В сети распространяется мошенническая схема по угону Telegram-аккаунтов. Разводилы пользуются пробелами в знаниях пользователей, чтобы заставить их самостоятельно отдать всё.

Мошенники пишут жертве в Telegram под видом техподдержки мессенджера. Они утверждают, что получили заявку на полное удаление аккаунта, и спрашивают подтверждения. Когда человек говорит, что никаких заявок не оставлял, разводилы присылают ссылку, по которой якобы нужно подтвердить свой отказ от удаления.

Разумеется, сайт стилизован под официальный, а после перехода нужно ввести данные аккаунта, в том числе одноразовый код и облачный пароль. Получив всё это, разводилы мигом меняют пароль и используют учетную запись для фишинга от имени её прежнего владельца.

Чтобы избежать обмана, Роскачество призывает пользователей использовать сложные пароли, подключать двойную аутентификацию и быть осторожными при переходе по подозрительным ссылкам в Telegram.

Исследователями издания TechCrunch было выявлено около четырёх десятков рекламных ссылок с доменом «gov.in», принадлежащих правительствам различных штатов Индии, таких как Бихар, Гоа, Карнатака, Керала, Мизорам и Телангана. Ссылки вели на платформы, которые позиционируются как «самая популярная в Азии платформа онлайн-ставок» и «ведущее приложение для ставок на крикет в Индии».

Как именно мошенники смогли разместить эти рекламные объявления на сайтах правительства и как долго действовали перенаправляющие ссылки, до сих пор не установлено. Некоторые из затронутых веб-страниц принадлежат таким серьёзным организациям, как департамент полиции и отдел по налогообложению имущества.

Обнаружив проблему в начале недели, представители издания немедленно сообщили о ней в Индийскую службу компьютерных чрезвычайных ситуаций (CERT-In), предоставив примеры затронутых сайтов.

Через некоторое время агентство CERT-In подтвердило получение информации и сообщило о начале расследования.

На текущий момент неизвестно, была ли устранена уязвимость, которая позволила несанкционированный доступ к сайтам, однако работа по этому киберфронту ведётся максимально активно.

В июне прошлого года журналисты TechCrunch уже сообщали о подобных случаях мошенничества, когда через уязвимости в CMS-системе на американских государственных сайтах публиковались объявления о предоставлении услуг по взлому Instagram.

Исследовательская группа Cybernews обнаружила в Интернете колоссальный набор данных, содержащий личную информацию исключительно граждан Китая. Количество данных уже превысило 1,2 миллиарда записей и продолжает расти.

Первая запись в этот архив была добавлена 29 апреля, а всего за неделю количество данных увеличилось до 1 230 703 487 записей. Утечка занимает около 100 гигабайт и содержит в основном номера телефонов, но зачастую и другие чувствительные данные, такие как домашние адреса и номера удостоверений личности.

Большая часть данных собрана из ранее утекших публичных баз, но также присутствуют уникальные и ранее не виданные наборы данных. Исследователи предполагают, что за сбором данных стоит некая организованная группа с потенциально недобрыми намерениями.

Что входит в утечку:

- 668 304 162 записей, включающих номера учётных записей QQ и телефонные номера. QQ — чрезвычайно популярное приложение для социальных сетей в Китае, похожее на WhatsApp.
- 502 852 106 записей, содержащих идентификаторы учётных записей Weibo и номера телефонов. Weibo — китайская платформа микроблогов, похожая на гибрид Twitter и Facebook.
- 50 557 417 записей из базы данных ShunFeng, включающей номера телефонов, имена и адреса. ShunFeng предоставляет логистические/курьерские услуги в Китае.
- 8 064 215 записей в наборе данных Siyaosu, раскрывающих имена, номера телефонов, адреса и номера удостоверений личности.
- 746 310 записей Chezhu, включающих имена, номера телефона, адреса электронной почты, домашние адреса и номера удостоверения личности.
- 100 790 записей Pingan, содержащие имена, номера телефонов, адреса электронной почты, домашние адреса, заказанные услуги, номера карт и выплаченную сумму по страховке. Pingan — страховая компания в Китае.
- 78 487 записей в поддиапазоне Jiedai, включающих имена, телефонные номера, домашние адреса, номера удостоверений личности, места работы, данные об образовании, имена партнеров и их телефонные номера.

