#news Ответственные за инфобез из железнодорожной компании Eurostar серьёзно относятся к своей работе. Так что для улучшения безопасности они разослали пользователям письма с требованием сбросить пароли к аккаунтам. При заходе в них юзеры также видят плашку о смене пароля. Вот только при попытке сбросить пароль получают «‎У нас технические проблемы, попробуйте позже», и в сущности лишились доступа к аккаунтам. И так уже несколько дней.

Компания винит в проблемах с сайтом техработы и советует чистить куки. Не помогает никому. Ну а пароли якобы сбросить не могут, потому что от потока желающих это сделать сервера немного приболели. Между тем в прошлый раз сброс паролей Eurostar запрашивала в 2018-м после взлома. Положить свой сайт самостоятельно или прикрывать очередной возможный взлом фиговым листком техработ? Даже не знаю, что из этого звучит более неловко.

@tomhunter

#news Z-Library вернулась в верхний интернет после перехвата её доменов ФБР и ареста двух владельцев в ноябре прошлого года. И у библиотеки занятный трюк: пользователи получают персональные домены для доступа к ресурсу. Юзеры могут залогиниться по своим старым данным доступа, и от них ждут, что они будут держать два своих личных домена в секрете. Такой вот тайный литературный кружок любителей принудительного копилефта.

Между тем с ареста наших соотечественников, заправлявших Z-Library, прошло уже три месяца, а библиотека не спешит на дно. Пока владельцы серверов в Tor и I2P не были найдены. Вопрос лишь в том, устоят ли создатели ресурса перед давлением ФБР и главной уязвимостью каждого убеждённого шифропанка – старым добрым паяльником.

@tomhunter

#news Hyundai и Kia выпускают обновление софта для некоторых своих моделей машин. Баг позволяет обходить иммобилизатор, проверяющий код, который ключ подаёт на блок управления двигателем; после патча же зажигание будет срабатывать, только если машину открыли брелком. Ну а за счёт уязвимости угонщики могут завести авто с помощью простого, советского… USB-кабеля в порт под панелью на рулевой колонке.

Простота метода привела к тому, что в ТикТоке c июля прошлого года продвигали гайды по угону под видом «челленджа»‎, а среди злостных угонщиков были юные одиннадцатилетние дарования. В результате в одном только Чикаго число угнанных моделей брендов выросло аж в девять раз. Между тем уязвимы суммарно почти 9 миллионов машин, а часть моделей Hyundai получат обновление только в июне. Счастливчикам без иммобилизатора двигателя придётся выкручиваться по старинке – замком на руль в подарок от Hyundai. Вот тебе и цифровизация с автопилотами.

@tomhunter

#news Слежкой от правительств и техгигантов уже никого не удивишь. А как насчёт супермаркетов? На Markup занятная статья по теме на примере сети Kroger в США. Список собираемых ими данных внушительный. Личная информация по программе лояльности – ФИО, почта, телефон, адрес, уникальный ID, история покупок, инфа по оплате и кредиткам, мобильные данные. А также биометрия, инфа по здоровью и демографии и так далее. Суммарно 2 тысячи показателей.

Магазины сети – сами по себе лабиринт для подопытных хомячков, напичканные камерами и Bluetooth-маячками. С порога приложение стучит на юзера, а его паттерны поведения тщательно отслеживаются. Вся собранная инфа, само собой, перепродаётся брендам и под таргетированную рекламу на рынке в десятки миллиардов долларов. Недалёк тот день, когда «Пятёрочка» будет знать о нас больше, чем члены семьи.

@tomhunter

#news Samsung представил новую фичу для своих Galaxy-телефонов для защиты от атак Zero-click. Samsung Message Guard работает в качестве виртуалки на телефоне, куда полученные изображения временно попадают на сканирование. Если в них обнаруживается малварь, файлы отправляются в карантин, до того как заразят систему на телефоне.

Атаки Zero-click часто используют в таргетированных кампаниях, тем же вездесущим шпионским Pegasus. Там, где Apple ввёл отдельный режим Lockdown под такие случаи, Samsung сообщает, что их фича работает незаметно и 24/7. Она будет постепенно доступна для Galaxy-устройств на One UI 5.1 и новее в течение 2023-го. И жизнь разработчиков спайвари станет чуть сложнее.

@tomhunter

#news Любопытный ход от Твиттера: двухфакторная авторизация теперь будет доступна только пользователям с платной подпиской. Для простолюдинов с 20 марта она просто будет отключена. Мотивируют это тем, что компания теряет $60 миллионов в год на липовых 2FA-смсках. Юзерам без подписки придётся переходить либо на сторонние приложения, либо на электронные ключи.

