#news Твиттер вышел из праздничной спячки и отреагировал на всплывшие в последние недели сливы пользовательских данных. Ответ убил: «А это не наши данные». Увы, компания не нашла доказательств, что базы собрали из их систем через какой-либо эксплойт. «Ни один из проанализированных массивов данных не содержал паролей или информации, которая могла бы привести к компрометации паролей». Как связаны пароли и пресловутый скрапер по API? Загадка.

Как в базах оказались связанные с аккаунтами пользователей ящики, компания тоже не объясняет. Собрано из других источников, и всё тут. Звучит так, будто компанию купил некий Илон Масков и принёс неповторимую культуру работы с утечками. Осталось разыграть 70 баксов компенсации между дюжиной недовольных юзеров, и добро.

@tomhunter

Декабрь остался в прошлом, так что, отойдя от праздничных увеселений, подводим его итоги дайджестом самых значимых инфобез-новостей. Последний месяц 2022-го принёс неприятное обновление по следам очередного взлома LastPass и ещё одну базу данных пользователей Твиттера, собранную через пресловутую API-уязвимость. Полезные ИБ-инструменты от Гугла и Гитхаба, новые изыскания Мордекая Гури и взорвавший сеть AI-инструмент OpenGPT, чьим впечатляющим возможностям нашлось применение и в сфере инфобезопасности. За подробностями добро пожаловать на Хабр!

#news IoT-устройствами, заражёнными малварью, никого не удивишь. Но как насчёт домашних гаджетов с заботливо предустановленным вредоносом этим пятничным вечером? Так, сисадмин из Канады купил на Амазоне дешёвую ТВ-приставку на Андроид 10 и обнаружил в ней продвинутую малварь, окопавшуюся прямиком в прошивке.

Приставка из Китая, и, до производителя, как водится, не достучаться. Между тем на устройстве в ПЗУ прописалась малварь CopyCat. Доступ к файловой системе, удалённое управление, установка софта и произвольные команды с расчётом на подключение через Debug Bridge Андроида. Вплоть до попытки подтянуть дополнительную нагрузку. Как малварь попала на устройство и насколько широко распространена по линейке/производителю, неясно. Где-то на пути гаджета по Китаю очумелые APT-ручки занялись самодеятельностью? Оставлю конспирологию на ваше усмотрение.

@tomhunter

#news Правительство Китая опубликовало занятный документ с планами развития местной инфобез-индустрии. Задумали рост в 30 процентов в год, до $22 миллиардов оборота к 2025-му. В планах пять новых лабораторий, до пяти технопарков, десяток демонстрационных площадок и разработка продуктов, способных конкурировать на международном рынке. Всё это, как водится, на ИИ и блокчейне.

Заходы про продукты для глобального рынка звучат, пожалуй, наиболее амбициозно. С учётом того, что китайскому железу доверяют всё меньше – к примеру, в штатах в том году запретили продажу средств связи и видеонаблюдения от Huawei и ZTE. С другой стороны, амбициям сумрачного китайского гения-то можно только позавидовать – это вам не льготная ипотека для айтишников под пять процентов годовых.

@tomhunter

#news В сети замечен любопытный бэкдор, названный xdr33. А примечателен он тем, что основан на пакете малвари Hive от хакеров из ЦРУ, исходники которого в 2017-м слили на Викиликс. При этом он ещё и подписан поддельным сертификатом Касперского.

Бэкдор рассчитан на сбор информации и дальнейшие атаки по скомпрометированным сетям. В функционале скачивание и закачка 900TB ЦП файлов хосту, команды через cmd, запуск шелл-скриптов и маскировка следов своего присутствия. От Hive малварь отличается улучшенным C2-функционалом и работой по известной уязвимости в устройствах от F5. Так как изменения в коде не особо впечатляющие, исследователи предполагают, что это не продукт дальнейшей црушной работы, а кустарная разработка. Такой вот занятный путь малвари из кибер-отдела ЦРУ в загребущие хакерские ручки.

@tomhunter

Для всех любителей и профессионалов OSINT. В очередной своей статье на Хабре я разобрал то, почему многие, до сих пор ставят знак равно между OSINT и Google. Что такого сделал Google для конкурентной разведки? Какие сервисы, используемые OSINT-ерами, компания разработала? Получилось интересно и познавательно... Ссылка ниже.

https://habr.com/ru/company/tomhunter/blog/711146/

@tomhunter

#news Исследователи из Horizon3 тактично предупреждают, что на неделе опубликуют PoC к критической уязвимости в софте от Zoho. CVE-2022-47966 почти во всей линейке ManageEngine на выполнение произвольного кода с элементарным эксплойтом.

Компания исправила уязвимость в конце октября 2022-го, между тем Shodan находит тысячи непатченных серверов только для пары продуктов из линейки. Из них уже процентов десять уязвимы к атакам. Пока их в сетевой глуши замечено не было, но индикаторы компрометации команда уже опубликовала. Ну а уже через несколько дней начнётся увлекательная игра «Пропатчь меня, если успеешь» для ленивых админов. Можно делать ставки, придётся ли ФБР в этот раз выпускать уведомления с призывом ставить патчи к тем, кого даже грядущий шторм безадресных атак не разбудил.