CISA и ФБР заявили, что в период с апреля 2022 года по май 2024 года операторы вымогателя Black Basta успешно атаковали более 500 организаций.

Совместный отчет, опубликованный в сотрудничестве с Министерством здравоохранения и социальных служб, а также Межштатным центром по обмену информацией и анализу, гласит, что группировка зашифровала и похитила данные у организаций в 12 из 16 секторов критической инфраструктуры.

Хотя не сообщается, что именно послужило поводом для публикации этого предупреждения, на прошлой неделе вымогателя Black Basta связывали с масштабной атакой на системы медицинского гиганта Ascension, в результате которой медики оказались вынуждены перенаправлять машины скорой помощи в незатронутые учреждения.

После взлома Ascension Министерство здравоохранения США тоже выпустило собственный бюллетень безопасности с предупреждением о том, что Black Basta «в последнее время увеличила количество атак на сектор здравоохранения».

ИБ-специалисты полагают, Black Basta является ребрендингом известной хак-группы Conti, так как на это указывают сходства используемых техник хакеров и стилей ведения переговоров.

Подоспели майские апдейты от Microsoft, в этот раз включающие патчи для 61 уязвимости, две из которых активно используются в реальных кибератаках. Ещё для одной в сети лежит готовый эксплойт.

Статус критической достался лишь одной бреши из набора — возможности удалённого выполнения кода в Microsoft SharePoint Server. По категориям проблемы в этот раз распределились следующим образом: 17 багов повышения прав; 2 проблемы обхода защитных функций; 27 уязвимостей удалённого выполнения кода; 7 дыр, приводящих к раскрытию информации; 3 возможности провести DoS; 4 бага, допускающих спуфинг.

Две уязвимости, закрытые в мае 2024 года, уже фигурируют в атаках киберпреступников, ещё одна имеет готовый общедоступный эксплойт.

CVE-2024-30040 — обход защитных функций в Windows MSHTML. Атакующему придётся обманом заставить жертву загрузить вредоносный документ, при запуске которого злоумышленник сможет выполнить произвольный код в системе.

CVE-2024-30051 — повышение прав, затрагивающее корневую библиотеку Windows DWM. Киберпреступник может получить привилегии уровня SYSTEM с помощью соответствующего эксплойта. Специалисты «Лаборатории Касперского» утверждают, что именно эта брешь используется в атаках Qakbot.

CVE-2024-30046 — проблема отказа в обслуживании, затрагивающая Microsoft Visual Studio. Готовый эксплойт для этой дыры лежит в сети, хотя в реальных атаках она пока замечена не была.

Созданный в Пензенском университете (ПГУ) антивирус использует нейросети и машинное обучение и не требует постоянного подключения к интернету. Разработку планируют завершить в этом году, а в ноябре подать заявку на сертификацию.

Из рассказа руководителя проекта можно понять, что вооруженный ИИ защитный софт способен предугадывать действия пользователя, и его можно подстроить под конкретные условия и задачи. Пока готова только версия для Windows, умеющая распознавать трояны, руткиты и нелегальные майнеры.

Для выявления фактов заражения используются два вида анализа:«нейросетевой» и «нейросигнатурный». В первом случае написанная на Python нейросеть оценивает работу кода, выполняя сравнение с известными ей алгоритмами поведения вредоносов.

Второй компонент определяет угрозы, используя ИИ в комбинации с традиционным сигнатурным анализом. Авторы проекта исходили из того, что написанный с нуля зловред — большая редкость, вирусописатели обычно в той или иной степени используют наработки коллег по цеху.

По замыслу, созданный в стенах ПГУ антивирус можно будет использовать как в корпоративном окружении, так и в индивидуальном порядке. Продукт планируют распространять по подписке.

