#news У Минцифры новый виток планов по ужесточению закона об утечках данных. Минимальный штраф в 5 миллионов рублей, а максимальный – аж до 500 миллионов. Такая сумма ждёт компании, если допустят утечку не в первый раз с принятия закона или попытаются скрыть инцидент.

Если закон в таком виде и примут, он вступит в силу в сентябре 2023-го. Так что у мастодонтов рынка ещё с лихвой времени, чтобы слить всё заранее, а потом отрицать повторные утечки. Или, как ожидают, разделить компании для сокращения баз данных и штрафов – считать их будут от выручки за прошлый от утечки календарный год. В общем, у крупных бизнесов, думаю, всё схвачено. А небольшим магазинчикам с кривыми сайтами на вордпрессе и прочему малому бизнесу можно посочувствовать.

@tomhunter

#news На небезызвестном хакерском форуме на продажу якобы выставлены данные 400+ миллионов юзеров Твиттера. Собраны они с помощью того же API-бага, в связи с которым раньше всплывал архив на 5,4 миллиона профилей, ящиков и телефонов. Подтвердить подлинность всего архива пока невозможно, но сэмпл реальный, включая профили Трампа-младшего и ещё десятков знаменитостей.

Между тем хакер идёт ва-банк и предлагает выкупить архив самому Маску за $200 тысяч, чтобы потом не нарваться на крупный штраф – так, Фейсбуку утечка наскрапленных данных схожего масштаба обошлась в $276 миллионов. По задумке архив любо уйдёт эксклюзивно за $200к, либо массово по $60 тысяч. Посмотрим, чем на это ответит экстравагантный товарищ Маск. На сдачу от покупки Твиттера-то его архив выкупить не затруднит.

@tomhunter

#news В сети замечен новый инфостилер RisePro. Его распространяют через фейковые сайты для любителей кряков и генераторов ключей, которыми оперируют создатели PrivateLoader, и у двух зловредов много общего в коде. Так что, возможно, владельцы сервиса засылают его либо сами, либо в качестве новой услуги, но с авторством пока неясно.

RisePro написан на C++ и, похоже, является очередным клоном Vidar – в нём та же система DLL-зависимостей. Малварь крадёт инфу с доброй сотни браузеров, кошельков и расширений, а также сканирует жёсткие на предмет инфы в духе чеков с данными карт. На российских лог-маркетах счёт логов с заражённых RisePro устройств идёт на тысячи, так что малварь набирает обороты. В общем, принимайте пополнение в растущую коллекцию инфостилеров, техдетали по ссылкам.

@tomhunter

#news Исследователи из Штатов разработали атаку EarSpy под Андроид, позволяющую прослушивать звонящего c помощью данных с датчика движений. За счёт ревербации на нём с динамиков телефона. Атака позволяет распознать пол и личность звонящего плюс часть речи – последнее в среднем с точностью около 50 процентов. А вот на громкой связи точность достигает уже 80 процентов.

Ещё несколько лет назад динамики были слишком слабыми для такой атаки, но теперь и они стали мощнее, и гироскопы более чувствительны. Эффективность сильно зависит от громкости динамика, а также движения звонящего и плотности сборки телефона. Для решения же проблемы авторы предлагают размещать датчики в корпусе так, чтобы внутренние вибрации на них не влияли. Любителям шпионской ИБ-романтики от Мордекая Гури рекомендуется к ознакомлению.

@tomhunter

#news Минцифры подумывает создать отечественную систему сертификации безопасников. Подтверждать квалификацию через CISSP или CISA стало затруднительно, так что на замену международным должен прийти единый стандарт собственного разлива, не менее качественный и соответствующий местным ИБ-реалиям.

Параллельно с этим в министерстве снова идут разговоры о принудительном лицензировании ушедшего софта и декриминализации его покупки на торрентах. Так что будем по-российски сертифицированными, но с пиратским ПО. Такая вот дуальность российского безопасника на исходе 2022-го года.

@tomhunter

#news Исследователи выяснили, как злоумышленники обходили защиту Google Ads, чтобы абьюзить их рекламные ссылки и толкать сайты с фейковым софтом в массы. И трюк-то элементарный: простенькая страница-прикрытие, которая редиректит пришедших с рекламы на сайт с малварью.

