#news #OSINT Школота минирует Россию... И снова про виртуальное минирование. Тем более, что раскидка ложных сообщений о терактах ожидается днями в таких российских городах, как: Ангарск, Алушта, Арзамас, Артём, Архангельск, Астрахань, Балашиха, Биробиджан, Благовещенск, Барнаул, Батайск, Волгоград, Владивосток, Владимир, Вологда, Екатеринбург, Иркутск, Йошкар-Ола, Казань, Петропавловск-Камчатский, Курган. Новые сватеры уже взяли на себя ответственность за сообщения о терактах в Волгограде, Московской области, Саратове и Владимире.

А мы взяли и идентифицировали участников данного перфоманса. Организатор также имеет причастность к ведению на территории России колумбайнерско-суицидальных сообществ. Граф, как всегда, слегка размыт в интересах расследования. Заинтересованные органы или журналисты могут обратиться за помощью в официальном порядке.

@tomhunter

#news К вопросу об импортозамещении по ту сторону океана. Как ни странно, и у них с этим бывает не всё гладко.

США планируют заменить китайское сетевое оборудование от ZTE и Huawei на родное, и конгресс пока выделил на это около $2 миллиардов. Вот только обойдётся всё это удовольствие миллиардов этак в $5 и больше. И если на программу не пойдут дополнительные средства, оставшиеся затраты операторам придётся компенсировать самостоятельно.

Что ещё занятнее, две трети заявлений от компаний на компенсацию содержали «неточности» и «недостаточные доказательства». Простыми словами, неоправданно завышенные суммы на замену оборудования. Налог на созданные неудобства, не иначе.

@tomhunter

#news Поспешать медленно... 22 апреля Генеральная Прокуратура РФ подала на блокировку сайт, распространявший призывы к осуществлению диверсий на железнодорожном транспорте. 14 июля (да-да, прошло почти 3 месяца, вот это скорость) он был заблокирован на территории России. За это время "советами" сайта успели воспользоваться всяческие экстремисты из разных уголков нашей необъятной.

В ходе исследования данного сайта был успешно идентифицирован его администратор. Забавно, но на страницах сайта она предупреждала всех посетителей быть осторожнее, чтобы не допустить попадание их данных в руки спецслужб. Ну и сама спалилась, не поставив однажды галочку напротив пункта "скрыть мои данные" при регистрации доменного имени. Граф, как всегда, слегка размыт в интересах расследования. Заинтересованные органы и журналисты могут обратиться за помощью или комментарием в официальном порядке.

@tomhunter

#news ФБР предупредило, что киберпреступники используют мошеннические приложения для инвестирования в криптовалюту для кражи средств у американских инвесторов. Киберпреступники уже успешно украли примерно 42,7 миллиона долларов у 244 жертв. Владельцам криптовалют рекомендуется включить многофакторную аутентификацию (MFA) для всех своих учетных записей, отклонять запросы на использование приложений удаленного доступа и всегда обращаться к биржам и платежным компаниям, используя официальные номера телефонов и адреса электронной почты.

@tomhunter

#OSINT Как идентифицировать анонимного пользователя сети Интернет? Прием работал при проведении расследований в среде несовершеннолетних в социальных сетях и мессенджере Telegram.

Создаем аккаунт пользователя, предлагающего услуги по настройке ПК в плане анонимности (настройка прокси, VPN, заворачивание трафика в TOR). В качестве теста предлагаются услуги на бесплатной основе. Когда идентифицируемый клюет на общение, ему предлагается установить одну из программ удаленного доступа к его компьютеру для осуществления настройки. В ходе настройки проводится установление реального IP-адреса идентифицируемого лица, а также его авторизаций в онлайн-сервисах.

@tomhunter

#news Крайне находчивый безопасник Мордекай Гури представил очередной способ стягивать данные с не подключённых к сети компьютеров. На этот раз он использовал SATA-кабели в компьютерах в качестве беспроводных антенн, передающих данные с помощью радиосигналов.

Кабели могут передавать сигнал на частотах между 5.9995 и 5.9996 GHz во время определённых операций чтения/записи. И если закодировать нужные данные, их затем можно переслать через излучаемый сигнал.

