💻 Два британца построили «самодельную мобильную антенну» для рассылки мошеннических SMS

В Великобритании арестованы двое подозреваемых, которые использовали «самодельную мобильную антенну» для рассылки тысяч фишинговых SMS. Правоохранители считают, что в сообщениях подозреваемые выдавали себя за банки «и другие официальные организации».

Лондонская полиция сообщает, что 32-летний Huayong Xu и второй подозреваемый, чье имя не раскрывается, использовали самодельное устройство для массовой рассылки текстовых сообщений, при этом каким-то образом обходя защиту операторов от смишинга (фишинга с помощью SMS) и пытаясь обманом вынудить получателей раскрыть личные данные. Подчеркивается, что это первый подобный случай в Великобритании.

Подобные атаки возможны благодаря давно известным уязвимостям в стандартах мобильной связи, в частности, существует требование для мобильных устройств, которые обязаны аутентифицировать себя в сетях посредством IMSI, но при этом сети не обязаны аутентифицировать себя в ответ.

В итоге устройства, подключившиеся к фальшивой базовой станции, почти сразу могут получить фишинговое сообщение. Хотя полиция описывает созданное подозреваемыми устройство как «самодельное», не так сложно построить так называемый IMSI-перехватчик (IMSI-catcher) с помощью свободно доступного в продаже радиооборудования.

Эмуляторы базовых станций, через которые обычно осуществляется перехват соединений, называют Stingray или IMSI-перехватчик. По сути, это устройство, которое маскируется под вышку сотовой связи, заставляя устройства в зоне досягаемости подключаться именно к нему. IMSI-перехватчики нередко используются и самими правоохранительными органами для триангуляции целевых устройств, а иногда и для перехвата их коммуникаций.

🗄 Подробнее

@linuxkalii

💻 0day в Pixel: Google выпускает экстренный патч для своих смартфонов

Вслед за уже привычным Patch Tuesday от Microsoft, компания Google также выпустила обновления для устранения 50 уязвимостей безопасности в своих устройствах Pixel и предупредила, что одна из них, отслеживаемая как CVE-2024-32896, представляет собой ошибку повышения привилегий (EoP) и уже использовалась в реальных атаках в качестве Zero-day уязвимости.

«Есть признаки того, что CVE-2024-32896 уже могла быть использована ранее в ограниченных целевых атаках», — предупредила компания. «Все поддерживаемые устройства Google получат обновление до уровня патча 2024-06-05. Мы призываем всех пользователей Pixel незамедлительно установить эти обновления на свои устройства».

Google также отметила 44 других ошибки безопасности, непосредственно касающиеся устройств Pixel. Семь из них представляют собой уязвимости повышения привилегий и считаются критическими.

Устройства Pixel, хотя и работают на Android, получают отдельные обновления безопасности и исправления ошибок, отличные от стандартных ежемесячных патчей, распространяемых для всех производителей Android-устройств. Это связано с их эксклюзивными функциями и возможностями, а также уникальной аппаратной платформой, контролируемой лично Google.

Более подробную информацию об июньских обновлениях для Pixel можно найти в бюллетене безопасности, посвящённом смартфонам Google. А чтобы применить обновление, пользователям Pixel необходимо перейти в «Настройки» > «Безопасность и конфиденциальность» > «Система и обновления» > «Обновление безопасности», нажать «Установить» и перезагрузить устройство для завершения процесса обновления.

@linuxkalii

💻 Arm предупреждает об опасной 0-day уязвимости в драйверах Mali GPU

Компания Arm выпустила бюллетень безопасности и предупредила об уязвимости в драйверах ядра графических процессоров Bifrost и Valhall. При этом сообщается, что уязвимость уже используется хакерами.

GPU Mali на базе Bifrost применяются в смартфонах, планшетах (G31, G51, G52, G71 и G76), одноплатных компьютерах, Chromebook и различных встраиваемых системах. В свою очередь, GPU Valhall представлены в смартфонах и планшетах более высокого класса с такими чипами, как Mali G57 и G77, автомобильных информационно-развлекательных системах и умных телевизорах.

Проблема, о которой сообщает компания, получила идентификатор CVE-2024-4610 и представляет собой уязвимость типа use-after-free, затрагивающую все версии драйверов Bifrost и Valhall с версии r34p0 до версии r40p0.

