#news Любопытный ход от Твиттера: двухфакторная авторизация теперь будет доступна только пользователям с платной подпиской. Для простолюдинов с 20 марта она просто будет отключена. Мотивируют это тем, что компания теряет $60 миллионов в год на липовых 2FA-смсках. Юзерам без подписки придётся переходить либо на сторонние приложения, либо на электронные ключи.

Между тем товарищ Маск заявляет, что двухфакторка по смс – это всё равно не очень безопасно из-за сим-свопинга, переходите на приложения. И некоторые оптимисты считают, что юзерам теперь будет некуда деваться, кроме как переходить на более защищённые 2FA-методы. На деле же, скорее всего, те немногие, у кого двухфакторка вообще настроена (2,6% от пользовательской базы), просто останутся без неё и не заметят потери. Подписка не только на заветную синюю галочку, но и на элементарные меры безопасности – это, конечно, занятный манёвр. «‎Хочешь инфобез – плати». Всегда ваш, Илон Маск.

@tomhunter

#news Почтовые ящики Microsoft Outlook вчера затопило спамом из-за отвалившихся фильтров. Причём они поломались до такой степени, что даже ручной список надёжных отправителей не работал. В ящики падало и то, что было помечено как спам ранее. Юзеры сообщают, что приходили сотни имейлов за пару часов. Обнаружить поутру больше 6000 писем счастья и получить ещё 600, пока чистишь спамовы конюшни – то ещё удовольствие.

Между тем Майкрософт не спешит комментировать ситуацию, а страница со статусом их сервисов доверительно сообщает, что всё работает и вопрос уже решён. Похоже, в недавние массовые увольнения на 10 тысяч человек попали и работавшие над спам-фильтрами. И при попытке обновить их кто-то куда-то нажал, и всё пропало.

@tomhunter

#news Рансомварь-операция HardBit перешла на версию 2.0 и обзавелась парой занятных фич. Так, энкриптор вместо записи зашифрованных данных в копии файлов с удалением оригиналов открывает их и переписывает содержимое напрямую. Это ускоряет шифрование и затрудняет восстановление файлов.

Но самое любопытное в социнженерии. Группировка рекомендует держателям страховки от кибератак приватно сообщить им все условия страхования. Мотив простой: страховщики предлагают минимальные суммы, не действуют в интересах жертвы и срывают сделки по выкупу. А если злоумышленники будут знать точные суммы страховки, то и договориться будет проще. Подход, конечно, оригинальный. Готовы выступить вместе с рансомварь-Робин Гудами против жадных страховых компаний?

@tomhunter

#news Всплыли новости о взломе игровой компании Activision. В прошлом декабре злоумышленники получили доступ к Slack-аккаунту и стянули данные сотрудников – ФИО, почты, телефоны, зарплаты, место работы и прочее. Плюс в сеть утекли планы по выпуску контента почти на весь год по Call of Duty и новому проекту под кодовым названием «‎Jupiter».

Activision не сообщала о взломе и признала его, только когда исследователи публично разобрали утечку. Причём слив данных сотрудников они отрицают, хотя это уже подтверждено. Взлом же был после фишинговой атаки и слабым звеном, как пишут, оказался HR, что объясняет содержимое утечки. Между тем на скрине пример ответа фишеру более подкованным сотрудником. Разве что сообщить ИБ-отделу об инциденте он забыл. На этот раз без отправки на внеочередные курсы инфобеза, но впредь будьте аккуратнее.

@tomhunter

#news Гугл опубликовал статистику по своей BB-программе за прошлый год. Всего компания выплатила больше $12 миллионов, почти на 50% больше, чем годом ранее. Год стал рекордным и по разовой выплате: солидные $605 тысяч ушли за цепочку из пяти уязвимостей под Андроид. Причём тот же исследователь годом ранее получил $157 тысяч – тоже за цепочку под Андроид и также рекорд выплат на тот год за баги в этой системе. Товарищ gzobqq держит марку.

Для тройки исследователей в топе Андроид-программы год тоже выдался продуктивным: на троих набралось почти 500 багов, и Аман Пандей из Индии со своей компанией Bugsmirror на первом месте – репортнул больше двухсот. Такой вот плодотворный союз в индусском девелоперском лобби: пока одна его часть лепит в Гугле сотню багов за другой, другая их исправляет. Чтобы править баги в индусском коде, нужно мыслить как индус!

