Про Google доркинг написано и сказано немало. С помощью расширенных операторов поиска можно найти абсолютно все что Google проиндексировал. А проиндексировал он очень и очень много…И в данной статье мы решили углубиться в тему доркинга и рассмотреть вопрос его практического применения при проверке контрагентов. Вот так можно применять Google Dorking не только в стезе этичного хакинга) Приятного чтения!

#news В сети замечен новый ботнет Cloud9 в виде расширения под Хромиум. Функционал у него солидный: криптомайнер, DDoS-атаки на седьмой уровень, кража куки, клиппер и кейлоггер, вставки рекламы, эксплойты под несколько браузеров. Судя по C2-доменам, новый ботнет на продажу – детище специализирующейся на них группировки Keksec, авторов EnemyBot и ещё полдюжины аналогичных проектов.

Зловред распространяется не через официальный магазин Хрома, а на сторонних сайтах под видом обновления Adobe Flash Player. Заражения отмечены по всему миру, так что метод рабочий. Логика юзеров понятна: «‎О, апдейт флеш-плеера, сто лет их не было!»‎ Как уж тут удержаться и не кликнуть.

@tomhunter

#news В Канаде в конце октября арестовали одного из предполагаемых операторов LockBit, нынешнего чемпиона рансомварного мира. Задержанный оказался зловреду под стать: он был в списках целей особой важности Европола ввиду участия в резонансных рансомварь-делах. Национальность угадаете? Михаил Васильев, 33-летний гражданин России.

Насколько он важная персона в LockBit, до конца не ясно; кроме того, их представитель постил на форумах ещё вчера. Сейчас наш соотечественник ожидает экстрадиции в Штаты, а на его устройствах нашли переписку в Tox’e с товарищем LockBItSupp, исходники малвари, инструкции к ней и прочий компромат. Изъяты 32 жёстких, два огнестрела и 400 тысяч евро в криптовалюте. Хардрайвы, крипта, два ствола по версии LockBit.

@tomhunter

#news Новая малварь от группировки Worok замечена в сетевых прериях. И прячут её злоумышленники в PNG-файлах с помощью стеганографии. Небольшие куски вредоносного кода записываются в наименьшие значащие биты пикселей изображения. Позже их доставляют и собирают на машине жертвы с помощью dll-ок CLRLoader и PNGLoader, соответственно.

В качестве нагрузки в них идёт неясный PowerShell-скрипт и кастомный инфостилер на C# c Дропбоксом в качестве C2-сервера. Малварь эксклюзивная, и целями группировки являются госструктуры Ближнего Востока, Северной Америки и Юго-Восточной Азии. Так что, по всей видимости, скрытно работают китайские шпионы.

@tomhunter

#news Если кто следит за самой зрелищной и нелепой катастрофой в современной финансовой истории – крахом криптобиржи FTX – в её эпопее появилась и вишенка инфобеза. Стоило им подать на банкротство, биржу самым загадочным образом взломали. Больше $600 миллионов ушли по неизвестным адресам, кража отдаёт инсайдерской работой. Плюс в приложениях якобы апдейт в виде инфостилера, админы призывают срочно их удалить и не заходить на сайт во избежание троянов.

Между тем в штабе FTX на Багамах полицейский рейд, а владелец биржи и пара сообщников сейчас под надзором полиции. В общем, если кто гадал, что случилось с курсами крипты, произошёл FTX. Из одной криптозимы прямиком в другую. Спасибо товарищу SBF.

@tomhunter

#news Один безопасник случайно обнаружил способ обойти экран блокировки смартфонов на Андроид. В версиях с 10 по 13 при блокировке сим-карты после неправильного ввода PIN и её разблокировки с помощью PUK-кода телефоны пропускают блокировку и сразу выдают главный экран. То есть злоумышленник может просто вставить свою симку и за пару минут разблокировать телефон. Видео здесь.

Баг вызван конфликтом в функции dismiss, приводящему к пропуску экранов блокировки после ввода PUK-кода. Висел он в BB-программе Гугла с июня и правится ноябрьским патчем; история о том, как обнаруживший его ИБшник в Гугл ходил – отдельная эпопея. Так что гордым обладателям Андроида, а также чересчур любопытных супругов, воришек в подземке и прочих незваных любителей залезть в телефон, определённо стоит накатить обновление, пока баг не пошёл в народ.

