#news В копеечном и довольно распространённом GPS-трекере MiCODUS MV720 обнаружили полдюжины критических уязвимостей. Захардкоженный мастер-пароль на API-сервере, админские команды по смс, слабый дефолтный пароль, прямые ссылки на объект на серваке… Всё это позволяет злоумышленникам отслеживать авто с трекером и даже перекрыть подачу бензина.

Сумрачный китайский гений в лице производителя выше всех этих мелочей жизни и не выходит на связь с сентября прошлого года. Запросы исследователей просто проигнорировали. Ситуацию усугубляет то, что этот трекер стоит на гостранспорте в некоторых странах и может стать целью атак. А установлен он, к слову, на 1,5 миллионах авто по всему миру. Так что теперь чем раньше счастливые обладатели этого китайского ширпотреба выломают его из своих машин, тем лучше.

@tomhunter

#news Иногда для вывода из строя сетевой инфраструктуры интернет-зубров не нужны никакие продвинутые атаки. Из-за аномальной жары в Британии Google и Oracle пришлось отключить часть оборудования в своих дата-центрах. Охлаждающие системы банально не справились с непогодой, и часть некритичной облачной инфраструктуры вырубили, чтобы избежать выгорания всей прочей.

Несмотря на это, пользователи обеих компаний столкнулись с проблемами при доступе к сервисам: виртуальный машины отвалились или перестали быть доступны. Между тем отключение подали как способ избежать затруднений у пользователей. Видимо, речь шла о проблемах помасштабнее, которые возникли бы, если оборудование в дата-центрах пропеклось до состояния углей на сорокоградусной жаре.

@tomhunter

#news В рядах кросс-платформенной рансомвари пополнение: Касперский рапортует о новом шифровальщике, получившем название Luna. Он написан на Rust и за счёт этого может использоваться для атак на платформы Windows, Linux и ESXi с минимальными изменениями в исходниках. Кроме того, Rust позволяет обходить статический анализ.

Рансомварь пока в разработке, но уже может похвастаться стандартом шифрования AES в сочетании с x25519 в своём коде. И, собственно, это ещё один пример тренда на кросс-платформенную малварь с прицелом на виртуалки по следам группировок BlackCat и Hive. А судя по ошибкам в рансомварь-записке и рекламе на русскоязычную аудиторию, высока вероятность, что авторы у Luna — наши соотечественники. Вновь, так сказать, на острие, да не там, где следовало бы.

@tomhunter

#news Хакер взломал популярный сайт с тамагочи Neopets и стянул исходники и базу данных на 69 миллионов пользователей со всей подноготной, включая ящики и пароли.

Деталей взлома нет, но сайт известен своими многочисленными дырами в защите и эксплойтами, которые особо некому чинить ввиду раздутого кода и нехватки разработчиков. А теперь база продаётся всего за 4 битка, и, более того, у взломщика сохраняется к ней доступ: модераторы сообщают, что смысла менять пароли нет, и что сейчас делать, неясно.

С учётом того, у скольких из этих 69 миллионов один пароль и ящик на все случаи жизни, возможности для брутфорса база предоставляет довольно внушительные. Такой вот суровый удар по ностальгическим чувствам вчерашних девочек-подростков.

@tomhunter

#news На просторах киберпреступного мира новая занятная бизнес-схема. Предоставляющая различные услуги группировка, известная как Atlas Intelligence Group, не держит постоянные команды взломщиков, а нанимает их под конкретные задачи.

Такой подход позволяет группировке предлагать широкий спектр услуг: в их арсенале кражи данных, DDoS-атаки, начальный доступ к сетям, угон RDP-сессий. Плюс запросы в полицейские базы данных в Европе, что в тех краях — редкость. После выполнения задачи нанятые хакеры дальнейшего участия в атаке не принимают, и только узкий круг админов и стоящий во главе некто Mr. Eagle имеют полную картину.

Такая схема даёт солидный бонус к опсеку: в ней рядовой взломщик — низшее, постоянно сменяющееся звено, и ценности для следствия не представляет. Да и в целом подход оригинальный. В сущности ушедшая на аутосорс киберпреступность с картельским душком.