@tomhunter

#news Killnet продолжает свой крестовый поход против этого их проклятого Запада и у них по-прежнему своя атмосфера. На этот раз группировка сообщила о взломе Налоговой службы США совместно с некой белорусской Infinity Hackers BY. С помощью фишинга по сотруднику. Подставной копией Порнхаба.

В итоге они стянули его куки, а затем и базу на 198 миллионов строк данных юзеров, включая логины и пароли. Захешированы они были MD5 и традиционно переиспользованы в соцсетях, онлайн-банках и прочих местах. Группировка заявляет, что будет публиковать куски базы «в ответ на агрессию США в адрес РФ и Белоруссии». Ну а сотруднику IRS, попавшемуся на таком конфузе на рабочем месте, можно только посочувствовать. Ты правда думал, что по ссылке тебя ждут обольстительные красотки? Это русские хакеры, Джонни. Никогда не забывай об этом.

@tomhunter

#news Весь прошлый год ежемесячно всплывали новости о сливах наших личных данных, и вот неутешительный итог: суммарно утечки затронули 99,8 миллионов уникальных e-mail и 109,7 миллионов телефонных номеров. Из расчёта, что у большинства есть лишь один номер телефона, исследователи делают вывод, что утекли данные 75% всех жителей России. Звучит натянуто, но цифры, тем не менее, внушительные.

При этом за 2022-й исследователи насчитали 60 крупных утечек данных – для сравнения, суммарно за три года до этого был лишь 41 подобный случай. Остаётся утешить себя тем, что новые рекорды в 2023-м мы вряд ли увидим. На новый рекорд столько абонентов-то уже не наберётся.

@tomhunter

#news Первый крупный криптоарест 2023-го в эфире: в США был арестован владелец биржи Bitzlato, Анатолий Легкодымов, он же Gandalf и Tolik. 40-летний уроженец России заправлял биржей с нулевой KYC-политикой и маркетингом с расчётом на киберпреступников в формате «вопросов не задаём»‎. В итоге одна только Гидра успела пропустить через биржу больше 700 миллионов долларов.

Сама же Bitzlato на февраль 2022-го получила почти полмиллиарда долларов от маркетплейсов, скамов и рансомварь-атак. И половина из прошедших через неё $2,5 миллиардов была с нелегальных дел. Что ж, дальнейшей судьбе русского Гэндальфа и его волшебного ландромата не позавидуешь. Успел ли он маякнуть в чаты сообщникам «Бегите, глупцы?»‎

@tomhunter

#news PayPal запоздало сообщает о взломе: с 6 по 8 декабря злоумышленники получили доступ к 35,000 аккаунтов подстановкой учётных данных. Да, 35 тысяч сумрачных гениев использовали один утёкший пароль для кошелька и прочих ресурсов – почты, фейсбука, может, сайтов с тамагочи и рецептами на бесплатной версии WordPress.

Тем не менее, владельцам в какой-то мере повезло: компания утверждает, что вовремя заметила активность и сбросила пароли. Движения средств со счетов не было. Но у хакеров был доступ к именам, адресам, страховым и налоговым адресам жертв. А также истории переводов, данным привязанных карт и чекам. Пострадавшие счастливчики получат от PayPal два года защиты идентичности по программе от кредитного бюро Equifax. Что, конечно, хороший жест. Но я бы ещё FAQ по установке пароля к кошельку на почту прислал.

@tomhunter

2023-й полностью вступил в свои права, так что время напоследок оглянуться на ушедший год и самые крупные новости инфобеза сезона 2022, чтобы морально подготовиться к тому, что нас ждёт в этом году. Прошлый же был богат на громкие аресты, падения зубров киберпреступного рынка, всевозможные взломы и прочие увлекательные события. Всем желающим вспомнить всё примечательное из мира инфобеза оставшегося позади года, добро пожаловать на наш Хабр!

#news Новинка в копилку вложений с малварью – теперь зловред затесался и в OneNote. Макросы он не поддерживает, вместо этого OneNote в свою очередь позволяет вставлять вложения в свои файлы. Ну а так как они выглядят, как иконки файлов, злоумышленники прячут их под большой плашкой «‎Кликни меня». А под ней уже VBS-файлы в ряд для запуска скриптов, подтягивающих малварь.

Плашку об опасности открытия вложений OneNote выдаёт, но пользователи-то как всегда. Вектор атаки в ходу с середины декабря. Так что если вы ещё не блокируете .one-файлы на своих шлюзах электронной почты, сейчас самое время. Эй, юзер! Мы вложили вложения в твои вложения, чтобы ты мог качать малварь, пока качаешь малварь! Но лучше не стоит.

@tomhunter

#news В клиенте для ПК GTA Online обнаружилась критическая уязвимость, удостоившаяся CVE. А эксплойты к ней выдал разработчик чита North GTA online. 20 января сверхразум добавил в версию 2.0.0 возможности обнулять баланс любых игроков онлайн, корраптить аккаунты и банить их. На следующий день товарищ раскаялся и фичи убрал, но уже было поздно.

