследования в этой области.

Кроме того, разработчики популярного ПО, операционных систем и языков программирования внедряют все более эффективные механизмы защиты и мониторинга, что также приводит к частому обнаружению уязвимостей. Наконец, с увеличением сложности и количества программных продуктов возрастает и вероятность появления новых уязвимостей.

В 2023 году было зарегистрировано рекордное количество критических уязвимостей. Например, доля критических уязвимостей в первом квартале 2024 года остаётся высокой, что указывает на необходимость усиления защитных мер и внедрения менеджмента исправлений.

Отчёт также выделяет важность эксплойтов — программ, позволяющих использовать уязвимости для вредоносных целей. Статистика показывает, что наибольший интерес среди злоумышленников вызывают уязвимости, которые позволяют получить контроль над системой.

Дополнительно приводится анализ эксплуатации уязвимостей в рамках APT-атак, которые нацелены на инфраструктуры организаций. В 2023 году особенно активно эксплуатировались уязвимости в сервисах удалённого доступа и механизмах разграничения доступа.

В первом квартале 2024 года наблюдалось значительное количество эксплойтов, направленных на серверы Microsoft Exchange. Кроме того, многие эксплойты затрагивали различные программные продукты, используемые в бизнес-системах для решения разнообразных задач, что связано с широким спектром ПО, которое может быть интегрировано в корпоративные сети.

Минцифры расширило список данных, который организаторы хранения информации хранят и передают по запросу силовым ведомствам: теперь в него входит не только IP-адрес пользователя, но и его сетевой порт.

Сетевые порты — это виртуальные конечные точки, которые соединяют передачу данных между несколькими приложениями, службами или устройствами в сети.

Специалисты утверждают, что иногда очень сложно определить пользователей, размещающих незаконную информацию в интернете, поэтому данные изменения позволят увеличить эффективность работы силовиков.

Документ был опубликован на официальном портале проектов правовых актов.

По закону к организаторам хранения информации относится любое физическое или юридическое лицо, владеющее сайтом с функцией коммуникации между пользователями.

А это соцсети, мессенджеры, файловые хранилища, онлайн-магазины, площадки объявлений и другие.

В рамках закона о «суверенном Рунете» данные об IP-адресах сайтов и пользователей уже сохраняются.

Согласно пояснительной записке, сложность заключается в определении, кому из абонентов принадлежит IP-адрес. Ведь организаторы хранения информации используют разные методы оптимизации нагрузки и защиты от DDoS-атак, а также перенаправляют запросы пользователей и не протоколируют их порты. А некоторые абоненты и вовсе могут задействовать виртуальные частные сети и прокси-серверы.

Уже осенью Роскомнадзор планирует начать собирать с операторов связи географические координаты всех используемых ими IP-адресов. По мнению специалистов, данная стратегия позволит увеличить эффективность борьбы с DDoS-атаками и позволит точечно блокировать ресурсы, размещающие незаконную информацию, в отдельно взятых регионах.

Microsoft развертывает GPT-4 в изолированной от интернета облачной среде Azure Government Top Secret, предназначенной для использования армией США. О решении стало известно по итогам интервью с Уильямом Шаппелем, главным техническим директором по стратегическим миссиям и технологиям.

Новая система предназначена для обработки огромных объемов секретной информации в интересах американских разведывательных служб. Это первый случай, когда LLM-модель функционирует в полной изоляции от Всемирной паутины и работает по принципу Air Gap. Такой подход позволяет предотвратить утечку или преднамеренный взлом данных.

Как только технология получит необходимые аккредитации, Пентагон сможет использовать GPT-4 в защищенной среде.

Microsoft, являющаяся крупным инвестором OpenAI, гарантирует, что Пентагон сможет использовать возможности генеративного ИИ в безопасной среде без риска разглашения секретной информации. По словам Шаппелла, благодаря возможностям GPT-4, которые Microsoft развернула через Azure OpenAI Service в Azure Government Top Secret, Пентагон сможет адаптировать технологию под свои нужды, настраивать ее и добавлять собственные данные.

