#news Группировка Clop уже светилась в курьёзных историях. И вот ещё одна: их ранняя версия рансомвари под Линукс оказалась забагованной. Это позволило жертвам последние пару месяцев расшифровывать свои данные бесплатно благодаря спецам из SentinelLabs.

Как выяснили исследователи, рансомварь не шифрует свои RC4-ключи, как в варианте под Винду. Главный ключ просто захардкожен в зловреде, генерирует ключ шифрования, им же дешифрует и хранит его локально в зашифрованных файлах. Валидацию для дешифровки он тоже не проходит. Помимо этого, малварь пишет в файл данные о его размере и дате шифрования, что тоже облегчает дешифровку. Обфускации и обхода обнаружения пока тоже не завезли. В итоге для работы по клоповьему поделию достаточно простенького скрипта на Питоне. С такими безумными умениями лавры уровня LockBit ребятам явно не светят.

@tomhunter

#news Агентство CISA выложило скрипт для восстановления ESXi-серверов, пострадавших в рансомварь-атаке на прошлых выходных. Несмотря на то, что вредонос ESXiArgs затронул тысячи машин, атака была не особо успешной – рансомварь не шифровала flat-файлы.

Это и позволяет пересобрать виртуальные сервера из незашифрованных файлов. Скрипт для автоматизации процесса выпустили по следам метода, предложенного спецами из YoreGroup Tech Team. Скрипт подчищает зашифрованные данные и восстанавливает vmdk-файлы из незашифрованных flat-файлов. Так что владельцы затронутых атакой машин получают редкую возможность выдохнуть и избежать танцев с бубном вокруг своих виртуалок. Если вы вдруг в их числе, скрипт на Гитхабе.

@tomhunter

#news Наш соотечественник, Денис Дубников, находящийся под судом в США, признал себя виновным в отмывании денег для операторов рансомвари Ryuk, позже известных под брендом Conti. На протяжение трёх лет с 2018-го по 2021-й участники схемы отмыли не меньше $70 миллионов. Cооснователь обменников криптовалют Coyote Crypto и Egg Change, Дубников перегонял полученные биткоины в Tether и другую криптовалюту, которые затем выводили в юани. В одном из случаев в 2019-м битки отследили до выплаченного американской компанией выкупа, на том он и погорел.

Дубников был экстрадирован в Штаты в августе прошлого года из Нидерландов, где его арестовали в ноябре 2021-го. Приговор вынесут 11 апреля, и по совокупности обвинений ему грозит до 20 лет тюрьмы и полумиллиона долларов штрафа. И Ryuk, и Conti уже ушли с рансомварь-сцены, а их сообщникам ещё только предстоит платить по счетам. И поделом.

@tomhunter

#news В США и Великобритании под санкции попали семеро россиян за участие в работе группировки TrickBot. Их малварь, в частности, использовалась в рансомварь-операциях Ryuk и Conti, авторы которых позже перехватили управление их зловредом.

Семеро счастливчиков лишатся всей собственности и финансов в Штатах и Великобритании. Им предъявлены обвинения в разработке малвари, мошенничестве, отмывании денег и далее по списку. Более того, гражданам и компаниям теперь запрещено переводить им средства, включая выкупы по рансомвари, и за это грозит ответственность. А это в свою очередь может серьёзно сказаться на выплатах группировкам, в которых осели члены Conti после распада. С именами и достижениями омерзительной семёрки в составе TrickBot’a можно ознакомиться по ссылке выше.

@tomhunter

#news Реддит сообщает, что подвергся серьёзному взлому в прошлое воскресенье. Он стал результатом фишинговой атаки: через подставной сайт под видом одного из корпоративных Реддита украли данные сотрудника и токены двухфакторки.

Злоумышленники получили доступ к корпоративным системам, стянули внутренние документы и исходники. В компании говорят, что основная девелоперская среда, которая крутит шестерни инфернальной Реддит-машины, не пострадала. Так что любители набрать жирных апвоутов на свои остроумные комменты могут выдыхать. Подробностей фишинговой атаки Реддит не приводит, но ссылается на недавний похожий взлом Riot Games. Так или иначе, как обычно, хватило одного слабого звена в команде.