@tomhunter

#news У пользователей Kerberos появились проблемы с входом в системы и аутентификацией в целом. А виной тому внезапно ноябрьские патчи от Майкрософт. Опять. С полей пишут, апдейт также начисто ломает Kerberos при включении настроек AES 128/256 bit encryption в юзерских аккаунтах.

Проблемы возникают во всех сценариях аутентификации и для клиентских, и для серверных платформ с ошибками Event ID 14 и 42. Из Редмонда сообщают, что введённый ими с ноября обязательный харденинг для Kerberos таких конфузов по плану не подразумевал. Над проблемой они активно работают, и решение будет доступно, гм, в ближайшие недели. Сидеть без свежих патчей или поставить их только для того, чтобы возиться с брыкающимися системами и откатываться обратно на RC4? Иллюзия выбора от Майкрософт.

@tomhunter

#news Хорошая новость для любителей тех редких случаев, когда Большому Корпоративному Брату ещё напоминают значение слова «‎приватность». Гугл согласился выплатить $391 миллионов, чтобы закрыть ‎дело по слежке за пользователями Андроида. Тяжбы тянулись по следам расследования 2018-го, когда выяснилось, что геолокацию юзеров собирали, даже если те выключили её в настройках.

Решение суда также обязывает компанию внести ясность в настройки и оповещения касаемо сбора пользовательской инфы и ограничивает её право на использование и хранение некоторых геоданных. Юзеры должны иметь возможность отключать геослежение, указывать срок хранения своих данных и запрашивать их удаление. Мелочь на пути в мир тотальный слежки по версии гугловской машины различий, а приятно.

@tomhunter

#news Осень принесла поимку ещё одной крупной рыбы украинского киберпреступного мира. В Женеве арестован Вячеслав «‎Танк» Пенчуков, он же DJ Slava Rich из Донецка. А по совместительству глава JabberZeus – пионеров MITB-атак, с помощью банковского трояна Zeus укравших десятки миллионов долларов в Штатах и Европе. Забавная опсек-ошибка Пенчукова: в 2009-м в прослушиваемом чате он упомянул рождение дочери. В тот день в стране родилась одна девочка с таким именем и весом. Так у преступника появилось лицо.

У Кребса занятный материал по теме. Почти 15 лет работы по группировке и годы, когда утро начиналось с прозвона компаний, по чьи деньги в банк спешили дропперы. Криво поднятые сайты для их найма и скраппер по сообщениям – так Кребс годами нарушал планы злоумышленников. Для знакомых с реалиями СНГ чтиво ещё забористее. Янукович-младший в качестве крёстного дочери Пенчукова, его связи с сбушниками, инвестиции в бутики в Киеве… Донецкий пижон Слава Рич жил на широкую ногу. Увы, сказочке настал конец.

@tomhunter

#news Новая фича от DuckDuckGo по блокировке трекеров в приложениях под Андроид aka аналог Blokada вошла в открытую бету. Помимо базового функционала, теперь юзер также может видеть, какие трекеры заблокированы и что за данные они собирают. Блокировки обещают фоновые и без особого влияния на производительность по регулярно обновляемому списку известных трекеров; браузер фильтрует их, выступая в качестве локального VPN.

В отличие от аналогичного яблочного решения согласия от разработчиков приложений на блокирование не требуется. В DuckDuckGo заверяют, что фича творит свою магию прямо на смартфонах и никаких данных ни им, ни на сторону не отсылает. Чувство гордости и достижения от вида циферок с тысячами заблокированных попыток слежки прилагается.

@tomhunter

#news В начале ноября ФБР отжали домены Z-Library, одной из крупнейших интернет-библиотек, существовавшей с 2009-го и входившей в топ-10к самых посещаемых сайтов. А сегодня в США двум её владельцам предъявили обвинения в краже интеллектуальной собственности и нарушении так называемого копирайта.

