#news Данные 5,5 миллионов аккаунтов в Твиттере выставлены на продажу. Ящики и телефоны плюс содержимое профилей знаменитостей, компаний и случайных людей всего за $30 тысяч.

Злоумышленник использовал уязвимость, позволявшую вытянуть Twitter ID юзера, скормив сайту API-запрос с ящиком или номером телефона. Это работало, даже если пользователь отключил возможность найти его в настройках профиля. Аналогичный баг год назад позволил стянуть данные полумиллиарда пользователей Фейсбука.

Об эксплойте сообщили на H1 в начале года, и тогда же починили, но хакер использовал его ещё в декабре. И утверждает, что с тем белошляпочником по кличке zhirinovskiy никак не связан. Инфа в основном публичная и вытянутая в сущности через скрапинг, но потенциал для фишинга неплохой. Больше криптоскама от людей с галочкой на подходе!

@tomhunter

#news Сказ о том, как патч для серверов Confluence стал делом ещё более насущным. В приложении для вопросов по продуктам Atlassian не только были захардкоженные данные доступа, но они ещё и мгновенно утекли в сеть.

Мегамозги из Atlassian додумались поставлять приложение вместе с автоматически создаваемым аккаунтом с захардкоженным паролем. И теперь любой желающий, взяв пароль в твиттере, может получить доступ к страницам группы confluence-users на уязвимом сервере. А приложение установили больше 8 тысяч раз.

По задумке троянский аккаунт должен был помочь админам переносить данные из приложения в облако сервера. Но в итоге он стал критической уязвимостью, требующей срочного патча.

@tomhunter

#news Занятный новый вектор атаки у старичка Qbot: через подмену DLL калькулятора в винде. Фишинговое письмо с запароленным архивом, в нём ISO-файл с замаскированной под PDF ссылкой на экзешник калькулятора и парой вредоносных dll-библиотек. Стоит юзеру кликнуть по ссылке, калькулятор подгружает подменённую WindowsCodecs.dll с ISO, а через неё уже вторую с Qbot’ом. Подгрузка через легитимное приложение позволяет обойти некоторые антивирусы.

А занятен он ещё и тем, что атаки идут только по Windows 7 — в десятке и старше калькуляторный эксплойт исправлен. Так ветеран киберпреступных полей и уже пару лет как лишившаяся поддержки система нашли друг друга. Всевозможную рансомварь через Qbot’a и по сей день гоняют исправно: например, пару месяцев назад в партнёрстве с ним были замечены дарования из Black Basta с солидным списком взломов.

@tomhunter

#OSINT #TELEGRAM Сегодня раскрою вечный вопрос любого школьника... как узнать номер телефона пользователя Telegram. Методы спецслужб обсуждать не будем, поговорим только про общедоступные приемы.

1️⃣ Поискать данные в одной из утечек. Тут вам помогут различные боты: 1, 2, 3, 4. Если пользователь относится к категории "продвинутых", то ничего вы не найдете. Тут важно понимать, что все-все базы Telegram содержат данные на 5-7% пользователей максимум.

2️⃣ Воспользоваться функцией "ДОБАВИТЬ КОНТАКТ". При этом пользователь увидит Ваш номер телефона, а Вы - его. Правда, в том случае, если он обменяется контактами.

3️⃣ Прислать пользователю бот-ловушку. Например, @inform_baza_bot, @dossier_baza_bot, @addprivategroup_bot, @protestchat_bot, @TgDeanonymizer_bot, @TelpoiskBot_bot, @cryptoscanning_bot, @Checknumb_bot, @LBSE_bot, @GetCont_bot. Информация о пользователе станет доступна в @TgDeanonymizer_bot или @cryptoscanning_bot по ID.

ℹ️ Наплодить своих ботов-ловушек можно при помощи сервисов 1 или 2.

@tomhunter

#news Kaspersky рапортует о китайской малвари в прошивке некоторых материнок от ASUS и Gigabyte на чипсете H81. Платы старые, и руткиты в них оставались незамеченными, как минимум, с 2016-го года.

