#news Гитхаб выкатил бесплатное сканирование публичных репозиториев на предмет затесавшихся в код ключей, токенов и прочих учётных данных. Ранее оно было доступно только по подписке Enterprise Cloud. Фича вышла в публичную бету, и на Гитхабе рассчитывают сделать её доступной для всех пользователей к концу января 2023-го. Помимо этого, к концу следующего года обязательной для всех сделают двухфакторку.

Сканер проверяет репозитории по более чем 200 форматам токенов и шлёт предупреждения. Так что защита от нечаянных и очень неловких утечек данных теперь в паре кликов в настройках. Включи сканер, юзернейм! Вдруг у тебя где-то в коде ненароком затерялся AWS-ключ.

@tomhunter

#news Вишенка на торте эпичных разбирательств двух россиян с Гуглом, после того как в декабре 2021-го компания положила ботнет Glupteba. Он снова онлайн в новом формате. Выбить в суде у Гугла инфу о том, как они снесли ботнет не удалось, поэтому новый собран по тому же принципу, но от слова «избыточность». Больше запасных адресов, аж в десять раз больше С2-серверов в Торе, и сам ботнет массивнее предыдущего.

А вот собирать его начали в июне этого года, как раз пока наши соотечественники шантажировали Гугл и выбивали два миллиона баксов и бонус для адвоката в обмен на биткоин-адреса от старого ботнета. Смекалочке и наглости стоящих за Glupteba товарищей остаётся только позавидовать.

@tomhunter

#news Epic Games ставит рекорды, да только вот в виде штрафов от FTC. $275 миллионов за сбор персональных данных детей (имена, ящики и ники) без уведомления родителей и $245 миллионов рефанда за сомнительные интерфейсные решения, приводившие к нежелательным покупкам в Fortnite. Обе суммы для отрасли рекордные.

По итогам разбирательств компании пришлось удалить собранные данные, подтянуть настройки приватности, отключив детям младше 18 текстовый и голосовой чаты по дефолту, скрыть их профили и прочее по мелочи. А также изменить интерфейс для покупок и ввести 24-часовой рефанд. В общем, радостная новость для всех родителей, чьи детишки склонны выжимать кредитку досуха на костюмчики в Fortnite и заводить в игре странных друзей.

@tomhunter

#news Любопытная тактика для запутывания исследователей замечена у авторов малвари Raspberry Robin. Если их зловред обнаруживает, что запущен в песочнице, он засылает фейковый дроппер. Тот, в свою очередь, качает адварь Browser Assistant, чтобы создать впечатление, что это и есть вредоносная нагрузка.

Реальная же малварь с серверами в Торе и без этих трюков скрывается за десятью слоями обфускации. Что занятно, в методах группировки нашли схожести с LockBit’овскими – в частности ICM-калибровку для эскалации привилегий и ThreadHideFromDebugger для антиотладки. Так что между двумя группировками может быть связь, но делать выводы рано. Пока же авторы Raspberry Robin ведут разведку боем, чтобы оценить, насколько эффективны их новые методы.

@tomhunter

#news Okta закрывает год ещё одним ИБ-инцидентом: ранее в этом месяце стянули их исходники с Гитхаба. Клиентские данные не затронуты, взломали их репозитории для Workforce Identity Cloud. Как сообщают в компании, на конфиденциальность своего кода они не полагаются, так что утечка проблем не несёт.

Компания выбрала занятный подход к сообщению об утечке: в руки журналистов попало «конфиденциальное» письмо, разосланное по админам, а официальное сообщение ещё только на подходе. Видимо, решили перестраховаться: после того как Okta забыла сообщить о взломе от Lapsus$ в январе, кривляния юных взломщиков в сети парой месяцев позже обошлись компании в 20 процентов стоимости акций. Ну, это неловкое происшествие их чему-то явно научило.

@tomhunter

#news В Штатах судят двух граждан за сговор с русскими хакерами. Но в этот раз всё скромно: товарищи взломали диспетчерскую службу такси аэропорта имени Кеннеди и двигали таксистов в очереди на заезд за скромные 10 баксов. Так как обычно они ждут в очереди часами, услуга была довольно популярной – в среднем по 2,500 запросов в неделю на протяжение двух лет.