@tomhunter

#news В Штаты экстрадировали нашего соотечественника Дениса Панкова, он же dpxaker. И разработчик NLBrute, хакерского инструмента для взлома брутфорсом учёток Windows с незащищённым RDP-протоколом. В 2018-м NLBrute был одним из ключевых инструментов для взлома таких систем. Он был в обойме у REvil, Dharma и Netwalker.

Панкова арестовали в Грузии в прошлом октябре и обвиняют в разработке NLBrute, его продаже злоумышленникам и торговле украденными учётными данными. Около $350 тысяч, заработанных им на инструменте, будут арестованы. А самому dpxaker’у по совокупности обвинений грозит до 47 лет тюрьмы. Задумывался ли он о перспективах своей тюремной жизни в США при выборе незатейливого криминального псевдонима? Вот уж вряд ли.

@tomhunter

#news У Брайана Кребса занятное расследование о потенциальном владельце прокси-сервиса BHProxies, работающем на ботнете Mylobot. В последнем могут быть до 150 тысяч заражённых машин для обслуживания сервиса. Путём нехитрых OSINT-манипуляций и отслеживания аккаунта BHProxies на Black Hat World, Кребс выходит на предполагаемого оператора. А там и Фейсбук, и Инстаграм, и LinkedIn.

Под прицелом некий Абдулла Тауфик из Каира, основатель блокчейн-проекта LewkLabs, бывший сотрудник Crypto.com и TikTok. С пятилетним пропуском под грифом «Конфиденциально» в резюме с года запуска BHProxies. Абдулла, конечно, причастность к сервису отрицает, а аккаунт на Black Hat World у него якобы давно увели. Но потом он пишет человеку, у которого купил его в 2014-м: «Привет, приятель, а помнишь тот аккаунт, что у меня взломали? Мы ещё так и не смогли его тогда восстановить, хе-хе». Увы, собеседник уже на крючке у Кребса, сливает ему диалог и говорит, что об этом впервые слышит. Занавес.

@tomhunter

#news LastPass продолжает раскрывать подробности затронувших компанию взломов. И с каждым разом всё увлекательнее. Так, в декабре компанию взломали не только стянутыми в августе данными. Злоумышленники ещё и поставили кейлоггер на компьютер одного из главных DevOps-инженеров с доступом к ключам шифрования. Таких в компании всего четыре. Стянутый пароль, MFA и доступ к корпоративным хранилищам в результате. На протяжение двух с половиной месяцев – данные-то были валидными.

В итоге таблицы с подробностями по стянутому у компании занимают с десяток страниц. LastPass сообщает, что после своих злоключений усилила меры безопасности, ввела ротацию данных доступа с токенами, отзыв сертификатов и далее по списку. Увы, всё это слегка запоздало. Длинные, печально смотрящие с экрана таблички с украденным не дадут соврать.

@tomhunter

#news После недавно вскрывшегося взлома Activision утверждала, что никакой утечки данных сотрудников не было. А неделю спустя они вполне ожидаемо всплыли на общеизвестном форуме. В базе 19,444 записей, включая ФИО, телефоны, почты, должности и место работы.

Простор для фишинговых атак и социнженерии солидный. Между тем компания демонстрирует отличный пример того, как не надо реагировать на ИБ-инциденты. И взлом признали только после внимания журналистов, и утечку данных отрицали несмотря на разбор слива исследователями. А теперь ни разу не утёкшая база сотрудников лежит в свободном доступе с подписью «Отлично подходит для фишинга!» Неловко вышло.

@tomhunter

#news Сервис Гитхаба по сканированию публичных репозиториев на предмет забытых в них «секретов» вышел из бета-теста и доступен всем желающим и даром. Учётные данные, приватные ключи, сертификаты и API-токены – при обнаружении Гитхаб уведомляет юзера об их наличии в коде, его описании, комментариях и прочем.

Между тем в одном из случаев разработчик просканировал 14 тысяч своих репозиториев и нашёл в них больше тысячи затерявшихся «секретов». А всего за 2022-й Гитхаб зафиксировал более 1,7 миллионов конфиденциальных данных в открытом коде на своей платформе. Так что аргументы за сканирование репозиториев в массы вполне весомые. Подключайте, не стесняйтесь! Подробнее о фиче в документации Гитхаба.

@tomhunter

#news Агентство кибербезопасности CISA выпустило инструмент для облегчения работы с фреймворком MITRE ATT&CK. Decider позволяет быстро создавать отчёты в рамках фреймворка. Расчёт на то, что это поможет стандартизировать информацию по инфобез-угрозам и ускорить реагирование на них.