Заметим, без связи с сетью такой софт сможет детектировать только вредоносные программы с заимствованиями, притом теми, с которыми он уже сталкивался. Впрочем, приведенное репортером описание слишком лаконично и туманно, стоит подождать более конкретных дополнений.

На прошлой неделе США, совместно с Великобританией и Австралией, предъявили обвинения и наложили санкции против Дмитрия Хорошева, которого считают лидером известной вымогательской группировки LockBit.

Настоящий лидер LockBit, известный в сети под псевдонимом «LockBitSupp», быстро прокомментировал заявления правоохранителей, утверждая, что последние ошиблись. Якобы он — никакой не Хорошев, и ему жаль этого парня в связи с возможными проблемами, с которыми он теперь может столкнуться из-за ложных обвинений в связи с LockBit.

Исследователь Брайан Кребс с портала KrebsonSecurity решил собственноручно разобраться, какими фактами оперировали власти сразу трёх стран, когда выносили свои обвинения.

Компания Google анонсировала внушительный набор новых функций безопасности для своей мобильной операционной системы Android. Среди них — инновационная технология обнаружения кражи смартфона, способная распознавать момент, когда устройство выхватывают из рук владельца.

Некоторые из этих нововведений будут реализованы уже в финальном релизе Android 15 грядущей осенью. Однако функция распознавания кражи и ряд других возможностей станут доступны для смартфонов с гораздо более старыми версиями, благодаря чему ими сможет воспользоваться намного больше людей.

Технология «Блокировка при краже» срабатывает, улавливая нехарактерные для владельца резкие движения. Чтобы предотвратить доступ злоумышленника к данным на устройстве, экран моментально блокируется. Система также отслеживает другие сигналы, свидетельствующие о противоправных действиях, и сможет блокировать экран для защиты, если кто-то попытается отключить смартфон от сети, лишив его удаленного доступа.

Кроме того, Google представила удобный способ удаленной блокировки экрана на случай, если гаджет окажется не в тех руках. Зайдя на сайт android(.)com/lock, пользователь может ввести номер своего телефона и пройти аутентификацию — отличный вариант, если под рукой окажется только чужой телефон или ПК. Все эти функции появятся позднее в этом году благодаря обновлению фирменных сервисов Google Play для смартфонов на Android 10 и новее.

В Android 15 также будут реализованы дополнительные средства защиты персональных данных, включая «приватные пространства». Эта опция позволит размещать приложения и конфиденциальную информацию в отдельной изолированной области памяти, блокируемой уникальным PIN-кодом. Google также внедрит защиту на случай принудительного сброса настроек, требующую ввода учетных данных владельца при последующей настройке.

Министерство юстиции США предъявило обвинение двум братьям в манипуляциях с блокчейном Ethereum и хищении криптовалюты на сумму $25 млн. всего за 12 секунд в рамках мошеннической схемы.

Братья манипулировали процессом проверки транзакций в блокчейне Ethereum, получая доступ к ожидающим частным транзакциям, изменяя их, завладевая криптовалютой жертв и отклоняя запросы на возврат украденных средств. Вместо возврата преступники принимали меры для сокрытия незаконных доходов.

Обвинение утверждает, что братья изучали поведение своих жертв на рынке с декабря 2022 года, готовясь к атаке и принимая меры для сокрытия своих личностей и похищенных средств. Они использовали несколько криптовалютных адресов, иностранные биржи и создавали подставные компании. После атаки обвиняемые перемещали украденные активы через серию транзакций, чтобы скрыть их источник и владельца.

Во время подготовки и выполнения атаки братья, среди прочего, предприняли следующие шаги:

- Создали серию валидаторов Ethereum, скрывая свои личности через подставные компании, промежуточные криптовалютные адреса, иностранные биржи и сеть для повышения приватности;
- Проводили серию тестовых транзакций, так называемых «приманок», чтобы выявить переменные, которые наиболее вероятно привлекут ботов MEV, ставших жертвами эксплуатации;
- Выявили и использовали уязвимость в коде реле MEV-Boost, которая привела к преждевременному раскрытию полного содержания предложенного блока;
- Переставили предложенный блок в свою пользу и опубликовали его в блокчейне Ethereum, что привело к краже у трейдеров криптовалюты на сумму около $25 млн.