Причём здесь русские хакеры? Обвиняемые перевели в Россию не меньше $100,000 оплаты за софт. Видимо, малварь, которую использовали для взлома системы. Переписка с пресловутыми хакерами тоже чудесная: «П‎ентагон, знаю, взламывали. А службу такси взломать можно?» Оказалось, можно! Но можно и присесть на 10 лет. И только вездесущие хакеры за океаном злодейски смеются и довольно потирают руки.

@tomhunter

#news Неизменная мантра LastPass о не затронутых после взломов клиентских данных дала брешь. Компания сообщила, что когда злоумышленники получили доступ к их облаку с помощью украденных в августе ключей, они стянули бэкап хранилища пользовательских данных. В нём нешифрованные URL сайтов и зашифрованные имена, пароли, заметки и данные формы. Плюс украдены инфа аккаунтов, имейлы, телефоны и айпишники.

LastPass, конечно, клятвенно заверяет, что данные зашифрованы и пароли только у юзеров, а их брутфорс при должном качестве пароля займёт миллионы лет. Вот только сколько мастер-паролей юзеров на деле соответствуют ИБ-стандартам? И сколько были где-нибудь повторно использованы и скомпрометированы? Вопрос на миллион [дешифрованных хранилищ].

@tomhunter

#news Чего хочется пятничным вечером? Автоматизировать работку, чтобы она работала за тебя сама. И вот у хакеров из русскоязычной FIN7 желаемое с действительным совпало: они подняли платформу для автоматизированных атак по уязвимостям в MS Exchange-серверах и на SQL-инъекции.

Их сканер Checkmarks находит уязвимые эндпоинты в сетях компаний и засылает веб-шеллы, выполняет пост-эксплуатацию и выдаёт список скомпрометированных устройств. По панели затем работает «маркетинговый отдел» группировки и оценивает финстатус компании, подтягивая инфу из открытых источников, вроде Owler и Crunchbase. А пентестеры пишут комментарии по работе систем и рансомварь-перспективам. Судя по отчёту, с июня 2021-го FIN7 таким образом получили доступ к сетям 8,147 компаний. Админ, ленишься вовремя патчить сервера? Ищи фото своего CEO в панели Checkmarks!

@tomhunter

#news У Минцифры новый виток планов по ужесточению закона об утечках данных. Минимальный штраф в 5 миллионов рублей, а максимальный – аж до 500 миллионов. Такая сумма ждёт компании, если допустят утечку не в первый раз с принятия закона или попытаются скрыть инцидент.

Если закон в таком виде и примут, он вступит в силу в сентябре 2023-го. Так что у мастодонтов рынка ещё с лихвой времени, чтобы слить всё заранее, а потом отрицать повторные утечки. Или, как ожидают, разделить компании для сокращения баз данных и штрафов – считать их будут от выручки за прошлый от утечки календарный год. В общем, у крупных бизнесов, думаю, всё схвачено. А небольшим магазинчикам с кривыми сайтами на вордпрессе и прочему малому бизнесу можно посочувствовать.

@tomhunter

#news На небезызвестном хакерском форуме на продажу якобы выставлены данные 400+ миллионов юзеров Твиттера. Собраны они с помощью того же API-бага, в связи с которым раньше всплывал архив на 5,4 миллиона профилей, ящиков и телефонов. Подтвердить подлинность всего архива пока невозможно, но сэмпл реальный, включая профили Трампа-младшего и ещё десятков знаменитостей.

Между тем хакер идёт ва-банк и предлагает выкупить архив самому Маску за $200 тысяч, чтобы потом не нарваться на крупный штраф – так, Фейсбуку утечка наскрапленных данных схожего масштаба обошлась в $276 миллионов. По задумке архив любо уйдёт эксклюзивно за $200к, либо массово по $60 тысяч. Посмотрим, чем на это ответит экстравагантный товарищ Маск. На сдачу от покупки Твиттера-то его архив выкупить не затруднит.

@tomhunter

#news В сети замечен новый инфостилер RisePro. Его распространяют через фейковые сайты для любителей кряков и генераторов ключей, которыми оперируют создатели PrivateLoader, и у двух зловредов много общего в коде. Так что, возможно, владельцы сервиса засылают его либо сами, либо в качестве новой услуги, но с авторством пока неясно.