Антон Напольский и Валерия Ермакова, граждане России, были арестованы 3 ноября в Аргентине по запросу из Штатов. Сообщают, по Напольскому есть куча доказательств от Гугла и Амазона, что именно он владел сайтом и продвигал его через Google Ads. 249 доменов библиотеки в руках у ФБР, но Tor-версия сайта всё ещё на плаву. Впрочем, вряд ли надолго. 220 терабайт интеллектуальной собственности с репозитория Z-Library теперь могут спать спокойно. В отличие от наших попавшихся соотечественников.

@tomhunter

#news Группировка Hive демонстрирует неприлично продуктивные результаты: с июня 2021-го они получили около $100 миллионов выкупа и атаковали больше 1,300 компаний по всему миру. С начала этого года на ID Ransomware 850 репортов с образцами их малвари, и это лишь часть атак. Список целей Hive широк, в основном критическая инфраструктура с акцентом на здравоохранении. Вдобавок ко всему, злоумышленники повторно заражают сети компаний, восстановивших работу без выплаты выкупа: им либо снова засылают зловред группировки, либо другую рансомварь.

Что примечательно, пик атак в этом году пришёлся на весну. В то время группировка активно сотрудничала с Conti с начальным доступом и пен-тестом от её членов, плюс у последних начались проблемы после сливов от крота в их рядах. Скорее всего, всплеск активности перед уходом Conti в тень был неспроста.

@tomhunter

#news Ноябрьский патч от Майкрософт, запоздало пофиксивший баги в связке ProxyNotShell, оказался как раз к месту: в сети опубликована рабочая проверка концепции к эксплойту. Представленная товарищем под ником Janggggg PoC работает на серверах Microsoft Exchange 2016 и 2019 из коробки, а для 2013 требует пары твиков в коде.

Напомню, активный эксплойт пары багов, названный ProxyNotShell, заметили в сетевых дебрях в сентябре этого года. Тогда же на Гитхабе всплыл ворох фейковых проверок концепций от скамеров. Ну а теперь с публикацией рабочей PoC для всех желающих обновление до актуальной версии становится вопросом ещё более насущным. Потому как там, где блестящий новеньким ноябрьским апдейтом ME-сервер выдаёт на эксплойт ошибку 400, лишённые такие роскоши запылившиеся сервера с готовностью раскрывают все свои карты.

@tomhunter

#news Продолжаются атаки с использованием нулевого дня под винду. Напомню, он позволяет обойти веб-метку безопасности при открытии js-файлов, если они подписаны искажённой цифровой подписью. Работает на 11 версии для архивных файлов и для любых на десятке.

В новой фишинговой кампании распространяют малварь Qbot. Стоило ноябрьскому патчу пофиксить ту же проблему с MoTW для файлов в ISO-образах, злоумышленники переключились на этот баг. Теперь в их архивах js-файлы, грузящие в память dll-ки со зловредом. С учётом того, что видим уже вторую кампанию с эксплойтом этого нулевого дня, можно делать ставки, пофиксят ли его наконец в патчевый вторник декабря. В этом месяце его обошли стороной, и вот результат.

@tomhunter

#news Команда безопасности Гугла опенсорснула 165 правил под YARA и VirusTotal для отслеживания IOC от Cobalt Strike. Акцент сделан на определении версии фреймворка в системах от древней 1.44 по новейшую. Его ломаные версии почти всегда минимум на одну старше официального релиза, так что подбор правил под старые позволяет с большей точностью отследить вредоносную активность.

Помимо этого, в открытый доступ выложили подборку сигнатур под Sliver – аналог Cobalt Strike, также используемый злоумышленниками. Такими темпами недавно взломанный Brute Ratel станет безоговорочным фаворитом у всех крупных группировок. А может, увидим и больше собранных на коленке версий Cobalt Strike от пиратского клана.

@tomhunter

#news Среди злоумышленников набирает популярность инфостилер Aurora. Как минимум семь заметных группировок либо перешли на его использование, либо пускают параллельно с Raccoon и Redline Stealer’ами. Что иронично, рост популярности связан с малой известностью нового зловреда, а также низкой частотой обнаружения.

