#news В начале ноября ФБР отжали домены Z-Library, одной из крупнейших интернет-библиотек, существовавшей с 2009-го и входившей в топ-10к самых посещаемых сайтов. А сегодня в США двум её владельцам предъявили обвинения в краже интеллектуальной собственности и нарушении так называемого копирайта.

Антон Напольский и Валерия Ермакова, граждане России, были арестованы 3 ноября в Аргентине по запросу из Штатов. Сообщают, по Напольскому есть куча доказательств от Гугла и Амазона, что именно он владел сайтом и продвигал его через Google Ads. 249 доменов библиотеки в руках у ФБР, но Tor-версия сайта всё ещё на плаву. Впрочем, вряд ли надолго. 220 терабайт интеллектуальной собственности с репозитория Z-Library теперь могут спать спокойно. В отличие от наших попавшихся соотечественников.

@tomhunter

#news Группировка Hive демонстрирует неприлично продуктивные результаты: с июня 2021-го они получили около $100 миллионов выкупа и атаковали больше 1,300 компаний по всему миру. С начала этого года на ID Ransomware 850 репортов с образцами их малвари, и это лишь часть атак. Список целей Hive широк, в основном критическая инфраструктура с акцентом на здравоохранении. Вдобавок ко всему, злоумышленники повторно заражают сети компаний, восстановивших работу без выплаты выкупа: им либо снова засылают зловред группировки, либо другую рансомварь.

Что примечательно, пик атак в этом году пришёлся на весну. В то время группировка активно сотрудничала с Conti с начальным доступом и пен-тестом от её членов, плюс у последних начались проблемы после сливов от крота в их рядах. Скорее всего, всплеск активности перед уходом Conti в тень был неспроста.

@tomhunter

#news Ноябрьский патч от Майкрософт, запоздало пофиксивший баги в связке ProxyNotShell, оказался как раз к месту: в сети опубликована рабочая проверка концепции к эксплойту. Представленная товарищем под ником Janggggg PoC работает на серверах Microsoft Exchange 2016 и 2019 из коробки, а для 2013 требует пары твиков в коде.

Напомню, активный эксплойт пары багов, названный ProxyNotShell, заметили в сетевых дебрях в сентябре этого года. Тогда же на Гитхабе всплыл ворох фейковых проверок концепций от скамеров. Ну а теперь с публикацией рабочей PoC для всех желающих обновление до актуальной версии становится вопросом ещё более насущным. Потому как там, где блестящий новеньким ноябрьским апдейтом ME-сервер выдаёт на эксплойт ошибку 400, лишённые такие роскоши запылившиеся сервера с готовностью раскрывают все свои карты.

@tomhunter

#news Продолжаются атаки с использованием нулевого дня под винду. Напомню, он позволяет обойти веб-метку безопасности при открытии js-файлов, если они подписаны искажённой цифровой подписью. Работает на 11 версии для архивных файлов и для любых на десятке.

В новой фишинговой кампании распространяют малварь Qbot. Стоило ноябрьскому патчу пофиксить ту же проблему с MoTW для файлов в ISO-образах, злоумышленники переключились на этот баг. Теперь в их архивах js-файлы, грузящие в память dll-ки со зловредом. С учётом того, что видим уже вторую кампанию с эксплойтом этого нулевого дня, можно делать ставки, пофиксят ли его наконец в патчевый вторник декабря. В этом месяце его обошли стороной, и вот результат.

@tomhunter

#news Команда безопасности Гугла опенсорснула 165 правил под YARA и VirusTotal для отслеживания IOC от Cobalt Strike. Акцент сделан на определении версии фреймворка в системах от древней 1.44 по новейшую. Его ломаные версии почти всегда минимум на одну старше официального релиза, так что подбор правил под старые позволяет с большей точностью отследить вредоносную активность.

Помимо этого, в открытый доступ выложили подборку сигнатур под Sliver – аналог Cobalt Strike, также используемый злоумышленниками. Такими темпами недавно взломанный Brute Ratel станет безоговорочным фаворитом у всех крупных группировок. А может, увидим и больше собранных на коленке версий Cobalt Strike от пиратского клана.

