Опубликовал наш традиционный дайджест инфобез-новостей за ушедший месяц. Январь выдался богатым на яркие события в мире информационной безопасности: сегодня у нас об утечке из «‎Яндекса», перехвате ФБР сайтов группировки Hive, взлом Налоговой службы США пророссийской Killnet, запоздалое рождественское раскаяние от LockBit и прочее увлекательное. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news У регистратора доменов NameCheap взломали почту и устроили через неё рассылку подписанных DKIM фишинговых писем от лица DHL и MetaMask. Целью атаки были личные данные и криптокошельки, и письма просочились через спам-фильтры. В итоге после потока жалоб от юзеров в Твиттере NameCheap экстренно отключила доставку всех имейлов, пока разбиралась со взломом.

В компании утверждают, что их системы не взламывали и винят почтового провайдера, Twilio SendGrid, связывая инцидент с декабрьским отчётом об утечке API-ключей из мобильных приложения. Те в свою очередь тоже отрицают взлом. Пока обе компании заняты переводом стрелок и от дальнейших комментариев отказываются.

@tomhunter

#news В Испании арестовали девять участников киберпреступной группировки, укравших более $5 миллионов у жертв в в американских компаниях всего за год. Злоумышленники специализировались на фишинговых письмах и смс для кражи банковских данных. Со счетов жертв покупали предметы роскоши и выводили деньги на подставные счета.

Что забавно, для прикрытия операций злоумышленники хранили купленную роскошь под видом бутика по её продаже. Такое вот киберпреступное логово с награбленным. Между тем полиция Испании сообщает любопытный факт: каждое пятое правонарушение в стране совершают онлайн, и с 2019-го число киберпреступлений выросло на 72 процента. Так что за время пандемии не только порядочные сотрудники массово перешли на удалёнку.

@tomhunter

#news К новинкам малвари: исследователям попался находящийся в активной разработке инфостилер Beep. Что выделяет зловред на фоне остальных, так это работа, проделанная по обходу обнаружения: в нём набралось два десятка фич для избегания анализа.

Так, малварь может похвастаться динамичной деобфускацией строк, многочисленными проверками на дебаг и сэндбокс, отслеживанием процессорного времени и ключей реестра для обхода виртуалок и многим другим. Причем половина фич самого инфостилера ещё не дописана, что как бы намекает на приоритеты разработчика. Малварь также проверяет язык системы и отключается, обнаружив полдюжины СНГшных языков, включая русский и украинский, так что разработка, видимо, отечественная. Что сказать, талантами не оскудеваем. Подробнее о скрытном вредоносном новичке по ссылке.

@tomhunter

#news Ответственные за инфобез из железнодорожной компании Eurostar серьёзно относятся к своей работе. Так что для улучшения безопасности они разослали пользователям письма с требованием сбросить пароли к аккаунтам. При заходе в них юзеры также видят плашку о смене пароля. Вот только при попытке сбросить пароль получают «‎У нас технические проблемы, попробуйте позже», и в сущности лишились доступа к аккаунтам. И так уже несколько дней.

Компания винит в проблемах с сайтом техработы и советует чистить куки. Не помогает никому. Ну а пароли якобы сбросить не могут, потому что от потока желающих это сделать сервера немного приболели. Между тем в прошлый раз сброс паролей Eurostar запрашивала в 2018-м после взлома. Положить свой сайт самостоятельно или прикрывать очередной возможный взлом фиговым листком техработ? Даже не знаю, что из этого звучит более неловко.

@tomhunter

#news Z-Library вернулась в верхний интернет после перехвата её доменов ФБР и ареста двух владельцев в ноябре прошлого года. И у библиотеки занятный трюк: пользователи получают персональные домены для доступа к ресурсу. Юзеры могут залогиниться по своим старым данным доступа, и от них ждут, что они будут держать два своих личных домена в секрете. Такой вот тайный литературный кружок любителей принудительного копилефта.

Между тем с ареста наших соотечественников, заправлявших Z-Library, прошло уже три месяца, а библиотека не спешит на дно. Пока владельцы серверов в Tor и I2P не были найдены. Вопрос лишь в том, устоят ли создатели ресурса перед давлением ФБР и главной уязвимостью каждого убеждённого шифропанка – старым добрым паяльником.