Decider в сущности представляет из себя опросник, помогающий оперативно обрисовать возникшую угрозу и используемые злоумышленником методы. Созданный отчёт можно экспортировать и поделиться с собратьями по инфобез-среде для облегчения работы. В базе также неплохой поисковик по используемым киберпреступниками методам и техникам. Так что как минимум потыкаться в инструменте лишним не будет. Подробнее на Гитхабе.

@tomhunter

#news Администрация президента США опубликовала программный документ «‎Национальная стратегия кибербезопасности». Одним из ключевых пунктов заявлена проработка ответственности компаний за безопасность их софта и сервисов. Лазейки для ухода от ответственности прикроют, а «сделавшим кибербезопасность своей главной заботой» сулят бонусы. Но конкретики по этим планам пока мало.

Главной же угрозой кибербезопасности предсказуемо назван Китай. Наиболее активная и постоянная угроза как госсектору, так и частникам. А также «единственная страна, желающая и способная изменить международный порядок». В общем, понятно, куда ветер дует. Мимоходом упомянуты и русские хакеры. На рансомварь-фронте заявлено более тесное сотрудничество с облачными и прочими сервисами, чтобы эффективнее пресекать использование злоумышленниками сетевой инфраструктуры в Штатах. В пример приводят отключение ботнета Emotet в 2021-м, через который работали те же Ryuk и Trickbot. Подробнее о документе по ссылке у Кребса.

@tomhunter

#news Пятничная новость: в Австралии арестовали женщину, заславшую имейл-бомбу на почту офиса члена парламента. Больше 32 тысяч писем за 24 часа, заваливших ящик, парализовали работу IT-систем и лишили возможности связаться с офисом. Скорее всего, нежданная киберпреступница воспользовалась дарквеб-сервисом, оказывающим услуги по имейл-бомбингу.

Что мотивировало 34-летнюю злоумышленницу на кибератаку не сообщается. Мстящая за увольнение сотрудница или законопослушная гражданка, недовольная работой парламентария и десятком оставшихся без ответа писем? Так или иначе, переполненный почтовый ящик явно того не стоил. За «один акт нарушения работы электронных коммуникаций» по австралийским законам ей грозит до 10 лет тюрьмы. Хотя, может, для неё главное, чтобы дошёл смысл послания? Каким бы он ни был.

@tomhunter

#news По факту обращений со стороны ряда СМИ, мы проводили исследование деятельности т.н. ЧВК "Рёдан". Публикуем краткие выводы:

1️⃣ "Рёдан" представляет собой субкультурное течение, выросшее из аниме (манга) "Hunter × Hunter" Ёсихиро Тогаси, опубликованное в 1998 году. Манга имеет несколько адаптаций, а также пару полнометражных фильмов.

2️⃣ Мерч с пауком появился в 2020 году и представляет собой коллекцию hikikomori kai. Никакого отношения к радикальным течениям не имеет.

3️⃣ Добавление к названию аббревиатуры "ЧВК" относится к 2022 году и связано с ростом интереса к ЧВК "Вагнер".

4️⃣ Рост популярности темы ЧВК "Рёдан" в СМИ и, связанный с ним, рост числа одноименных сообществ и их подписчиков, связан с событиями 19.02.2023 года, когда группа радикальных подростков напала на представителей сообщества в одном из ТЦ Москвы.

5️⃣ Участие ЦИПСО в создании ЧВК "Рёдан" не выявлено. Что не отменяет возможность использование данной темы в настоящее время для эскалации социальной напряженности.

@tomhunter

На нашем Хабре новая статья по теме OSINT. В ней мы рассмотрим как организовать свой собственный мониторинг СМИ по интересующим вопросам. Научимся формировать RSS-потоки и настраивать сбор данных, познакомимся с популярными решениями для чтения RSS-лент, а также улучшим свои навыки построения поисковых запросов для Google, он же Гугл Доркинг. За подробностями добро пожаловать на Хабр!

@tomhunter

#news На фоне популяризации доставки малвари через вложения OneNote давно пора озаботиться тем, чтобы они не добрались до ваших корпоративных сетей. Если нет возможности заблокировать .one-файлы на почтовом шлюзе полностью, можно воспользоваться шаблонами групповой политики в Microsoft Office.

Через них можно либо полностью обрубить запуск вложенных в OneNote файлов, либо только по отдельным расширениям. Из рекомендуемых .js, .exe, .com, .cmd, .scr, .ps1, .vbs, .lnk, но список, скорее всего, будет пополняться. Подробнее о настройке групповой политики смотрите по ссылке. Наградой станет такая вот плашка на экране любознательного юзера, решившего кликнуть куда-нибудь не туда.

