Преступники похитили более 23 млн рублей из банкоматов

Новокуйбышевский городской суд Самарской области вынес приговор в отношении двух участников преступной группировки, похитившей более 23 млн рублей из банкоматов.

Согласно материалам дела, участники группировки ездили по разным регионам России на арендованных машинах, изучали расположение банкоматов, установленных в офисах банков, торговых центрах и прочих общественных местах, а затем с помощью компьютерного оборудования подключались к устройствам и выводили деньги. Далее преступники переводили похищенные средства организатору группировки. В общей сложности сообщникам удалось украсть 23 107 млн рублей.

Как сообщили в прокуратуре Самарской области, участников группировки было трое, личность последнего устанавливается.

Двоим участникам группировки предъявлены обвинения в совершении 17 преступлений предусмотренных пп. «а,б» ч. 4 ст. 158 УК РФ (кража, совершенная в крупном и особо крупном размере, организованной группой). Суд назначил им наказание в виде 5 лет и 10 месяцев и 4 лет 10 месяцев лишения свободы в колонии строго режима.

Источник: https://www.securitylab.ru/news/503549.php

Обзор инцидентов безопасности за период с 16 по 22 декабря 2019 года

На прошедшей неделе в Сети была опубликована база данных, содержащая более 267 млн уникальных идентификаторов учетных записей пользователей социальной сети Facebook. Утечка произошла 4 декабря нынешнего года. Предположительно, она могла быть вызвана действиями некой вьетнамской киберпреступной группировки, получившей доступ к API Facebook.

Еще одна утечка данных коснулась компании Lime, предоставляющей пользователям возможность арендовать скутеры в крупных городах с помощью специального приложения. Как стало известно, в даркенете выставлена на продажу база действительных учетных записей Lime. Получив доступ к одной из таких учетных записей, пользователю не нужно будет платить компании за использование транспортного средства. Стоимость одной учетной записи составляет 13 евро.

Украинская киберполиция обезвредила мошенническую группировку, занимавшуюся взломом компьютерных сетей супермаркетов. Участники преступной группы использовали уязвимости в системе программы лояльности всеукраинской сети супермаркетов для вывода денежных средств со счетов пользователей. Злоумышленникам удалось похитить более 2 млн грн (примерно 5,3 млн рублей).

На прошлой неделе исследователи сообщили о ряде крупных кампаний по кибершпионажу. В рамках одной из них китайские хакеры в течение двух лет без лишнего шума атаковали компании и правительственные учреждения, похищая пароли и обходя двухфакторную аутентификацию для сбора данных. Жертвами преступников стали компании в 10 странах, включая США, Великобританию, Францию, Германию и Италию.

Еще одна кампания была направлена на промышленные и инженерные предприятия. От атак пострадало более двух сотен компаний, преимущественно расположенных в Южной Корее, в том числе «многомиллиардный корейский конгломерат, который производит критически важное инфраструктурное оборудование». В рамках кампании применялась новая версия инфостилера Separ.

Источник: https://www.securitylab.ru/news/503658.php

Вышла 12 серия Mr.Robot в озвучке от LostFilm:
https://mister-robot.tv/4-sezon/206-4-sezon-12-serija.html

Киберпреступники похитили $480 тыс. у разработчиков криптовалюты NULS

Неизвестные киберпреступники «обчистили» аккаунты, принадлежащие разработчикам криптовалюты NULS, похитив 2 млн токенов (порядка $480 тыс.). Более полумиллиона из них уже выведены на рынок, поэтому отследить их невозможно.

Для того чтобы «заморозить» оставшуюся часть криптовалюты, разработчики NULS планируют осуществить хардфорк (изменение криптовалютного протокола, несовместимое с его предыдущими версиями). В связи с этим участникам сети необходимо как можно скорее обновить свои узлы до последней версии ПО.

Как сообщают разработчики, атакующие проэксплуатировали теперь уже исправленную уязвимость в версии NULS 2.2.

Решение команды NULS осуществить хардфорк аналогично решению, принятому разработчиками Ethereum после взлома децентрализованной автономной организации DAO в 2016 году.