В образах прошивки автопатчером модифицирован драйвер CSMCORE DXE, через тернии UEFI проходящий путь до скачивания зловреда в винде. Как малварь попала в прошивку, неясно: либо был физический доступ к материнкам (среди инфицированных купленные на вторичке), либо был вредонос, способный патчить прошивку.

Также неясно, были ли у атаки конкретные цели: заражены машины вроде как не связанных между собой людей в Китае, Иране, Вьетнаме и России. В коде отсылочки на китайский ботнет MyKings. Ну да не в этом суть. Шестилетний UEFI-руткит от китайцев в тайваньских платах… Находка, мягко говоря, очень и очень тревожная.

@tomhunter

#news Не оскудеет взломами мир блокчейнов. С музыкальной платформы Audius стянули токены на $6 миллионов. Продали их, впрочем, всего за миллион.

Хакер нашёл баг в функции инициализации смарт-контракта, позволивший вызвать её много раз. Так злоумышленник вытащил 18 миллионов токенов из музыкального общака блокчейна. А уж за их счёт, спасибо децентрализации, получил решающее право голоса и вывел токены с платформы. Беднягам повезло вырубить сервисы в первые же минуты атаки и избежать дальнейших потерь.

Самая мякотка, платформа проходила два аудита от разных компаний, но баг никто не нашёл. Контракты при этом задеплоили два года назад, и эксплойт всё это время ждал своего часа. Что ж, взломщик оказался сообразительнее аудиторов.

@tomhunter

#news Вышел инфобез-отчёт от Palo Alto за этот год. Из любопытного, исследование по времени от публикации CVE до начала атак. Окно размером с игольное ушко: сканы сети по уязвимости обычно идут в первые же 15 минут.

Большого ума и вложений сканирование не требует, так что собрать данные об эксплойте на продажу — задача элементарная. А взломы затем идут уже в течение пары часов. Так, спецы компании в мае взяли RCE-уязвимость в продуктах BIG-IP. И насчитали аж 2,552 попытки сканов и взломов по ней всего за десять часов после публикации.

Такая вот молниеносная игра на опережение для никогда не спящих админов. На картинке безопасник в естественной среде обитания.

@tomhunter

#news Билайн по следам базы на продажу выдохся оправдываться, так что можно сполна оценить высокую культуру взятия ответственности за провалы в наших краях.

Напомню, началось всё с того, что гении инфосека компании не закрыли доступ к своему ElasticSearch-серверу, и в сентябре 2021-го 4.1 террабайта данных утекли в сеть. Тогда Билайн приврал, что в базе только техлоги. Вчера же на продажу выставили полную базу на 1,5 миллиона абонентов их домашнего интернета.

Компания заявила, что это база, слитая в 2015-м, волноваться не о чем. Но даже по скриншотам продавца видно, что в ней данные за 2021-й со всей личной инфой. Свет, занавес, штраф в 60к рублей.

@tomhunter

#OSINT #Telegram Как идентифицировать администраторов анонимных сообществ в Telegram? Работает прием в том случае, если в идентифицируемом сообществе есть чат-бот или электронная почта для обратной связи.

Делаем новый приватный канал/чат, схожий по тематике с идентифицируемым. В него, для достоверности, загоняем в него пару десятков ботов и небольшое количество контента. В идентифицируемый канал отправляем заявку на платное продвижение канала. Прикладываем ссылку на созданный канал/чат в качестве примера контента. Мониторим появление на нем нового подписчика.

@tomhunter

#news В гуглсторе выявили очередную пачку малвари из трёх десятков приложений на любой вкус: от фильтров на фото до уроков йоги и знакомств с горячими мадемуазелями по соседству. Премиалки, кража аккаунтов, карточек и данных, назойливая реклама — золотой стандарт магазина Гугла, вновь забывшего удалить несколько из них по следам репорта. Десять миллионов установок с мая этого года.