@tomhunter

Опубликовал наш традиционный дайджест инфобез-новостей за ушедший месяц. Январь выдался богатым на яркие события в мире информационной безопасности: сегодня у нас об утечке из «‎Яндекса», перехвате ФБР сайтов группировки Hive, взлом Налоговой службы США пророссийской Killnet, запоздалое рождественское раскаяние от LockBit и прочее увлекательное. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news У регистратора доменов NameCheap взломали почту и устроили через неё рассылку подписанных DKIM фишинговых писем от лица DHL и MetaMask. Целью атаки были личные данные и криптокошельки, и письма просочились через спам-фильтры. В итоге после потока жалоб от юзеров в Твиттере NameCheap экстренно отключила доставку всех имейлов, пока разбиралась со взломом.

В компании утверждают, что их системы не взламывали и винят почтового провайдера, Twilio SendGrid, связывая инцидент с декабрьским отчётом об утечке API-ключей из мобильных приложения. Те в свою очередь тоже отрицают взлом. Пока обе компании заняты переводом стрелок и от дальнейших комментариев отказываются.

@tomhunter

#news В Испании арестовали девять участников киберпреступной группировки, укравших более $5 миллионов у жертв в в американских компаниях всего за год. Злоумышленники специализировались на фишинговых письмах и смс для кражи банковских данных. Со счетов жертв покупали предметы роскоши и выводили деньги на подставные счета.

Что забавно, для прикрытия операций злоумышленники хранили купленную роскошь под видом бутика по её продаже. Такое вот киберпреступное логово с награбленным. Между тем полиция Испании сообщает любопытный факт: каждое пятое правонарушение в стране совершают онлайн, и с 2019-го число киберпреступлений выросло на 72 процента. Так что за время пандемии не только порядочные сотрудники массово перешли на удалёнку.

@tomhunter

#news К новинкам малвари: исследователям попался находящийся в активной разработке инфостилер Beep. Что выделяет зловред на фоне остальных, так это работа, проделанная по обходу обнаружения: в нём набралось два десятка фич для избегания анализа.

Так, малварь может похвастаться динамичной деобфускацией строк, многочисленными проверками на дебаг и сэндбокс, отслеживанием процессорного времени и ключей реестра для обхода виртуалок и многим другим. Причем половина фич самого инфостилера ещё не дописана, что как бы намекает на приоритеты разработчика. Малварь также проверяет язык системы и отключается, обнаружив полдюжины СНГшных языков, включая русский и украинский, так что разработка, видимо, отечественная. Что сказать, талантами не оскудеваем. Подробнее о скрытном вредоносном новичке по ссылке.

@tomhunter

#news Ответственные за инфобез из железнодорожной компании Eurostar серьёзно относятся к своей работе. Так что для улучшения безопасности они разослали пользователям письма с требованием сбросить пароли к аккаунтам. При заходе в них юзеры также видят плашку о смене пароля. Вот только при попытке сбросить пароль получают «‎У нас технические проблемы, попробуйте позже», и в сущности лишились доступа к аккаунтам. И так уже несколько дней.

Компания винит в проблемах с сайтом техработы и советует чистить куки. Не помогает никому. Ну а пароли якобы сбросить не могут, потому что от потока желающих это сделать сервера немного приболели. Между тем в прошлый раз сброс паролей Eurostar запрашивала в 2018-м после взлома. Положить свой сайт самостоятельно или прикрывать очередной возможный взлом фиговым листком техработ? Даже не знаю, что из этого звучит более неловко.

@tomhunter

#news Z-Library вернулась в верхний интернет после перехвата её доменов ФБР и ареста двух владельцев в ноябре прошлого года. И у библиотеки занятный трюк: пользователи получают персональные домены для доступа к ресурсу. Юзеры могут залогиниться по своим старым данным доступа, и от них ждут, что они будут держать два своих личных домена в секрете. Такой вот тайный литературный кружок любителей принудительного копилефта.

Между тем с ареста наших соотечественников, заправлявших Z-Library, прошло уже три месяца, а библиотека не спешит на дно. Пока владельцы серверов в Tor и I2P не были найдены. Вопрос лишь в том, устоят ли создатели ресурса перед давлением ФБР и главной уязвимостью каждого убеждённого шифропанка – старым добрым паяльником.

@tomhunter

#news Hyundai и Kia выпускают обновление софта для некоторых своих моделей машин. Баг позволяет обходить иммобилизатор, проверяющий код, который ключ подаёт на блок управления двигателем; после патча же зажигание будет срабатывать, только если машину открыли брелком. Ну а за счёт уязвимости угонщики могут завести авто с помощью простого, советского… USB-кабеля в порт под панелью на рулевой колонке.