Так как компании уже известно о случаях эксплуатации этой проблемы злоумышленниками, в Arm призывают пользователей как можно скорее установить обновления: производитель устранил уязвимость в версии драйвера r41p0, которая была выпущена еще 24 ноября 2022 года. На данный момент последней версией драйверов является r49p0, выпущенная в апреле 2024 года.

🗄 Подробнее

@linuxkalii

💻 В драйвере Wi-Fi для Windows нашли уязвимость, позволяющую удалённый запуск кода без участия пользователя

В реализации Wi-Fi в Windows обнаружена уязвимость с рейтингом опасности 8,8 из 10 (высокая), подтвердила Microsoft. Для эксплуатации уязвимости под номером CVE-2024-30078 потенциальному злоумышленнику не нужен непосредственный доступ к компьютеру жертвы или какие-либо действия с её стороны — достаточно находиться неподалёку.

Эксплуатация уязвимости позволяет злоумышленнику без аутентификации удалённо запускать код на машине жертвы — связанная с безопасностью ошибка драйвера Wi-Fi затрагивает все поддерживаемые версии Windows. Даже без особых условий доступа потенциальный хакер может добиваться «повторяющегося успеха против уязвимого компонента», сообщили в Microsoft. Перед осуществлением атаки не требуются ни аутентификация, ни доступ к настройкам и файлам на компьютере жертвы. От пользователя целевого устройства никаких действий тоже не требуется: не нужно нажимать на какие-либо ссылки, открывать картинки или запускать исполняемые файлы.

Особую угрозу уязвимость создаёт в окружениях с высокой плотностью клиентских устройств, в том числе отели, торговые выставки или другие места с многочисленными подключениями к сетям Wi-Fi — в подобных условиях киберпреступник может с лёгкостью атаковать пользователей, не поднимая лишнего шума, говорят эксперты. Для защиты рекомендуется установить последние обновления Windows; пользователям неподдерживаемых версий системы в отсутствие возможности её смены следует рассмотреть возможность использовать дополнительные средства безопасности на уровне сети — брандмауэры и системы обнаружения вторжений. Эксперты также сходятся во мнении, что в ближайшее время появится общедоступный эксплойт уязвимости.

🗄 Подробнее

@linuxkalii

💻 CVE-2024-4577 в PHP: вымогательское ПО TellYouThePass захватывает серверы по всему миру

Многие заражённые серверы перестают отвечать на запросы, что затрудняет обнаружение заражений.

В сети обнаружена новая угроза безопасности, связанная с уязвимостью в языке программирования PHP, которая позволяет злоумышленникам выполнять вредоносный код на веб-серверах. Исследователи в области кибербезопасности сообщают о стремительном распространении этой уязвимости и её использовании для установки вымогательского ПО TellYouThePass.

По данным компании Censys, к 13 июня было обнаружено около 1000 серверов, зараженных шифровальщиком TellYouThePass, что свидетельствует о некотором сокращении по сравнению с примерно 1800 инфицированными серверами, зафиксированными 10 июня. Большинство из них расположены в Китае. Вместо привычного содержимого сайты отображают список файлов, расширения которых дополнены символами «.locked», что указывает на шифрование. Сопутствующая записка с требованием выкупа предлагает вернуть доступ к файлам за примерно 6500 долларов США.

Уязвимость, зарегистрированная как CVE-2024-4577 и имеющая рейтинг опасности 9,8 из 10, возникает из-за ошибок в преобразовании символов Unicode в ASCII в PHP. Встроенная функция Windows под названием Best Fit позволяет злоумышленникам использовать технику инъекции аргументов для передачи вредоносных команд основному приложению PHP. Эта уязвимость позволяет обходить CVE-2012-1823, критическую уязвимость, устранённую в PHP в 2012 году.

CVE-2024-4577 затрагивает PHP только в режиме CGI, когда веб-сервер обрабатывает HTTP-запросы и передаёт их PHP-скрипту. Однако уязвимость может быть эксплуатирована и в том случае, если исполняемые файлы PHP, такие как php.exe и php-cgi.exe, находятся в директориях, доступных веб-серверу.

🗄 Подробнее

@linuxkalii

⭐️ The Information Laundromat

Новый инструмент для поиска владельцев веб-сайтов и анализа кампаний с использованием различных технических индикаторов и поиска похожего контента.

👉 https://informationlaundromat.com

@linuxkalii

🔐 Phat Crack

Phat Crack — это мощный инструмент для распределенного взлома хешей, предназначенное для хакеров и специалистов по информационной безопасности.

