#news Владеющая Facebook компания, которую нельзя называть, сообщила о 400 выявленных приложениях для кражи данных доступа к соцсети. Из них 355 под андроид, и ещё 47 под iOS. Потенциально пострадали не меньше миллиона пользователей.

Фонарики, мобильные игры, фоторедакторы – полный набор. Причём почти половина приложений из последней категории, около трети – это фейковые VPN и утилиты для бизнеса, остальное по мелочи. Тем временем компания доверительно советует насторожиться, если фонарик вдруг попросит залогиниться в фейсбук. Ну, хотя бы не в госуслуги, и то добро.

@tomhunter

#news Занятные сводки с киберфронтов: пророссийские хакеры из KillNet ддосят сайты аэропортов в Штатах, причём относительно успешно. Некоторые недоступны или еле грузятся, включая крупнейшие аэропорты в Лос-Анджелесе и Атланте. Счёт идёт на десяток работающих с перебоями веб-порталов.

Список доменов для ддоса группировка сегодня выложила в телеграм-канале. Прежде KillNet в основном были нацелены на европейские страны, но последнее время переключились на цель покрупнее, атакуя и правительственные сайты в Штатах. Такой вот хактивизм в эпоху масштабных геополитических треволнений.

@tomhunter

#news Сервисы для самых маленьких злоумышленников продолжают эволюционировать. Новая фишинговая платформа Caffeine предлагает регистрацию и разные подписочные планы всем желающим – никаких инвайтов и сумрачных форумных подворотен. Вместе с тем сервис также богат и на фичи.

Динамичные URL с генератором страниц под жертв, тонкая настройка, редиректы и сами фишинговые страницы, IP-фильтры. Вплоть до встроенной PHP-утилиты для рассылки писем. И шаблоны под российские и китайские платформы вместо привычных западных. Если авторы добавят больше шаблонов, сервис рискует стать серьёзной головной болью, так как порог вхождения совсем низкий. Зачем учить основы HTML/CSS, когда большие киберпреступные дяди всё накодили за тебя.

@tomhunter

#news Не всякая рансомварь одинаково продвинута, и пока у одних в ходу прерывистое шифрование, другие идут более незамысловатым путём. В нашем случае липовые сайты для взрослых скачивают юзеру экзешник “SexyPhotos.JPG”, который засылает любителю клубнички зловред и якобы шифрует файлы. С рансомварь-запиской о краже данных и требованием 300 баксов в битках.

На деле же малварь просто однотипно переименовывает файлы по списку расширений и путей, чтобы их нельзя было распознать. Нет ни шифрования, ни, видимо, «декриптора»‎ – вредонос нигде старые названия не хранит. Более того, он ещё и запускает вайпер, который должен удалить все разделы, кроме С:\. Но автор опечатался в названии скрипта, и он не срабатывает. Что ж, полбалла товарищу за попытку и жирную двойку за исполнение.

@tomhunter

#news Прокуратура начала вручать пользователям предостережения за посты в Facebook* и Instagram* (*запрещены в России, принадлежат Meta, которая признана в РФ экстремистской).

совершение действий по привлечению пользователей в социальные сети Facebook и Instagram, а также размещение там материалов, в том числе рекламных, могут рассматриваться как форма участия в экстремистской организации и склонения к участию в ней неопределенного круга лиц...

@tomhunter

#news Toyota сообщила о возможной утечке данных пользователей. Однако в этот раз их никто не взламывал. Просто ключ доступа к базе данных приложения T-Connect по ошибке опубликовали на Гитхабе вместе с куском исходников сайта. Где он благополучно и провисел пять лет в открытом доступе.

В базе были только почтовые ящики и клиентские номера на 300 тысяч пользователей; имена, телефоны и кредитки в ней не хранились. Тойота не отрицает, что данные могли утечь, но винит в произошедшем стороннего разработчика. Что ж, хотя бы ключи к базе они сменили. Лучше поздно, чем никогда.

@tomhunter

#news Пока товарищ Дуров напоминает о незащищённости WhatsApp, неофициальные версии мессенджера берут новые высоты. Так, новая версия YoWhatsApp не только предлагает юзерам заманчивые функции, но и скачивает троян Triada. С рекламой, скрытыми премиальными подписками и кражей ключей доступа к оригинальному приложению.

В неофициальные клиенты WhatsApp нередко попадает вредоносная начинка за счёт их установки через APK. А ранее в октябре три китайские компании и вовсе пошли под суд, своими форками мессенджера взломавшие больше миллиона аккаунтов для рассылки малвари. Тем временем где-то вдалеке посмеивается один ехидный российский разработчик.

@tomhunter

#news Исследователи обнаружили занятную атаку по времени по npm-репозиторию. Она позволяет злоумышленникам определить, существуют ли приватные npm, оценивая время отклика по API-запросам. На несуществующие репозиторий выдаёт 404 в доли секунды, на приватные – на несколько сотен миллисекунд позже. Этого достаточно для обнаружения скрытых пакетов.