Написанная на Go Aurora всплыла на русскоязычных форумах в апреле 2022-го. Поначалу авторы замахнулись на многофункциональный ботнет, но позже сбавили обороты до инфостилера в нынешнем виде. Получилась скрытная, легковесная и полностью нативная малварь без зависимостей и с ворохом фич. Здесь можно почитать подробнее о техдеталях восходящей звезды киберпреступного рынка, активно распространяемой по разным каналам от читов и ломаного софта до криптофишинга.

@tomhunter

#news К вопросу о том, что будет после Cobalt Strike: исследователи ожидают, что злоумышленники возьмут на вооружение фреймворк Nighthawk. Он находится в активной разработке и заточен под обход обнаружения с ворохом фич, отлично справляющихся с задачей. Подробнее о фреймфорке здесь.

Собственно, в середине сентября исследователи выше обнаружили тестовые рассылки Nighthawk по следам выхода версии 0.2, что и позволило изучить образец. Из интересного, новые методы самошифрования маяка для обхода сканов памяти на предмет вредоносных dll-ок. Пока следов использования ломаного фреймворка злоумышленниками в сетевых дебрях не замечено. Но ознакомиться с перспективным новичком лишним не будет.

@tomhunter

#news Пророссийские хакеры из Killnet продолжают дудосить сайты по следам геополитических волнений. Вчера ненадолго прилёг сайт Европарламента – вечером его президент сообщила о мужественно отбитой их IT-спецами изощрённой атаке. Связано это всё, как водится, с актуальной новостной повесткой.

Такие DDoS-атаки по сайтам имеют больше психологический эффект, чем реально сказываются на работе инфраструктуры. Но наблюдать за отголосками политических баталий в сети всё равно занятно. Да и не каждый день на серьёзном новостном портале увидишь скриншоты подобного содержания. Интересно, догадались ли они прогнать пост через переводчик или просто опубликовали по принципу «‎И так сойдёт»?

@tomhunter

#news Онлайн-сервис для подмены телефонов iSpoof приказал долго жить. И избавляться от всех следов пользования – 142 связанных с ним человека были арестованы, включая админов и предполагаемого владельца. Из них больше ста в Лондоне.

Сервис был в ходу у злоумышленников для социнженерии, фишинга и скама от лица банков и других организаций. Однако голландская полиция нашла их сервера в Алмере, городке под Амстердамом, и поставила на них прослушку. Международное расследование шло больше полутора лет и достигло кульминации в начале ноября. Сейчас полиция активно деанонимизирует пользователей сервиса. В общем, Европол объявил неделю арестов, число звонков из техподдержки банков снизилось втрое.

@tomhunter

#news Исследователи обнаружили, что группировка Bahamut использует троянизированные версии SoftVPN и OpenVPN под Андроид для шпионажа. Распространяют зловред через фейковый сайт под видом легитимного SecureVPN. Троянский VPN работает исправно, но крадёт контакты, логи, геолокацию, смс и переписку из полдюжины мессенджеров.

К счастью, в магазине Гугла малварь не светилась – видимо, распространяли точечно по конкретным жертвам кампании. Bahamut активны года с 2016-го и были замечены в шпионаже на Ближнем Востоке и в Южной Азии. А так, новость прямо под блогеров с низкой социальной ответственностью, постящих байки про VPN за мелкий прайс. Monero троянец от Bahamut, конечно, не майнит и телефон пять раз за день не разрядит. Но с кражей инфы справляется на отлично.

@tomhunter

#news Пока Маск развлекается со своей новой игрушкой, появляются новые истории по следам API-уязвимости, исправленной в январе этого года. База на 5,5 миллионов юзеров, которая была в продаже в июле, теперь в свободном доступе. И всплыла ещё одна, как утверждают, на 17 с лишним миллионов записей. Тем же багом по API были вытянуты профили с Twitter ID, а также телефоны и ящики.

Данные от конца 2021-го, и кто их наскрапил, неясно. Но с этим API-эксплойтом, видимо, успел поиграться далеко не единственный злоумышленник. Твиттер о новом дампе пока молчит, а безопаснику, первым сообщившему о масштабной утечке, и вовсе быстро заблокировали аккаунт. Ну, оказавшейся в руках эксцентричного миллиардера синей птичке сейчас немного не до того. Её и без новых сливов неплохо так лихорадит.

@tomhunter