@tomhunter

#news Среди злоумышленников набирает популярность инфостилер Aurora. Как минимум семь заметных группировок либо перешли на его использование, либо пускают параллельно с Raccoon и Redline Stealer’ами. Что иронично, рост популярности связан с малой известностью нового зловреда, а также низкой частотой обнаружения.

Написанная на Go Aurora всплыла на русскоязычных форумах в апреле 2022-го. Поначалу авторы замахнулись на многофункциональный ботнет, но позже сбавили обороты до инфостилера в нынешнем виде. Получилась скрытная, легковесная и полностью нативная малварь без зависимостей и с ворохом фич. Здесь можно почитать подробнее о техдеталях восходящей звезды киберпреступного рынка, активно распространяемой по разным каналам от читов и ломаного софта до криптофишинга.

@tomhunter

#news К вопросу о том, что будет после Cobalt Strike: исследователи ожидают, что злоумышленники возьмут на вооружение фреймворк Nighthawk. Он находится в активной разработке и заточен под обход обнаружения с ворохом фич, отлично справляющихся с задачей. Подробнее о фреймфорке здесь.

Собственно, в середине сентября исследователи выше обнаружили тестовые рассылки Nighthawk по следам выхода версии 0.2, что и позволило изучить образец. Из интересного, новые методы самошифрования маяка для обхода сканов памяти на предмет вредоносных dll-ок. Пока следов использования ломаного фреймворка злоумышленниками в сетевых дебрях не замечено. Но ознакомиться с перспективным новичком лишним не будет.

@tomhunter

#news Пророссийские хакеры из Killnet продолжают дудосить сайты по следам геополитических волнений. Вчера ненадолго прилёг сайт Европарламента – вечером его президент сообщила о мужественно отбитой их IT-спецами изощрённой атаке. Связано это всё, как водится, с актуальной новостной повесткой.

Такие DDoS-атаки по сайтам имеют больше психологический эффект, чем реально сказываются на работе инфраструктуры. Но наблюдать за отголосками политических баталий в сети всё равно занятно. Да и не каждый день на серьёзном новостном портале увидишь скриншоты подобного содержания. Интересно, догадались ли они прогнать пост через переводчик или просто опубликовали по принципу «‎И так сойдёт»?

@tomhunter

#news Онлайн-сервис для подмены телефонов iSpoof приказал долго жить. И избавляться от всех следов пользования – 142 связанных с ним человека были арестованы, включая админов и предполагаемого владельца. Из них больше ста в Лондоне.

Сервис был в ходу у злоумышленников для социнженерии, фишинга и скама от лица банков и других организаций. Однако голландская полиция нашла их сервера в Алмере, городке под Амстердамом, и поставила на них прослушку. Международное расследование шло больше полутора лет и достигло кульминации в начале ноября. Сейчас полиция активно деанонимизирует пользователей сервиса. В общем, Европол объявил неделю арестов, число звонков из техподдержки банков снизилось втрое.

@tomhunter

#news Исследователи обнаружили, что группировка Bahamut использует троянизированные версии SoftVPN и OpenVPN под Андроид для шпионажа. Распространяют зловред через фейковый сайт под видом легитимного SecureVPN. Троянский VPN работает исправно, но крадёт контакты, логи, геолокацию, смс и переписку из полдюжины мессенджеров.

К счастью, в магазине Гугла малварь не светилась – видимо, распространяли точечно по конкретным жертвам кампании. Bahamut активны года с 2016-го и были замечены в шпионаже на Ближнем Востоке и в Южной Азии. А так, новость прямо под блогеров с низкой социальной ответственностью, постящих байки про VPN за мелкий прайс. Monero троянец от Bahamut, конечно, не майнит и телефон пять раз за день не разрядит. Но с кражей инфы справляется на отлично.

@tomhunter

#news Пока Маск развлекается со своей новой игрушкой, появляются новые истории по следам API-уязвимости, исправленной в январе этого года. База на 5,5 миллионов юзеров, которая была в продаже в июле, теперь в свободном доступе. И всплыла ещё одна, как утверждают, на 17 с лишним миллионов записей. Тем же багом по API были вытянуты профили с Twitter ID, а также телефоны и ящики.