Малварь запрашивала разрешения на показ окон поверх всех приложений и работу в фоновом режиме, но это не смущало пользователей. У одного из них больше миллиона скачиваний при рейтинге 1.8 и отзывах в духе «‎Приложение сломало мне телефон, пришлось делать сброс данных, не ставьте». В общем, ничто не остановит юзера на пути к неоновой клавиатурке или смешному фильтру для фоток. В отношении рядового пользователя пресловутый человеческий фактор инфобеза приобретает совсем уж комичные черты.

@tomhunter

#news На Markup занятная статья о закулисной жизни дата-хабов, собирающих данные с автомобилей. На свет вытащены 37 компаний, делящих стремительно растущий инфоброкерский авторынок. Внимание этому уделяют мало, а сфера занятная: здесь и отсутствие прозрачности и регуляций, и сбор мельчайших подробностей о поездках, состоянии машины и водителя, и серьёзные проблемы с анонимностью.

Между тем страховщики уже используют эти данные: водишь реже и аккуратнее — меньше платишь по страховке. А в ближайшие годы рынок разрастётся до сотен миллионов долларов, и к нему, наверняка, подключатся рекламщики и прочая нечисть. Тем временем Apple двигает рекламу защиты данных как фичи, Porsche на сцене с люксовым авто и функцией отключения передачи данных… Приватность по следам романтичной футурологии Брэдбери становится привилегией обеспеченных.

@tomhunter

#news Поздравляем всех причастных лиц с профессиональным праздником - днем системного администратора! Много сортов пенного вам в кубрик. Удачи и стабильно работающих систем!

@tomhunter

#OSINT Если кто-то не знал, рассказываю... В замечательном OSINT-инструменте SpiderFoot есть возможность проводить расследования не только посредством изучения веб-узлов. SpiderFoot осуществляет автоматический поиск по имени пользователя, никнейму, номеру телефона, адресу электронной почты и криптокошельку Биткоин. Да, не идеально. Но, нужно помнить, что SpiderFoot - это модульная система, которую можно дополнять внешними расширениями. Это делает его достаточно сильным автоматизированным решением для проведения расследований. И да, три расследования в месяц он позволяет сделать бесплатно.

@tomhunter

‼️ Специалисты T.Hunter регулярно выступают экспертами в СМИ, дают комментарии по актуальным вопросам на тему информационной безопасности и участвуют в журналистских расследованиях.

Для информационного сотрудничества и получения экспертных комментариев обращайтесь, пожалуйста, по следующим контактам:
📱 +7 (812) 640-92-48
📧 pr@tomhunter.ru

#news Лето принесло очередной рекорд по DDoS-ам. Облачный сервис Akamai сообщил о крупнейшей в истории Европы атаке по одному из своих клиентов: 853.7 гигабита и 659.6 миллионов пакетов в секунду на пике растянувшейся на 14 часов атаки.

Подробностей в целом мало: в атаке был использован глобальный, продвинутый ботнет, а основным вектором рекордсмена был UDP-флуд, но за ушедший месяц злоумышленник пробовал сервис на прочность дюжиной DDoS-методов.

Подвергшийся атаке клиент также не назван, но по оговоркам в духе «‎организация в Восточной Европе» и «‎75 атак по нему за последний месяц»‎ предположения сделать несложно. Скорее всего, хактивистские канонады вновь гремят в унисон со стальными грозами.

@tomhunter

#OSINT #BTC Поговорим об источниках для OSINT-исследований самой популярной криптовалюты в мире - Биткоина.

