#news Криптовзломщики добрались и до Binance: с их кроссчейн-моста BSC Token Hub пытались стянуть 2 миллиона BNB, что эквивалентно 566 миллионам долларов. Хакеры успели вывести около $100 миллионов, остальное повисло на вовремя остановленном мосте. Подробностей эксплойта пока нет, известно только, что дополнительные токены были созданы через подделку низкоуровнего пруфа.

Средства юзеров не затронуты, аккаунт злоумышленника будет заблокирован, и разработчики пока решают, замораживать ли висящую в сети BNB Chain украденную крипту. Если бы средства удалось вывести, кража шла бы вплотную с рекордным весенним взломом Ronin на $620 миллионов. И товарищ Ким Чен Ын мог бы профинансировать ещё пару ракетных запусков в сторону Японии.

@tomhunter

#news Произошла утечка более 400 Гб конфиденциальных данных компании Bombardier, касающихся разработок и иная внутренняя документация.

@tomhunter

#news Владеющая Facebook компания, которую нельзя называть, сообщила о 400 выявленных приложениях для кражи данных доступа к соцсети. Из них 355 под андроид, и ещё 47 под iOS. Потенциально пострадали не меньше миллиона пользователей.

Фонарики, мобильные игры, фоторедакторы – полный набор. Причём почти половина приложений из последней категории, около трети – это фейковые VPN и утилиты для бизнеса, остальное по мелочи. Тем временем компания доверительно советует насторожиться, если фонарик вдруг попросит залогиниться в фейсбук. Ну, хотя бы не в госуслуги, и то добро.

@tomhunter

#news Занятные сводки с киберфронтов: пророссийские хакеры из KillNet ддосят сайты аэропортов в Штатах, причём относительно успешно. Некоторые недоступны или еле грузятся, включая крупнейшие аэропорты в Лос-Анджелесе и Атланте. Счёт идёт на десяток работающих с перебоями веб-порталов.

Список доменов для ддоса группировка сегодня выложила в телеграм-канале. Прежде KillNet в основном были нацелены на европейские страны, но последнее время переключились на цель покрупнее, атакуя и правительственные сайты в Штатах. Такой вот хактивизм в эпоху масштабных геополитических треволнений.

@tomhunter

#news Сервисы для самых маленьких злоумышленников продолжают эволюционировать. Новая фишинговая платформа Caffeine предлагает регистрацию и разные подписочные планы всем желающим – никаких инвайтов и сумрачных форумных подворотен. Вместе с тем сервис также богат и на фичи.

Динамичные URL с генератором страниц под жертв, тонкая настройка, редиректы и сами фишинговые страницы, IP-фильтры. Вплоть до встроенной PHP-утилиты для рассылки писем. И шаблоны под российские и китайские платформы вместо привычных западных. Если авторы добавят больше шаблонов, сервис рискует стать серьёзной головной болью, так как порог вхождения совсем низкий. Зачем учить основы HTML/CSS, когда большие киберпреступные дяди всё накодили за тебя.

@tomhunter

#news Не всякая рансомварь одинаково продвинута, и пока у одних в ходу прерывистое шифрование, другие идут более незамысловатым путём. В нашем случае липовые сайты для взрослых скачивают юзеру экзешник “SexyPhotos.JPG”, который засылает любителю клубнички зловред и якобы шифрует файлы. С рансомварь-запиской о краже данных и требованием 300 баксов в битках.

На деле же малварь просто однотипно переименовывает файлы по списку расширений и путей, чтобы их нельзя было распознать. Нет ни шифрования, ни, видимо, «декриптора»‎ – вредонос нигде старые названия не хранит. Более того, он ещё и запускает вайпер, который должен удалить все разделы, кроме С:\. Но автор опечатался в названии скрипта, и он не срабатывает. Что ж, полбалла товарищу за попытку и жирную двойку за исполнение.

@tomhunter

#news Прокуратура начала вручать пользователям предостережения за посты в Facebook* и Instagram* (*запрещены в России, принадлежат Meta, которая признана в РФ экстремистской).

совершение действий по привлечению пользователей в социальные сети Facebook и Instagram, а также размещение там материалов, в том числе рекламных, могут рассматриваться как форма участия в экстремистской организации и склонения к участию в ней неопределенного круга лиц...

@tomhunter

#news Toyota сообщила о возможной утечке данных пользователей. Однако в этот раз их никто не взламывал. Просто ключ доступа к базе данных приложения T-Connect по ошибке опубликовали на Гитхабе вместе с куском исходников сайта. Где он благополучно и провисел пять лет в открытом доступе.

В базе были только почтовые ящики и клиентские номера на 300 тысяч пользователей; имена, телефоны и кредитки в ней не хранились. Тойота не отрицает, что данные могли утечь, но винит в произошедшем стороннего разработчика. Что ж, хотя бы ключи к базе они сменили. Лучше поздно, чем никогда.