В ходе всего процесса братья также искали в интернете информацию о проведении атаки, скрытии своего участия в эксплуатации Ethereum, отмывании криминальных доходов через биржи с низкими требованиями к верификации, нанимали адвокатов с опытом в криптовалюте, изучали процедуры экстрадиции и преступления, описанные в обвинении.

Ботнет Ebury, существующий с 2009 года, заразил почти 400 000 Linux-серверов, и примерно 100 000 из них все еще скомпрометированы, сообщают аналитики ESET.

ESET наблюдает за Ebury уже более десяти лет, и на этой неделе исследователи сообщили, что недавние действия правоохранительных органов позволили им получить представление о деятельности малвари за последние пятнадцать лет.

Так, последнее расследование ESET проводилось в сотрудничестве с голландским Национальным подразделением по борьбе с преступлениями в сфере высоких технологий, которое недавно изъяло backup-сервер, использовавшийся киберпреступниками.

Голландские аналитики отмечают, что операторы Ebury порой используют поддельные или ворованные личности и даже берут псевдонимы других киберпреступников, чтобы ввести в заблуждение правоохранителей.

Судя по последним атакам Ebury, операторы малвари предпочитают взламывать хостинг-провайдеров и осуществлять атаки на цепочки поставок, атакуя клиентов, арендующих виртуальные серверы у взломанных организаций.

Обычно первоначальная компрометация осуществляется с помощью украденных учетных данных, которые хакеры используют для проникновения на серверы. Затем малварь извлекает список входящих/исходящих SSH-соединений из wtmp и файла known_hosts, а также крадет ключи аутентификации SSH, которые в итоге используются для попыток входа в другие системы.

Кроме того, злоумышленники могут использовать известные уязвимости в ПО, работающем на серверах, чтобы получить дополнительный доступ или повысить свои привилегии.

Исследователи пишут, что инфраструктура хостинг-провайдеров, включая OpenVZ или хосты контейнеров, может использоваться для развертывания Ebury в нескольких контейнерах или виртуальных средах.

На следующем этапе атаки операторы малвари перехватывают SSH-трафик на целевых серверах в дата-центрах, используя спуфинг Address Resolution Protocol для перенаправления трафика на подконтрольный им сервер.

Мошенники, освоившие голосовую связь в мессенджерах, придумали новый предлог для получения доступа к аккаунтам ДБО. Они звонят от имени крупных российских банков и предлагают продлить срок действия карты.

О новой уловке телефонных мошенников предупредил ВТБ, подчеркнув, что обслуживание банковских карт в России сейчас продлевается автоматически. В рамках данной схемы обмана в мессенджерах создан ряд поддельных аккаунтов банков, с которых и поступают звонки.

Тем, кого беспокоит истекающий срок карты, присылают внешнюю ссылку на вредоносный файл и просят продиктовать одноразовый код, который в виде СМС придет на смартфон. Получив ключи от личного кабинета в онлайн-банке, злоумышленники смогут вывести деньги со счета или оформить на имя жертвы кредит.

Владельцы iPhone по всему миру жалуются на странный баг в iOS, который приводит к тому, что переключатель «Разрешить приложениям запрашивать отслеживание» в настройках конфиденциальности внезапно перестал работать.

Сам переключатель вдруг стал неактивным, а под ним появилась надпись: «Этот параметр нельзя изменить, потому что профиль ограничивает его или потому, что ваш Apple ID находится под управлением родителя, не соответствует минимальным возрастным требованиям или в нём отсутствует информация о возрасте». Однако пользователи заверяют, что ни одна из этих причин к ним не относится.

Интересно, что проблема наблюдается не только в iOS 17.5, но и в более старых версиях ПО, включая iOS 17.4.1, iOS 17.4 и iOS 16.6. Apple пока не комментирует ситуацию, но вполне вероятно, что это проблема на стороне сервера.

