Казахстанских пользователей Telegram массово атакуют

Пользователей Telegram в Казахстане активно взламывают. С каждым днем все больше людей находят попытку авторизации в аккаунте, левые новые сессии и устройства.

Существует несколько сценариев:
1. Пользователь не зарегистрирован в Telegram. Неизвестные регистрируют новый аккаунт (!!! не имея доступа к сим-карте), отправляют спам или сразу удаляют аккаунт.
2. Пользователь зарегистрирован в Telegram. Приходит код авторизации, неизвестные ставят двухфакторную авторизацию, отправляют спам или сразу удаляют аккаунт.

И в первом и во втором случаях, пользователи не получали СМС сообщение с кодом (Telegram позволяет отправлять СМС код для авторизации, если не введен код из мессенджера в течении 60 минут).

Основная часть жертв - абоненты Activ/Kcell, но есть редкие случаи с Tele2, Beeline.

Из всего этого следуют следующие теории заговора:
1. Спецслужбы купили софт и массово делают data mining. Для этого у них все есть, в том числе перехват СМС через СОРМ.
2. Взломаны операторы сотовой связи и кто-то из вне создал спам кампанию. Судя по отзыву на одном из ресурсов, кампания уже идет минимум месяц.
3. Взломан сам Telegram, а они как раз славятся тем, что очень долго отвечают на security письма. Эту теорию так же поддерживает то, что некоторые пользователи сообщили о взломе со включенной двухфакторкой.

Известные на данный момент IP адреса атакующих:

92.47.222.147
92.55.161.220
91.185.10.58
188.0.144.165
2.135.64.146
37.99.47.162
89.43.21.123
2.134.131.73
89.36.201.200
91.231.66.197
95.182.20.139

Пассивный сбор информации не показывает никакой связи, что означает, что это скорее всего классический ботнет.

Пока что можно сказать только то, что ЛЮБУЮ двухфакторку, завязанную на номер казахстанского оператора, можно считать несуществующей.

@onebrick

Квантовый фишинг или революцию в криптографии?

Сейчас стала популярна многоуровненная социальная инженерия. Это когда вам присылают вирус, на втором или третьем (или N-ном) письме, чтобы усыпить бдительность.

Недавно, исследователь по имени Ed Gerck опубликовал пост в Linkedin, утверждая, что его команде удалось взломать шифрование RSA-2048, используя обычный телефон или компьютер и их революционный алгоритм квантовых вычислений. Под постом он написал, что алгоритм взламывает и ключи длиной 10^1000, что по сути переворачивает всю индустрию информационной безопасности на 180 градусов. Пост в самом Linkedin-e уже репостнули 800+ раз, а сама новость разлетелась по всему интернету.

Всем, кто просит доказательства, автор пишет (как видно на скриншотах), что скинет на почту, надо всего лишь ему написать. Нашлись те, кто ему уже написал, а в ответ получил PDF файл с вирусом.

Ссылки на анализ файлов, присланных любопытным:
https://scan.tylabs.com/report?uuid=07fee429-2a1d-4d33-8a89-5fd326309e5b
https://any.run/report/f0f364e3c26cbbb77f1efc75a7578f6c0e2705c88306bcc9a8b7158d26c7dd5f/83163e65-067a-4dfe-90c5-a4255737f1f2

Вполне возможно, что хакеры взломали компьютер исследователя, так как он публикуют научные статьи, как минимум с 2009 года:
https://www.researchgate.net/profile/Ed-Gerck

Его прежние труды открытые, но для последних работ, конечно же, надо написать автору, чтобы получить PDF:
https://www.researchgate.net/publication/373516233_QC_Algorithms_Faster_Calculation_of_Prime_Numbers
https://www.researchgate.net/publication/373516231_QC_breaks_101000_decimal_digits_cryptography_in_a_cellphone

Даже если компьютер исследователя взломан, все равно интересно, что человек под аккаунтом исследователя пишет комментарии к своему посту, будто реально разбирается в криптографии. Но, естественно, не стоит забывать про ChatGPT :)

Если никакого взлома не было, то либо была ошибка в вычислениях, либо конец всем квантово-неустойчивым алгоритмам шифрования.

В любом случае, включаем бдительность на максимум.

@onebrick

CrackMapExec - все...
переходим на NetExec

Вышла обнова v1.1.0 - nxc4u, новые фичи типа Kerberos Constrained Delegation, Execute Tasks on behalf of logged-on Users with Scheduled Tasks, BloodHound now supports computer accounts, FTP Enhancement, Module sorting, WinRM improvements и др

https://www.netexec.wiki

Ставиться проще простого через pipx

apt install pipx git
pipx ensurepath
pipx install git+https://github.com/Pennyw0rth/NetExec

Запускается тоже просто

NetExec
nxc
nxcdb
netexec

nxcdb

Для простоты восприятия можете добавить ~/.zshrc

alias cme=netexec
alias crackmapexec=netexec