#news Сервис Гитхаба по сканированию публичных репозиториев на предмет забытых в них «секретов» вышел из бета-теста и доступен всем желающим и даром. Учётные данные, приватные ключи, сертификаты и API-токены – при обнаружении Гитхаб уведомляет юзера об их наличии в коде, его описании, комментариях и прочем.

Между тем в одном из случаев разработчик просканировал 14 тысяч своих репозиториев и нашёл в них больше тысячи затерявшихся «секретов». А всего за 2022-й Гитхаб зафиксировал более 1,7 миллионов конфиденциальных данных в открытом коде на своей платформе. Так что аргументы за сканирование репозиториев в массы вполне весомые. Подключайте, не стесняйтесь! Подробнее о фиче в документации Гитхаба.

@tomhunter

#news Агентство кибербезопасности CISA выпустило инструмент для облегчения работы с фреймворком MITRE ATT&CK. Decider позволяет быстро создавать отчёты в рамках фреймворка. Расчёт на то, что это поможет стандартизировать информацию по инфобез-угрозам и ускорить реагирование на них.

Decider в сущности представляет из себя опросник, помогающий оперативно обрисовать возникшую угрозу и используемые злоумышленником методы. Созданный отчёт можно экспортировать и поделиться с собратьями по инфобез-среде для облегчения работы. В базе также неплохой поисковик по используемым киберпреступниками методам и техникам. Так что как минимум потыкаться в инструменте лишним не будет. Подробнее на Гитхабе.

@tomhunter

#news Администрация президента США опубликовала программный документ «‎Национальная стратегия кибербезопасности». Одним из ключевых пунктов заявлена проработка ответственности компаний за безопасность их софта и сервисов. Лазейки для ухода от ответственности прикроют, а «сделавшим кибербезопасность своей главной заботой» сулят бонусы. Но конкретики по этим планам пока мало.

Главной же угрозой кибербезопасности предсказуемо назван Китай. Наиболее активная и постоянная угроза как госсектору, так и частникам. А также «единственная страна, желающая и способная изменить международный порядок». В общем, понятно, куда ветер дует. Мимоходом упомянуты и русские хакеры. На рансомварь-фронте заявлено более тесное сотрудничество с облачными и прочими сервисами, чтобы эффективнее пресекать использование злоумышленниками сетевой инфраструктуры в Штатах. В пример приводят отключение ботнета Emotet в 2021-м, через который работали те же Ryuk и Trickbot. Подробнее о документе по ссылке у Кребса.

@tomhunter

#news Пятничная новость: в Австралии арестовали женщину, заславшую имейл-бомбу на почту офиса члена парламента. Больше 32 тысяч писем за 24 часа, заваливших ящик, парализовали работу IT-систем и лишили возможности связаться с офисом. Скорее всего, нежданная киберпреступница воспользовалась дарквеб-сервисом, оказывающим услуги по имейл-бомбингу.

Что мотивировало 34-летнюю злоумышленницу на кибератаку не сообщается. Мстящая за увольнение сотрудница или законопослушная гражданка, недовольная работой парламентария и десятком оставшихся без ответа писем? Так или иначе, переполненный почтовый ящик явно того не стоил. За «один акт нарушения работы электронных коммуникаций» по австралийским законам ей грозит до 10 лет тюрьмы. Хотя, может, для неё главное, чтобы дошёл смысл послания? Каким бы он ни был.

@tomhunter

#news По факту обращений со стороны ряда СМИ, мы проводили исследование деятельности т.н. ЧВК "Рёдан". Публикуем краткие выводы:

1️⃣ "Рёдан" представляет собой субкультурное течение, выросшее из аниме (манга) "Hunter × Hunter" Ёсихиро Тогаси, опубликованное в 1998 году. Манга имеет несколько адаптаций, а также пару полнометражных фильмов.

2️⃣ Мерч с пауком появился в 2020 году и представляет собой коллекцию hikikomori kai. Никакого отношения к радикальным течениям не имеет.

3️⃣ Добавление к названию аббревиатуры "ЧВК" относится к 2022 году и связано с ростом интереса к ЧВК "Вагнер".

4️⃣ Рост популярности темы ЧВК "Рёдан" в СМИ и, связанный с ним, рост числа одноименных сообществ и их подписчиков, связан с событиями 19.02.2023 года, когда группа радикальных подростков напала на представителей сообщества в одном из ТЦ Москвы.