RisePro написан на C++ и, похоже, является очередным клоном Vidar – в нём та же система DLL-зависимостей. Малварь крадёт инфу с доброй сотни браузеров, кошельков и расширений, а также сканирует жёсткие на предмет инфы в духе чеков с данными карт. На российских лог-маркетах счёт логов с заражённых RisePro устройств идёт на тысячи, так что малварь набирает обороты. В общем, принимайте пополнение в растущую коллекцию инфостилеров, техдетали по ссылкам.

@tomhunter

#news Исследователи из Штатов разработали атаку EarSpy под Андроид, позволяющую прослушивать звонящего c помощью данных с датчика движений. За счёт ревербации на нём с динамиков телефона. Атака позволяет распознать пол и личность звонящего плюс часть речи – последнее в среднем с точностью около 50 процентов. А вот на громкой связи точность достигает уже 80 процентов.

Ещё несколько лет назад динамики были слишком слабыми для такой атаки, но теперь и они стали мощнее, и гироскопы более чувствительны. Эффективность сильно зависит от громкости динамика, а также движения звонящего и плотности сборки телефона. Для решения же проблемы авторы предлагают размещать датчики в корпусе так, чтобы внутренние вибрации на них не влияли. Любителям шпионской ИБ-романтики от Мордекая Гури рекомендуется к ознакомлению.

@tomhunter

#news Минцифры подумывает создать отечественную систему сертификации безопасников. Подтверждать квалификацию через CISSP или CISA стало затруднительно, так что на замену международным должен прийти единый стандарт собственного разлива, не менее качественный и соответствующий местным ИБ-реалиям.

Параллельно с этим в министерстве снова идут разговоры о принудительном лицензировании ушедшего софта и декриминализации его покупки на торрентах. Так что будем по-российски сертифицированными, но с пиратским ПО. Такая вот дуальность российского безопасника на исходе 2022-го года.

@tomhunter

#news Исследователи выяснили, как злоумышленники обходили защиту Google Ads, чтобы абьюзить их рекламные ссылки и толкать сайты с фейковым софтом в массы. И трюк-то элементарный: простенькая страница-прикрытие, которая редиректит пришедших с рекламы на сайт с малварью.

Соответственно, для случайных посетителей, исследователей и гуглобота страница выглядит безопасно. А вот жертва рекламы получает подставной софт с вредоносной нагрузкой, часто в виде инфостилера или банковского трояна. Как вышло, что Гугл с такой лёгкостью пропускает малварь в рекламные места в топе выдачи, – отдельный занятный вопрос. Но способ популяризовать адблокеры они выбрали крайне оригинальный.

@tomhunter

С Новым Годом, дорогие подписчики! В ушедшем 2022-м мы застали немало громких инфобез-новостей, а также впечатляющих взломов, серьёзных уязвимостей и всевозможных ИБ-курьёзов. Как отзвучат праздничные канонады, взглянем на нашем Хабре на прошедший год в ретроспективе, а пока пожелаю нам всем спокойных выходных без несвоевременных инфобез-инцидентов и прочих визитов рансомварь-Гринчей.

На 2023-й эксперты прогнозируют немало занятных трендов в информационной безопасности. Рост скамов в соцсетях и дальнейшее развитие атак с дипфейками. Долгожданные сдвиги в подходе к ИБ-культуре в организациях по всему миру. Новые угрозы, связанные с Metaverse, и рост числа кибератак на критическую инфраструктуру… Но всё это лишь впереди, и нам ещё только предстоит узнать, что готовит наступивший год простым, видавшим виды безопасникам, которых уже мало чем можно удивить.

Так что пока давайте поднимем бокалы за то, чтобы сервера всегда стояли и были под надёжной защитой своевременно накаченных патчей! Пусть в новом году все уязвимости по CVSS будут разве что на троечку, а злоумышленники бросят свои грязные дела, разошлют всем жертвам в подарок по декриптору и дружно запишутся в белошляпочники. С Новым Годом и всех благ!

@tomhunter

#news В поздравлении выше шутил про злоумышленников, которые бросят свои грязные дела и разошлют всем жертвам в подарок по декриптору. И вот подоспела добрая рождественская ИБ-история в праздничные дни. Группировка LockBit извинилась за атаку на детскую больницу SickKids в Канаде и выслала им бесплатный декриптор.

