📧❗️Огромная коллекция из 361 миллиона адресов электронной почты, полученных из украденных вредоносным ПО паролей, была добавлена в службу уведомлений о взломе данных

Эти данные были собраны киберисследователями из множества каналов Telegram, связанных с киберпреступностью. Украденные данные передавались в виде сочетания логина и пароля, логина и пароля вместе с соответствующим URL-адресом и сырых файлов cookie.

Владелец Have I Been Pwned, Троя Хант, получил 122 ГБ украденных данных от неизвестных исследователей. Хант заявил, что эти данные содержат 361 миллион уникальных адресов электронной почты, причем 151 миллион из них никогда ранее не появлялся в службе уведомлений о взломах данных.

Из-за большого объема данных невозможно проверить, что все украденные учетные данные являются подлинными.

Подробнее: https://extrim-security.ru/news-ib/tpost/pkcp2j81d1-utechka-361-milliona-ukradennih-akkaunto

👀👀Внутренний исходный код и данные New York Times были украдены из репозиториев GitHub в январе 2024 года и затем опубликованы на доске объявлений 4chan

Согласно сообщению на форуме, объем данных составляет 270 ГБ, включая 5 тысяч репозиториев и 3,6 миллиона файлов. Злоумышленник использовал открытый токен GitHub для доступа к репозиториям и кражи данных.

Компания утверждает, что утечка не повлияла на ее внутренние корпоративные системы или операции. Это второй случай публикации на 4chan на этой неделе, первый был связан с утечкой внутренних документов игры Disney Club Penguin.

Подробнее: https://extrim-security.ru/news-ib/tpost/f6e9iz3mg1-ishodnii-kod-new-york-times-ukraden-s-is

🔓➡️ Исследовательская группа, применяющая ИИ, использовала базы данных CVE для обнаружения 87% критически важных уязвимостей.

Успешно взломаны более половины тестируемых веб-сайтов с помощью автономных групп ботов на основе технологии GPT-4, способных координировать действия и создавать новые боты. Метод иерархического планирования с агентами, выполняющими конкретные задачи (HPTSA), позволил повысить эффективность коллективного подхода ИИ на 550%.

Существуют опасения, что эти модели могут использоваться злоумышленниками для атак на веб-сайты и сети.

Подробнее: https://extrim-security.ru/news-ib/tpost/4i42i2rsy1-hakeri-ispolzuyuschie-iskusstvennii-inte

📞 Интересную статью выпустил securelist о методах злоумышленников получения одноразовых паролей. Без должного соблюдения правил информационной безопасности, и двухфакторная идентификация теперь может не спасти.

Вот несколько фактов из статьи:

• OTP-боты - это ПО, запрограммированное перехватывать одноразовые пароли с помощью социальной инженерии.

• В 2024 году отсутствие возможности настроить двухфакторную аутентификацию является моветоном в мире кибербезопасности.

• В отдельных странах определенные организации по закону обязаны защищать аккаунты пользователей при помощи двухфакторной аутентификации.

• Популярность этого метода защиты аккаунтов привела к появлению многочисленных способов его взломать или обойти.

• Мошенники делают ставку именно на звонок, потому что время действия кода сильно ограничено.

• Злоумышленники получают исходные учетные данные разными путями, включая утечки персональных данных, наборы данных, купленных в даркнете, и фишинговые сайты.

Подробнее: https://extrim-security.ru/news-ib/tpost/vdoxxyi6u1-obhod-dvuhfaktornoi-autentifikatsii-s-po

Уязвимость CVE-2024-4577 была опубликована 6 июня. За двое суток злоумышленники из группировки TellYouThePass просканировали и зашифровали 2800 серверов.

Сопроводительное письмо, которое злоумышленники оставили на серверах, гласит о выкупе в размере 6,5 тысяч долларов за ключ к расшифровке.

Злоумышленники используют технику Argument Injectio для запуска произвольного кода на удаленных PHP-серверах.

CVE-2024-4577 влияет на PHP только тогда, когда он работает в режиме, известном как CGI, в котором веб-сервер анализирует HTTP-запросы и передает их PHP-скрипту для обработки. Однако даже когда PHP не установлен в CGI-режиме, уязвимость все еще может использоваться, когда исполняемые файлы PHP, такие как php.exe и php-cgi.exe, находятся в каталогах, доступных веб-серверу.

Уязвимость очень схожа с CVE-2012-1823, но особенность преобразования кодирования в ОС Windows, позволяет неавторизованным пользователям обойти защиту по специфическим последовательным символам.

Рекомендуем проверить версию PHP на своих серверах и установить патчи безопасности.