Данные от конца 2021-го, и кто их наскрапил, неясно. Но с этим API-эксплойтом, видимо, успел поиграться далеко не единственный злоумышленник. Твиттер о новом дампе пока молчит, а безопаснику, первым сообщившему о масштабной утечке, и вовсе быстро заблокировали аккаунт. Ну, оказавшейся в руках эксцентричного миллиардера синей птичке сейчас немного не до того. Её и без новых сливов неплохо так лихорадит.

@tomhunter

#news О неловких моментах в буднях киберпреступников всегда забавно писать. Так, ребята из группировки Ragnar Locker выложили в открытый доступ инфу, украденную, как они думали, у муниципалитета городка Звейндрехт в Бельгии. Да только это оказалась база одноимённого крупного отделения полиции с криво настроенным Citrix-эндпоинтом. И понеслась…

Теперь неладно что-то в Бельгийском королевстве – утечка крупнейшая в истории госслужб страны: в базе все данные отделения с 2006-го года по сентябрь нынешнего. Штрафы, уголовные дела, протоколы следствия, записи с дорожных камер, смс-переписка подследственных… Попавшим в слив счастливчикам рекомендуют менять всё вплоть до паспортов. Между тем Рагнару Локеру не позавидуешь – внимания они к себе привлекли знатно. Как бы в следующий раз они не перепутали сельскую администрацию с брюссельским отделением Европола…

@tomhunter

#news Когда-нибудь задумывались, как может выглядеть удачная малварь-кампания в Тик Токе? Само собой, под стать платформе. Пока юные дарования по следам нового тренда записывают якобы голые видео со скрывающим тело фильтром, злоумышленники распространяют зловред под видом софта для удаления фильтра.

В ходу у них WASP Stealer для кражи аккаунтов в Дискорде, паролей, кредиток и кошельков из браузера. И кампания настолько успешна, что репозиторий с малварью в трендовых проектах на Гитхабе с 18 форками. Плюс ворох подгружаемых на PyPI пакетов. У видео, продвигающих малварь, мгновенно миллионы просмотров и десятки тысяч страждущих на Дискорд-серверах. Увы, оголёнными в итоге остаются только несостоявшиеся вуайеристы.

@tomhunter

#news Пока в России весь год гремят бесчисленные сливы данных, и компании дружно изворачиваются, выбивая поблажки к закону об утечках, в Австралии решили проблему радикально. По следам недавних взломов максимальный штраф подняли до AU$50 миллионов, почти в 25 раз. Закон также расширяет права регуляторов по работе с утечками данных.

Что занятно, компаниям грозит потеря 30% от выручки за определённый период. Который считается от момента взлома до конца месяца, когда вопрос с утечкой официально решён. Как утверждают, закон как бы намекает компаниям, что крупные утечки данных не должны больше считаться издержками ведения бизнеса. Ну а нам пока остаётся только делать ставки, когда уже для российских компаний издержки от утечек данных миллионов юзеров перестанут равняться чему-то вроде зарплаты джуна.

@tomhunter

#news Будете смеяться, но LastPass опять подвергся взлому. В августе злоумышленники стянули их исходники и техдокументацию, а теперь получили доступ к стороннему облачному хранилищу, используя украденную ранее инфу. Ну а в хранилище, как водится, пользовательские данные.

Компания пока не спешит делиться подробностями, скрываясь за размытой формулировкой «‎определённые элементы пользовательской информации». Так что масштабы утечки станут ясны позднее. Как обычно, заверяют, что пароли в безопасности – у нас всё зашифровано и архитектура нулевого разглашения, все дела. Пароль-то, может, и последний, а вот взлом оказался совсем не последним.

@tomhunter

#news Исследователи из Akamai нечаянно положили заразивший их устройство ботнет, пока изучали его функционал. Написанный на Go криптоботнет KmsdBot попался в их ловушку, и безопасники отправили несколько команд для его тестирования. Однако ж, опечатка в команде ботнет наглухо поломала – проверки на ошибки в нём не было, и малварь покрашилась.