5️⃣ Участие ЦИПСО в создании ЧВК "Рёдан" не выявлено. Что не отменяет возможность использование данной темы в настоящее время для эскалации социальной напряженности.

@tomhunter

На нашем Хабре новая статья по теме OSINT. В ней мы рассмотрим как организовать свой собственный мониторинг СМИ по интересующим вопросам. Научимся формировать RSS-потоки и настраивать сбор данных, познакомимся с популярными решениями для чтения RSS-лент, а также улучшим свои навыки построения поисковых запросов для Google, он же Гугл Доркинг. За подробностями добро пожаловать на Хабр!

@tomhunter

#news На фоне популяризации доставки малвари через вложения OneNote давно пора озаботиться тем, чтобы они не добрались до ваших корпоративных сетей. Если нет возможности заблокировать .one-файлы на почтовом шлюзе полностью, можно воспользоваться шаблонами групповой политики в Microsoft Office.

Через них можно либо полностью обрубить запуск вложенных в OneNote файлов, либо только по отдельным расширениям. Из рекомендуемых .js, .exe, .com, .cmd, .scr, .ps1, .vbs, .lnk, но список, скорее всего, будет пополняться. Подробнее о настройке групповой политики смотрите по ссылке. Наградой станет такая вот плашка на экране любознательного юзера, решившего кликнуть куда-нибудь не туда.

@tomhunter

В руки сотрудников компании T.Hunter попал проект о фальшивомонетчиках. Схема стара как мир: вы якобы покупаете фальшивки ниже их номинальной стоимости, затем «отмываете» через банкоматы или «жвачку в ларьках». Так, например, цена за 50 тысячных купюр – 10500 рублей.

Но откуда такая внезапная щедрость со стороны фальшивомонетчиков? Почему они сами не отмоют эти деньги, получив больше прибыли? Ответ, конечно же, довольно предсказуем. Публикуем интересные заметки из исследовательской работы.

@tomhunter

Итак, что удалось выяснить о необычайно щедрых фальшивомонетчиках:

– В своих каналах и группах мошенники распространяют фотографии и видео купюр с номиналом в 1000 рублей с одним и тем же серийным номером – ВС 6937187. Первые упоминания об этих «косарях» датируются 2020-м годом, но могут быть и старше.

– Видеоролики, на которых мошенники беспрепятственно пополняют свой счет одной тысячной купюрой со знакомым серийным номером, являются монтажом. Этот факт был выявлен при детальном анализе видео.

– Множество каналов и групп по этой тематике сделаны как под копирку: текст, фотографии и видеоролики скопированы в них без изменений. В общем, фальшивомонетчики совсем обленились в своем преступном ремесле.

Можно понять, что ни о каких «настоящих» фальшивках речи не идет. Мошенники просто получают деньги и пропадают.

Даже если вероятность получить фальшивки на руки мала, Том Хантер напоминает: изготовление, хранение, перевозка или сбыт поддельных денег преследуется по закону!

@tomhunter

#news В сети всплыла проверка концепции под CVE-2023-21716, критическую RCE-уязвимость в Microsoft Word. Она получила 9.8 из 10 за простоту атаки: ни привилегий, ни продвинутого фишинга – юзеру достаточно прогрузить зловред в превью приложения к письму. Баг в RTF-парсере на повреждение кучи при работе с таблицей шрифтов, содержащей их избыточное число, и он был исправлен в февральском патче от Майкрософт.

Примеров использования эксплойта в сетевых дебрях пока не встречалось, но с публикацией PoC шансы атак резко возрастают. Аналогичная уязвимость в Microsoft Excel Equation Editor была исправлена ещё в 2017-м, но она до сих пор в ходу у злоумышленников. Причём простотой отличается не только атака, но и сама проверка концепции: изначально чуть больше 12 строк с комментариями, теперь она умещается в твит. Вот это я понимаю, эффективный код.

@tomhunter

#news Компания Acer подтвердила взлом и утечку данных, после того как они всплыли на Breached. Архив объёмом в 160GB выставлен на аукцион, стянули документы с сервера для инженеров-ремонтников. Техмануалы, утилиты, детали по бэкенду, документация по продуктам, образы BIOS, ROM- и ISO-файлы… Хакер хвалится тем, что в сливе столько всего, что разбирать будет ещё долго. В качестве подтверждения скриншоты схем и конфиденциальных документов.