Между тем товарищ Маск заявляет, что двухфакторка по смс – это всё равно не очень безопасно из-за сим-свопинга, переходите на приложения. И некоторые оптимисты считают, что юзерам теперь будет некуда деваться, кроме как переходить на более защищённые 2FA-методы. На деле же, скорее всего, те немногие, у кого двухфакторка вообще настроена (2,6% от пользовательской базы), просто останутся без неё и не заметят потери. Подписка не только на заветную синюю галочку, но и на элементарные меры безопасности – это, конечно, занятный манёвр. «‎Хочешь инфобез – плати». Всегда ваш, Илон Маск.

@tomhunter

#news Почтовые ящики Microsoft Outlook вчера затопило спамом из-за отвалившихся фильтров. Причём они поломались до такой степени, что даже ручной список надёжных отправителей не работал. В ящики падало и то, что было помечено как спам ранее. Юзеры сообщают, что приходили сотни имейлов за пару часов. Обнаружить поутру больше 6000 писем счастья и получить ещё 600, пока чистишь спамовы конюшни – то ещё удовольствие.

Между тем Майкрософт не спешит комментировать ситуацию, а страница со статусом их сервисов доверительно сообщает, что всё работает и вопрос уже решён. Похоже, в недавние массовые увольнения на 10 тысяч человек попали и работавшие над спам-фильтрами. И при попытке обновить их кто-то куда-то нажал, и всё пропало.

@tomhunter

#news Рансомварь-операция HardBit перешла на версию 2.0 и обзавелась парой занятных фич. Так, энкриптор вместо записи зашифрованных данных в копии файлов с удалением оригиналов открывает их и переписывает содержимое напрямую. Это ускоряет шифрование и затрудняет восстановление файлов.

Но самое любопытное в социнженерии. Группировка рекомендует держателям страховки от кибератак приватно сообщить им все условия страхования. Мотив простой: страховщики предлагают минимальные суммы, не действуют в интересах жертвы и срывают сделки по выкупу. А если злоумышленники будут знать точные суммы страховки, то и договориться будет проще. Подход, конечно, оригинальный. Готовы выступить вместе с рансомварь-Робин Гудами против жадных страховых компаний?

@tomhunter

#news Всплыли новости о взломе игровой компании Activision. В прошлом декабре злоумышленники получили доступ к Slack-аккаунту и стянули данные сотрудников – ФИО, почты, телефоны, зарплаты, место работы и прочее. Плюс в сеть утекли планы по выпуску контента почти на весь год по Call of Duty и новому проекту под кодовым названием «‎Jupiter».

Activision не сообщала о взломе и признала его, только когда исследователи публично разобрали утечку. Причём слив данных сотрудников они отрицают, хотя это уже подтверждено. Взлом же был после фишинговой атаки и слабым звеном, как пишут, оказался HR, что объясняет содержимое утечки. Между тем на скрине пример ответа фишеру более подкованным сотрудником. Разве что сообщить ИБ-отделу об инциденте он забыл. На этот раз без отправки на внеочередные курсы инфобеза, но впредь будьте аккуратнее.

@tomhunter

#news Гугл опубликовал статистику по своей BB-программе за прошлый год. Всего компания выплатила больше $12 миллионов, почти на 50% больше, чем годом ранее. Год стал рекордным и по разовой выплате: солидные $605 тысяч ушли за цепочку из пяти уязвимостей под Андроид. Причём тот же исследователь годом ранее получил $157 тысяч – тоже за цепочку под Андроид и также рекорд выплат на тот год за баги в этой системе. Товарищ gzobqq держит марку.

Для тройки исследователей в топе Андроид-программы год тоже выдался продуктивным: на троих набралось почти 500 багов, и Аман Пандей из Индии со своей компанией Bugsmirror на первом месте – репортнул больше двухсот. Такой вот плодотворный союз в индусском девелоперском лобби: пока одна его часть лепит в Гугле сотню багов за другой, другая их исправляет. Чтобы править баги в индусском коде, нужно мыслить как индус!

@tomhunter

#news В Штаты экстрадировали нашего соотечественника Дениса Панкова, он же dpxaker. И разработчик NLBrute, хакерского инструмента для взлома брутфорсом учёток Windows с незащищённым RDP-протоколом. В 2018-м NLBrute был одним из ключевых инструментов для взлома таких систем. Он был в обойме у REvil, Dharma и Netwalker.