Форум Rockstar завален репортами, а RCE-уязвимость вполне может идти дальше игрового клиента — злоумышленники сейчас активно ищут возможность её использовать. Так что если среди вас есть любители криминального симулятора, до выхода фикса лучше его не запускать.

@tomhunter

#news Майкрософт планирует добавить автоматическую блокировку для всех XLL-файлов, скачиваемых из интернета. К марту фича будет доступна повсеместно, чтобы закрыть вектор атаки, в качестве которого выступали эти файлы в последние годы.

XLL-ки светились в атаках с середины 2017-го года в качестве инструмента доставки всевозможной малвари. Несмотря на то, что в обычных вложениях их не встретишь, злоумышленники вполне успешно использовали их в фишинговых атаках. И за последние пару лет их стали засылать многократно чаще, так что блокировка весьма своевременная. Всё равно юзера не заставишь запомнить, что XLL-файлы только для админа, и на них не надо кликать. Спасибо, Майкрософт.

@tomhunter

#news iOS 16.3 и Макось 13.2 радуют юзеров долгожданной поддержкой электронных ключей. С подключением через USB-C-переходник или NFC. Для активации понадобятся два ключа – один про запас. И фишинговые атаки для кражи Apple ID и 2FA-паролей резко потеряют для юзера актуальность.

Как ни странно, вместе с обновлением не выпустили единственно совместимые ключи всего по 999 баксов за штуку. Мануал приводит несколько подходящих от Yubico и FEITAN, работает тот же Google Titan. Может, Apple Pro SecKey торжественно представят осенью. А пока любители яблочных поделий могут наслаждаться лёгким послаблением проприетарного режима и улучшенной безопасностью.

@tomhunter

#news GoTo вслед за LastPass сообщает о промежуточных итогах расследования после взлома облака в ноябре. Результаты неутешительные: злоумышленники стянули зашифрованные бэкапы пользовательских данных и ключ шифрования к их части.

Затронуты аккаунты Central и Pro: имена и хешированные пароли юзеров, инфа по деплойменту, инициализации и двухфакторке, а также по покупке – имейлы, телефоны, расчётные адреса и последние четыре цифры с карт. Сколько пользователей затронуты, и какой стандарт шифрования у бэкапов, компания не сообщает. Следов доступа к своей девелоперской среде в GoTo пока не обнаружили. Но пользователей их сервиса это вряд ли особо утешит.

@tomhunter

#news В прошлую пятницу Riot Games сообщила о взломе: злоумышленники стянули исходники League of Legends, Teamfight Tactics и античит-софта Packman. Позавчера компания сообщила, что платить $10 миллионов выкупа отказалась. Ну а теперь украденные 72 гига исходников выставили на аукцион со стартовой ценой в миллион долларов.

Хакеры утверждают, что попали в системы компании с помощью социнженерии по СМС по одному из сотрудников. И провели в их сетях 36 часов, прежде чем были обнаружены, а изначальной их целью были исходники к античит-софту Vanguard. Сами же исходники в лучшем случае станут благодатной почвой для новых читов к игре, а в худшем – для эксплойта RCE-уязвимостей. Вот только окупит ли миллион баксов потенциальная возможность впарить детишкам очередной чит к LoL?

@tomhunter

#news Ещё не отгремел январь, а у нас взяты новые высоты по утечкам. Вновь отличился «Яндекс». И не пользовательскими данными, а своими исходниками. В сеть слили архивы с кодом проектов компании — большая часть сервиса с комментариями и документацией. Почти 45 гигов на Питоне, C++, Go и TypeScript, плюс методы работы по Protocol Buffers, YAML и JSON.

В компании подтвердили подлинность данных, но отрицают, что это результат взлома. Похоже, слит приватный git-репозиторий компании, а дата на всех файлах – 24.02.2022 – как бы намекает. Хакеры утверждают, что стянули данные в прошлом июле. Ну а с учётом интересного содержимого архивов, юзеров продуктов от «Яндекса» ждёт нескучный год. Добро пожаловать, добро пожаловать в 2023-й! Сами вы его выбрали или его выбрали за вас, это лучший год из оставшихся.

@tomhunter

#news ФБР отжало сайты Hive в дарквебе. В прошлом июле бюро проникло на их сервера у хостера в Калифорнии и полгода следило за операциями. За время операции агенты разослали 1,300 декрипторов жертвам группировки и сохранили им как минимум $130 миллионов. Помимо этого, в руках у ФБР оказались переписки злоумышленников, хэши малвари и информация по 250 сообщникам Хайва.

На этом проблемы Hive не заканчиваются. ФБР предлагает $10 миллионов за инфу о связях группировки с иностранными правительствами. Какими, догадаетесь сами. Ну а пока Hive отправляется в нокаут. Любители чертовски хорошего кофе разворошили улей на отличненько.

@tomhunter

На нашем Хабре новая статья. Сегодня мы поговорим про платформу Fragment, блокчейн-технологию TON и идентификацию пользователей. Интересно узнать, как эта связка позволяет деанонимизировать юзеров в Telegram? Тогда добро пожаловать на наш Хабр!

@tomhunter