‼️ Специалисты T.Hunter регулярно выступают экспертами в СМИ, дают комментарии по актуальным вопросам на тему информационной безопасности и участвуют в журналистских расследованиях.

Для информационного сотрудничества и получения экспертных комментариев обращайтесь, пожалуйста, по следующим контактам:
📱 +7 (812) 640-92-48
📧 pr@tomhunter.ru

#news Лето принесло очередной рекорд по DDoS-ам. Облачный сервис Akamai сообщил о крупнейшей в истории Европы атаке по одному из своих клиентов: 853.7 гигабита и 659.6 миллионов пакетов в секунду на пике растянувшейся на 14 часов атаки.

Подробностей в целом мало: в атаке был использован глобальный, продвинутый ботнет, а основным вектором рекордсмена был UDP-флуд, но за ушедший месяц злоумышленник пробовал сервис на прочность дюжиной DDoS-методов.

Подвергшийся атаке клиент также не назван, но по оговоркам в духе «‎организация в Восточной Европе» и «‎75 атак по нему за последний месяц»‎ предположения сделать несложно. Скорее всего, хактивистские канонады вновь гремят в унисон со стальными грозами.

@tomhunter

#OSINT #BTC Поговорим об источниках для OSINT-исследований самой популярной криптовалюты в мире - Биткоина.

▫️ОБОЗРЕВАТЕЛИ:
Blockchain + Расширение Chrome
Blockchair + Расширение Chrome
Tokenview
Walletexplorer (узнает владельца)
Bitinfocharts (узнает владельца)

▫️ВИЗУАЛИЗАЦИЯ:
Crystalblockchain (узнает владельца)
OXT (после регистрации, узнает владельца)
Blockpath
GraphSense + GitHub
Maltego CE + Tatum Blockchain Explorer или Blockchain.info
SpiderFoot + внешние API

▫️ЧЕРНЫЕ СПИСКИ:
Bitcoinabuse
Bitcoinwhoswho
Checkbitcoinaddress
Scam-alert
Badbitcoin
Bitcoinais
Cryptscam
Ransomwhe

▫️СКОРИНГОВАЯ ОЦЕНКА:
Cryptoaml
Bitrankverified
Vivigle

▫️МОНИТОРИНГ АКТИВНОСТИ:
Cryptocurrencyalerting
Cryptotxalert

▫️GOOGLE ДОРКИ:
BTC_address -block
site:bitcointalk.org BTC_address
site:https://docs.google.com/spreadsheets Bounty intext:”@gmail.com”

@tomhunter

#news В многосерийной драме сезона весна-лето 2022-го со сливами данных от российских компаний новый эпизод. На этот раз стянули базу доставки пользователей «Почты России».

В пробнике от хакера 10 млн. строк со всей инфой по отправлениям, включая ФИО, телефоны и адреса. Данные на сайте почты по трек-номерам совпадают. При этом взломщик утверждает, что у него на руках дамп таблицы с данными всех клиентов «Почты России».

Почтовые технологии, цифровая трансформация, биг-дата… С учётом того, о какой славящейся своими добрыми традициями и надёжностью компании идёт речь, удивительно лишь, что такой масштабный слив не утёк в сеть давным-давно.

@tomhunter

#news Судебные разбирательства по следам исследований трекера Meta Pixel не заставили себя ждать. К Meta и паре крупных медицинских организаций в США подали коллективный иск за незаконный сбор личных данных пациентов с рекламными целями.

Согласно иску, ни больницы, ни Meta не уведомляли о сборе инфы. А речь, напомню, о подноготной пациентов вплоть до врача, диагноза и прописанных лекарств. Истцы якобы заметили таргетированную рекламу по своему заболеванию на фейсбуке, но связано дело, очевидно, с нашумевшим расследованием от The Markup.

Видимо, скоро Марк «‎Я тоже человек» Цукерберг снова предстанет перед судом. Победный марш надзорного капитализма это не остановит, но прецедент хороший.

@tomhunter

Июль 2022-го года подошёл к концу, так что по сложившейся традиции взглянем на самые интересные уязвимости за ушедший месяц. За подробностями добро пожаловать на наш Хабр!

#news В Австралии судят создателя трояна для удалённого доступа Imminent Monitor. Всего за 25 баксов покупатель получал приблуду, дающую возможность следить за устройством жертвы, красть с него данные, делать скриншоты и видео с камеры. Всё это под видом легитимного RAT-приложения. Между тем в последней версии был и криптомайнер.