Подробнее: https://extrim-security.ru/news-ib/tpost/2ymflyml21-uyazvimost-v-php-s-reitingom-98-iz-10

👻 Новая угроза TIKTAG направлена на Google Chrome и Linux.

Этот вид атаки влияет на Memory Tagging Extension (MTE) в архитектуре ARM, что может привести к утечке данных с вероятностью успеха 95%. Функция MTE была внедрена в архитектуру ARM v8.5-A для обнаружения и предотвращения повреждения памяти, используя маркировку для защиты от атак, связанных с повреждением памяти.

Однако специалисты обнаружили, что с помощью инструментов TIKTAG-v1 и TIKTAG-v2 можно спровоцировать спекулятивное выполнение для утечки меток памяти MTE.

В то время как компания Arm не считает эту проблему уязвимостью архитектуры, команда безопасности Chrome признала наличие проблемы, но решила не устранять уязвимости.

Подробнее: https://extrim-security.ru/news-ib/tpost/3lk8kc5jg1-novaya-ugroza-tiktag-napravlena-na-googl

🕸🕷 Злоумышленники используют вредоносное ПО NiceRAT для создания ботнета из заражённых устройств, нацеливаясь на пользователей из Южной Кореи.

Распространение этого ПО происходит через файлообменники и блоги под видом взломанных программ и инструментов активации Windows. Пользователи, следуя указаниям злоумышленников, отключают или удаляют антивирусное ПО, облегчая проникновение вируса в систему.

NiceRAT способен собирать информацию о жертве и отправлять её злоумышленникам через серверы Discord. Пользователям рекомендуется быть осторожными при использовании программ из ненадежных источников и устанавливать антивирусное ПО для защиты своих систем.

Подробнее: https://extrim-security.ru/news-ib/tpost/kpyfyt1h41-nicerat-udalite-svoi-antivirus-chtobi-on

TheHackerNews поделились информацией о новом способе обмана пользователей. Злоумышленники привлекают внимание пользователей бесплатными или пиратскими версиями коммерческого программного обеспечения. И все это, чтобы передать загрузчик ВПО Hijack Loader. Который разворачивает программу для кражи информации, известную как Vidar Stealer.

Злоумышленникам удалось обманом заставить пользователей загрузить защищённые паролем архивные файлы, содержащие троянизированные копии приложения Cisco Webex Meetings (ptService.exe).

Пользователи запускали файл «Setup.exe», приложение Cisco Webex Meetings скрытно загружало незаметный загрузчик вредоносных программ. Это приводило к запуску модуля кражи информации.
Вредоносное ПО использует известную технику обхода контроля учётных записей (UAC) для повышения привилегий. После успешного повышения привилегий вредоносное ПО добавляет себя в список исключений Защитника Windows, чтобы скрыть следы присутствия.

Бесплатные приманки для программного обеспечения ещё один субъект угрозы для пользователей.

Подробнее: https://extrim-security.ru/news-ib/tpost/ht8pbi9p21-opensorsnoe-po-ispolzuetsya-dlya-krazhi

🤡 Вредоносная программа для Linux под названием DISGOMOJI использует новый метод атаки, основанный на использовании смайликов для выполнения команд на заражённых устройствах

Она была обнаружена компанией Volexity, которая связывает её с пакистанским хакером UTA0137. Программа уникальна тем, что использует платформу Discord и смайлики для управления и контроля, что позволяет ей обходить стандартные средства защиты.

DISGOMOJI, по мнению Volexity, нацелена на специализированный дистрибутив Linux BOSS, активно используемый в индийских государственных учреждениях, но потенциально может угрожать и другим дистрибутивам Linux.

Подробнее: https://extrim-security.ru/news-ib/tpost/et660y67e1-skritaya-ugroza-kak-vredonos-ispolzuet-s

👉🏻 Автоматизированная система бинарного анализа Eclypsium выявила уязвимость с высокой степенью воздействия (с заявленным CVSS 7,5) в микропрограмме Phoenix SecureCore UEFI, которая работает на нескольких семействах настольных и мобильных процессоров Intel Core.

Этой уязвимости могут быть подвержены ПК и серверы Lenovo, Acer, Dell и HP.

🕸 Проблема связана с небезопасной переменной в конфигурации доверенного платформенного модуля (TPM), что может привести к переполнению буфера и выполнению вредоносного кода.

🕸 Уязвимость затрагивает несколько версий прошивки SecureCore, работающих на процессорах семейства Intel.

🕸 Возможность использования уязвимости зависит от конфигурации и разрешений, присвоенных переменной TCG2_CONFIGURATION.

🕸 Уязвимость позволяет локальному злоумышленнику повысить уровень привилегий и получить доступ к выполнению кода во встроенном ПО UEFI во время выполнения.