Между тем данные пользователей якобы не затронуты, а судя по содержимому слива, и правда похоже на сервер с документацией. Тем не менее, видеть её в руках злоумышленников и конкурентов компания едва ли хочет. И такими темпами в личке у хакера аукцион вполне может пройти между самой Acer и доброжелателями из Asus, Dell, Lenovo и HP. Раз, два, продано?

@tomhunter

#news Ботнет Emotet вновь подаёт слабые признаки жизни. Как язвительно сообщает исследователь: «В 12:00 по UTC Иван наконец начал рассылать через E4 спам». В прошлый раз ботнет всплывал на пару недель в ноябре прошлого года. В новой кампании малварь рассылают под видом инвойсов; и файл с ним, и dll-ка раздуты до 500 с лишним метров для обхода обнаружения. Метод работает: на VirusTotal только один антивирус обнаруживает зловред, и то под общей плашкой «Malware.SwollenFile‎».

Но при этом авторы ботнета, похоже, немного отстали от жизни: в ходу их старый шаблон Red Dawn, и малварь всё так же распространяют в вордовских файлах с ворохом кривых макросов. С учётом того, что они уже почти год как отключены по дефолту, эффективность кампании снижается на несколько порядков. Видимо, старый ботнет новым трюкам тоже не научишь.

@tomhunter

#news Исследователи сообщают об уязвимости в менеджере паролей Bitwarden, которая позволяет злоумышленникам красть пароли при автозаполнении. Приложение заполняет встроенные фреймы с формами для данных доступа, даже если они на внешних доменах. Так что фишинговая страница на поддомене сайта, для которого сохранены логин и пароль, может стянуть их у юзера без дополнительных действий с его стороны.

Между тем возможностей для подобных атак не так много – обзавестись поддоменом легитимного сайта мало где дадут. В Bitwarden же об этом риске знают с 2018-го, но фичу оставили для особо ленивых, приводя в пример icloud.com на домене apple.com. Плюс автозаполнение по дефолту у них отключено, и плашка с предупреждением о его опасности там висит неспроста. Так что ничего менять они не собираются. Но число желающих пользоваться этой фичей, надеюсь, теперь всё же поубавится.

@tomhunter

#news В открытом доступе обнаружились данные пользователей «СберСпасибо». В архиве два файла: 6,3 миллиона строк с телефонами, почтой, хэшем карт и прочей служебной информацией. И всё это за период с 1 апреля 2017-го по 7 февраля 2022-го. Во втором файле 48,3 миллиона строк с телефонами и имейлами. Всего в базе, как сообщают, 47,9 миллионов уникальных номеров телефонов.

В компании утечку проверяют. Ну а пока открещиваются тем, что подобные базы мошенники часто компилируют из старых сливов, пытаясь продать под видом оригинальных. Между тем это уже третья база от проектов Сбера за последние пару недель. Ранее всплыли «СберЛогистика» и «СберПраво». Спасибо, Сбер.

@tomhunter

По традиции разбираем самые горячие новости ушедшего месяца. Февраль принёс волну атак по ESXi-серверам, взломы Reddit и Activision, арест одного известного финского киберпреступника и довольно оригинальное решение в адрес пользователей от Твиттера. Об этом и других громких событиях инфобеза за февраль 2023-го года читайте на нашем Хабре!

@tomhunter

#news На прошлой неделе ФБР арестовало разработчика трояна для удалённого доступа NetWire и закрыло его сайт. На киберпреступном рынке с 2012-го года, NetWire стабильно держался в десятке самых популярных RAT-зловредов. Между тем у Брайана Кребса по следам ареста вновь старая-добрая инфобез-журналистика.

Так, с помощью нехитрых OSINT-методов по аккаунтам, почтовым ящикам и их утечкам Кребс отслеживает оператора NetWire, некоего Марио Занко. С опсеком у товарища было не очень: и имейл на своё имя с привязанным к нему Netwire-аккаунтами, и хорватские айпишники на почте с BlackHatWorld и HackForums. Вплоть до поста на Фейсбуке о записи на Андроид-курсы через пару дней после анонса функционала под Андроид на сайте трояна. Расследование Кребса вновь попадает в точку: днём позже в хорватскую прессу утекают фото и имя арестованного. И все 11 лет сайт Netwire сочился инфой о его личности и стране проживания. Опсек – дело тонкое!