@tomhunter

В руки сотрудников компании T.Hunter попал проект о фальшивомонетчиках. Схема стара как мир: вы якобы покупаете фальшивки ниже их номинальной стоимости, затем «отмываете» через банкоматы или «жвачку в ларьках». Так, например, цена за 50 тысячных купюр – 10500 рублей.

Но откуда такая внезапная щедрость со стороны фальшивомонетчиков? Почему они сами не отмоют эти деньги, получив больше прибыли? Ответ, конечно же, довольно предсказуем. Публикуем интересные заметки из исследовательской работы.

@tomhunter

Итак, что удалось выяснить о необычайно щедрых фальшивомонетчиках:

– В своих каналах и группах мошенники распространяют фотографии и видео купюр с номиналом в 1000 рублей с одним и тем же серийным номером – ВС 6937187. Первые упоминания об этих «косарях» датируются 2020-м годом, но могут быть и старше.

– Видеоролики, на которых мошенники беспрепятственно пополняют свой счет одной тысячной купюрой со знакомым серийным номером, являются монтажом. Этот факт был выявлен при детальном анализе видео.

– Множество каналов и групп по этой тематике сделаны как под копирку: текст, фотографии и видеоролики скопированы в них без изменений. В общем, фальшивомонетчики совсем обленились в своем преступном ремесле.

Можно понять, что ни о каких «настоящих» фальшивках речи не идет. Мошенники просто получают деньги и пропадают.

Даже если вероятность получить фальшивки на руки мала, Том Хантер напоминает: изготовление, хранение, перевозка или сбыт поддельных денег преследуется по закону!

@tomhunter

#news В сети всплыла проверка концепции под CVE-2023-21716, критическую RCE-уязвимость в Microsoft Word. Она получила 9.8 из 10 за простоту атаки: ни привилегий, ни продвинутого фишинга – юзеру достаточно прогрузить зловред в превью приложения к письму. Баг в RTF-парсере на повреждение кучи при работе с таблицей шрифтов, содержащей их избыточное число, и он был исправлен в февральском патче от Майкрософт.

Примеров использования эксплойта в сетевых дебрях пока не встречалось, но с публикацией PoC шансы атак резко возрастают. Аналогичная уязвимость в Microsoft Excel Equation Editor была исправлена ещё в 2017-м, но она до сих пор в ходу у злоумышленников. Причём простотой отличается не только атака, но и сама проверка концепции: изначально чуть больше 12 строк с комментариями, теперь она умещается в твит. Вот это я понимаю, эффективный код.

@tomhunter

#news Компания Acer подтвердила взлом и утечку данных, после того как они всплыли на Breached. Архив объёмом в 160GB выставлен на аукцион, стянули документы с сервера для инженеров-ремонтников. Техмануалы, утилиты, детали по бэкенду, документация по продуктам, образы BIOS, ROM- и ISO-файлы… Хакер хвалится тем, что в сливе столько всего, что разбирать будет ещё долго. В качестве подтверждения скриншоты схем и конфиденциальных документов.

Между тем данные пользователей якобы не затронуты, а судя по содержимому слива, и правда похоже на сервер с документацией. Тем не менее, видеть её в руках злоумышленников и конкурентов компания едва ли хочет. И такими темпами в личке у хакера аукцион вполне может пройти между самой Acer и доброжелателями из Asus, Dell, Lenovo и HP. Раз, два, продано?

@tomhunter

#news Ботнет Emotet вновь подаёт слабые признаки жизни. Как язвительно сообщает исследователь: «В 12:00 по UTC Иван наконец начал рассылать через E4 спам». В прошлый раз ботнет всплывал на пару недель в ноябре прошлого года. В новой кампании малварь рассылают под видом инвойсов; и файл с ним, и dll-ка раздуты до 500 с лишним метров для обхода обнаружения. Метод работает: на VirusTotal только один антивирус обнаруживает зловред, и то под общей плашкой «Malware.SwollenFile‎».

Но при этом авторы ботнета, похоже, немного отстали от жизни: в ходу их старый шаблон Red Dawn, и малварь всё так же распространяют в вордовских файлах с ворохом кривых макросов. С учётом того, что они уже почти год как отключены по дефолту, эффективность кампании снижается на несколько порядков. Видимо, старый ботнет новым трюкам тоже не научишь.

@tomhunter