Соответственно, для случайных посетителей, исследователей и гуглобота страница выглядит безопасно. А вот жертва рекламы получает подставной софт с вредоносной нагрузкой, часто в виде инфостилера или банковского трояна. Как вышло, что Гугл с такой лёгкостью пропускает малварь в рекламные места в топе выдачи, – отдельный занятный вопрос. Но способ популяризовать адблокеры они выбрали крайне оригинальный.

@tomhunter

С Новым Годом, дорогие подписчики! В ушедшем 2022-м мы застали немало громких инфобез-новостей, а также впечатляющих взломов, серьёзных уязвимостей и всевозможных ИБ-курьёзов. Как отзвучат праздничные канонады, взглянем на нашем Хабре на прошедший год в ретроспективе, а пока пожелаю нам всем спокойных выходных без несвоевременных инфобез-инцидентов и прочих визитов рансомварь-Гринчей.

На 2023-й эксперты прогнозируют немало занятных трендов в информационной безопасности. Рост скамов в соцсетях и дальнейшее развитие атак с дипфейками. Долгожданные сдвиги в подходе к ИБ-культуре в организациях по всему миру. Новые угрозы, связанные с Metaverse, и рост числа кибератак на критическую инфраструктуру… Но всё это лишь впереди, и нам ещё только предстоит узнать, что готовит наступивший год простым, видавшим виды безопасникам, которых уже мало чем можно удивить.

Так что пока давайте поднимем бокалы за то, чтобы сервера всегда стояли и были под надёжной защитой своевременно накаченных патчей! Пусть в новом году все уязвимости по CVSS будут разве что на троечку, а злоумышленники бросят свои грязные дела, разошлют всем жертвам в подарок по декриптору и дружно запишутся в белошляпочники. С Новым Годом и всех благ!

@tomhunter

#news В поздравлении выше шутил про злоумышленников, которые бросят свои грязные дела и разошлют всем жертвам в подарок по декриптору. И вот подоспела добрая рождественская ИБ-история в праздничные дни. Группировка LockBit извинилась за атаку на детскую больницу SickKids в Канаде и выслала им бесплатный декриптор.

Больница пострадала от рансомвари 18 декабря. Как утверждает группировка, их партнёр нарушил правила касаемо целей для атак, был заблокирован и больше с ними не работает. И хотя это запоздалое раскаяние немногого стоит и вполне может быть попыткой отвести от себя внимание спецслужб, хочется думать, что где-то на праздники один старый и ожесточившийся скупердяй из LockBit взглянул в глаза своей сердобольной бабушке да и испытал укол совести. С Новым Годом и Рождеством, друзья!

@tomhunter

#news Под конец ушедшего года у Slack стянули несколько GitHub-репозиториев с помощью скомпрометированных токенов сотрудников. Данные юзеров, как и ключевые исходники, якобы не затронуты.

Но кому хочется портить себе праздники? Вот и в Слаке не хотели. Поэтому апдейт об утечке с заботой о безопасности и прозрачности они, конечно, опубликовали аккурат тридцать первого. Но ненароком забыли выложить его в раздел международных новостей. И для верности добавили тег “noindex” для нескольких регионов, запрятав его поглубже в код страницы. Так с заботой от Slack мы открываем двери в увлекательный мир новостей инфобеза 2023. Добро пожаловать!

@tomhunter

#news На PyPI засветилась малварь с интересным функционалом. Шесть пакетов с кейлоггером и инфостилером, тянущим кошельки, пароли с браузеров и данные с Телеграма и Дискорда. Но помимо этого вредонос ставит на машину жертвы Cloudflare Tunnel для обхода фаерволов.

А через туннель малварь подключается к трояну удалённого доступа xRAT c кучей функций. Вплоть до импровизированной трансляции экрана жертвы в формате «скриншот в секунду», включающейся при любой активности юзера. Зловред успел набрать ~1000 установок, и при заражении, ещё раз: стягивает кучу инфы, прописывается в системе, накатывает кейлоггер, Cloudflare-туннель и троян для удалёнки. Такой вот комбо-зловред на стероидах. Чтобы не расслаблялись.