@tomhunter

#news Исследователи обнаружили больше дюжины уязвимости в IP-видеодомофоне E11 от китайской компании Akuvox. Четыре из них получили рейтинг CVSS выше девятки, большая часть не патчена. При этом спектр возможностей у них широкий: RCE, удалённый доступ к камере и микрофону со скачиванием медиа c незащищённого FTP-сервера, админские права, закрепление в сети и далее по списку.

Коллекция уязвимостей такая внушительная, что CISA рекомендует отключить видеодомофоны от интернета, пока их не исправят. Между тем продукция компании представлена и на российском рынке. В том числе и герой новости с отличными отзывами. Такой вот круговорот китайского ширпотреба в природе. Теперь цифровой!

@tomhunter

#news К новинкам от мира кражи данных с изолированных от сети систем. Исследователи из Университета Корё в Сеуле разработали атаку с применением встроенного динамика компьютера. CASPER, как назвали атаку, использует ультразвук для передачи двоичного кода или азбуки Морзе. В качестве приёмника выступает смартфон или ноутбук на расстоянии до полутора метров. Ранее такой же метод они разработали для внешних динамиков, которые в отличие от внутренних на режимных объектах встречаются редко.

Как обычно, атака требует установки малвари на изолированный компьютер. Далее зловред может искать по системе нужные для передачи файлы или использоваться в качестве кейлоггера. Передача 2048-bit RSA-ключа займёт ~1,5 минуты, файла в 10 килобайт – больше часа, так как возможности передачи данных по звуку ограничены. Тем не менее, в компании шпионских атак вроде ETHERLED, COVID-bit и SATAn интересное пополнение. Подробнее о CASPER по ссылке.

@tomhunter

#news Исследователи обнаружили новую кампанию по криптоджекингу на уязвимых кластерах Kubernetes. Что в ней примечательно, так это впервые зарегистрированный майнинг Dero, конкурента Monero в плане анонимности и защищённости с большей доходностью от майнинга. Злоумышленники ищут куберы с открытым анонимным доступом к API и засылают майнер для угона ресурсов нод в кластере.

Что занятно, пока исследователи изучали под лупой этот случай криптоджекинга, они застали оператора Monero, зашедшего угнать те же ресурсы. Конкурент удалил майнер Dero и поставил свой, причём с более агрессивным перехватом кластера с эскалацией до хоста и, соответственно, с майнингом на больших ресурсах. Такие вот забавные разборки за территорию среди злоумышленников в цифровую эпоху. Это наш куб! И мы его доим!

@tomhunter

#news NordVPN опенсорснул исходники своего клиента под Линукс и связанных с ним библиотек LibDrop и Libtelio. Первая библиотека служит для передачи файлов через приватные тоннели, а вторая лежит в основе всех приложений NordVPN и отвечает за создание защищённых сетей в MeshNet. Собственно, в свободном доступе всё это оказалось по следам анонса фичи MeshNet для всех желающих и без подписки – достаточно поставить клиент.

Компания выложила всё это на потеху линуксоидам под эгидой прозрачности и, судя по всему, для борьбы с параноидальными настроениями среди убеждённых шифропанков. Все исходники можно скачивать, компилировать и модифицировать под себя. NordVPN также рассчитывает, что энтузиасты прошерстят код на предмет багов и уязвимостей. В их BB-программе заложены суммы от 10 до 50 тысяч долларов за критические уязвимости. Желающие поковыряться в коде могут отправиться на Гитхаб компании.

@tomhunter

#news Под нож ФБР отправился ChipMixer – один из крупнейших криптомиксеров в дарквебе, проработавший с 2017-го года. Платформа позволяла перегонять крипту в неотслеживаемые чипы, которые позже выводились на чистые криптоадреса для дальнейшего вывода в твёрдую валюту. Проще говоря, ландромат для киберпреступников без всяких оговорок про законность и прочих реверансов.

Через ChipMixer отмывали деньги LockBit, Dharma, Suncrypt и другие рансомварщики. А также наркомаркеты, контрабандисты, педофилы и криптоворы. Европол сообщает, что через платформу прогнали до 152 тысяч битков, что по нынешнему курсу тянет почти на три миллиарда евро. И нет, не подумайте, её владельцем не оказался очередной наш соотечественник. Вслед за перехватом сайта был арестован 49-летний гражданин Вьетнама, предполагаемый создатель и оператор ChipMixer. Что ж, ближайшие лет двадцать ему предстоит месить совсем не крипту.

@tomhunter