Панкова арестовали в Грузии в прошлом октябре и обвиняют в разработке NLBrute, его продаже злоумышленникам и торговле украденными учётными данными. Около $350 тысяч, заработанных им на инструменте, будут арестованы. А самому dpxaker’у по совокупности обвинений грозит до 47 лет тюрьмы. Задумывался ли он о перспективах своей тюремной жизни в США при выборе незатейливого криминального псевдонима? Вот уж вряд ли.

@tomhunter

#news У Брайана Кребса занятное расследование о потенциальном владельце прокси-сервиса BHProxies, работающем на ботнете Mylobot. В последнем могут быть до 150 тысяч заражённых машин для обслуживания сервиса. Путём нехитрых OSINT-манипуляций и отслеживания аккаунта BHProxies на Black Hat World, Кребс выходит на предполагаемого оператора. А там и Фейсбук, и Инстаграм, и LinkedIn.

Под прицелом некий Абдулла Тауфик из Каира, основатель блокчейн-проекта LewkLabs, бывший сотрудник Crypto.com и TikTok. С пятилетним пропуском под грифом «Конфиденциально» в резюме с года запуска BHProxies. Абдулла, конечно, причастность к сервису отрицает, а аккаунт на Black Hat World у него якобы давно увели. Но потом он пишет человеку, у которого купил его в 2014-м: «Привет, приятель, а помнишь тот аккаунт, что у меня взломали? Мы ещё так и не смогли его тогда восстановить, хе-хе». Увы, собеседник уже на крючке у Кребса, сливает ему диалог и говорит, что об этом впервые слышит. Занавес.

@tomhunter

#news LastPass продолжает раскрывать подробности затронувших компанию взломов. И с каждым разом всё увлекательнее. Так, в декабре компанию взломали не только стянутыми в августе данными. Злоумышленники ещё и поставили кейлоггер на компьютер одного из главных DevOps-инженеров с доступом к ключам шифрования. Таких в компании всего четыре. Стянутый пароль, MFA и доступ к корпоративным хранилищам в результате. На протяжение двух с половиной месяцев – данные-то были валидными.

В итоге таблицы с подробностями по стянутому у компании занимают с десяток страниц. LastPass сообщает, что после своих злоключений усилила меры безопасности, ввела ротацию данных доступа с токенами, отзыв сертификатов и далее по списку. Увы, всё это слегка запоздало. Длинные, печально смотрящие с экрана таблички с украденным не дадут соврать.

@tomhunter

#news После недавно вскрывшегося взлома Activision утверждала, что никакой утечки данных сотрудников не было. А неделю спустя они вполне ожидаемо всплыли на общеизвестном форуме. В базе 19,444 записей, включая ФИО, телефоны, почты, должности и место работы.

Простор для фишинговых атак и социнженерии солидный. Между тем компания демонстрирует отличный пример того, как не надо реагировать на ИБ-инциденты. И взлом признали только после внимания журналистов, и утечку данных отрицали несмотря на разбор слива исследователями. А теперь ни разу не утёкшая база сотрудников лежит в свободном доступе с подписью «Отлично подходит для фишинга!» Неловко вышло.

@tomhunter

#news Сервис Гитхаба по сканированию публичных репозиториев на предмет забытых в них «секретов» вышел из бета-теста и доступен всем желающим и даром. Учётные данные, приватные ключи, сертификаты и API-токены – при обнаружении Гитхаб уведомляет юзера об их наличии в коде, его описании, комментариях и прочем.

Между тем в одном из случаев разработчик просканировал 14 тысяч своих репозиториев и нашёл в них больше тысячи затерявшихся «секретов». А всего за 2022-й Гитхаб зафиксировал более 1,7 миллионов конфиденциальных данных в открытом коде на своей платформе. Так что аргументы за сканирование репозиториев в массы вполне весомые. Подключайте, не стесняйтесь! Подробнее о фиче в документации Гитхаба.

@tomhunter

#news Агентство кибербезопасности CISA выпустило инструмент для облегчения работы с фреймворком MITRE ATT&CK. Decider позволяет быстро создавать отчёты в рамках фреймворка. Расчёт на то, что это поможет стандартизировать информацию по инфобез-угрозам и ускорить реагирование на них.