Работа над системой длилась 18 месяцев, в том числе капитальный ремонт существующего ИИ-суперкомпьютера в Айове. Модель, размещенная в облаке, является статической, то есть она может читать файлы, но не учиться на их основе или в открытом Интернете. По словам Шаппелла, правительство может сохранить свою модель «чистой» и предотвратить попадание конфиденциальной информации на платформу. По его словам, около 10 000 человек теоретически смогут получить доступ к ИИ.

Шаппелл отметил, что в коммерческом использовании уже применяются аналогичные приложения, и теперь правительство сможет разрабатывать подобные решения для своих задач. Однако Шаппелл отказался прогнозировать точную дату аккредитации GPT-4 для работы с секретными данными, подчеркнув, что процесс аккредитации находится под контролем правительства.

Исследователи кибербезопасности из Citizen Lab уже не первый год отслеживают деятельность израильской компании NSO Group, разработчика шпионского ПО Pegasus. В 2019 году специалисты выявили, что данное программное обеспечение использовалось для взлома телефонов журналистов и защитников прав человека через уязвимость в WhatsApp.

Несмотря на благие намерения исследователей, компания NSO, находящаяся в чёрном списке правительства США, активно судится с Citizen Lab, пытаясь выведать методы, которыми компания проводила свой анализ. Суд, впрочем, последовательно отклоняет попытки NSO получить доступ к документации Citizen Lab, однако обстановка продолжает постепенно накаляться.

Судебное разбирательство против NSO началось ещё в 2019 году, когда WhatsApp и Meta подали в суд на производителя шпионского софта, обвиняя его в отправке вредоносных программ на около 1400 устройств по всему миру.

В последнее время NSO активно пытается пересмотреть свой медийный образ, особенно после включения в черный список в 2021 году. Так, в ноябре прошлого года после атак ХАМАС 7 октября компания обратилась в Госдепартамент с предложением обсудить использование Pegasus как «критически важного инструмента в борьбе с терроризмом».

Судебные иски против NSO включают не только дело WhatsApp, но и другие иски, в том числе от журналистов из Сальвадора, компании Apple и вдовы убитого журналиста Джамаля Хашогги. Все эти иски в той или иной степени опираются на исследования Citizen Lab. В связи с чем, как было сказано выше, NSO уже дважды пыталась добиться предоставления дополнительной информации от Citizen Lab по поводу методов их расследования.

Первая попытка была отклонена в марте, а вторая в апреле этого года. Судья Гамильтон осудила требования NSO как «явно чрезмерные». Однако она оставила компании шанс попробовать ещё раз, если NSO сможет предоставить доказательства того, что лица, отнесённые Citizen Lab к категории целей из гражданского общества, фактически занимались «криминальной/террористической деятельностью».

В сети распространяется мошенническая схема по угону Telegram-аккаунтов. Разводилы пользуются пробелами в знаниях пользователей, чтобы заставить их самостоятельно отдать всё.

Мошенники пишут жертве в Telegram под видом техподдержки мессенджера. Они утверждают, что получили заявку на полное удаление аккаунта, и спрашивают подтверждения. Когда человек говорит, что никаких заявок не оставлял, разводилы присылают ссылку, по которой якобы нужно подтвердить свой отказ от удаления.

Разумеется, сайт стилизован под официальный, а после перехода нужно ввести данные аккаунта, в том числе одноразовый код и облачный пароль. Получив всё это, разводилы мигом меняют пароль и используют учетную запись для фишинга от имени её прежнего владельца.

Чтобы избежать обмана, Роскачество призывает пользователей использовать сложные пароли, подключать двойную аутентификацию и быть осторожными при переходе по подозрительным ссылкам в Telegram.