Простота метода привела к тому, что в ТикТоке c июля прошлого года продвигали гайды по угону под видом «челленджа»‎, а среди злостных угонщиков были юные одиннадцатилетние дарования. В результате в одном только Чикаго число угнанных моделей брендов выросло аж в девять раз. Между тем уязвимы суммарно почти 9 миллионов машин, а часть моделей Hyundai получат обновление только в июне. Счастливчикам без иммобилизатора двигателя придётся выкручиваться по старинке – замком на руль в подарок от Hyundai. Вот тебе и цифровизация с автопилотами.

@tomhunter

#news Слежкой от правительств и техгигантов уже никого не удивишь. А как насчёт супермаркетов? На Markup занятная статья по теме на примере сети Kroger в США. Список собираемых ими данных внушительный. Личная информация по программе лояльности – ФИО, почта, телефон, адрес, уникальный ID, история покупок, инфа по оплате и кредиткам, мобильные данные. А также биометрия, инфа по здоровью и демографии и так далее. Суммарно 2 тысячи показателей.

Магазины сети – сами по себе лабиринт для подопытных хомячков, напичканные камерами и Bluetooth-маячками. С порога приложение стучит на юзера, а его паттерны поведения тщательно отслеживаются. Вся собранная инфа, само собой, перепродаётся брендам и под таргетированную рекламу на рынке в десятки миллиардов долларов. Недалёк тот день, когда «Пятёрочка» будет знать о нас больше, чем члены семьи.

@tomhunter

#news Samsung представил новую фичу для своих Galaxy-телефонов для защиты от атак Zero-click. Samsung Message Guard работает в качестве виртуалки на телефоне, куда полученные изображения временно попадают на сканирование. Если в них обнаруживается малварь, файлы отправляются в карантин, до того как заразят систему на телефоне.

Атаки Zero-click часто используют в таргетированных кампаниях, тем же вездесущим шпионским Pegasus. Там, где Apple ввёл отдельный режим Lockdown под такие случаи, Samsung сообщает, что их фича работает незаметно и 24/7. Она будет постепенно доступна для Galaxy-устройств на One UI 5.1 и новее в течение 2023-го. И жизнь разработчиков спайвари станет чуть сложнее.

@tomhunter

#news Любопытный ход от Твиттера: двухфакторная авторизация теперь будет доступна только пользователям с платной подпиской. Для простолюдинов с 20 марта она просто будет отключена. Мотивируют это тем, что компания теряет $60 миллионов в год на липовых 2FA-смсках. Юзерам без подписки придётся переходить либо на сторонние приложения, либо на электронные ключи.

Между тем товарищ Маск заявляет, что двухфакторка по смс – это всё равно не очень безопасно из-за сим-свопинга, переходите на приложения. И некоторые оптимисты считают, что юзерам теперь будет некуда деваться, кроме как переходить на более защищённые 2FA-методы. На деле же, скорее всего, те немногие, у кого двухфакторка вообще настроена (2,6% от пользовательской базы), просто останутся без неё и не заметят потери. Подписка не только на заветную синюю галочку, но и на элементарные меры безопасности – это, конечно, занятный манёвр. «‎Хочешь инфобез – плати». Всегда ваш, Илон Маск.

@tomhunter

#news Почтовые ящики Microsoft Outlook вчера затопило спамом из-за отвалившихся фильтров. Причём они поломались до такой степени, что даже ручной список надёжных отправителей не работал. В ящики падало и то, что было помечено как спам ранее. Юзеры сообщают, что приходили сотни имейлов за пару часов. Обнаружить поутру больше 6000 писем счастья и получить ещё 600, пока чистишь спамовы конюшни – то ещё удовольствие.

Между тем Майкрософт не спешит комментировать ситуацию, а страница со статусом их сервисов доверительно сообщает, что всё работает и вопрос уже решён. Похоже, в недавние массовые увольнения на 10 тысяч человек попали и работавшие над спам-фильтрами. И при попытке обновить их кто-то куда-то нажал, и всё пропало.

@tomhunter

#news Рансомварь-операция HardBit перешла на версию 2.0 и обзавелась парой занятных фич. Так, энкриптор вместо записи зашифрованных данных в копии файлов с удалением оригиналов открывает их и переписывает содержимое напрямую. Это ускоряет шифрование и затрудняет восстановление файлов.