@tomhunter

#news Сегодня завершилась ESU-поддержка почтенного старичка Windows 7 – больше Enterprise и Professional не будут получать критические и важные обновления. Вместе с ним любители странного прощаются и с Windows 8.1, ESU-программу которого тоже свернули.

Вслед за Майкрософт поддержку системы прекращают и браузеры, включая Хром – с версии 110 обновлений и фиксов под семёрку больше не будет. Между тем система занимает почётные 11 процентов от установленных на рынке Винды, всё ещё обитая на десятках миллионов машин. Грядущий ажиотаж вокруг нулевых дней в лишившемся поддержке софте можно представить уже сейчас. Ну а тем, кого от новости обдало волной безмерной грусти и ностальгии, остаётся только сказать: «Добрых снов, старина».

@tomhunter

#news 2020-е не балуют летающими авто и прочей пока несбывшейся футорологией. Но в качестве утешения приходят новости о том, как исследователи ищут пути обхода защиты ИИ, чтобы обучать его писать вредоносный код. Так, атака «Trojan Puzzle» обходит важное ограничение – статическое обнаружение и очистку данных на основе сигнатур.

В предыдущих вариантах таких атак расчёт идёт на внедрение вредоносного кода в публичные репозитории, на которых обучается ИИ-ассистент, открыто или в докстрингах. Trojan Puzzle же прячет нагрузку в коде по частям и натаскивает модель воспроизводить её по определённым словам/фразам в качестве триггера. Существующие методы защиты здесь неэффективны, и к отслеживанию заражённых моделей потребуется более креативный подход. Подробнее о троянском пазле по ссылкам.

@tomhunter

#news Твиттер вышел из праздничной спячки и отреагировал на всплывшие в последние недели сливы пользовательских данных. Ответ убил: «А это не наши данные». Увы, компания не нашла доказательств, что базы собрали из их систем через какой-либо эксплойт. «Ни один из проанализированных массивов данных не содержал паролей или информации, которая могла бы привести к компрометации паролей». Как связаны пароли и пресловутый скрапер по API? Загадка.

Как в базах оказались связанные с аккаунтами пользователей ящики, компания тоже не объясняет. Собрано из других источников, и всё тут. Звучит так, будто компанию купил некий Илон Масков и принёс неповторимую культуру работы с утечками. Осталось разыграть 70 баксов компенсации между дюжиной недовольных юзеров, и добро.

@tomhunter

Декабрь остался в прошлом, так что, отойдя от праздничных увеселений, подводим его итоги дайджестом самых значимых инфобез-новостей. Последний месяц 2022-го принёс неприятное обновление по следам очередного взлома LastPass и ещё одну базу данных пользователей Твиттера, собранную через пресловутую API-уязвимость. Полезные ИБ-инструменты от Гугла и Гитхаба, новые изыскания Мордекая Гури и взорвавший сеть AI-инструмент OpenGPT, чьим впечатляющим возможностям нашлось применение и в сфере инфобезопасности. За подробностями добро пожаловать на Хабр!

#news IoT-устройствами, заражёнными малварью, никого не удивишь. Но как насчёт домашних гаджетов с заботливо предустановленным вредоносом этим пятничным вечером? Так, сисадмин из Канады купил на Амазоне дешёвую ТВ-приставку на Андроид 10 и обнаружил в ней продвинутую малварь, окопавшуюся прямиком в прошивке.

Приставка из Китая, и, до производителя, как водится, не достучаться. Между тем на устройстве в ПЗУ прописалась малварь CopyCat. Доступ к файловой системе, удалённое управление, установка софта и произвольные команды с расчётом на подключение через Debug Bridge Андроида. Вплоть до попытки подтянуть дополнительную нагрузку. Как малварь попала на устройство и насколько широко распространена по линейке/производителю, неясно. Где-то на пути гаджета по Китаю очумелые APT-ручки занялись самодеятельностью? Оставлю конспирологию на ваше усмотрение.

@tomhunter

#news Правительство Китая опубликовало занятный документ с планами развития местной инфобез-индустрии. Задумали рост в 30 процентов в год, до $22 миллиардов оборота к 2025-му. В планах пять новых лабораторий, до пяти технопарков, десяток демонстрационных площадок и разработка продуктов, способных конкурировать на международном рынке. Всё это, как водится, на ИИ и блокчейне.