Возможности у метода ограничены: физический доступ к компьютеру, чтобы доставить кодирующую малварь, на расстоянии чуть больше метра коэффициент битовых ошибок лишает процесс смысла, скорость около бита в секунду… Но какая изобретательность! Материал для шпионского боевика, и применение у него было бы соответствующее.

@tomhunter

Новая статья на хабре! В ней мы рассмотрим простые методы и приемы исследования Ethereum, которые применяет в своей работе OSINT-специалист. Ethereum (ETH) он же Эфириум - вторая по популярности криптовалюта в мире, а также платформа для создания децентрализованных онлайн-сервисов на базе блокчейна, работающего на основе умных контрактов (смарт-контрактов). Приятного чтения!

#news В копеечном и довольно распространённом GPS-трекере MiCODUS MV720 обнаружили полдюжины критических уязвимостей. Захардкоженный мастер-пароль на API-сервере, админские команды по смс, слабый дефолтный пароль, прямые ссылки на объект на серваке… Всё это позволяет злоумышленникам отслеживать авто с трекером и даже перекрыть подачу бензина.

Сумрачный китайский гений в лице производителя выше всех этих мелочей жизни и не выходит на связь с сентября прошлого года. Запросы исследователей просто проигнорировали. Ситуацию усугубляет то, что этот трекер стоит на гостранспорте в некоторых странах и может стать целью атак. А установлен он, к слову, на 1,5 миллионах авто по всему миру. Так что теперь чем раньше счастливые обладатели этого китайского ширпотреба выломают его из своих машин, тем лучше.

@tomhunter

#news Иногда для вывода из строя сетевой инфраструктуры интернет-зубров не нужны никакие продвинутые атаки. Из-за аномальной жары в Британии Google и Oracle пришлось отключить часть оборудования в своих дата-центрах. Охлаждающие системы банально не справились с непогодой, и часть некритичной облачной инфраструктуры вырубили, чтобы избежать выгорания всей прочей.

Несмотря на это, пользователи обеих компаний столкнулись с проблемами при доступе к сервисам: виртуальный машины отвалились или перестали быть доступны. Между тем отключение подали как способ избежать затруднений у пользователей. Видимо, речь шла о проблемах помасштабнее, которые возникли бы, если оборудование в дата-центрах пропеклось до состояния углей на сорокоградусной жаре.

@tomhunter

#news В рядах кросс-платформенной рансомвари пополнение: Касперский рапортует о новом шифровальщике, получившем название Luna. Он написан на Rust и за счёт этого может использоваться для атак на платформы Windows, Linux и ESXi с минимальными изменениями в исходниках. Кроме того, Rust позволяет обходить статический анализ.

Рансомварь пока в разработке, но уже может похвастаться стандартом шифрования AES в сочетании с x25519 в своём коде. И, собственно, это ещё один пример тренда на кросс-платформенную малварь с прицелом на виртуалки по следам группировок BlackCat и Hive. А судя по ошибкам в рансомварь-записке и рекламе на русскоязычную аудиторию, высока вероятность, что авторы у Luna — наши соотечественники. Вновь, так сказать, на острие, да не там, где следовало бы.

@tomhunter

#news Хакер взломал популярный сайт с тамагочи Neopets и стянул исходники и базу данных на 69 миллионов пользователей со всей подноготной, включая ящики и пароли.

Деталей взлома нет, но сайт известен своими многочисленными дырами в защите и эксплойтами, которые особо некому чинить ввиду раздутого кода и нехватки разработчиков. А теперь база продаётся всего за 4 битка, и, более того, у взломщика сохраняется к ней доступ: модераторы сообщают, что смысла менять пароли нет, и что сейчас делать, неясно.

С учётом того, у скольких из этих 69 миллионов один пароль и ящик на все случаи жизни, возможности для брутфорса база предоставляет довольно внушительные. Такой вот суровый удар по ностальгическим чувствам вчерашних девочек-подростков.

@tomhunter

#news На просторах киберпреступного мира новая занятная бизнес-схема. Предоставляющая различные услуги группировка, известная как Atlas Intelligence Group, не держит постоянные команды взломщиков, а нанимает их под конкретные задачи.

