Итак, что удалось выяснить о необычайно щедрых фальшивомонетчиках:

– В своих каналах и группах мошенники распространяют фотографии и видео купюр с номиналом в 1000 рублей с одним и тем же серийным номером – ВС 6937187. Первые упоминания об этих «косарях» датируются 2020-м годом, но могут быть и старше.

– Видеоролики, на которых мошенники беспрепятственно пополняют свой счет одной тысячной купюрой со знакомым серийным номером, являются монтажом. Этот факт был выявлен при детальном анализе видео.

– Множество каналов и групп по этой тематике сделаны как под копирку: текст, фотографии и видеоролики скопированы в них без изменений. В общем, фальшивомонетчики совсем обленились в своем преступном ремесле.

Можно понять, что ни о каких «настоящих» фальшивках речи не идет. Мошенники просто получают деньги и пропадают.

Даже если вероятность получить фальшивки на руки мала, Том Хантер напоминает: изготовление, хранение, перевозка или сбыт поддельных денег преследуется по закону!

@tomhunter

#news В сети всплыла проверка концепции под CVE-2023-21716, критическую RCE-уязвимость в Microsoft Word. Она получила 9.8 из 10 за простоту атаки: ни привилегий, ни продвинутого фишинга – юзеру достаточно прогрузить зловред в превью приложения к письму. Баг в RTF-парсере на повреждение кучи при работе с таблицей шрифтов, содержащей их избыточное число, и он был исправлен в февральском патче от Майкрософт.

Примеров использования эксплойта в сетевых дебрях пока не встречалось, но с публикацией PoC шансы атак резко возрастают. Аналогичная уязвимость в Microsoft Excel Equation Editor была исправлена ещё в 2017-м, но она до сих пор в ходу у злоумышленников. Причём простотой отличается не только атака, но и сама проверка концепции: изначально чуть больше 12 строк с комментариями, теперь она умещается в твит. Вот это я понимаю, эффективный код.

@tomhunter

#news Компания Acer подтвердила взлом и утечку данных, после того как они всплыли на Breached. Архив объёмом в 160GB выставлен на аукцион, стянули документы с сервера для инженеров-ремонтников. Техмануалы, утилиты, детали по бэкенду, документация по продуктам, образы BIOS, ROM- и ISO-файлы… Хакер хвалится тем, что в сливе столько всего, что разбирать будет ещё долго. В качестве подтверждения скриншоты схем и конфиденциальных документов.

Между тем данные пользователей якобы не затронуты, а судя по содержимому слива, и правда похоже на сервер с документацией. Тем не менее, видеть её в руках злоумышленников и конкурентов компания едва ли хочет. И такими темпами в личке у хакера аукцион вполне может пройти между самой Acer и доброжелателями из Asus, Dell, Lenovo и HP. Раз, два, продано?

@tomhunter

#news Ботнет Emotet вновь подаёт слабые признаки жизни. Как язвительно сообщает исследователь: «В 12:00 по UTC Иван наконец начал рассылать через E4 спам». В прошлый раз ботнет всплывал на пару недель в ноябре прошлого года. В новой кампании малварь рассылают под видом инвойсов; и файл с ним, и dll-ка раздуты до 500 с лишним метров для обхода обнаружения. Метод работает: на VirusTotal только один антивирус обнаруживает зловред, и то под общей плашкой «Malware.SwollenFile‎».

Но при этом авторы ботнета, похоже, немного отстали от жизни: в ходу их старый шаблон Red Dawn, и малварь всё так же распространяют в вордовских файлах с ворохом кривых макросов. С учётом того, что они уже почти год как отключены по дефолту, эффективность кампании снижается на несколько порядков. Видимо, старый ботнет новым трюкам тоже не научишь.

@tomhunter

#news Исследователи сообщают об уязвимости в менеджере паролей Bitwarden, которая позволяет злоумышленникам красть пароли при автозаполнении. Приложение заполняет встроенные фреймы с формами для данных доступа, даже если они на внешних доменах. Так что фишинговая страница на поддомене сайта, для которого сохранены логин и пароль, может стянуть их у юзера без дополнительных действий с его стороны.

Между тем возможностей для подобных атак не так много – обзавестись поддоменом легитимного сайта мало где дадут. В Bitwarden же об этом риске знают с 2018-го, но фичу оставили для особо ленивых, приводя в пример icloud.com на домене apple.com. Плюс автозаполнение по дефолту у них отключено, и плашка с предупреждением о его опасности там висит неспроста. Так что ничего менять они не собираются. Но число желающих пользоваться этой фичей, надеюсь, теперь всё же поубавится.