🕸 Такое использование уязвимостей дают злоумышленникам возможность постоянно находиться внутри устройства и часто обходить меры безопасности более высокого уровня.

Подробнее: https://extrim-security.ru/news-ib/tpost/nrd6iitdv1-ueficanhazbufferoverflow-uyazvimi-populy

🗂 Аналитики обнаружили, что злоумышленники создавали поддельные аккаунты в социальных сетях, массово размещали сообщения и посты рекламного характера на площадках с видеоконтентом и образовательных порталах.

Таким способом они пытались масштабировать свою кампанию и мотивировать пользователей воспользоваться якобы преимуществом взломанного софта за счёт отсутствия трат на покупку.

В итоге пользователи, пытавшиеся установить популярный софт, переставший работать в России, загружали на свои компьютеры шпионское ПО, стилеры и криптомайнеры.

Подробнее: https://extrim-security.ru/news-ib/tpost/tjmg0n53o1-kryak-s-vredonosom

🇺🇸 Американские власти запретят продажу продуктов "Лаборатории Касперского" и прекратят обновления для них на территории США с 29 сентября 2024 года. Запрет распространяется и на заключение новых соглашений с американскими компаниями, которое будет невозможно с 20 июля 2024 года.

В "Лаборатории Касперского" считают, что решение американского Министерства торговли было принято "вероятно, основываясь на текущей геополитической ситуации и теоретических опасениях, а не на технической оценке продуктов".

Компания предлагает провести проверку своих продуктов независимой третьей стороной и намерена использовать доступные юридические меры, чтобы сохранить текущую деятельность и отношения с партнёрами и клиентами даже после запрета.

Подробнее: https://extrim-security.ru/news-ib/tpost/u9s3u8f8e1-v-ssha-polnostyu-zapretyat-prodazhu-prod

🚪 Бэкдор проник в несколько плагинов WordPress в результате продолжающейся атаки на цепочку поставок

Злоумышленники заражают программное обеспечение прямо на этапе его создания, чтобы затем через обновления или установочные файлы внедриться в большое количество устройств пользователей, которые ни о чём не подозревают.

▪️ Плагины WordPress на 36 000 веб-сайтах были взломаны в результате атаки на цепочку поставок неизвестного происхождения.

◾️ Кампания затронула пять плагинов, сообщили исследователи из охранной фирмы Wordfence: Social Warfare, BLAZE Retail Widge, Wrapper Link Elementor, Contact Form 7 Multi-Step Addon, Simply Show Hooks.

Читать подробнее: https://extrim-security.ru/news-ib/tpost/x47brag9h1-bekdor-pronik-v-neskolko-plaginov-wordpr

👁‍🗨 Мошенники разработали новый метод атаки в реальных условиях, используя специально созданные файлы консоли управления (MSC), чтобы получить полный контроль над компьютером с помощью консоли управления Microsoft (MMC) и обойти все средства защиты.

Этот метод получил название GrimResource после того, как был обнаружен вредоносный файл ("sccm-updater.msc") на платформе сканирования вирусов VirusTotal 6 июня 2024 года. Используя уязвимость в одной из библиотек MMC, мошенники могут запустить вредоносный код, включая вредоносное ПО.

Для обхода мер безопасности, установленных Microsoft, они также используют уязвимость межсайтового скриптинга (XSS), присутствующую в библиотеке apds.dll, чтобы запустить произвольный код JavaScript в контексте MMC. Это достигается путем добавления ссылки на уязвимый ресурс APDS в раздел StringTable вредоносного MSC-файла.

Подробнее: https://extrim-security.ru/news-ib/tpost/0ukoxinap1-novii-metod-ataki-ispolzuet-faili-konsol

⚙️ Исследователи из Грацкого технологического университета раскрыли детали новой side-channel атаки под названием SnailLoad. Эта атака позволяет злоумышленнику удаленно узнавать, какие сайты и контент просматривает пользователь без непосредственного доступа к его трафику.

Для осуществления атаки SnailLoad злоумышленник проводит серию измерений задержки (latency) для различных видео на YouTube и сайтов, которые просматривает жертва. Полученные данные позволяют отслеживать время ожидания, включая специфические временные отклонения для каждого целевого видео или сайта, по сути, осуществляя фингерпринтинг каждого из них.

Важным аспектом атаки является то, что вредоносный сервер должен загружать контент очень медленно (отсюда и название SnailLoad), чтобы злоумышленник мог наблюдать за задержкой в течение продолжительного периода времени.

Подробнее: https://extrim-security.ru/news-ib/tpost/f8g08zbzk1-snailload-novaya-side-channel-ataka-na-k

🏦 20 июня хакерская атака привела к временным трудностям в работе национальной системы платежных карт (НСПК), включая проблемы с интернет-платежами и переводами через систему быстрого платежа (СБП).