Профессор Массимилиано Сала из Университета Тренто в Италии недавно обсудил будущее блокчейн-технологий, их связь с шифрованием и квантовыми вычислениями с командой Ripple в рамках университетской лекционной серии компании.

Сала уделил внимание потенциальной угрозе, которую представляют квантовые компьютеры по мере их развития. По словам профессора, современные методы шифрования могут оказаться легко решаемыми для квантовых компьютеров будущего, что ставит под угрозу целые блокчейны.

По словам профессора, "квантовые компьютеры могут легко решать задачи, лежащие в основе цифровых подписей, что потенциально подрывает механизмы защиты активов пользователей на блокчейн-платформах". Это гипотетическая парадигма, называемая "Q-day", момент, когда квантовые компьютеры станут достаточно мощными и доступными для того, чтобы злоумышленники могли взламывать классические методы шифрования.

Такие изменения могут иметь далеко идущие последствия для любой сферы, где важна безопасность данных — в том числе для экстренных служб, инфраструктуры, банковского дела и обороны. Однако наиболее разрушительными эти изменения могут быть для мира криптовалют и блокчейна.

Сала предупреждает, что "все классические криптосистемы с открытым ключом должны быть заменены на аналоги, защищенные от квантовых атак". Идея заключается в том, что будущий квантовый компьютер или алгоритм квантовой атаки может взломать шифрование этих ключей с помощью математической грубой силы.

Следует отметить, что Биткойн, самая популярная криптовалюта и блокчейн в мире, попадает под эту категорию.

Хотя в настоящее время не существует практического квантового компьютера, способного на такое, правительства и научные учреждения по всему миру готовятся к "Q-day", рассматривая его как неизбежность. Сала считает, что такое событие не является неминуемым в ближайшее время.

Мир Jailbreak для PS4 продолжает активно развиваться, и недавние обновления для эксплойта PPPwn, предназначенного для версии прошивки 11.00, открывают новые горизонты для пользователей. Эти обновления позволяют выполнять Jailbreak без необходимости использования компьютера, предлагая множество альтернативных решений, таких как Raspberry Pi, телевизоры и роутеры.

Сам по себе Jailbreak — это процесс снятия программных ограничений с устройства, позволяющий устанавливать и запускать кастомное программное обеспечение и пиратские игры.

Версия PPPwn для Raspberry Pi претерпела значительные улучшения. Ключевым обновлением стал переход на C++, что позволяет ускорить процесс взлома в 5-10 раз по сравнению с исходными скриптами на Python. Помимо этого, теперь возможно загружать полезную нагрузку с Raspberry Pi непосредственно в PS4 напрямую.

Разработчик Stooged добавил веб-сервер и веб-интерфейс, что позволяет управлять Raspberry Pi через телефон или непосредственно с PS4. Эти нововведения дают возможность перезапускать сервер, запускать эксплойт и загружать полезную нагрузку с USB на Raspberry Pi.

Поддерживаемые модели Raspberry Pi включают: Raspberry Pi 5, Raspberry Pi 4 Model B, Raspberry Pi 400, Raspberry Pi 3B+, Raspberry Pi 2 Model B, Raspberry Pi Zero 2 W и Zero W с USB-Ethernet адаптером. Как оптимальное сочетание цены и производительности рекомендуется использовать Raspberry Pi 4 Model B.

Одна из самых интересных версий PPPwn позволяет запускать эксплойт прямо с телевизора бренда LG, устраняя необходимость в дополнительных устройствах. Телевизоры LG обладают достаточной мощностью, чтобы запускать эксплойт менее чем за 20 секунд, что делает этот метод одним из самых быстрых.

Разработчики zauceee и llbranco объединили усилия для улучшения этой версии. В последней версии 1.2 добавлена поддержка TV на aarch64 и возможность автоматического запуска эксплойта при включении телевизора. Также можно назначить кнопку пульта для запуска эксплойта в любое время.