@tomhunter

#news Объем утечек данных в России вырос в первом полугодии на порядок, а основным их источником стал взлом серверов баз данных, тогда как раньше ключевой причиной были действия сотрудников. В общем числе утечек доля таких взломов составила 68%, а в объеме похищенных данных — 83%. В прошлом году источниками данных были преимущественно инсайдерские утечки, происходившие по вине недобросовестных сотрудников. В январе—июне общий объем утечек ценных данных увеличился до 61 млн уникальных записей по сравнению с 6 млн за тот же период 2021 года. И это только те данные, которые стали известны исследователям. Реальность гораздо интереснее...

@tomhunter

#news Данные 5,5 миллионов аккаунтов в Твиттере выставлены на продажу. Ящики и телефоны плюс содержимое профилей знаменитостей, компаний и случайных людей всего за $30 тысяч.

Злоумышленник использовал уязвимость, позволявшую вытянуть Twitter ID юзера, скормив сайту API-запрос с ящиком или номером телефона. Это работало, даже если пользователь отключил возможность найти его в настройках профиля. Аналогичный баг год назад позволил стянуть данные полумиллиарда пользователей Фейсбука.

Об эксплойте сообщили на H1 в начале года, и тогда же починили, но хакер использовал его ещё в декабре. И утверждает, что с тем белошляпочником по кличке zhirinovskiy никак не связан. Инфа в основном публичная и вытянутая в сущности через скрапинг, но потенциал для фишинга неплохой. Больше криптоскама от людей с галочкой на подходе!

@tomhunter

#news Сказ о том, как патч для серверов Confluence стал делом ещё более насущным. В приложении для вопросов по продуктам Atlassian не только были захардкоженные данные доступа, но они ещё и мгновенно утекли в сеть.

Мегамозги из Atlassian додумались поставлять приложение вместе с автоматически создаваемым аккаунтом с захардкоженным паролем. И теперь любой желающий, взяв пароль в твиттере, может получить доступ к страницам группы confluence-users на уязвимом сервере. А приложение установили больше 8 тысяч раз.

По задумке троянский аккаунт должен был помочь админам переносить данные из приложения в облако сервера. Но в итоге он стал критической уязвимостью, требующей срочного патча.

@tomhunter

#news Занятный новый вектор атаки у старичка Qbot: через подмену DLL калькулятора в винде. Фишинговое письмо с запароленным архивом, в нём ISO-файл с замаскированной под PDF ссылкой на экзешник калькулятора и парой вредоносных dll-библиотек. Стоит юзеру кликнуть по ссылке, калькулятор подгружает подменённую WindowsCodecs.dll с ISO, а через неё уже вторую с Qbot’ом. Подгрузка через легитимное приложение позволяет обойти некоторые антивирусы.

А занятен он ещё и тем, что атаки идут только по Windows 7 — в десятке и старше калькуляторный эксплойт исправлен. Так ветеран киберпреступных полей и уже пару лет как лишившаяся поддержки система нашли друг друга. Всевозможную рансомварь через Qbot’a и по сей день гоняют исправно: например, пару месяцев назад в партнёрстве с ним были замечены дарования из Black Basta с солидным списком взломов.

@tomhunter

#OSINT #TELEGRAM Сегодня раскрою вечный вопрос любого школьника... как узнать номер телефона пользователя Telegram. Методы спецслужб обсуждать не будем, поговорим только про общедоступные приемы.

1️⃣ Поискать данные в одной из утечек. Тут вам помогут различные боты: 1, 2, 3, 4. Если пользователь относится к категории "продвинутых", то ничего вы не найдете. Тут важно понимать, что все-все базы Telegram содержат данные на 5-7% пользователей максимум.

2️⃣ Воспользоваться функцией "ДОБАВИТЬ КОНТАКТ". При этом пользователь увидит Ваш номер телефона, а Вы - его. Правда, в том случае, если он обменяется контактами.