В дальнейшем полученная инфа может быть использована для создания клонов и тайпсквот-копий приватных npm и в итоге – атак на цепочку поставок. Между тем Гитхаб сообщил, что из-за архитектурных ограничений решить проблему таких атак они не могут. Так что предотвращать их разработчикам, как обычно, предлагают самостоятельно.

@tomhunter

#news Пятничная новость о рекордах на DDoS-фронтах. Cloudflare отчитался об атаке на 2.5 террабита в секунду и на 26 миллионов запросов на пике. Компания сообщает, что это крупнейшая по битрейту атака из ими зарегистрированных. А шла она… по майнкрафт-серверу.

Жертвой атаки ботнета Mirai стал популярный портал в манящий мир кубов Wynncraft на сотни тысяч игроков. К счастью для них, Cloudflare полностью погасил дудос, так что герои кирки даже ничего не заметили. Ну а с прочими трендами от мира DDoS-атак можно ознакомиться в их традиционном квартальном отчёте.

@tomhunter

#news Нидерландские безопасники демонстрируют смекалочку в работе с рансомварщиками. Группировка DeadBolt шифрует сетевые накопители от QNAP по всему миру, требуя $6 тысяч в битках. После создания платежа они автоматически высылают ключ ответной транзакцией.

Герои нашей истории успели отправить им 155 платежей от имени обратившихся в полицию жертв взлома, получили ключи дешифрования и… отменили транзакции. Воспользовались моментом, когда биткоин-блокчейн был загружен, и их платежи с минимальной комиссией прошли не сразу. Увы, одураченные злоумышленники ввели двойное подтверждение, так что трюк повторно не провернуть. Но почти миллион долларов хитрецам удалось сэкономить.

@tomhunter

#news На днях закончилась поддержка версий 6.7.0 и 6.5.0 ESXi серверов от VMware, и в Lansweeper посчитали, сколькие из их клиентов сидят на устаревших версиях. Результаты занятные: только на четверти серверов актуальный софт с регулярными обновлениями.

Между тем их виртуалки регулярно становятся целью рансомварь-группировок вроде Hive и Black Basta. Так что для больше чем половины юзеров ESXi, погружающихся в мутные воды нерегулярных апдейтов, новость неутешительная. Отдельный привет отчаянным, сидящим на версиях, поддержка которых закончилась несколько лет назад, — такими оказались каждый шестой. Как принять хаос, ESXi-версия.

@tomhunter

#news Рансомварь Venus всплыла в очередной кампании и активно шифрует устройства под винду по всему миру – счётчик на ID Ransomware тикает каждый день. Целью атаки становятся публично доступные удалённые рабочие столы, причём даже с нестандартными портами.

Рансомварь довольно стандартная, но злоумышленники отличаются особой подлостью – на местах сообщают, что, даже получив выкуп, они лишь вымогают больше денег и в итоге не шлют декриптор. Другой вопрос, впрочем, почему в 2022-м у кого-то ещё есть доступные всем и каждому RD. Ты ведь засунул все свои удалённые рабочие столы под VPN, юзернейм?

@tomhunter

#news Призрак REvil бродит по сети: в тактике и коде группировки Ransom Cartel нашли схожести с малварью нашумевших в прошлом году рансомварщиков. Группировка возникла в декабре, через пару месяцев после ухода REvil в тень.

Двойной шантаж, крупные суммы выкупа, сайт с утечками для давления на жертв – всё при них. Но главное, код. Та же схема шифрования, схожая структура конфигурации, но нет исходного движка для обфускации и части значений конфигурации. Так что, скорее всего, в Ransom Cartel влились бывшие члены REvil с доступом к части старых инструментов. Между тем весной другие её участники всплывали с малварью, собранной из исходников группировки, и ключами к их старым сайтам. Так или иначе дело REvil живёт и не даёт покоя ностальгирующим по прошлогодним успехам банды молодых и шальных рансомварщиков.

@tomhunter

Социальная инженерия в 2022 году: все еще актуальна? Рассмотрим эту тему в новой статье на Хабре.
Основными типами атак социальной инженерии остается фишинг, приманка, Tailgating и Quid Pro Quo. Стоит оговориться, что специалисты выделяют гораздо больше типов соц. инженерии. В статье поговорим о самых распространённых типах атак и особенностях техник до и после 2022 года. Приятного чтения 😊

#news Майкрософт сообщил об утечке данных клиентов. Согласно обнаружившим её безопасникам, затронуты 65,000 компаний по всему миру. Среди утёкшего имена и телефоны, почтовые адреса и содержание писем, плюс приложенные файлы, среди которых всевозможные документы. Полмиллиона юзеров, 111 стран, 133 тысячи проектов, 335 тысяч писем, 2.4 терабайта данных. Нехило.