Созданный на базе Hashcat, Phat Crack поддерживает самые распространенные атаки Hashcat и почти все типы хэшей.

Сервер развертывается с использованием Docker.

Агенты можно зарегистрировать через графический веб-интерфейс, который поддерживает многопользовательский режим и контроль доступа на основе проектов.

В комплекте предоставляются инструкции по настройке агентов.

▪ Github

@linuxkalii

💻 CVE-2024-6045: в миллионах роутеров D-Link обнаружен встроенный бэкдор

В нескольких моделях беспроводных роутеров D-Link обнаружена критическая уязвимость, позволяющая злоумышленникам без аутентификации получить административный доступ к устройствам. Уязвимость CVE-2024-6045 имеет высокий уровень опасности с оценкой 8.8 по шкале CVSS.

По данным представителей TWCERT, проблема вызвана нераскрытым встроенным тестовым бэкдором в конкретных моделях роутеров D-Link. Злоумышленники могут активировать Telnet-сервис, используя определённый URL, а также получить учётные данные администратора, анализируя прошивку роутера. Успешная атака даёт полный контроль над скомпрометированным устройством.

Перечень уязвимых моделей роутеров включает: E15, E30, G403, G415, G416, M15, M18, M30, M32, M60, R03, R04, R12, R15, R18, R32.

Компания D-Link выпустила обновления прошивки для устранения этой уязвимости. Пользователям данных моделей рекомендуется срочно обновить прошивку до последней версии для защиты от потенциальной эксплуатации уязвимости.

Актуальная безопасная версия прошивки для каждой затронутой модели указана ниже:

🗄 Модели G403, G415, G416, M18, R03, R04, R12, R18: версия 1.10.01 и более свежая;

🗄 Модели E30, M30, M32, M60, R32: версия 1.10.02 и более свежая;

🗄 Модели E15, R15: версия 1.20.01 и более свежая.

Пользователи должны немедленно применить эти обновления прошивки для защиты своих устройств от атак. Регулярная проверка и обновление прошивки роутеров является важной мерой для обеспечения безопасности сетевых устройств.

@linuxkalii

💻 Секреты AMD слиты: исходники, базы сотрудников и финансы – всё в открытом доступе

Компания AMD начала расследование возможного кибернападения после того, как данные, якобы украденные у компании, были выставлены на продажу на хакерском форуме BreachForums. Преступники заявляют, что информация включает данные сотрудников, финансовые документы и конфиденциальные сведения.

Представитель AMD сообщил: «Мы осведомлены о киберпреступной организации, утверждающей, что у неё есть украденные данные AMD. Мы активно сотрудничаем с правоохранительными органами и сторонними партнёрами для расследования этого инцидента и оценки значимости утечки».

Хакер, известный как IntelBroker, опубликовал скриншоты некоторых предполагаемых учётных данных AMD.
Согласно сообщению IntelBroker, скомпрометированная информация была добыта в этом месяце и включает будущие продукты AMD, технические спецификации, базы данных сотрудников и клиентов, файлы собственности, разнообразные ROM-ы, исходный код, прошивки и финансовые данные.

По данным DarkWebInformer, в утекших данных содержатся базы данных сотрудников, включающие идентификаторы пользователей, имена и фамилии, должностные обязанности, рабочие телефоны, адреса электронной почты и статус занятости.

@linuxkalii

🖥 SQLMC - SQL Injection Massive Checker

Официальный инструмент Kali Linux для проверки всех URL-адресов домена на наличие SQL-инъекций.

▪Github

@linuxkalii

💻 MaskPhish — маскировка любого URL под лигитимный

git clone https://github.com/jaykali/maskphish
cd maskphish
bash maskphish.sh

MaskPhish — это простой Bash-скрипт для демонстрации того, как легко можно спрятать любой URL в обычном (типа google.com или facebook.com).
MaskPhish без проблем можно интегрировать в более навороченные инструменты, разумеется только для этичных целей

🖥 GitHub

@linuxkalii

💻 Poseidon — стилер от APT-C-56

Хакерская группировка APT-C-56, также известная как Transparent Tribe, ProjectM и C-Major, вновь активизировала свою деятельность, на этот раз с использованием атак на Linux-системы.