▫️ОБОЗРЕВАТЕЛИ:
Blockchain + Расширение Chrome
Blockchair + Расширение Chrome
Tokenview
Walletexplorer (узнает владельца)
Bitinfocharts (узнает владельца)

▫️ВИЗУАЛИЗАЦИЯ:
Crystalblockchain (узнает владельца)
OXT (после регистрации, узнает владельца)
Blockpath
GraphSense + GitHub
Maltego CE + Tatum Blockchain Explorer или Blockchain.info
SpiderFoot + внешние API

▫️ЧЕРНЫЕ СПИСКИ:
Bitcoinabuse
Bitcoinwhoswho
Checkbitcoinaddress
Scam-alert
Badbitcoin
Bitcoinais
Cryptscam
Ransomwhe

▫️СКОРИНГОВАЯ ОЦЕНКА:
Cryptoaml
Bitrankverified
Vivigle

▫️МОНИТОРИНГ АКТИВНОСТИ:
Cryptocurrencyalerting
Cryptotxalert

▫️GOOGLE ДОРКИ:
BTC_address -block
site:bitcointalk.org BTC_address
site:https://docs.google.com/spreadsheets Bounty intext:”@gmail.com”

@tomhunter

#news В многосерийной драме сезона весна-лето 2022-го со сливами данных от российских компаний новый эпизод. На этот раз стянули базу доставки пользователей «Почты России».

В пробнике от хакера 10 млн. строк со всей инфой по отправлениям, включая ФИО, телефоны и адреса. Данные на сайте почты по трек-номерам совпадают. При этом взломщик утверждает, что у него на руках дамп таблицы с данными всех клиентов «Почты России».

Почтовые технологии, цифровая трансформация, биг-дата… С учётом того, о какой славящейся своими добрыми традициями и надёжностью компании идёт речь, удивительно лишь, что такой масштабный слив не утёк в сеть давным-давно.

@tomhunter

#news Судебные разбирательства по следам исследований трекера Meta Pixel не заставили себя ждать. К Meta и паре крупных медицинских организаций в США подали коллективный иск за незаконный сбор личных данных пациентов с рекламными целями.

Согласно иску, ни больницы, ни Meta не уведомляли о сборе инфы. А речь, напомню, о подноготной пациентов вплоть до врача, диагноза и прописанных лекарств. Истцы якобы заметили таргетированную рекламу по своему заболеванию на фейсбуке, но связано дело, очевидно, с нашумевшим расследованием от The Markup.

Видимо, скоро Марк «‎Я тоже человек» Цукерберг снова предстанет перед судом. Победный марш надзорного капитализма это не остановит, но прецедент хороший.

@tomhunter

Июль 2022-го года подошёл к концу, так что по сложившейся традиции взглянем на самые интересные уязвимости за ушедший месяц. За подробностями добро пожаловать на наш Хабр!

#news В Австралии судят создателя трояна для удалённого доступа Imminent Monitor. Всего за 25 баксов покупатель получал приблуду, дающую возможность следить за устройством жертвы, красть с него данные, делать скриншоты и видео с камеры. Всё это под видом легитимного RAT-приложения. Между тем в последней версии был и криптомайнер.

Что занятно, на момент анонса малвари в 2013-м накодившему её юному дарованию под ником Shockwave было всего 15 лет. С того момента он заработал около 400 тысяч долларов, пока в 2019-м его не принял Европол. Теперь автору предъявлены обвинения по шести статьям, суммарно грозящим сроком до 20 лет. С учётом того, что солидный процент облюбовавших его малварь клиентов составляли любители домашнего насилия, сталкеры и педофилы, и поделом.

@tomhunter

#news Исследователи насчитали более 3,200 мобильных приложений, интегрированных с Твиттером, сливающих API-ключи из-за ошибок в коде. Чаще всего, разработчики просто забывают убрать токены после интеграции с платформой, и они хранятся в открытом виде в приложении.

Доступ к ключам позволяет злоумышленникам угнать связанные аккаунты и, скажем, распространять через тысячников криптоскамы, фейки и малварь. Между тем в широком списке приложений от банковских до читалок и вело-GPS цифры вплоть до 5 миллионов скачиваний. И практически никто не то что не починил уязвимость, но спустя месяц даже не отреагировал на репорт о ней. Одни только Ford Motors ответили и выкатили патч. Остальные уязвимые приложения не раскрывают, так что сегодня без митрегейтов.

@tomhunter