@tomhunter

#news Hyundai и Kia выпускают обновление софта для некоторых своих моделей машин. Баг позволяет обходить иммобилизатор, проверяющий код, который ключ подаёт на блок управления двигателем; после патча же зажигание будет срабатывать, только если машину открыли брелком. Ну а за счёт уязвимости угонщики могут завести авто с помощью простого, советского… USB-кабеля в порт под панелью на рулевой колонке.

Простота метода привела к тому, что в ТикТоке c июля прошлого года продвигали гайды по угону под видом «челленджа»‎, а среди злостных угонщиков были юные одиннадцатилетние дарования. В результате в одном только Чикаго число угнанных моделей брендов выросло аж в девять раз. Между тем уязвимы суммарно почти 9 миллионов машин, а часть моделей Hyundai получат обновление только в июне. Счастливчикам без иммобилизатора двигателя придётся выкручиваться по старинке – замком на руль в подарок от Hyundai. Вот тебе и цифровизация с автопилотами.

@tomhunter

#news Слежкой от правительств и техгигантов уже никого не удивишь. А как насчёт супермаркетов? На Markup занятная статья по теме на примере сети Kroger в США. Список собираемых ими данных внушительный. Личная информация по программе лояльности – ФИО, почта, телефон, адрес, уникальный ID, история покупок, инфа по оплате и кредиткам, мобильные данные. А также биометрия, инфа по здоровью и демографии и так далее. Суммарно 2 тысячи показателей.

Магазины сети – сами по себе лабиринт для подопытных хомячков, напичканные камерами и Bluetooth-маячками. С порога приложение стучит на юзера, а его паттерны поведения тщательно отслеживаются. Вся собранная инфа, само собой, перепродаётся брендам и под таргетированную рекламу на рынке в десятки миллиардов долларов. Недалёк тот день, когда «Пятёрочка» будет знать о нас больше, чем члены семьи.

@tomhunter

#news Samsung представил новую фичу для своих Galaxy-телефонов для защиты от атак Zero-click. Samsung Message Guard работает в качестве виртуалки на телефоне, куда полученные изображения временно попадают на сканирование. Если в них обнаруживается малварь, файлы отправляются в карантин, до того как заразят систему на телефоне.

Атаки Zero-click часто используют в таргетированных кампаниях, тем же вездесущим шпионским Pegasus. Там, где Apple ввёл отдельный режим Lockdown под такие случаи, Samsung сообщает, что их фича работает незаметно и 24/7. Она будет постепенно доступна для Galaxy-устройств на One UI 5.1 и новее в течение 2023-го. И жизнь разработчиков спайвари станет чуть сложнее.

@tomhunter

#news Любопытный ход от Твиттера: двухфакторная авторизация теперь будет доступна только пользователям с платной подпиской. Для простолюдинов с 20 марта она просто будет отключена. Мотивируют это тем, что компания теряет $60 миллионов в год на липовых 2FA-смсках. Юзерам без подписки придётся переходить либо на сторонние приложения, либо на электронные ключи.

Между тем товарищ Маск заявляет, что двухфакторка по смс – это всё равно не очень безопасно из-за сим-свопинга, переходите на приложения. И некоторые оптимисты считают, что юзерам теперь будет некуда деваться, кроме как переходить на более защищённые 2FA-методы. На деле же, скорее всего, те немногие, у кого двухфакторка вообще настроена (2,6% от пользовательской базы), просто останутся без неё и не заметят потери. Подписка не только на заветную синюю галочку, но и на элементарные меры безопасности – это, конечно, занятный манёвр. «‎Хочешь инфобез – плати». Всегда ваш, Илон Маск.

@tomhunter

#news Почтовые ящики Microsoft Outlook вчера затопило спамом из-за отвалившихся фильтров. Причём они поломались до такой степени, что даже ручной список надёжных отправителей не работал. В ящики падало и то, что было помечено как спам ранее. Юзеры сообщают, что приходили сотни имейлов за пару часов. Обнаружить поутру больше 6000 писем счастья и получить ещё 600, пока чистишь спамовы конюшни – то ещё удовольствие.

Между тем Майкрософт не спешит комментировать ситуацию, а страница со статусом их сервисов доверительно сообщает, что всё работает и вопрос уже решён. Похоже, в недавние массовые увольнения на 10 тысяч человек попали и работавшие над спам-фильтрами. И при попытке обновить их кто-то куда-то нажал, и всё пропало.