3️⃣ Прислать пользователю бот-ловушку. Например, @inform_baza_bot, @dossier_baza_bot, @addprivategroup_bot, @protestchat_bot, @TgDeanonymizer_bot, @TelpoiskBot_bot, @cryptoscanning_bot, @Checknumb_bot, @LBSE_bot, @GetCont_bot. Информация о пользователе станет доступна в @TgDeanonymizer_bot или @cryptoscanning_bot по ID.

ℹ️ Наплодить своих ботов-ловушек можно при помощи сервисов 1 или 2.

@tomhunter

#news Kaspersky рапортует о китайской малвари в прошивке некоторых материнок от ASUS и Gigabyte на чипсете H81. Платы старые, и руткиты в них оставались незамеченными, как минимум, с 2016-го года.

В образах прошивки автопатчером модифицирован драйвер CSMCORE DXE, через тернии UEFI проходящий путь до скачивания зловреда в винде. Как малварь попала в прошивку, неясно: либо был физический доступ к материнкам (среди инфицированных купленные на вторичке), либо был вредонос, способный патчить прошивку.

Также неясно, были ли у атаки конкретные цели: заражены машины вроде как не связанных между собой людей в Китае, Иране, Вьетнаме и России. В коде отсылочки на китайский ботнет MyKings. Ну да не в этом суть. Шестилетний UEFI-руткит от китайцев в тайваньских платах… Находка, мягко говоря, очень и очень тревожная.

@tomhunter

#news Не оскудеет взломами мир блокчейнов. С музыкальной платформы Audius стянули токены на $6 миллионов. Продали их, впрочем, всего за миллион.

Хакер нашёл баг в функции инициализации смарт-контракта, позволивший вызвать её много раз. Так злоумышленник вытащил 18 миллионов токенов из музыкального общака блокчейна. А уж за их счёт, спасибо децентрализации, получил решающее право голоса и вывел токены с платформы. Беднягам повезло вырубить сервисы в первые же минуты атаки и избежать дальнейших потерь.

Самая мякотка, платформа проходила два аудита от разных компаний, но баг никто не нашёл. Контракты при этом задеплоили два года назад, и эксплойт всё это время ждал своего часа. Что ж, взломщик оказался сообразительнее аудиторов.

@tomhunter

#news Вышел инфобез-отчёт от Palo Alto за этот год. Из любопытного, исследование по времени от публикации CVE до начала атак. Окно размером с игольное ушко: сканы сети по уязвимости обычно идут в первые же 15 минут.

Большого ума и вложений сканирование не требует, так что собрать данные об эксплойте на продажу — задача элементарная. А взломы затем идут уже в течение пары часов. Так, спецы компании в мае взяли RCE-уязвимость в продуктах BIG-IP. И насчитали аж 2,552 попытки сканов и взломов по ней всего за десять часов после публикации.

Такая вот молниеносная игра на опережение для никогда не спящих админов. На картинке безопасник в естественной среде обитания.

@tomhunter

#news Билайн по следам базы на продажу выдохся оправдываться, так что можно сполна оценить высокую культуру взятия ответственности за провалы в наших краях.

Напомню, началось всё с того, что гении инфосека компании не закрыли доступ к своему ElasticSearch-серверу, и в сентябре 2021-го 4.1 террабайта данных утекли в сеть. Тогда Билайн приврал, что в базе только техлоги. Вчера же на продажу выставили полную базу на 1,5 миллиона абонентов их домашнего интернета.

Компания заявила, что это база, слитая в 2015-м, волноваться не о чем. Но даже по скриншотам продавца видно, что в ней данные за 2021-й со всей личной инфой. Свет, занавес, штраф в 60к рублей.

@tomhunter

#OSINT #Telegram Как идентифицировать администраторов анонимных сообществ в Telegram? Работает прием в том случае, если в идентифицируемом сообществе есть чат-бот или электронная почта для обратной связи.