Сегодня никаких заковыристых уязвимостей – к утечке привёл неверно настроенный сервер Azure Blob Storage. Майкрософт заявляет, что SOCRadar серьёзно преувеличивают проблему, да и парсить данные и делать по ним поиск не надо – это не в интересах клиентов. Так же, оказывается, уведомлять регуляторов тоже не в их интересах – делать это в компании не собираются, мол по регламенту ЕС и так сойдёт. В общем, с учётом того, как Мелкософт давит на раструбивших об утечке безопасников, быть героями этой истории они явно не рады. Кто бы мог подумать.

@tomhunter

#news Иногда проблемы инфобезопасности кроются весьма глубоко. Точнее, на морском дне: на юге Франции ночью были повреждены три оптоволоконных кабеля. Ремонт задержался в связи с расследованием. В то же время было повреждено оптоволокно на севере Шотландии, и Шетландские острова с их 23к жителями остались без связи с внешним миром. На самом архипелаге серьёзные проблемы с коммуникациями: не работают банки, не принимают карты, барахлит мобильная и широкополосная связь.

Обрыв кабелей во Франции же привёл к проблем в работе приложений, особенно заморских, потере пакетов и росту времени отклика сайтов. Если подводное кабели в наши смутные дни продолжат совершенно случайно выходить из строя, мы рискуем застать простои в экономике посерьёзнее ковидных. В общем, если коллеги за океаном в один прекрасный день не придут на регулярный созвон, собака может оказаться зарыта там же, где и перерезанное оптоволокно.

@tomhunter

#news Главный прокурор Техаса продолжает бодаться с Гуглом за инфобезопасность жителей штата. На этот раз он подал иск к компании за незаконный сбор биометрии техасцев аж с 2015-го года. Согласно иску, Гугл нарушил соответствующий закон штата, используя тайком собранную биометрию в коммерческих целях. Посмотрим, убережёт ли их на этот раз всесильное пользовательское соглашение.

Неутомимый товарищ Пакстон уже не раз судился с империей цифрового зла из-за слежки за юзерами, а также монополии и обманчивых практик в рекламе. Отчаянному техасскому инфобез-ковбою остаётся только пожелать удачи в его многолетней борьбе с лишающим нас последних намёков на приватность бигтехом.

@tomhunter

#news Во Франции тоже взъелись на любителей пособирать биометрию: пресловутую Clearview AI оштрафовали на $20 миллионов вслед за Италией и Грецией. Регулятор обязал компанию прекратить собирать данные на территории страны и удалить всё имеющееся в течение двух месяцев. В ином случае им грозит штраф в $100 тысяч в сутки и до упора.

Напомню, Clearview AI печально известна тем, что скрапит публичные фото и видео в сети для сбора базы биометрии лиц и личностей, в которой уже больше 20 миллиардов изображений. Затем она идёт на продажу всем желающим, включая правоохранительные органы и сомнительные конторки. Так что старое-доброе правило «‎Не грузи в сеть то, что не готов видеть в публичном доступе» теперь должно учитывать ещё и пронырливые шпионские ИИ.

@tomhunter

#news В Бразилии арестовали ещё одного потенциального члена Lapsus$. Судя по всему, очередное несовершеннолетнее дарование. В тех краях за прошедший год группировка успела отличиться взломом бразильского Министерства Здравоохранения и атаками на десятки других правительственных сайтов.

Арест стал итогом операции «‎Чёрное облако», и в открытом деле ворох обвинений от очевидных взломов и участия в преступной группировке до отмывания денег и склонения малолетних к преступлениям. ФБР также активно ищет остальных членов подростковой банды. Так что прочим открывшим для себя фильм «‎Хакеры» юным взломщикам из Германии, России и Турции стоит, так сказать, не ждать, а готовиться.

@tomhunter

#news Хактивизм берёт новые высоты: в Иране хакеры сливают в общий доступ секретные документы касаемо иранской ядерной программы. Взлом стал ответом на жестокое подавление протестов в стране – активисты угрожали опубликовать инфу, если правительство не освободит политзаключённых. Их требования власти проигнорировали. И вот результат.

Контракты и строительные чертежи, стратегические планы, данные инженеров и сотрудников, паспорта и визы определённых иностранных специалистов, детали по сотрудничеству с ними, техотчёты и документация, сто тысяч имейлов… Всё это в ближайшее время будет греметь в новостях со срывами покровов и занятными подробностями. Так что запасайтесь попкорном, будет весело и немного страшно.

@tomhunter

#news Исследователи изучили почти 50 тысяч репозиториев с проверками концепций на Гитхабе. И каждый десятый оказался с малварью без учёта просто фейков и пранков. Всевозможные вредоносные скрипты, кража инфы, трояны удалённого доступа – зловред на любой вкус.

И это ещё только проба пера: детектор команды не обнаруживает малварь с продвинутой обфускацией. Между тем авторы исследования не просто развлекаются – они надеются, что это наконец побудит Гитхаб взяться за разработку автоматизированного решения для борьбы с вредоносом на платформе. Экие оптимисты.

@tomhunter