Ботнет в итоге лишился связи с C2-сервером и перестал получать команды – кривой запрос положил весь его код на заражённых машинах. Ну а так как функционала для закрепления в системе в ботнете не было, теперь его только с нуля пересобирать. Лица злоумышленников представили? Бонусом простенькая задачка на поиск ошибки в команде на скриншоте.

@tomhunter

Ноябрь 2022-го года подошёл к концу, так что по сложившейся традиции взглянем на самые интересные уязвимости за ушедший месяц. За подробностями добро пожаловать на наш Хабр!

#news У аналитиков Гугла любопытный отчёт об одной коммерческой спайварь-компании из Испании. За полупустым сайтом скрываются ушлые ребята, чьи «решения по обеспечению безопасности»‎ – это фреймворки с эксплойтами под старые нулевые дни в Хроме, Файрфоксе и Винде. Со всем функционалом для доставки малвари, видимо, под запросы клиента. Техдетали по ссылке.

Как пишут в отчёте, расцвет коммерческой индустрии слежки несёт угрозу безопасности, так как даёт государству инструменты для шпионажа за журналистами и диссидентами. Корпоративное зло борется с госконкурентами за право за нами следить, в общем. Такой вот пятничный киберпанк вам в ленту.

@tomhunter

#news Облачный хостинг Rackspace переживает не лучшие времена. Уже три дня лежат хостящиеся у них сервисы Microsoft Exchange, клиенты по полдня висят на звонках в техподдержку, не могут толком восстановить почту при миграции на 365 и ничего не знают о происходящем. Компания не сообщает ни о причинах, ни об утраченных данных или утечках, ни о сроках восстановления.

Между тем в Rackspace подтвердили, что у них был, что называется, ИБ-инцидент. А вот насчёт него уже есть занятные спекуляции: в ход могла пойти ProxyNotShell. Один безопасник через Shodan нашёл у компании Exchange-сервер, предположительно, не патченный с августа. Тогда на месте ответственного за сервер инженера я бы уже паковал чемоданы для поспешного отъезда куда-нибудь в Аргентину. Так, на всякий случай.

@tomhunter

#news У Кребса увлекательные приключения двух русских, судящихся с Гуглом из-за ботнета Glupteba. Преступную деятельность они отрицали, но от предписания суда на её запрет морозились. Были готовы пойти на сделку и разобрать ботнет, но когда надо было это доказать, выяснилось, доступа у них якобы почти год как нет. А адвокат об этом знал и врал в суде.

Потом наши шельмецы пытались договориться с Гуглом приватно: биткоин-адреса ботнета (которых у них нет, но если согласитесь, будут), обещание больше не шалить (без признания прежних шалостей) и небольшой бонус. По миллиону долларов каждому и $110 тысяч на расходы адвокату. Гугл вымогательство не оценил и сообщил суду. Судья тоже это не оценил, закрыл дело в пользу Гугла и наказал адвокату выплачивать судебные издержки компании вместе с подзащитными. Ибо задолбал. Потрясающая история, готовый сценарий для комедии из 90-х с Джимом Керри: Лжец, снова лжец и ботнет.

@tomhunter

#news Пока новый AI-инструмент OpenGPT гремит в сети стандартным набором страшилок и проблематичных ответов, спецы из Bleeping Computer поигрались с ним через призму инфобеза. Получилось занятно: так, AI-бот с лёгкостью написал фишинговое письмо и даже простенькую JS-малварь.

Письмо от лица банка получилось вполне убедительным и без привычных ошибок зарубежного фишера. И зловред для поиска данных с банковских карточек услужливый бот написал для потенциальных скрипт-кидди в считанные секунды. Такими темпами гений-из-машины не только оставит сотни тысяч людей без работы, но и рискует стать впечатляющим подспорьем на киберпреступном поприще. Вопрос на засыпку: вытеснит ли кремниевый злоумышленник нигерийских королей BEC-атак из бизнеса?

@tomhunter