Неполадки в работе НСПК были вызваны атакой типа DDoS, которая повлияла на ограниченное количество сервисов. По словам представителей НСПК, у них есть необходимые средства и механизмы для мониторинга и предотвращения подобных ситуаций.

Атака на НСПК была более успешной, чем предыдущие попытки взлома нескольких крупных российских банков. Злоумышленники применили ковровую атаку, которая наносит ущерб всем ресурсам компании одновременно.

Подробнее: https://extrim-security.ru/news-ib/tpost/g95snb5uh1-sistema-bitih-platezhei

❗️Обнаружена критическая уязвимость в программном обеспечении MOVEit от компании Progress Software, которая подвергает опасности большие сегменты интернета. Злоумышленники уже пытаются использовать эту уязвимость для проведения атак.

Продукт MOVEit используется для передачи и управления файлами с использованием различных протоколов, включая SFTP, SCP и HTTP, а также способов, соответствующих правилам PCI и HIPAA.

Уязвимость MOVEit, обнаруженная в прошлом году, привела к компрометации более 2300 организаций, включая такие известные компании, как Shell, British Airways, Министерство энергетики США и реестр рождения Онтарио, BORN Ontario, что повлекло за собой утечку данных о 3,4 миллиона человек.

Подробнее: https://extrim-security.ru/news-ib/tpost/o00pgkm631-kriticheskaya-uyazvimost-moveit-podverga

👾Ваш код доступа – «Метод Хакера». Подкасты для тех, кто хочет быть на шаг впереди👾

Свеженький, сегодняшний, с пылу с жару - новый выпуск подкаста Метод хакера "Замок из песка"!

В этот раз обсуждаем песочницы информационной безопасности. Наш эксперт Сергей Осипов – бизнес-лидер продукта PT Sandbox от Positive Technologies 🕶

Противоборство песочницы и вредоносного ПО, приманки-провокаторы, машина времени в ИБ. Концентрация только самого интересного и полезного! Советуем даже запастись ручкой и бумажкой, возможно вам захочется записать небольшой конспект :)

Все, все, больше не спойлерим. Послушать можно тут: ЯндексМузыка, Звук, ВК и mave. Или прямо на нашем сайте

UPD: Теперь и в тг такая возможность есть)

👿 Специалисты FACCT выявили новую хакерскую группу ReaverBits, осуществляющую рассылку вредоносных писем российским организациям от лица различных компаний и министерств.

На данный момент известно о пяти таких рассылках, целью которых стали российские компании из сферы розничной торговли, телекоммуникаций, процессинговая компания, агропромышленное объединение и федеральный фонд.
Хакеры использовали различные методы, включая выдачу себя за интернет-магазин Skyey и предложение фальшивой скидки на запчасти для автомобилей УАЗ.

Эксперты отмечают, что все атаки направлены исключительно на российские организации, группа активно использует спуфинг и применяет MetaStealer в качестве полезной нагрузки.

Подробнее: https://extrim-security.ru/news-ib/tpost/j46u8dylo1-novaya-hakerskaya-ugroza-reaverbits-atak

🔨 Компания Juniper Networks выпустила обновления для устранения критической уязвимости в своих маршрутизаторах, которая может привести к обходу аутентификации.

Уязвимость получила высокую оценку CVSS и затрагивает только определенные модели маршрутизаторов. Производитель заявил, что не обнаружено активного использования уязвимости и выпустил автоматические исправления для затронутых устройств.

В январе 2024 года компания также выпустила исправления другой критической уязвимости, которая может позволить злоумышленнику вызвать отказ в обслуживании или удаленное выполнение кода.

Подробнее: https://extrim-security.ru/news-ib/tpost/ihj3xx72z1-ustranenie-kriticheskoi-uyazvimosti-v-ma

👉🏻 Исследователи из подразделения угроз Qualys (TRU) обнаружили критическую уязвимость в безопасности сервера OpenSSH (sshd) в системах Linux на основе glibc, которую они назвали "regreSSHion". Эта уязвимость, обозначенная кодом CVE-2024-6387, позволяет удаленно выполнять код без аутентификации (RCE), представляя серьезную угрозу для затронутых систем.

👉🏻 Согласно Бхарату Джоги, старшему директору Qualys TRU, уязвимость описывается как "состояние гонки обработчика сигналов на сервере OpenSSH (sshd)".

Хотя использование этой уязвимости сложно и требует нескольких попыток, оно все же может привести к повреждению памяти и требует преодоления рандомизации расположения адресного пространства (ASLR).

Подробнее: https://extrim-security.ru/news-ib/tpost/esd18rhcy1-obnaruzhena-kriticheskaya-uyazvimost-v-o