Что занятно, на момент анонса малвари в 2013-м накодившему её юному дарованию под ником Shockwave было всего 15 лет. С того момента он заработал около 400 тысяч долларов, пока в 2019-м его не принял Европол. Теперь автору предъявлены обвинения по шести статьям, суммарно грозящим сроком до 20 лет. С учётом того, что солидный процент облюбовавших его малварь клиентов составляли любители домашнего насилия, сталкеры и педофилы, и поделом.

@tomhunter

#news Исследователи насчитали более 3,200 мобильных приложений, интегрированных с Твиттером, сливающих API-ключи из-за ошибок в коде. Чаще всего, разработчики просто забывают убрать токены после интеграции с платформой, и они хранятся в открытом виде в приложении.

Доступ к ключам позволяет злоумышленникам угнать связанные аккаунты и, скажем, распространять через тысячников криптоскамы, фейки и малварь. Между тем в широком списке приложений от банковских до читалок и вело-GPS цифры вплоть до 5 миллионов скачиваний. И практически никто не то что не починил уязвимость, но спустя месяц даже не отреагировал на репорт о ней. Одни только Ford Motors ответили и выкатили патч. Остальные уязвимые приложения не раскрывают, так что сегодня без митрегейтов.

@tomhunter

#news Рансомварь-группировка BlackCat взломала сети компании Creos Luxembourg S.A. Это поставщик газа и электроэнергии в пяти европейских странах. Компании пришлось отключить пользовательские сайты, инфраструктура не пострадала. Группировка угрожает опубликовать стянутые данные, включая контракты, соглашения, счета и прочее.

Год назад эти ребята наделали шуму, положив крупнейшего поставщика нефти и газа в штатах — те на пять дней вырубили все трубопроводы. Тогда Дядя Сэм в считанные дни отжал их сервера и крипту, и группировке пришлось дважды делать ребрендинг, чтобы вернуться в бизнес. А теперь они продолжают атаковать критическую инфраструктуру уже в Европе. Пример либо феноменальной необучаемости, либо расчёта на то, что геополитика всё спишет, — считается, что группировка работает из России.

@tomhunter

#news Ещё один занятный пример слабоумия и отваги из мира рансомвари. Некая группа хакеров пытается шантажировать компанию MBDA, крупнейшего производителя ракетных систем Евросоюза. Злоумышленники утверждают, что взломали их сети и стянули 60GB конфиденциальных данных, включая проектную документацию.

Компания же заявила, что взлома не было, но к шантажистам неким образом попал их внешний жёсткий, и ничего засекреченного на нём нет. Кто привирает, пока неясно.

@tomhunter

#news И вновь в эфире обокраденный блокчейн. Около 8,000 кошельков на Solana взломали и украли с них $5 миллионов разными токенами и NFT. Короткий ответ от компании касаемо того, что происходит: «‎Мы не знаем». Но транзакции подписаны самими владельцами, так что ключи, видимо, были скомпрометированы.

Безопасники из Elliptic считают, что на этот раз был баг в софте кошельков, а не в самом блокчейне (затронуты Slope, Phantom, Solflare и Trust Wallet). Атака через цепочку поставок, нулёвой день в браузере, косяк в генераторе ключей, баг переиспользования nonce-числа — пока есть только догадки. И 8,000 человек, лишившиеся цифровых накоплений.

@tomhunter

#news Как поднять на уши всех пользователей Гитхаба? Заявить, что ты раскрыл масштабную малварь-атаку, в которой заражены 35 тысяч репозиториев. С такого захода вчера начал тред в Твиттере один разработчик.

Как быстро выяснилось, никакие репозитории не скомпрометированы — речь шла о недельных клонах с вшитой малварью. И их было не десятки тысяч: любитель сенсаций вбил в поиск случайно обнаруженную в коде вредоносную ссылку, нашёл 35к результатов в файлах и настрочил пост. Гитхаб всё поудалял в тот же день. А в тред к автору пришёл якобы владелец зловредного сервера и заявил, что так тестирует баг для BB-программы. С помощью малвари, тянущей переменные среды… Ну, обычный день на Гитхабе.

@tomhunter

#news Все системы ассоциации немецких торгово-промышленных палат ушли оффлайн — их отключили после атаки. Сайты, телефония, почтовые сервера. Скорее всего, рансомварь.

Работа систем встала по всей Германии, и пока неясно, кто стоит за масштабной атакой. Когда удастся восстановить работу, компания оценить тоже не в состоянии. Между тем она обслуживает 3 миллиона бизнесов со всей страны от мелких лавочек до крупнейших предприятий. Так что последствия взлома и убытки от простоя могут быть довольно серьёзными.