После того, как злоумышленники похитили у DAO $40 млн в «эфирах», разработчики Ethereum разделили блокчейн на две версии. Первая версия (Ethereum) позволяла всем затронутым атакой пользователям вернуть свои сбережения, а вторая (Ethereum Classic) продолжала поддерживать оригинальный блокчейн. Этот хардфорк и по сей день остается довольно спорным – противники считают его доказательством централизации управления Ethereum. Правда, криптовалюта NULS намного менее популярна, чем Ethereum, и ее хардфорк вряд ли вызовет много шума.

Источник: https://www.securitylab.ru/news/503702.php

#mr_robot@hacker_timcore

Вышла 13 серия Mr.Robot в озвучке от LostFilm:
https://mister-robot.tv/4-sezon/207-4-sezon-13-serija.html

Сделал себе презентик на НГ. Книга по языку программирования Python. Довольно свежая.

Не забывайте, что книги по программированию нужно не только читать, весьма желательно выполнять все имещющиеся в них примеры, а также экспериметировать, что-нибудь в этих примерах изменяя. Поэтому если Вы удобно устроились на диване и настроились просто читать, у Вас практически нет шансов изучить язык. Чем больше Вы будете делать самостоятельно, тем большему научитесь.

Смартфоны Samsung заподозрили в скрытой отправке данных в Китай

Смартфоны и планшеты производства компании Samsung предположительно поставляются с предустановленным “шпионским” ПО, которое регулярно обращается к расположенным в Китае серверам. Речь идет о функции под названием Device Care, реализованной на всех смартфонах и планшетах южнокорейского производителя.

На проблемму обратил внимание один из пользователей форума Reddit, заметивший, что данная функция имеет отношение к китайской компании Qihoo 360, ранее неоднократно фигурировавшей в скандалах, связанных со скрытым сбором данных. В то время как Samsung сама подтвердила, что модуль Storage функции Device Care работает на ПО Qihoo, компания не предоставила никакой информации относительно того, почему он отправляет данные в Китай.

“Сканнер Storage на вашем телефоне имеет полный доступ ко всем персональным данным (так как он является частью системы) и по китайским законам будет отправлять данные при сответсвующих запросах”, - поясняет пользователь.

Как оказалось, при запуске функция коммуницирует с несколькими китайскими серверами, хотя в настоящее время неизвестно, какие данные передаются.

“К сожалению, мне не удалось выяснить, что именно передается на серверы, поскольку для этого мне пришлось бы осуществить атаку человек посередине на мой телефон, что требует прав суперпользователя”, - пишет пользователь.

В компании Samsung пока не прокомментировали ситуацию. Тем временем, ряд пользователей ее устройств уже запустили петицию с просьбой удалить программное обеспечение Qihoo 360 со смартфонов.

Источник: https://www.securitylab.ru/news/503845.php

В приложении TikTok исправлены серьезные уязвимости

Специалисты компании Check Point опубликовали отчет о серьезных уязвимостях в популярном приложении TikTok. С их помощью злоумышленники могли не только похищать данные пользователей, но и манипулировать их статусами в профиле и видео.

В частности, уязвимости позволяли получать доступ к чужим учетным записям и манипулировать их контентом, удалять и загружать видео, делать скрытые видеоролики видимыми для всех и раскрывать сохраненную в аккаунте персональную информацию (например, электронный адрес).

В ходе исследования безопасности приложения эксперты обнаружили, что сайт TikTok позволяет от своего имени отправлять SMS-сообщения на любые номера телефонов. Злоумышленник может осуществить спуфинг сообщения, изменив параметр download_url в перехваченном HTTP-запросе, вставить любую, в том числе вредоносную, ссылку и отправить ее пользователю от имени команды TikTok.

Злоумышленник может осуществить реинжиниринг поддельной ссылки и отправить TikTok запросы вместе с cookie-файлами жертвы. Здесь могут быть проэксплуатированы другие обнаруженные исследователями уязвимости. Даже без межсайтовой подделки запросов злоумышленник может выполнить JavaScript-код и совершать действия от лица пользователя. С помощью комбинации POST- и GET-запросов атакующий может менять настройки приватности скрытых видео, создавать новые ролики и публиковать их в учетной записи жертвы.