@tomhunter

#news Рансомварь-операция HardBit перешла на версию 2.0 и обзавелась парой занятных фич. Так, энкриптор вместо записи зашифрованных данных в копии файлов с удалением оригиналов открывает их и переписывает содержимое напрямую. Это ускоряет шифрование и затрудняет восстановление файлов.

Но самое любопытное в социнженерии. Группировка рекомендует держателям страховки от кибератак приватно сообщить им все условия страхования. Мотив простой: страховщики предлагают минимальные суммы, не действуют в интересах жертвы и срывают сделки по выкупу. А если злоумышленники будут знать точные суммы страховки, то и договориться будет проще. Подход, конечно, оригинальный. Готовы выступить вместе с рансомварь-Робин Гудами против жадных страховых компаний?

@tomhunter

#news Всплыли новости о взломе игровой компании Activision. В прошлом декабре злоумышленники получили доступ к Slack-аккаунту и стянули данные сотрудников – ФИО, почты, телефоны, зарплаты, место работы и прочее. Плюс в сеть утекли планы по выпуску контента почти на весь год по Call of Duty и новому проекту под кодовым названием «‎Jupiter».

Activision не сообщала о взломе и признала его, только когда исследователи публично разобрали утечку. Причём слив данных сотрудников они отрицают, хотя это уже подтверждено. Взлом же был после фишинговой атаки и слабым звеном, как пишут, оказался HR, что объясняет содержимое утечки. Между тем на скрине пример ответа фишеру более подкованным сотрудником. Разве что сообщить ИБ-отделу об инциденте он забыл. На этот раз без отправки на внеочередные курсы инфобеза, но впредь будьте аккуратнее.

@tomhunter

#news Гугл опубликовал статистику по своей BB-программе за прошлый год. Всего компания выплатила больше $12 миллионов, почти на 50% больше, чем годом ранее. Год стал рекордным и по разовой выплате: солидные $605 тысяч ушли за цепочку из пяти уязвимостей под Андроид. Причём тот же исследователь годом ранее получил $157 тысяч – тоже за цепочку под Андроид и также рекорд выплат на тот год за баги в этой системе. Товарищ gzobqq держит марку.

Для тройки исследователей в топе Андроид-программы год тоже выдался продуктивным: на троих набралось почти 500 багов, и Аман Пандей из Индии со своей компанией Bugsmirror на первом месте – репортнул больше двухсот. Такой вот плодотворный союз в индусском девелоперском лобби: пока одна его часть лепит в Гугле сотню багов за другой, другая их исправляет. Чтобы править баги в индусском коде, нужно мыслить как индус!

@tomhunter

#news В Штаты экстрадировали нашего соотечественника Дениса Панкова, он же dpxaker. И разработчик NLBrute, хакерского инструмента для взлома брутфорсом учёток Windows с незащищённым RDP-протоколом. В 2018-м NLBrute был одним из ключевых инструментов для взлома таких систем. Он был в обойме у REvil, Dharma и Netwalker.

Панкова арестовали в Грузии в прошлом октябре и обвиняют в разработке NLBrute, его продаже злоумышленникам и торговле украденными учётными данными. Около $350 тысяч, заработанных им на инструменте, будут арестованы. А самому dpxaker’у по совокупности обвинений грозит до 47 лет тюрьмы. Задумывался ли он о перспективах своей тюремной жизни в США при выборе незатейливого криминального псевдонима? Вот уж вряд ли.

@tomhunter

#news У Брайана Кребса занятное расследование о потенциальном владельце прокси-сервиса BHProxies, работающем на ботнете Mylobot. В последнем могут быть до 150 тысяч заражённых машин для обслуживания сервиса. Путём нехитрых OSINT-манипуляций и отслеживания аккаунта BHProxies на Black Hat World, Кребс выходит на предполагаемого оператора. А там и Фейсбук, и Инстаграм, и LinkedIn.

Под прицелом некий Абдулла Тауфик из Каира, основатель блокчейн-проекта LewkLabs, бывший сотрудник Crypto.com и TikTok. С пятилетним пропуском под грифом «Конфиденциально» в резюме с года запуска BHProxies. Абдулла, конечно, причастность к сервису отрицает, а аккаунт на Black Hat World у него якобы давно увели. Но потом он пишет человеку, у которого купил его в 2014-м: «Привет, приятель, а помнишь тот аккаунт, что у меня взломали? Мы ещё так и не смогли его тогда восстановить, хе-хе». Увы, собеседник уже на крючке у Кребса, сливает ему диалог и говорит, что об этом впервые слышит. Занавес.