Сегодня состоялся релиз долгожданной адвенчуры Senuas Saga Hellblade II от студии Ninja Theory на консолях Xbox и ПК. Поскольку Microsoft, будучи издателем, не стала навешивать серьезных систем антипиратской защиты, вроде Denuvo или привязки к Xbox Live, команда FLT мгновенно отчиталась о взломе. Об этом сообщает тематическая ветка на Reddit. DRM-защиту обошли при помощи эмулятора Steam, а общий вес загружаемого архива составил 48 ГБ.

CISA включило уязвимость, влияющую на Mirth Connect от компании NextGen Healthcare, в свой каталог известных эксплуатируемых уязвимостей (KEV).

Уязвимость, обозначенная как CVE-2023-43208, связана с удалённым выполнением кода без аутентификации и возникла в результате неполного исправления другой критической уязвимости — CVE-2023-37679, имеющей рейтинг 9.8 по шкале CVSS.

Mirth Connect — это платформа для интеграции данных с открытым исходным кодом, широко используемая в американском здравоохранении для обмена данными между различными системами.

Информация об этой уязвимости впервые появилась благодаря специалистам Horizon3 в конце октября 2023 года, а дополнительные технические детали вместе с PoC-эксплойтом были опубликованы в январе 2024 года.

Исследователь безопасности Навин Санкавалли сообщил, что CVE-2023-43208 связана с небезопасным использованием библиотеки Java XStream для обработки XML-данных, что делает уязвимость легко эксплуатируемой.

CISA не предоставила информации о характере атак, использующих эту уязвимость, и неясно, кто и когда начал их использовать.

Помимо уязвимости в Mirth Connect агентство также внесла в каталог KЕV недавнюю уязвимость Type Confusion, влияющую на браузер Google Chrome, которую компания признала эксплуатируемой в реальных атаках.

Федеральным агентствам США предписано обновить программное обеспечение до исправленной версии: Mirth Connect версии 4.4.1 или выше, а также Chrome версии 125.0.6422.60/.61 для Windows, macOS и Linux в срок до 10 июня 2024 года, чтобы защитить свои сети от активных киберугроз.

Специалисты центра исследования киберугроз Solar 4RAYS ГК «Солар» сообщают, что заблокировали шпионскую активность APT-группировки Obstinate Mogwai в инфраструктуре неназванного российского телеком-оператора. В атаке хакеры использовали старую, но не полностью устраненную уязвимость десериализации в параметре ViewState.

Уязвимость позволяет выполнять любые действия в атакованной системе – на сервере электронной почты Microsoft Exchange или веб-странице на базе ASP NET. Исследователи отмечают, что сам факт ее эксплуатации нелегко обнаружить, а методика реагирования ранее не описывалась в профильных сообществах.

Проблема параметра ViewState известна еще с 2014 года. Фактически она позволяет злоумышленникам выполнять произвольный код в системе и впоследствии красть, подменять или портить данные.

Расследование началось после того, как защитные средства обнаружили подозрительную активность в инфраструктуре неназванной телеком-компании. Оказалась, что к этому моменту злоумышленники уже создавали «плацдарм» для похищения конфиденциальных данных самой компании и ее клиентов.

Эксперты пишут, что несколько раз находили вредоносные инструменты группировки в атакованной сети и удаляли их. Однако через некоторое время Obstinate Mogwai возвращались, пока все пути для них не были окончательно закрыты. За настойчивость исследователи назвали эту хак-группу Obstinate Mogwai и обещают в будущем опубликовать подробный отчет от этих хакерах.

Для проникновения в сеть хакеры использовали уязвимость десериализации ненадежных данных в параметре ViewState среды ASP NET. Сериализация – это процесс преобразования состояния объекта в форму, пригодную для сохранения или передачи, а десериализация – процесс обратного преобразования данных в объект. Это необходимо для оптимизации приложений. Однако эти процессы часто содержат уязвимости, позволяющие злоумышленникам модифицировать данные и при десериализации выполнять произвольный код.

Уязвимость была частично исправлена все в том же 2014 году.