Заходы про продукты для глобального рынка звучат, пожалуй, наиболее амбициозно. С учётом того, что китайскому железу доверяют всё меньше – к примеру, в штатах в том году запретили продажу средств связи и видеонаблюдения от Huawei и ZTE. С другой стороны, амбициям сумрачного китайского гения-то можно только позавидовать – это вам не льготная ипотека для айтишников под пять процентов годовых.

@tomhunter

#news В сети замечен любопытный бэкдор, названный xdr33. А примечателен он тем, что основан на пакете малвари Hive от хакеров из ЦРУ, исходники которого в 2017-м слили на Викиликс. При этом он ещё и подписан поддельным сертификатом Касперского.

Бэкдор рассчитан на сбор информации и дальнейшие атаки по скомпрометированным сетям. В функционале скачивание и закачка 900TB ЦП файлов хосту, команды через cmd, запуск шелл-скриптов и маскировка следов своего присутствия. От Hive малварь отличается улучшенным C2-функционалом и работой по известной уязвимости в устройствах от F5. Так как изменения в коде не особо впечатляющие, исследователи предполагают, что это не продукт дальнейшей црушной работы, а кустарная разработка. Такой вот занятный путь малвари из кибер-отдела ЦРУ в загребущие хакерские ручки.

@tomhunter

Для всех любителей и профессионалов OSINT. В очередной своей статье на Хабре я разобрал то, почему многие, до сих пор ставят знак равно между OSINT и Google. Что такого сделал Google для конкурентной разведки? Какие сервисы, используемые OSINT-ерами, компания разработала? Получилось интересно и познавательно... Ссылка ниже.

https://habr.com/ru/company/tomhunter/blog/711146/

@tomhunter

#news Исследователи из Horizon3 тактично предупреждают, что на неделе опубликуют PoC к критической уязвимости в софте от Zoho. CVE-2022-47966 почти во всей линейке ManageEngine на выполнение произвольного кода с элементарным эксплойтом.

Компания исправила уязвимость в конце октября 2022-го, между тем Shodan находит тысячи непатченных серверов только для пары продуктов из линейки. Из них уже процентов десять уязвимы к атакам. Пока их в сетевой глуши замечено не было, но индикаторы компрометации команда уже опубликовала. Ну а уже через несколько дней начнётся увлекательная игра «Пропатчь меня, если успеешь» для ленивых админов. Можно делать ставки, придётся ли ФБР в этот раз выпускать уведомления с призывом ставить патчи к тем, кого даже грядущий шторм безадресных атак не разбудил.

@tomhunter

#news Killnet продолжает свой крестовый поход против этого их проклятого Запада и у них по-прежнему своя атмосфера. На этот раз группировка сообщила о взломе Налоговой службы США совместно с некой белорусской Infinity Hackers BY. С помощью фишинга по сотруднику. Подставной копией Порнхаба.

В итоге они стянули его куки, а затем и базу на 198 миллионов строк данных юзеров, включая логины и пароли. Захешированы они были MD5 и традиционно переиспользованы в соцсетях, онлайн-банках и прочих местах. Группировка заявляет, что будет публиковать куски базы «в ответ на агрессию США в адрес РФ и Белоруссии». Ну а сотруднику IRS, попавшемуся на таком конфузе на рабочем месте, можно только посочувствовать. Ты правда думал, что по ссылке тебя ждут обольстительные красотки? Это русские хакеры, Джонни. Никогда не забывай об этом.

@tomhunter

#news Весь прошлый год ежемесячно всплывали новости о сливах наших личных данных, и вот неутешительный итог: суммарно утечки затронули 99,8 миллионов уникальных e-mail и 109,7 миллионов телефонных номеров. Из расчёта, что у большинства есть лишь один номер телефона, исследователи делают вывод, что утекли данные 75% всех жителей России. Звучит натянуто, но цифры, тем не менее, внушительные.

При этом за 2022-й исследователи насчитали 60 крупных утечек данных – для сравнения, суммарно за три года до этого был лишь 41 подобный случай. Остаётся утешить себя тем, что новые рекорды в 2023-м мы вряд ли увидим. На новый рекорд столько абонентов-то уже не наберётся.

@tomhunter