Исследователями издания TechCrunch было выявлено около четырёх десятков рекламных ссылок с доменом «gov.in», принадлежащих правительствам различных штатов Индии, таких как Бихар, Гоа, Карнатака, Керала, Мизорам и Телангана. Ссылки вели на платформы, которые позиционируются как «самая популярная в Азии платформа онлайн-ставок» и «ведущее приложение для ставок на крикет в Индии».

Как именно мошенники смогли разместить эти рекламные объявления на сайтах правительства и как долго действовали перенаправляющие ссылки, до сих пор не установлено. Некоторые из затронутых веб-страниц принадлежат таким серьёзным организациям, как департамент полиции и отдел по налогообложению имущества.

Обнаружив проблему в начале недели, представители издания немедленно сообщили о ней в Индийскую службу компьютерных чрезвычайных ситуаций (CERT-In), предоставив примеры затронутых сайтов.

Через некоторое время агентство CERT-In подтвердило получение информации и сообщило о начале расследования.

На текущий момент неизвестно, была ли устранена уязвимость, которая позволила несанкционированный доступ к сайтам, однако работа по этому киберфронту ведётся максимально активно.

В июне прошлого года журналисты TechCrunch уже сообщали о подобных случаях мошенничества, когда через уязвимости в CMS-системе на американских государственных сайтах публиковались объявления о предоставлении услуг по взлому Instagram.

Исследовательская группа Cybernews обнаружила в Интернете колоссальный набор данных, содержащий личную информацию исключительно граждан Китая. Количество данных уже превысило 1,2 миллиарда записей и продолжает расти.

Первая запись в этот архив была добавлена 29 апреля, а всего за неделю количество данных увеличилось до 1 230 703 487 записей. Утечка занимает около 100 гигабайт и содержит в основном номера телефонов, но зачастую и другие чувствительные данные, такие как домашние адреса и номера удостоверений личности.

Большая часть данных собрана из ранее утекших публичных баз, но также присутствуют уникальные и ранее не виданные наборы данных. Исследователи предполагают, что за сбором данных стоит некая организованная группа с потенциально недобрыми намерениями.

Что входит в утечку:

- 668 304 162 записей, включающих номера учётных записей QQ и телефонные номера. QQ — чрезвычайно популярное приложение для социальных сетей в Китае, похожее на WhatsApp.
- 502 852 106 записей, содержащих идентификаторы учётных записей Weibo и номера телефонов. Weibo — китайская платформа микроблогов, похожая на гибрид Twitter и Facebook.
- 50 557 417 записей из базы данных ShunFeng, включающей номера телефонов, имена и адреса. ShunFeng предоставляет логистические/курьерские услуги в Китае.
- 8 064 215 записей в наборе данных Siyaosu, раскрывающих имена, номера телефонов, адреса и номера удостоверений личности.
- 746 310 записей Chezhu, включающих имена, номера телефона, адреса электронной почты, домашние адреса и номера удостоверения личности.
- 100 790 записей Pingan, содержащие имена, номера телефонов, адреса электронной почты, домашние адреса, заказанные услуги, номера карт и выплаченную сумму по страховке. Pingan — страховая компания в Китае.
- 78 487 записей в поддиапазоне Jiedai, включающих имена, телефонные номера, домашние адреса, номера удостоверений личности, места работы, данные об образовании, имена партнеров и их телефонные номера.

CISA и ФБР заявили, что в период с апреля 2022 года по май 2024 года операторы вымогателя Black Basta успешно атаковали более 500 организаций.

Совместный отчет, опубликованный в сотрудничестве с Министерством здравоохранения и социальных служб, а также Межштатным центром по обмену информацией и анализу, гласит, что группировка зашифровала и похитила данные у организаций в 12 из 16 секторов критической инфраструктуры.