@tomhunter

#news LastPass продолжает раскрывать подробности затронувших компанию взломов. И с каждым разом всё увлекательнее. Так, в декабре компанию взломали не только стянутыми в августе данными. Злоумышленники ещё и поставили кейлоггер на компьютер одного из главных DevOps-инженеров с доступом к ключам шифрования. Таких в компании всего четыре. Стянутый пароль, MFA и доступ к корпоративным хранилищам в результате. На протяжение двух с половиной месяцев – данные-то были валидными.

В итоге таблицы с подробностями по стянутому у компании занимают с десяток страниц. LastPass сообщает, что после своих злоключений усилила меры безопасности, ввела ротацию данных доступа с токенами, отзыв сертификатов и далее по списку. Увы, всё это слегка запоздало. Длинные, печально смотрящие с экрана таблички с украденным не дадут соврать.

@tomhunter

#news После недавно вскрывшегося взлома Activision утверждала, что никакой утечки данных сотрудников не было. А неделю спустя они вполне ожидаемо всплыли на общеизвестном форуме. В базе 19,444 записей, включая ФИО, телефоны, почты, должности и место работы.

Простор для фишинговых атак и социнженерии солидный. Между тем компания демонстрирует отличный пример того, как не надо реагировать на ИБ-инциденты. И взлом признали только после внимания журналистов, и утечку данных отрицали несмотря на разбор слива исследователями. А теперь ни разу не утёкшая база сотрудников лежит в свободном доступе с подписью «Отлично подходит для фишинга!» Неловко вышло.

@tomhunter

#news Сервис Гитхаба по сканированию публичных репозиториев на предмет забытых в них «секретов» вышел из бета-теста и доступен всем желающим и даром. Учётные данные, приватные ключи, сертификаты и API-токены – при обнаружении Гитхаб уведомляет юзера об их наличии в коде, его описании, комментариях и прочем.

Между тем в одном из случаев разработчик просканировал 14 тысяч своих репозиториев и нашёл в них больше тысячи затерявшихся «секретов». А всего за 2022-й Гитхаб зафиксировал более 1,7 миллионов конфиденциальных данных в открытом коде на своей платформе. Так что аргументы за сканирование репозиториев в массы вполне весомые. Подключайте, не стесняйтесь! Подробнее о фиче в документации Гитхаба.

@tomhunter

#news Агентство кибербезопасности CISA выпустило инструмент для облегчения работы с фреймворком MITRE ATT&CK. Decider позволяет быстро создавать отчёты в рамках фреймворка. Расчёт на то, что это поможет стандартизировать информацию по инфобез-угрозам и ускорить реагирование на них.

Decider в сущности представляет из себя опросник, помогающий оперативно обрисовать возникшую угрозу и используемые злоумышленником методы. Созданный отчёт можно экспортировать и поделиться с собратьями по инфобез-среде для облегчения работы. В базе также неплохой поисковик по используемым киберпреступниками методам и техникам. Так что как минимум потыкаться в инструменте лишним не будет. Подробнее на Гитхабе.

@tomhunter

#news Администрация президента США опубликовала программный документ «‎Национальная стратегия кибербезопасности». Одним из ключевых пунктов заявлена проработка ответственности компаний за безопасность их софта и сервисов. Лазейки для ухода от ответственности прикроют, а «сделавшим кибербезопасность своей главной заботой» сулят бонусы. Но конкретики по этим планам пока мало.

Главной же угрозой кибербезопасности предсказуемо назван Китай. Наиболее активная и постоянная угроза как госсектору, так и частникам. А также «единственная страна, желающая и способная изменить международный порядок». В общем, понятно, куда ветер дует. Мимоходом упомянуты и русские хакеры. На рансомварь-фронте заявлено более тесное сотрудничество с облачными и прочими сервисами, чтобы эффективнее пресекать использование злоумышленниками сетевой инфраструктуры в Штатах. В пример приводят отключение ботнета Emotet в 2021-м, через который работали те же Ryuk и Trickbot. Подробнее о документе по ссылке у Кребса.

@tomhunter