Делаем новый приватный канал/чат, схожий по тематике с идентифицируемым. В него, для достоверности, загоняем в него пару десятков ботов и небольшое количество контента. В идентифицируемый канал отправляем заявку на платное продвижение канала. Прикладываем ссылку на созданный канал/чат в качестве примера контента. Мониторим появление на нем нового подписчика.

@tomhunter

#news В гуглсторе выявили очередную пачку малвари из трёх десятков приложений на любой вкус: от фильтров на фото до уроков йоги и знакомств с горячими мадемуазелями по соседству. Премиалки, кража аккаунтов, карточек и данных, назойливая реклама — золотой стандарт магазина Гугла, вновь забывшего удалить несколько из них по следам репорта. Десять миллионов установок с мая этого года.

Малварь запрашивала разрешения на показ окон поверх всех приложений и работу в фоновом режиме, но это не смущало пользователей. У одного из них больше миллиона скачиваний при рейтинге 1.8 и отзывах в духе «‎Приложение сломало мне телефон, пришлось делать сброс данных, не ставьте». В общем, ничто не остановит юзера на пути к неоновой клавиатурке или смешному фильтру для фоток. В отношении рядового пользователя пресловутый человеческий фактор инфобеза приобретает совсем уж комичные черты.

@tomhunter

#news На Markup занятная статья о закулисной жизни дата-хабов, собирающих данные с автомобилей. На свет вытащены 37 компаний, делящих стремительно растущий инфоброкерский авторынок. Внимание этому уделяют мало, а сфера занятная: здесь и отсутствие прозрачности и регуляций, и сбор мельчайших подробностей о поездках, состоянии машины и водителя, и серьёзные проблемы с анонимностью.

Между тем страховщики уже используют эти данные: водишь реже и аккуратнее — меньше платишь по страховке. А в ближайшие годы рынок разрастётся до сотен миллионов долларов, и к нему, наверняка, подключатся рекламщики и прочая нечисть. Тем временем Apple двигает рекламу защиты данных как фичи, Porsche на сцене с люксовым авто и функцией отключения передачи данных… Приватность по следам романтичной футурологии Брэдбери становится привилегией обеспеченных.

@tomhunter

#news Поздравляем всех причастных лиц с профессиональным праздником - днем системного администратора! Много сортов пенного вам в кубрик. Удачи и стабильно работающих систем!

@tomhunter

#OSINT Если кто-то не знал, рассказываю... В замечательном OSINT-инструменте SpiderFoot есть возможность проводить расследования не только посредством изучения веб-узлов. SpiderFoot осуществляет автоматический поиск по имени пользователя, никнейму, номеру телефона, адресу электронной почты и криптокошельку Биткоин. Да, не идеально. Но, нужно помнить, что SpiderFoot - это модульная система, которую можно дополнять внешними расширениями. Это делает его достаточно сильным автоматизированным решением для проведения расследований. И да, три расследования в месяц он позволяет сделать бесплатно.

@tomhunter

‼️ Специалисты T.Hunter регулярно выступают экспертами в СМИ, дают комментарии по актуальным вопросам на тему информационной безопасности и участвуют в журналистских расследованиях.

Для информационного сотрудничества и получения экспертных комментариев обращайтесь, пожалуйста, по следующим контактам:
📱 +7 (812) 640-92-48
📧 pr@tomhunter.ru

#news Лето принесло очередной рекорд по DDoS-ам. Облачный сервис Akamai сообщил о крупнейшей в истории Европы атаке по одному из своих клиентов: 853.7 гигабита и 659.6 миллионов пакетов в секунду на пике растянувшейся на 14 часов атаки.

Подробностей в целом мало: в атаке был использован глобальный, продвинутый ботнет, а основным вектором рекордсмена был UDP-флуд, но за ушедший месяц злоумышленник пробовал сервис на прочность дюжиной DDoS-методов.

Подвергшийся атаке клиент также не назван, но по оговоркам в духе «‎организация в Восточной Европе» и «‎75 атак по нему за последний месяц»‎ предположения сделать несложно. Скорее всего, хактивистские канонады вновь гремят в унисон со стальными грозами.

@tomhunter