Такой подход позволяет группировке предлагать широкий спектр услуг: в их арсенале кражи данных, DDoS-атаки, начальный доступ к сетям, угон RDP-сессий. Плюс запросы в полицейские базы данных в Европе, что в тех краях — редкость. После выполнения задачи нанятые хакеры дальнейшего участия в атаке не принимают, и только узкий круг админов и стоящий во главе некто Mr. Eagle имеют полную картину.

Такая схема даёт солидный бонус к опсеку: в ней рядовой взломщик — низшее, постоянно сменяющееся звено, и ценности для следствия не представляет. Да и в целом подход оригинальный. В сущности ушедшая на аутосорс киберпреступность с картельским душком.

@tomhunter

#news Объем утечек данных в России вырос в первом полугодии на порядок, а основным их источником стал взлом серверов баз данных, тогда как раньше ключевой причиной были действия сотрудников. В общем числе утечек доля таких взломов составила 68%, а в объеме похищенных данных — 83%. В прошлом году источниками данных были преимущественно инсайдерские утечки, происходившие по вине недобросовестных сотрудников. В январе—июне общий объем утечек ценных данных увеличился до 61 млн уникальных записей по сравнению с 6 млн за тот же период 2021 года. И это только те данные, которые стали известны исследователям. Реальность гораздо интереснее...

@tomhunter

#news Данные 5,5 миллионов аккаунтов в Твиттере выставлены на продажу. Ящики и телефоны плюс содержимое профилей знаменитостей, компаний и случайных людей всего за $30 тысяч.

Злоумышленник использовал уязвимость, позволявшую вытянуть Twitter ID юзера, скормив сайту API-запрос с ящиком или номером телефона. Это работало, даже если пользователь отключил возможность найти его в настройках профиля. Аналогичный баг год назад позволил стянуть данные полумиллиарда пользователей Фейсбука.

Об эксплойте сообщили на H1 в начале года, и тогда же починили, но хакер использовал его ещё в декабре. И утверждает, что с тем белошляпочником по кличке zhirinovskiy никак не связан. Инфа в основном публичная и вытянутая в сущности через скрапинг, но потенциал для фишинга неплохой. Больше криптоскама от людей с галочкой на подходе!

@tomhunter

#news Сказ о том, как патч для серверов Confluence стал делом ещё более насущным. В приложении для вопросов по продуктам Atlassian не только были захардкоженные данные доступа, но они ещё и мгновенно утекли в сеть.

Мегамозги из Atlassian додумались поставлять приложение вместе с автоматически создаваемым аккаунтом с захардкоженным паролем. И теперь любой желающий, взяв пароль в твиттере, может получить доступ к страницам группы confluence-users на уязвимом сервере. А приложение установили больше 8 тысяч раз.

По задумке троянский аккаунт должен был помочь админам переносить данные из приложения в облако сервера. Но в итоге он стал критической уязвимостью, требующей срочного патча.

@tomhunter

#news Занятный новый вектор атаки у старичка Qbot: через подмену DLL калькулятора в винде. Фишинговое письмо с запароленным архивом, в нём ISO-файл с замаскированной под PDF ссылкой на экзешник калькулятора и парой вредоносных dll-библиотек. Стоит юзеру кликнуть по ссылке, калькулятор подгружает подменённую WindowsCodecs.dll с ISO, а через неё уже вторую с Qbot’ом. Подгрузка через легитимное приложение позволяет обойти некоторые антивирусы.

А занятен он ещё и тем, что атаки идут только по Windows 7 — в десятке и старше калькуляторный эксплойт исправлен. Так ветеран киберпреступных полей и уже пару лет как лишившаяся поддержки система нашли друг друга. Всевозможную рансомварь через Qbot’a и по сей день гоняют исправно: например, пару месяцев назад в партнёрстве с ним были замечены дарования из Black Basta с солидным списком взломов.

@tomhunter

#OSINT #TELEGRAM Сегодня раскрою вечный вопрос любого школьника... как узнать номер телефона пользователя Telegram. Методы спецслужб обсуждать не будем, поговорим только про общедоступные приемы.