@tomhunter

#news Пока товарищ Дуров напоминает о незащищённости WhatsApp, неофициальные версии мессенджера берут новые высоты. Так, новая версия YoWhatsApp не только предлагает юзерам заманчивые функции, но и скачивает троян Triada. С рекламой, скрытыми премиальными подписками и кражей ключей доступа к оригинальному приложению.

В неофициальные клиенты WhatsApp нередко попадает вредоносная начинка за счёт их установки через APK. А ранее в октябре три китайские компании и вовсе пошли под суд, своими форками мессенджера взломавшие больше миллиона аккаунтов для рассылки малвари. Тем временем где-то вдалеке посмеивается один ехидный российский разработчик.

@tomhunter

#news Исследователи обнаружили занятную атаку по времени по npm-репозиторию. Она позволяет злоумышленникам определить, существуют ли приватные npm, оценивая время отклика по API-запросам. На несуществующие репозиторий выдаёт 404 в доли секунды, на приватные – на несколько сотен миллисекунд позже. Этого достаточно для обнаружения скрытых пакетов.

В дальнейшем полученная инфа может быть использована для создания клонов и тайпсквот-копий приватных npm и в итоге – атак на цепочку поставок. Между тем Гитхаб сообщил, что из-за архитектурных ограничений решить проблему таких атак они не могут. Так что предотвращать их разработчикам, как обычно, предлагают самостоятельно.

@tomhunter

#news Пятничная новость о рекордах на DDoS-фронтах. Cloudflare отчитался об атаке на 2.5 террабита в секунду и на 26 миллионов запросов на пике. Компания сообщает, что это крупнейшая по битрейту атака из ими зарегистрированных. А шла она… по майнкрафт-серверу.

Жертвой атаки ботнета Mirai стал популярный портал в манящий мир кубов Wynncraft на сотни тысяч игроков. К счастью для них, Cloudflare полностью погасил дудос, так что герои кирки даже ничего не заметили. Ну а с прочими трендами от мира DDoS-атак можно ознакомиться в их традиционном квартальном отчёте.

@tomhunter

#news Нидерландские безопасники демонстрируют смекалочку в работе с рансомварщиками. Группировка DeadBolt шифрует сетевые накопители от QNAP по всему миру, требуя $6 тысяч в битках. После создания платежа они автоматически высылают ключ ответной транзакцией.

Герои нашей истории успели отправить им 155 платежей от имени обратившихся в полицию жертв взлома, получили ключи дешифрования и… отменили транзакции. Воспользовались моментом, когда биткоин-блокчейн был загружен, и их платежи с минимальной комиссией прошли не сразу. Увы, одураченные злоумышленники ввели двойное подтверждение, так что трюк повторно не провернуть. Но почти миллион долларов хитрецам удалось сэкономить.

@tomhunter

#news На днях закончилась поддержка версий 6.7.0 и 6.5.0 ESXi серверов от VMware, и в Lansweeper посчитали, сколькие из их клиентов сидят на устаревших версиях. Результаты занятные: только на четверти серверов актуальный софт с регулярными обновлениями.

Между тем их виртуалки регулярно становятся целью рансомварь-группировок вроде Hive и Black Basta. Так что для больше чем половины юзеров ESXi, погружающихся в мутные воды нерегулярных апдейтов, новость неутешительная. Отдельный привет отчаянным, сидящим на версиях, поддержка которых закончилась несколько лет назад, — такими оказались каждый шестой. Как принять хаос, ESXi-версия.

@tomhunter

#news Рансомварь Venus всплыла в очередной кампании и активно шифрует устройства под винду по всему миру – счётчик на ID Ransomware тикает каждый день. Целью атаки становятся публично доступные удалённые рабочие столы, причём даже с нестандартными портами.

Рансомварь довольно стандартная, но злоумышленники отличаются особой подлостью – на местах сообщают, что, даже получив выкуп, они лишь вымогают больше денег и в итоге не шлют декриптор. Другой вопрос, впрочем, почему в 2022-м у кого-то ещё есть доступные всем и каждому RD. Ты ведь засунул все свои удалённые рабочие столы под VPN, юзернейм?

@tomhunter

#news Призрак REvil бродит по сети: в тактике и коде группировки Ransom Cartel нашли схожести с малварью нашумевших в прошлом году рансомварщиков. Группировка возникла в декабре, через пару месяцев после ухода REvil в тень.

Двойной шантаж, крупные суммы выкупа, сайт с утечками для давления на жертв – всё при них. Но главное, код. Та же схема шифрования, схожая структура конфигурации, но нет исходного движка для обфускации и части значений конфигурации. Так что, скорее всего, в Ransom Cartel влились бывшие члены REvil с доступом к части старых инструментов. Между тем весной другие её участники всплывали с малварью, собранной из исходников группировки, и ключами к их старым сайтам. Так или иначе дело REvil живёт и не даёт покоя ностальгирующим по прошлогодним успехам банды молодых и шальных рансомварщиков.