Но самое любопытное в социнженерии. Группировка рекомендует держателям страховки от кибератак приватно сообщить им все условия страхования. Мотив простой: страховщики предлагают минимальные суммы, не действуют в интересах жертвы и срывают сделки по выкупу. А если злоумышленники будут знать точные суммы страховки, то и договориться будет проще. Подход, конечно, оригинальный. Готовы выступить вместе с рансомварь-Робин Гудами против жадных страховых компаний?

@tomhunter

#news Всплыли новости о взломе игровой компании Activision. В прошлом декабре злоумышленники получили доступ к Slack-аккаунту и стянули данные сотрудников – ФИО, почты, телефоны, зарплаты, место работы и прочее. Плюс в сеть утекли планы по выпуску контента почти на весь год по Call of Duty и новому проекту под кодовым названием «‎Jupiter».

Activision не сообщала о взломе и признала его, только когда исследователи публично разобрали утечку. Причём слив данных сотрудников они отрицают, хотя это уже подтверждено. Взлом же был после фишинговой атаки и слабым звеном, как пишут, оказался HR, что объясняет содержимое утечки. Между тем на скрине пример ответа фишеру более подкованным сотрудником. Разве что сообщить ИБ-отделу об инциденте он забыл. На этот раз без отправки на внеочередные курсы инфобеза, но впредь будьте аккуратнее.

@tomhunter

#news Гугл опубликовал статистику по своей BB-программе за прошлый год. Всего компания выплатила больше $12 миллионов, почти на 50% больше, чем годом ранее. Год стал рекордным и по разовой выплате: солидные $605 тысяч ушли за цепочку из пяти уязвимостей под Андроид. Причём тот же исследователь годом ранее получил $157 тысяч – тоже за цепочку под Андроид и также рекорд выплат на тот год за баги в этой системе. Товарищ gzobqq держит марку.

Для тройки исследователей в топе Андроид-программы год тоже выдался продуктивным: на троих набралось почти 500 багов, и Аман Пандей из Индии со своей компанией Bugsmirror на первом месте – репортнул больше двухсот. Такой вот плодотворный союз в индусском девелоперском лобби: пока одна его часть лепит в Гугле сотню багов за другой, другая их исправляет. Чтобы править баги в индусском коде, нужно мыслить как индус!

@tomhunter

#news В Штаты экстрадировали нашего соотечественника Дениса Панкова, он же dpxaker. И разработчик NLBrute, хакерского инструмента для взлома брутфорсом учёток Windows с незащищённым RDP-протоколом. В 2018-м NLBrute был одним из ключевых инструментов для взлома таких систем. Он был в обойме у REvil, Dharma и Netwalker.

Панкова арестовали в Грузии в прошлом октябре и обвиняют в разработке NLBrute, его продаже злоумышленникам и торговле украденными учётными данными. Около $350 тысяч, заработанных им на инструменте, будут арестованы. А самому dpxaker’у по совокупности обвинений грозит до 47 лет тюрьмы. Задумывался ли он о перспективах своей тюремной жизни в США при выборе незатейливого криминального псевдонима? Вот уж вряд ли.

@tomhunter

#news У Брайана Кребса занятное расследование о потенциальном владельце прокси-сервиса BHProxies, работающем на ботнете Mylobot. В последнем могут быть до 150 тысяч заражённых машин для обслуживания сервиса. Путём нехитрых OSINT-манипуляций и отслеживания аккаунта BHProxies на Black Hat World, Кребс выходит на предполагаемого оператора. А там и Фейсбук, и Инстаграм, и LinkedIn.

Под прицелом некий Абдулла Тауфик из Каира, основатель блокчейн-проекта LewkLabs, бывший сотрудник Crypto.com и TikTok. С пятилетним пропуском под грифом «Конфиденциально» в резюме с года запуска BHProxies. Абдулла, конечно, причастность к сервису отрицает, а аккаунт на Black Hat World у него якобы давно увели. Но потом он пишет человеку, у которого купил его в 2014-м: «Привет, приятель, а помнишь тот аккаунт, что у меня взломали? Мы ещё так и не смогли его тогда восстановить, хе-хе». Увы, собеседник уже на крючке у Кребса, сливает ему диалог и говорит, что об этом впервые слышит. Занавес.

@tomhunter