Выполнение JavaScript-кода также позволяет получать персональную информацию жертвы через существующие вызовы API, однако для этого атакующему сначала придется обойти механизмы безопасности SOP (правило ограничения домена) и CORS (совместное использование ресурсов между разными источниками).

Разработчик приложения исправил уязвимости до публикации отчета исследователей.

Ссылка: https://www.securitylab.ru/news/503899.php

Взломать iPhone можно с помощью лишь одной уязвимости

Уязвимости в ПО, позволяющие скомпрометировать систему без участия пользователя (например, без нажатия жертвой на вредоносную ссылку), представляют собой огромный интерес для исследователей безопасности. Не являются исключением и специалисты из Google Project Zero, посвятившие изучению данного вопроса несколько последних месяцев.

В четверг, 9 января, исследователь безопасности Сэмюэл Гросс (Samuel Gross) из Google Project Zero продемонстрировал, как с помощью одного лишь Apple ID за несколько минут можно удаленно взломать iPhone, получить доступ к паролям, сообщениям, электронной почте и активировать камеру с микрофоном.

Свой метод атаки исследователь описал в трех отдельных статьях в блоге Google Project Zero. В первой представлены технические подробности об уязвимости, во второй – способ взлома ASLR, а в третьей объясняется, как удаленно выполнить код на атакуемом устройстве в обход песочницы.

В ходе атаки Гросс проэксплуатировал одну-единственную уязвимость в iOS 12.4 (CVE-2019-8641), исправленную Apple в августе прошлого года с выходом iOS 12.4.1. С ее помощью он обошел технологию ASLR, призванную усложнить эксплуатацию некоторых типов уязвимостей. ASLR предусматривает изменение расположения в адресном пространстве процесса важных структур данных (образов исполняемого файла, подгружаемых библиотек, кучи и стека). Однако продемонстрированная Гроссом атака ставит под сомнение эффективность ASLR.

«Исследование было в основном мотивировано следующим вопросом: можно ли с помощью одной лишь уязвимости удаленного повреждения памяти добиться удаленного выполнения кода на iPhone без использования других уязвимостей и без какого-либо взаимодействия с пользователем? Серия публикаций в этом блоге доказывает, что да, действительно возможно», – сообщил Гросс.

Источник: https://www.securitylab.ru/news/503917.php

Microsoft исправила опасную уязвимость в Windows

Во вторник, 14 января, компания Microsoft выпустила первые в 2020 году плановые обновления безопасности для своих продуктов. В общей сложности было исправлено 49 уязвимостей, в том числе восемь критических.

В частности, Microsoft выпустила патч для уязвимости в CryptoAPI (криптографической библиотеке по умолчанию crypt32.dll), о которой сообщалось накануне. Уязвимость (CVE-2020-0601) была обнаружена специалистами Агентства национальной безопасности США, сообщившими о ней Microsoft.

Согласно уведомлению безопасности, проблема связана с тем, как crypt32.dll устанавливает подлинность сертификатов с эллиптическими кривыми. С ее помощью злоумышленник может подписать вредоносный исполняемый файл таким образом, чтобы система приняла его за легитимный файл из надежного источника.

Уязвимость также может использоваться для подделки цифровых сертификатов, применяемых для зашифрованной связи. Проэксплуатировав ее, злоумышленник может осуществить атаку «человек посередине» и расшифровать конфиденциальную информацию.

Как сообщает Microsoft, уязвимость затрагивает Windows 10, Windows Server 2019 и Windows Server 2016. Ни производителю, ни АНБ не известны случаи ее эксплуатации в реальных атаках до выхода патча.

Для АНБ не характерно сообщать производителям ПО об обнаруженных уязвимостях в их продуктах. Зачастую агентство предпочитает оставлять их при себе и использовать в своих операциях. CVE-2020-0601 является первой уязвимостью, о которой Microsoft стало известно от агентства.

По словам руководителя управления кибербезопасности АНБ Анны Нойбергер (Anne Neuberger), агентство изменило свой подход к кибербезопасности и впредь будет сообщать об обнаруженных уязвимостях.

Источник: https://www.securitylab.ru/news/504057.php