@tomhunter

Социальная инженерия в 2022 году: все еще актуальна? Рассмотрим эту тему в новой статье на Хабре.
Основными типами атак социальной инженерии остается фишинг, приманка, Tailgating и Quid Pro Quo. Стоит оговориться, что специалисты выделяют гораздо больше типов соц. инженерии. В статье поговорим о самых распространённых типах атак и особенностях техник до и после 2022 года. Приятного чтения 😊

#news Майкрософт сообщил об утечке данных клиентов. Согласно обнаружившим её безопасникам, затронуты 65,000 компаний по всему миру. Среди утёкшего имена и телефоны, почтовые адреса и содержание писем, плюс приложенные файлы, среди которых всевозможные документы. Полмиллиона юзеров, 111 стран, 133 тысячи проектов, 335 тысяч писем, 2.4 терабайта данных. Нехило.

Сегодня никаких заковыристых уязвимостей – к утечке привёл неверно настроенный сервер Azure Blob Storage. Майкрософт заявляет, что SOCRadar серьёзно преувеличивают проблему, да и парсить данные и делать по ним поиск не надо – это не в интересах клиентов. Так же, оказывается, уведомлять регуляторов тоже не в их интересах – делать это в компании не собираются, мол по регламенту ЕС и так сойдёт. В общем, с учётом того, как Мелкософт давит на раструбивших об утечке безопасников, быть героями этой истории они явно не рады. Кто бы мог подумать.

@tomhunter

#news Иногда проблемы инфобезопасности кроются весьма глубоко. Точнее, на морском дне: на юге Франции ночью были повреждены три оптоволоконных кабеля. Ремонт задержался в связи с расследованием. В то же время было повреждено оптоволокно на севере Шотландии, и Шетландские острова с их 23к жителями остались без связи с внешним миром. На самом архипелаге серьёзные проблемы с коммуникациями: не работают банки, не принимают карты, барахлит мобильная и широкополосная связь.

Обрыв кабелей во Франции же привёл к проблем в работе приложений, особенно заморских, потере пакетов и росту времени отклика сайтов. Если подводное кабели в наши смутные дни продолжат совершенно случайно выходить из строя, мы рискуем застать простои в экономике посерьёзнее ковидных. В общем, если коллеги за океаном в один прекрасный день не придут на регулярный созвон, собака может оказаться зарыта там же, где и перерезанное оптоволокно.

@tomhunter

#news Главный прокурор Техаса продолжает бодаться с Гуглом за инфобезопасность жителей штата. На этот раз он подал иск к компании за незаконный сбор биометрии техасцев аж с 2015-го года. Согласно иску, Гугл нарушил соответствующий закон штата, используя тайком собранную биометрию в коммерческих целях. Посмотрим, убережёт ли их на этот раз всесильное пользовательское соглашение.

Неутомимый товарищ Пакстон уже не раз судился с империей цифрового зла из-за слежки за юзерами, а также монополии и обманчивых практик в рекламе. Отчаянному техасскому инфобез-ковбою остаётся только пожелать удачи в его многолетней борьбе с лишающим нас последних намёков на приватность бигтехом.

@tomhunter

#news Во Франции тоже взъелись на любителей пособирать биометрию: пресловутую Clearview AI оштрафовали на $20 миллионов вслед за Италией и Грецией. Регулятор обязал компанию прекратить собирать данные на территории страны и удалить всё имеющееся в течение двух месяцев. В ином случае им грозит штраф в $100 тысяч в сутки и до упора.

Напомню, Clearview AI печально известна тем, что скрапит публичные фото и видео в сети для сбора базы биометрии лиц и личностей, в которой уже больше 20 миллиардов изображений. Затем она идёт на продажу всем желающим, включая правоохранительные органы и сомнительные конторки. Так что старое-доброе правило «‎Не грузи в сеть то, что не готов видеть в публичном доступе» теперь должно учитывать ещё и пронырливые шпионские ИИ.

@tomhunter

#news В Бразилии арестовали ещё одного потенциального члена Lapsus$. Судя по всему, очередное несовершеннолетнее дарование. В тех краях за прошедший год группировка успела отличиться взломом бразильского Министерства Здравоохранения и атаками на десятки других правительственных сайтов.

Арест стал итогом операции «‎Чёрное облако», и в открытом деле ворох обвинений от очевидных взломов и участия в преступной группировке до отмывания денег и склонения малолетних к преступлениям. ФБР также активно ищет остальных членов подростковой банды. Так что прочим открывшим для себя фильм «‎Хакеры» юным взломщикам из Германии, России и Турции стоит, так сказать, не ждать, а готовиться.

@tomhunter