Decider в сущности представляет из себя опросник, помогающий оперативно обрисовать возникшую угрозу и используемые злоумышленником методы. Созданный отчёт можно экспортировать и поделиться с собратьями по инфобез-среде для облегчения работы. В базе также неплохой поисковик по используемым киберпреступниками методам и техникам. Так что как минимум потыкаться в инструменте лишним не будет. Подробнее на Гитхабе.

@tomhunter

#news Администрация президента США опубликовала программный документ «‎Национальная стратегия кибербезопасности». Одним из ключевых пунктов заявлена проработка ответственности компаний за безопасность их софта и сервисов. Лазейки для ухода от ответственности прикроют, а «сделавшим кибербезопасность своей главной заботой» сулят бонусы. Но конкретики по этим планам пока мало.

Главной же угрозой кибербезопасности предсказуемо назван Китай. Наиболее активная и постоянная угроза как госсектору, так и частникам. А также «единственная страна, желающая и способная изменить международный порядок». В общем, понятно, куда ветер дует. Мимоходом упомянуты и русские хакеры. На рансомварь-фронте заявлено более тесное сотрудничество с облачными и прочими сервисами, чтобы эффективнее пресекать использование злоумышленниками сетевой инфраструктуры в Штатах. В пример приводят отключение ботнета Emotet в 2021-м, через который работали те же Ryuk и Trickbot. Подробнее о документе по ссылке у Кребса.

@tomhunter

#news Пятничная новость: в Австралии арестовали женщину, заславшую имейл-бомбу на почту офиса члена парламента. Больше 32 тысяч писем за 24 часа, заваливших ящик, парализовали работу IT-систем и лишили возможности связаться с офисом. Скорее всего, нежданная киберпреступница воспользовалась дарквеб-сервисом, оказывающим услуги по имейл-бомбингу.

Что мотивировало 34-летнюю злоумышленницу на кибератаку не сообщается. Мстящая за увольнение сотрудница или законопослушная гражданка, недовольная работой парламентария и десятком оставшихся без ответа писем? Так или иначе, переполненный почтовый ящик явно того не стоил. За «один акт нарушения работы электронных коммуникаций» по австралийским законам ей грозит до 10 лет тюрьмы. Хотя, может, для неё главное, чтобы дошёл смысл послания? Каким бы он ни был.

@tomhunter

#news По факту обращений со стороны ряда СМИ, мы проводили исследование деятельности т.н. ЧВК "Рёдан". Публикуем краткие выводы:

1️⃣ "Рёдан" представляет собой субкультурное течение, выросшее из аниме (манга) "Hunter × Hunter" Ёсихиро Тогаси, опубликованное в 1998 году. Манга имеет несколько адаптаций, а также пару полнометражных фильмов.

2️⃣ Мерч с пауком появился в 2020 году и представляет собой коллекцию hikikomori kai. Никакого отношения к радикальным течениям не имеет.

3️⃣ Добавление к названию аббревиатуры "ЧВК" относится к 2022 году и связано с ростом интереса к ЧВК "Вагнер".

4️⃣ Рост популярности темы ЧВК "Рёдан" в СМИ и, связанный с ним, рост числа одноименных сообществ и их подписчиков, связан с событиями 19.02.2023 года, когда группа радикальных подростков напала на представителей сообщества в одном из ТЦ Москвы.

5️⃣ Участие ЦИПСО в создании ЧВК "Рёдан" не выявлено. Что не отменяет возможность использование данной темы в настоящее время для эскалации социальной напряженности.

@tomhunter

На нашем Хабре новая статья по теме OSINT. В ней мы рассмотрим как организовать свой собственный мониторинг СМИ по интересующим вопросам. Научимся формировать RSS-потоки и настраивать сбор данных, познакомимся с популярными решениями для чтения RSS-лент, а также улучшим свои навыки построения поисковых запросов для Google, он же Гугл Доркинг. За подробностями добро пожаловать на Хабр!

@tomhunter

#news На фоне популяризации доставки малвари через вложения OneNote давно пора озаботиться тем, чтобы они не добрались до ваших корпоративных сетей. Если нет возможности заблокировать .one-файлы на почтовом шлюзе полностью, можно воспользоваться шаблонами групповой политики в Microsoft Office.

Через них можно либо полностью обрубить запуск вложенных в OneNote файлов, либо только по отдельным расширениям. Из рекомендуемых .js, .exe, .com, .cmd, .scr, .ps1, .vbs, .lnk, но список, скорее всего, будет пополняться. Подробнее о настройке групповой политики смотрите по ссылке. Наградой станет такая вот плашка на экране любознательного юзера, решившего кликнуть куда-нибудь не туда.

@tomhunter