1️⃣ Поискать данные в одной из утечек. Тут вам помогут различные боты: 1, 2, 3, 4. Если пользователь относится к категории "продвинутых", то ничего вы не найдете. Тут важно понимать, что все-все базы Telegram содержат данные на 5-7% пользователей максимум.

2️⃣ Воспользоваться функцией "ДОБАВИТЬ КОНТАКТ". При этом пользователь увидит Ваш номер телефона, а Вы - его. Правда, в том случае, если он обменяется контактами.

3️⃣ Прислать пользователю бот-ловушку. Например, @inform_baza_bot, @dossier_baza_bot, @addprivategroup_bot, @protestchat_bot, @TgDeanonymizer_bot, @TelpoiskBot_bot, @cryptoscanning_bot, @Checknumb_bot, @LBSE_bot, @GetCont_bot. Информация о пользователе станет доступна в @TgDeanonymizer_bot или @cryptoscanning_bot по ID.

ℹ️ Наплодить своих ботов-ловушек можно при помощи сервисов 1 или 2.

@tomhunter

#news Kaspersky рапортует о китайской малвари в прошивке некоторых материнок от ASUS и Gigabyte на чипсете H81. Платы старые, и руткиты в них оставались незамеченными, как минимум, с 2016-го года.

В образах прошивки автопатчером модифицирован драйвер CSMCORE DXE, через тернии UEFI проходящий путь до скачивания зловреда в винде. Как малварь попала в прошивку, неясно: либо был физический доступ к материнкам (среди инфицированных купленные на вторичке), либо был вредонос, способный патчить прошивку.

Также неясно, были ли у атаки конкретные цели: заражены машины вроде как не связанных между собой людей в Китае, Иране, Вьетнаме и России. В коде отсылочки на китайский ботнет MyKings. Ну да не в этом суть. Шестилетний UEFI-руткит от китайцев в тайваньских платах… Находка, мягко говоря, очень и очень тревожная.

@tomhunter

#news Не оскудеет взломами мир блокчейнов. С музыкальной платформы Audius стянули токены на $6 миллионов. Продали их, впрочем, всего за миллион.

Хакер нашёл баг в функции инициализации смарт-контракта, позволивший вызвать её много раз. Так злоумышленник вытащил 18 миллионов токенов из музыкального общака блокчейна. А уж за их счёт, спасибо децентрализации, получил решающее право голоса и вывел токены с платформы. Беднягам повезло вырубить сервисы в первые же минуты атаки и избежать дальнейших потерь.

Самая мякотка, платформа проходила два аудита от разных компаний, но баг никто не нашёл. Контракты при этом задеплоили два года назад, и эксплойт всё это время ждал своего часа. Что ж, взломщик оказался сообразительнее аудиторов.

@tomhunter

#news Вышел инфобез-отчёт от Palo Alto за этот год. Из любопытного, исследование по времени от публикации CVE до начала атак. Окно размером с игольное ушко: сканы сети по уязвимости обычно идут в первые же 15 минут.

Большого ума и вложений сканирование не требует, так что собрать данные об эксплойте на продажу — задача элементарная. А взломы затем идут уже в течение пары часов. Так, спецы компании в мае взяли RCE-уязвимость в продуктах BIG-IP. И насчитали аж 2,552 попытки сканов и взломов по ней всего за десять часов после публикации.

Такая вот молниеносная игра на опережение для никогда не спящих админов. На картинке безопасник в естественной среде обитания.

@tomhunter

#news Билайн по следам базы на продажу выдохся оправдываться, так что можно сполна оценить высокую культуру взятия ответственности за провалы в наших краях.

Напомню, началось всё с того, что гении инфосека компании не закрыли доступ к своему ElasticSearch-серверу, и в сентябре 2021-го 4.1 террабайта данных утекли в сеть. Тогда Билайн приврал, что в базе только техлоги. Вчера же на продажу выставили полную базу на 1,5 миллиона абонентов их домашнего интернета.

Компания заявила, что это база, слитая в 2015-м, волноваться не о чем. Но даже по скриншотам продавца видно, что в ней данные за 2021-й со всей личной инфой. Свет, занавес, штраф в 60к рублей.

@tomhunter