Больница пострадала от рансомвари 18 декабря. Как утверждает группировка, их партнёр нарушил правила касаемо целей для атак, был заблокирован и больше с ними не работает. И хотя это запоздалое раскаяние немногого стоит и вполне может быть попыткой отвести от себя внимание спецслужб, хочется думать, что где-то на праздники один старый и ожесточившийся скупердяй из LockBit взглянул в глаза своей сердобольной бабушке да и испытал укол совести. С Новым Годом и Рождеством, друзья!

@tomhunter

#news Под конец ушедшего года у Slack стянули несколько GitHub-репозиториев с помощью скомпрометированных токенов сотрудников. Данные юзеров, как и ключевые исходники, якобы не затронуты.

Но кому хочется портить себе праздники? Вот и в Слаке не хотели. Поэтому апдейт об утечке с заботой о безопасности и прозрачности они, конечно, опубликовали аккурат тридцать первого. Но ненароком забыли выложить его в раздел международных новостей. И для верности добавили тег “noindex” для нескольких регионов, запрятав его поглубже в код страницы. Так с заботой от Slack мы открываем двери в увлекательный мир новостей инфобеза 2023. Добро пожаловать!

@tomhunter

#news На PyPI засветилась малварь с интересным функционалом. Шесть пакетов с кейлоггером и инфостилером, тянущим кошельки, пароли с браузеров и данные с Телеграма и Дискорда. Но помимо этого вредонос ставит на машину жертвы Cloudflare Tunnel для обхода фаерволов.

А через туннель малварь подключается к трояну удалённого доступа xRAT c кучей функций. Вплоть до импровизированной трансляции экрана жертвы в формате «скриншот в секунду», включающейся при любой активности юзера. Зловред успел набрать ~1000 установок, и при заражении, ещё раз: стягивает кучу инфы, прописывается в системе, накатывает кейлоггер, Cloudflare-туннель и троян для удалёнки. Такой вот комбо-зловред на стероидах. Чтобы не расслаблялись.

@tomhunter

#news Сегодня завершилась ESU-поддержка почтенного старичка Windows 7 – больше Enterprise и Professional не будут получать критические и важные обновления. Вместе с ним любители странного прощаются и с Windows 8.1, ESU-программу которого тоже свернули.

Вслед за Майкрософт поддержку системы прекращают и браузеры, включая Хром – с версии 110 обновлений и фиксов под семёрку больше не будет. Между тем система занимает почётные 11 процентов от установленных на рынке Винды, всё ещё обитая на десятках миллионов машин. Грядущий ажиотаж вокруг нулевых дней в лишившемся поддержке софте можно представить уже сейчас. Ну а тем, кого от новости обдало волной безмерной грусти и ностальгии, остаётся только сказать: «Добрых снов, старина».

@tomhunter

#news 2020-е не балуют летающими авто и прочей пока несбывшейся футорологией. Но в качестве утешения приходят новости о том, как исследователи ищут пути обхода защиты ИИ, чтобы обучать его писать вредоносный код. Так, атака «Trojan Puzzle» обходит важное ограничение – статическое обнаружение и очистку данных на основе сигнатур.

В предыдущих вариантах таких атак расчёт идёт на внедрение вредоносного кода в публичные репозитории, на которых обучается ИИ-ассистент, открыто или в докстрингах. Trojan Puzzle же прячет нагрузку в коде по частям и натаскивает модель воспроизводить её по определённым словам/фразам в качестве триггера. Существующие методы защиты здесь неэффективны, и к отслеживанию заражённых моделей потребуется более креативный подход. Подробнее о троянском пазле по ссылкам.

@tomhunter

#news Твиттер вышел из праздничной спячки и отреагировал на всплывшие в последние недели сливы пользовательских данных. Ответ убил: «А это не наши данные». Увы, компания не нашла доказательств, что базы собрали из их систем через какой-либо эксплойт. «Ни один из проанализированных массивов данных не содержал паролей или информации, которая могла бы привести к компрометации паролей». Как связаны пароли и пресловутый скрапер по API? Загадка.

Как в базах оказались связанные с аккаунтами пользователей ящики, компания тоже не объясняет. Собрано из других источников, и всё тут. Звучит так, будто компанию купил некий Илон Масков и принёс неповторимую культуру работы с утечками. Осталось разыграть 70 баксов компенсации между дюжиной недовольных юзеров, и добро.

@tomhunter