@tomhunter

#news Google сделал "красиво" всем любителям доркингового OSINT-а. Раньше при указании запроса в кавычках в выдаче часто появлялись страницы, описание которых не позволяло понять, есть ли там искомые слова и в каком они контексте. Приходилось открывать каждый сайт и проверять вручную. Теперь поиск стал умнее. Сейчас в выдаче будут отображаться именно те фрагменты страниц, где найден текст или фраза, которую пользователь заключил в кавычки.

@tomhunter

#news Твиттер выпустил официальное заявление по следам недавней утечки личных данных пользователей, в которой было заявлено 5.5 миллионов пострадавших аккаунтов. И звучит оно не особо воодушевляюще.

Сколько аккаунтов оказалось скомпрометировано по следам эксплойта уязвимости, они не знают. Ну и в сущности заявление сводится к «Нам очень жаль, если ваш аккаунт был псевдоанонимным: мы понимаем, что утечка может для вас иметь неприятные последствия. Советуем использовать только одноразовые мобильники, потому что мы сами себе не доверяем». Условному иранскому или саудитскому диссиденту теперь не позавидуешь.

@tomhunter

По следам жаркого июля традиционно разбираем самые горячие новости ушедшего месяца. Из интересного сегодня занимательный метод кражи данных с не подключённых к сети машин, рекордная по масштабам и нелепости утечка личных данных из Китая, небольшой Митрегейт, инновации в бизнес-схемах эффективных менеджеров от мира киберпреступности и другие любопытные события. За подробностями добро пожаловать на наш Хабр!

#news Ещё один криптомиксер попал под санкции США: ожидаемая судьба постигла Tornado Cash. Теперь все операции с ним в штатах и для их граждан запрещены, а его владельцам в Америке придётся несладко. Между тем его основатели — наши соотечественники.

В принципе, ничего удивительного: через эту криптолавочку последние месяцы отмывали сотни миллионов чуть ли не со всех громких краж с блокчейнов. Отмывали северокорейцы из Lazarus. Так что а-та-та от штатов было просто вопросом времени. Смарт-контракты смарт-контрактами, но у Дяди Сэма свои геополитические интересы. Что ему этот ваш блокчейн.

@tomhunter

#news В списке сливов данных от российских компаний весна-лето 2022 вновь пополнение. В сети оказалась база программы лояльности Tele2. 7,5 миллионов строк с номерами, именами и ящиками участников. По словам компании, взломали их поставщика BSS, сами они не при делах, да и ничего конфиденциального там всё равно нет.

В даркнете сейчас, к слову, рекорды по числу слитых российских баз — добили пять десятков. Тем временем грядущий закон об утечках сильно смягчили и сделали двухэтапным после совещания с крупными компаниями. Видимо, чтобы те могли отрицать новые взломы и съезжать на минимальных штрафах. Смекалочка!

@tomhunter

#news Неожиданное следствие СВО. Мессенджер Telegram за полгода увеличил аудиторию в России на 66% — с 25 млн в январе до 41,5 млн человек в сутки в июле. Основной скачок случился в марте — сразу до 40,6 млн по сравнению с 27,5 млн в феврале.

@tomhunter

#news Облачные сервисы Twilio и Cloudflare подверглись фишинговой атаке по смс. В обеих компаниях работники клюнули на наживку и слили свои учётки и пароли на подставных сайтах. У первых злоумышленники получили доступ к системам и «некоторым данным пользователей». А у Cloudflare обошлось, так как у них в ходу физические ключи безопасности.

Кто стоит за атакой, пока неизвестно. На скринах примеры полученных сообщений aka гениальной социнженерии. Как мало всё-таки нужно злоумышленнику для своих тёмных дел! «Good day sir, please login», и готово.

@tomhunter

#news Как выглядит рансомварь-атака на компанию, у которой удача на единичке? За две недели три разных группировки заходят в их системы и дружно шифруют файлы. Уникальный в своей курьёзности случай.

У неназванного автопоставщика был неверно настроен файрвол, и начальный доступ ушёл на продажу. За дело взялись LockBit, Hive и BlackCat. Из-за того, что две атаки шли с разницей в пару часов, с работавшими параллельно энкрипторами часть файлов оказалась зашифрована аж пять раз. А через пару недель зашла третья группировка, стёрла теневые копии и почистила журнал событий. Вопрос на миллион: сколько раз компании теперь платить выкуп?

@tomhunter