@tomhunter

#news В открытом доступе обнаружились данные пользователей «СберСпасибо». В архиве два файла: 6,3 миллиона строк с телефонами, почтой, хэшем карт и прочей служебной информацией. И всё это за период с 1 апреля 2017-го по 7 февраля 2022-го. Во втором файле 48,3 миллиона строк с телефонами и имейлами. Всего в базе, как сообщают, 47,9 миллионов уникальных номеров телефонов.

В компании утечку проверяют. Ну а пока открещиваются тем, что подобные базы мошенники часто компилируют из старых сливов, пытаясь продать под видом оригинальных. Между тем это уже третья база от проектов Сбера за последние пару недель. Ранее всплыли «СберЛогистика» и «СберПраво». Спасибо, Сбер.

@tomhunter

По традиции разбираем самые горячие новости ушедшего месяца. Февраль принёс волну атак по ESXi-серверам, взломы Reddit и Activision, арест одного известного финского киберпреступника и довольно оригинальное решение в адрес пользователей от Твиттера. Об этом и других громких событиях инфобеза за февраль 2023-го года читайте на нашем Хабре!

@tomhunter

#news На прошлой неделе ФБР арестовало разработчика трояна для удалённого доступа NetWire и закрыло его сайт. На киберпреступном рынке с 2012-го года, NetWire стабильно держался в десятке самых популярных RAT-зловредов. Между тем у Брайана Кребса по следам ареста вновь старая-добрая инфобез-журналистика.

Так, с помощью нехитрых OSINT-методов по аккаунтам, почтовым ящикам и их утечкам Кребс отслеживает оператора NetWire, некоего Марио Занко. С опсеком у товарища было не очень: и имейл на своё имя с привязанным к нему Netwire-аккаунтами, и хорватские айпишники на почте с BlackHatWorld и HackForums. Вплоть до поста на Фейсбуке о записи на Андроид-курсы через пару дней после анонса функционала под Андроид на сайте трояна. Расследование Кребса вновь попадает в точку: днём позже в хорватскую прессу утекают фото и имя арестованного. И все 11 лет сайт Netwire сочился инфой о его личности и стране проживания. Опсек – дело тонкое!

@tomhunter

#news Исследователи обнаружили больше дюжины уязвимости в IP-видеодомофоне E11 от китайской компании Akuvox. Четыре из них получили рейтинг CVSS выше девятки, большая часть не патчена. При этом спектр возможностей у них широкий: RCE, удалённый доступ к камере и микрофону со скачиванием медиа c незащищённого FTP-сервера, админские права, закрепление в сети и далее по списку.

Коллекция уязвимостей такая внушительная, что CISA рекомендует отключить видеодомофоны от интернета, пока их не исправят. Между тем продукция компании представлена и на российском рынке. В том числе и герой новости с отличными отзывами. Такой вот круговорот китайского ширпотреба в природе. Теперь цифровой!

@tomhunter

#news К новинкам от мира кражи данных с изолированных от сети систем. Исследователи из Университета Корё в Сеуле разработали атаку с применением встроенного динамика компьютера. CASPER, как назвали атаку, использует ультразвук для передачи двоичного кода или азбуки Морзе. В качестве приёмника выступает смартфон или ноутбук на расстоянии до полутора метров. Ранее такой же метод они разработали для внешних динамиков, которые в отличие от внутренних на режимных объектах встречаются редко.

Как обычно, атака требует установки малвари на изолированный компьютер. Далее зловред может искать по системе нужные для передачи файлы или использоваться в качестве кейлоггера. Передача 2048-bit RSA-ключа займёт ~1,5 минуты, файла в 10 килобайт – больше часа, так как возможности передачи данных по звуку ограничены. Тем не менее, в компании шпионских атак вроде ETHERLED, COVID-bit и SATAn интересное пополнение. Подробнее о CASPER по ссылке.

@tomhunter

#news Исследователи обнаружили новую кампанию по криптоджекингу на уязвимых кластерах Kubernetes. Что в ней примечательно, так это впервые зарегистрированный майнинг Dero, конкурента Monero в плане анонимности и защищённости с большей доходностью от майнинга. Злоумышленники ищут куберы с открытым анонимным доступом к API и засылают майнер для угона ресурсов нод в кластере.