Хотя не сообщается, что именно послужило поводом для публикации этого предупреждения, на прошлой неделе вымогателя Black Basta связывали с масштабной атакой на системы медицинского гиганта Ascension, в результате которой медики оказались вынуждены перенаправлять машины скорой помощи в незатронутые учреждения.

После взлома Ascension Министерство здравоохранения США тоже выпустило собственный бюллетень безопасности с предупреждением о том, что Black Basta «в последнее время увеличила количество атак на сектор здравоохранения».

ИБ-специалисты полагают, Black Basta является ребрендингом известной хак-группы Conti, так как на это указывают сходства используемых техник хакеров и стилей ведения переговоров.

Подоспели майские апдейты от Microsoft, в этот раз включающие патчи для 61 уязвимости, две из которых активно используются в реальных кибератаках. Ещё для одной в сети лежит готовый эксплойт.

Статус критической достался лишь одной бреши из набора — возможности удалённого выполнения кода в Microsoft SharePoint Server. По категориям проблемы в этот раз распределились следующим образом: 17 багов повышения прав; 2 проблемы обхода защитных функций; 27 уязвимостей удалённого выполнения кода; 7 дыр, приводящих к раскрытию информации; 3 возможности провести DoS; 4 бага, допускающих спуфинг.

Две уязвимости, закрытые в мае 2024 года, уже фигурируют в атаках киберпреступников, ещё одна имеет готовый общедоступный эксплойт.

CVE-2024-30040 — обход защитных функций в Windows MSHTML. Атакующему придётся обманом заставить жертву загрузить вредоносный документ, при запуске которого злоумышленник сможет выполнить произвольный код в системе.

CVE-2024-30051 — повышение прав, затрагивающее корневую библиотеку Windows DWM. Киберпреступник может получить привилегии уровня SYSTEM с помощью соответствующего эксплойта. Специалисты «Лаборатории Касперского» утверждают, что именно эта брешь используется в атаках Qakbot.

CVE-2024-30046 — проблема отказа в обслуживании, затрагивающая Microsoft Visual Studio. Готовый эксплойт для этой дыры лежит в сети, хотя в реальных атаках она пока замечена не была.

Созданный в Пензенском университете (ПГУ) антивирус использует нейросети и машинное обучение и не требует постоянного подключения к интернету. Разработку планируют завершить в этом году, а в ноябре подать заявку на сертификацию.

Из рассказа руководителя проекта можно понять, что вооруженный ИИ защитный софт способен предугадывать действия пользователя, и его можно подстроить под конкретные условия и задачи. Пока готова только версия для Windows, умеющая распознавать трояны, руткиты и нелегальные майнеры.

Для выявления фактов заражения используются два вида анализа:«нейросетевой» и «нейросигнатурный». В первом случае написанная на Python нейросеть оценивает работу кода, выполняя сравнение с известными ей алгоритмами поведения вредоносов.

Второй компонент определяет угрозы, используя ИИ в комбинации с традиционным сигнатурным анализом. Авторы проекта исходили из того, что написанный с нуля зловред — большая редкость, вирусописатели обычно в той или иной степени используют наработки коллег по цеху.

По замыслу, созданный в стенах ПГУ антивирус можно будет использовать как в корпоративном окружении, так и в индивидуальном порядке. Продукт планируют распространять по подписке.

Заметим, без связи с сетью такой софт сможет детектировать только вредоносные программы с заимствованиями, притом теми, с которыми он уже сталкивался. Впрочем, приведенное репортером описание слишком лаконично и туманно, стоит подождать более конкретных дополнений.

На прошлой неделе США, совместно с Великобританией и Австралией, предъявили обвинения и наложили санкции против Дмитрия Хорошева, которого считают лидером известной вымогательской группировки LockBit.

Настоящий лидер LockBit, известный в сети под псевдонимом «LockBitSupp», быстро прокомментировал заявления правоохранителей, утверждая, что последние ошиблись. Якобы он — никакой не Хорошев, и ему жаль этого парня в связи с возможными проблемами, с которыми он теперь может столкнуться из-за ложных обвинений в связи с LockBit.