Базирующаяся в Южной Азии группа киберпреступников обычно сосредотачивает свои усилия на странах данного региона, в том числе часто атакуя Индию. APT-C-56 известна своими сложными методами фишинговых атак и мультиплатформенными вредоносными программами, включая знаменитый троян CrimsonRAT для Windows.

Недавно специалисты из 360 Advanced Threat Research Institute зафиксировали атаку, в ходе которой APT-C-56 использовала файлы Linux c расширением .desktop для распространения вредоносного ПО. Вредоносная программа, получившая название Poseidon, является инфостилером и предназначена для кражи данных. Метод атаки с Linux-ярлыками ранее применялся довольно редко, что делает его особенно опасным.

Для осуществления атаки группа создала архивный файл, содержащий desktop-файл, который в Linux-системах выполняет роль ярлыка. Пользователь, запускающий этот файл, активирует цепочку событий: загружается и открывается поддельный документ, одновременно скачиваются и запускаются вредоносные ELF-файлы. Затем Poseidon, написанный на Go, устанавливает постоянное присутствие в системе для сбора конфиденциальной информации.

Архивный файл, рассмотренный исследователями, имел название Agenda_of_Meeting.zip и содержал desktop-файл approved_copy.desktop. Этот файл использует символы # для увеличения размера и обхода антивирусных систем. После удаления этих символов становится виден скрипт, который скачивает и открывает PDF-документ, а затем создаёт скрытые директории и запускает вредоносные программы. Одна из программ выполняет функции сбора данных и отправки их на сервер злоумышленников.

Исследование показало, что Poseidon способен выполнять множество задач: фиксировать нажатия клавиш, загружать и скачивать файлы, сканировать порты, делать скриншоты, исполнять команды и осуществлять удалённое управление. Эти функции делают его мощным инструментом для шпионажа.

🗄 Подробнее

@linuxkalii

💻 RedTiger — мультитул с массой функций для пентеста и взлома

Позволяет проводить реализовывать разные атаки, типо SQL-инъекций, извлекать информацию по email и т.д.
Исключительно в этичных целях

🖥 GitHub

@linuxkalii

💻 Уязвимость Linux: загрузчик GRUB скомпрометирован хакерами

21 июня на одном из киберпреступных форумов появилась информация о продаже эксплойта к уязвимости нулевого дня в GRUB-загрузчике Linux, позволяющей локальное повышение привилегий (LPE). Это заявление вызвало серьёзное беспокойство среди специалистов по кибербезопасности.

По данным Dark Web Intelligence, злоумышленник утверждает, что нашёл уязвимость в GRUB, которая позволяет обойти механизмы аутентификации и получить права root на системе.

Согласно сообщению участника тёмного форума под ником «Cas», уязвимость затрагивает GRUB — критический компонент большинства Linux-систем, управляющий процессом загрузки, что позволяет атакующим устанавливать скрытое и устойчивое вредоносное ПО, обнаружить и устранить которое может быть весьма проблематично. Эксплойт продаётся по цене 90 тысяч долларов.

Основные дистрибутивы Linux, такие как Debian, RedHat и Ubuntu, оперативно выпускали рекомендации и патчи для предыдущих уязвимостей GRUB и, вероятно, поступят аналогично и в этот раз, однако проблема усугубляется тем, что уязвимость обнаружена злоумышленниками, а не этичными хакерами. Это означает, что её обнаружение и исправление исследователями безопасности может существенно затянуться.

@linuxkalii

💻 В TeamViewer сообщили о хакерской атаке на корпоративную среду компании

Компания-разработчик программного обеспечения для удалённого доступа TeamViewer предупредила об атаке на её корпоративную среду. Она утверждает, что это была хакерская группа APT29.

Компания отметила, что внутренняя корпоративная IT-среда TeamViewer полностью изолирована от среды продукта, и нет никаких доказательств того, что атака затронула эту среду или данные клиентов.

Там также пообещали провести прозрачное расследование инцидента. При этом страница «Обновление IT-безопасности TeamViewer» содержит HTML-тег <meta name="robots" content="noindex">, который запрещает индексацию документа поисковыми системами.

О взломе впервые сообщил на Mastodon специалист по кибербезопасности Джеффри, который поделился предупреждением голландского правительственного центра цифрового доверия.

Пока же всем клиентам TeamViewer рекомендуется включить многофакторную аутентификацию, настроить список разрешённых и заблокированных пользователей, а также отслеживать свои сетевые подключения и журналы.

@linuxkalii