Что занятно, пока исследователи изучали под лупой этот случай криптоджекинга, они застали оператора Monero, зашедшего угнать те же ресурсы. Конкурент удалил майнер Dero и поставил свой, причём с более агрессивным перехватом кластера с эскалацией до хоста и, соответственно, с майнингом на больших ресурсах. Такие вот забавные разборки за территорию среди злоумышленников в цифровую эпоху. Это наш куб! И мы его доим!

@tomhunter

#news NordVPN опенсорснул исходники своего клиента под Линукс и связанных с ним библиотек LibDrop и Libtelio. Первая библиотека служит для передачи файлов через приватные тоннели, а вторая лежит в основе всех приложений NordVPN и отвечает за создание защищённых сетей в MeshNet. Собственно, в свободном доступе всё это оказалось по следам анонса фичи MeshNet для всех желающих и без подписки – достаточно поставить клиент.

Компания выложила всё это на потеху линуксоидам под эгидой прозрачности и, судя по всему, для борьбы с параноидальными настроениями среди убеждённых шифропанков. Все исходники можно скачивать, компилировать и модифицировать под себя. NordVPN также рассчитывает, что энтузиасты прошерстят код на предмет багов и уязвимостей. В их BB-программе заложены суммы от 10 до 50 тысяч долларов за критические уязвимости. Желающие поковыряться в коде могут отправиться на Гитхаб компании.

@tomhunter

#news Под нож ФБР отправился ChipMixer – один из крупнейших криптомиксеров в дарквебе, проработавший с 2017-го года. Платформа позволяла перегонять крипту в неотслеживаемые чипы, которые позже выводились на чистые криптоадреса для дальнейшего вывода в твёрдую валюту. Проще говоря, ландромат для киберпреступников без всяких оговорок про законность и прочих реверансов.

Через ChipMixer отмывали деньги LockBit, Dharma, Suncrypt и другие рансомварщики. А также наркомаркеты, контрабандисты, педофилы и криптоворы. Европол сообщает, что через платформу прогнали до 152 тысяч битков, что по нынешнему курсу тянет почти на три миллиарда евро. И нет, не подумайте, её владельцем не оказался очередной наш соотечественник. Вслед за перехватом сайта был арестован 49-летний гражданин Вьетнама, предполагаемый создатель и оператор ChipMixer. Что ж, ближайшие лет двадцать ему предстоит месить совсем не крипту.

@tomhunter

#news Исследователи опубликовали проверку концепции под критическую уязвимость на эскалацию привилегий в Microsoft Outlook, CVE-2023-23397. Исправленный на днях нулевой день с рейтингом 9.8 используется в атаках как минимум с апреля 2022-го. И позволяет красть учётные данные NTLM, просто отправив жертве письмо. Эксплойту достаточно, чтобы Outlook был открыт и напоминалка о письме триггернулась в системе. Соответственно, юзер в атаке не задействован.

Эксплойт пересылает злоумышленнику хешированные NTLM-данные, которые позже могут быть использованы в relay-атаках. При этом в нём задействована пара элементарных параметров, что было обнаружено после разбора выпущенного Майкрософт скрипта. Так что число атак под эту уязвимость теперь быстро пойдёт вверх. Читайте подробнее по ссылке и не забывайте накатывать патчи.

@tomhunter

#news Пятничная новость о находчивых сотрудниках техподдержки Майкрософт. Один пользователь обратился в саппорт, после того как у него десятка не активировалась купленным ключом. И был крайне удивлён, когда сотрудник заглянул к нему через Quick Assist и активировал винду… с помощью кряка. На глазах у озадаченного юзера смекалистый товарищ просто подключился к репозиторию massgrave.dev и скачал активатор.

Между тем в тематических чатах сообщают, что видят такое от техподдержи Майкрософт не впервые. Что ж, их несложно понять: работа в саппорте располагает к поиску самых оригинальных решений. Ты мне тикет дал? Дал. Я тебе его закрыл? Закрыл. А остальное уже несущественные детали.

@tomhunter

#news BreachForums по-прежнему доступен в Интернете, и из просмотра чата в реальном времени на домашней странице сайта видно, что активные пользователи форума только сейчас осознали, что их администратор — и база данных сайта — теперь, вероятно, в руках ФБР.