Исследователь Брайан Кребс с портала KrebsonSecurity решил собственноручно разобраться, какими фактами оперировали власти сразу трёх стран, когда выносили свои обвинения.

Компания Google анонсировала внушительный набор новых функций безопасности для своей мобильной операционной системы Android. Среди них — инновационная технология обнаружения кражи смартфона, способная распознавать момент, когда устройство выхватывают из рук владельца.

Некоторые из этих нововведений будут реализованы уже в финальном релизе Android 15 грядущей осенью. Однако функция распознавания кражи и ряд других возможностей станут доступны для смартфонов с гораздо более старыми версиями, благодаря чему ими сможет воспользоваться намного больше людей.

Технология «Блокировка при краже» срабатывает, улавливая нехарактерные для владельца резкие движения. Чтобы предотвратить доступ злоумышленника к данным на устройстве, экран моментально блокируется. Система также отслеживает другие сигналы, свидетельствующие о противоправных действиях, и сможет блокировать экран для защиты, если кто-то попытается отключить смартфон от сети, лишив его удаленного доступа.

Кроме того, Google представила удобный способ удаленной блокировки экрана на случай, если гаджет окажется не в тех руках. Зайдя на сайт android(.)com/lock, пользователь может ввести номер своего телефона и пройти аутентификацию — отличный вариант, если под рукой окажется только чужой телефон или ПК. Все эти функции появятся позднее в этом году благодаря обновлению фирменных сервисов Google Play для смартфонов на Android 10 и новее.

В Android 15 также будут реализованы дополнительные средства защиты персональных данных, включая «приватные пространства». Эта опция позволит размещать приложения и конфиденциальную информацию в отдельной изолированной области памяти, блокируемой уникальным PIN-кодом. Google также внедрит защиту на случай принудительного сброса настроек, требующую ввода учетных данных владельца при последующей настройке.

Министерство юстиции США предъявило обвинение двум братьям в манипуляциях с блокчейном Ethereum и хищении криптовалюты на сумму $25 млн. всего за 12 секунд в рамках мошеннической схемы.

Братья манипулировали процессом проверки транзакций в блокчейне Ethereum, получая доступ к ожидающим частным транзакциям, изменяя их, завладевая криптовалютой жертв и отклоняя запросы на возврат украденных средств. Вместо возврата преступники принимали меры для сокрытия незаконных доходов.

Обвинение утверждает, что братья изучали поведение своих жертв на рынке с декабря 2022 года, готовясь к атаке и принимая меры для сокрытия своих личностей и похищенных средств. Они использовали несколько криптовалютных адресов, иностранные биржи и создавали подставные компании. После атаки обвиняемые перемещали украденные активы через серию транзакций, чтобы скрыть их источник и владельца.

Во время подготовки и выполнения атаки братья, среди прочего, предприняли следующие шаги:

- Создали серию валидаторов Ethereum, скрывая свои личности через подставные компании, промежуточные криптовалютные адреса, иностранные биржи и сеть для повышения приватности;
- Проводили серию тестовых транзакций, так называемых «приманок», чтобы выявить переменные, которые наиболее вероятно привлекут ботов MEV, ставших жертвами эксплуатации;
- Выявили и использовали уязвимость в коде реле MEV-Boost, которая привела к преждевременному раскрытию полного содержания предложенного блока;
- Переставили предложенный блок в свою пользу и опубликовали его в блокчейне Ethereum, что привело к краже у трейдеров криптовалюты на сумму около $25 млн.

В ходе всего процесса братья также искали в интернете информацию о проведении атаки, скрытии своего участия в эксплуатации Ethereum, отмывании криминальных доходов через биржи с низкими требованиями к верификации, нанимали адвокатов с опытом в криптовалюте, изучали процедуры экстрадиции и преступления, описанные в обвинении.