Напомню, что 15 марта ФБР задержало жителя Нью-Йорка Конора Брайана Фицпатрика, по подозрению в том, что он является владельцем форума BreachForums, выступающим под ником «Pompompurin». BreachForums считается реинкарнацией RaidForums, закрытого ФБР в 2022 году.

@tomhunter

#news Недавно вышедший из спячки ботнет Emotet оперативно обновили под реалии 2023-го. Привычная рассылка с макросами под Word и Excel результата ожидаемо не принесла, и операторы переключились на хит сезона – вложения в OneNote. Вот вам и новые трюки.

Как и в остальных подобных атаках, в файле под заманчивой плашкой «Кликни меня» скрывается вредоносный VBScript. Скрипт качает dll-ку с ботнетом, а там уже привычные кража почтовых ящиков, контактов и закрепление в сети. Майкрософт обещает закрыть лазейку с OneNote, через которую пускают одну малварь-кампанию за другой, но конкретных сроков не называют. Так что пока остаётся только блокировать доставку OneNote-файлов юзерам вручную.

@tomhunter

#news Профильные агентства в Штатах выпустили сводку по LockBit 3.0. Тактики, техники, индикаторы компрометации и прочие детали одной из самых активных и успешных рансомварь-брендов на сегодняшний день. На счету группировки ~1000 жертв по всему миру и более $100 миллионов выкупов. Злоумышленники также в числе наиболее активно атакующих критическую инфраструктуру вместе с Hive и BlackCat.

Из любопытного, локали в исключениях их рансомвари – молдавская, сирийская и татарская. Занятный набор. Версия 3.0 вышла более модульной и скрытной, чем предыдущие, и в коде схожести со зловредом Blackmatter и BlackCat. Группировка не сбавляет обороты несмотря на слитый полгода назад билдер. Подробнее о работе LockBit 3.0 читайте по ссылке.

@tomhunter

#news У Mandiant вышел отчёт по эксплойту нулевых дней за прошлый год. Суммарно 55 уязвимостей были в активном ходу у злоумышленников, в основном в продуктах Майкрософт, Гугл и Эппл – операционки, браузеры и сетевые решения. Почти все на эскалацию привилегий или удалённый код.

Активней всего нулевые дни эксплуатируют в кибершпионаже с китайскими госхакерами во главе. Следом идут рансомварщики. Кроме того, ушедший год выдался рекордным по числу активно эксплуатируемых нулевых дней, и исследователи ожидают, что в 2023-м тренд продолжится. Но переход на облачные сервисы может снизить число раскрытых поставщиками уязвимостей, так как облака обычно не спешат делать их публичными. Подробнее о нулевых днях 2022-го и местах их обитания читайте в отчёте.

@tomhunter

#news Хакерский форум Breached был отключён из опасений, что ФБР получило доступ к серверам. Неделю назад небезызвестный товарищ Pompompurin был арестован в Нью-Йорке, после чего Breached ещё оставался онлайн с юзерами, размышляющими над своей дальнейшей судьбой в общем чате.

Ранее Pompompurin утверждал, что даже в случае его ареста Breached продолжит работу. Тем не менее, оставшийся в админке некто Baphomet отказался от изначального плана перенести сайт на новую инфраструктуру ради восстановления опсека и продолжения работы форума. Как сообщает финальный апдейт, есть основания считать, что люди в чёрном получили доступ к компьютерам Pompompurin’a – кто-то на днях логинился на один из серверов. Видимо, гроза всех шифропанков, мистер паяльник от добродушного агента ФБР, в том или ином виде возымел эффект. Дальнейшая судьба форума туманна. Остаётся ждать новой итерации хаба киберпреступных ковбоев, как было с Breached, пришедшим на смену RaidForums.

@tomhunter

#news В инструменте «Ножницы» под Windows 11 обнаружилась занятная уязвимость. Исходные данные PNG-изображения сохраняются в файле после редактирования, если перезаписать оригинальный файл обрезанной версией. Так что изображение можно частично восстановить с помощью простенького скрипта. Уязвимость остроумно окрестили «Acropalypse». Исследователи сообщают, что эксплойт можно подогнать и под JPG-файлы.

Не смейтесь, но ножницы от Мелкософта элементарно не обрезают неиспользованные данные в картинке после её перезаписи. Они так и висят в файле после куска кода IEND в отредактированном изображении. У тебя была одна задача, Snipping Tool. Только одна задача.

@tomhunter