#news Исследователи сообщают об уязвимости в менеджере паролей Bitwarden, которая позволяет злоумышленникам красть пароли при автозаполнении. Приложение заполняет встроенные фреймы с формами для данных доступа, даже если они на внешних доменах. Так что фишинговая страница на поддомене сайта, для которого сохранены логин и пароль, может стянуть их у юзера без дополнительных действий с его стороны.

Между тем возможностей для подобных атак не так много – обзавестись поддоменом легитимного сайта мало где дадут. В Bitwarden же об этом риске знают с 2018-го, но фичу оставили для особо ленивых, приводя в пример icloud.com на домене apple.com. Плюс автозаполнение по дефолту у них отключено, и плашка с предупреждением о его опасности там висит неспроста. Так что ничего менять они не собираются. Но число желающих пользоваться этой фичей, надеюсь, теперь всё же поубавится.

@tomhunter

#news В открытом доступе обнаружились данные пользователей «СберСпасибо». В архиве два файла: 6,3 миллиона строк с телефонами, почтой, хэшем карт и прочей служебной информацией. И всё это за период с 1 апреля 2017-го по 7 февраля 2022-го. Во втором файле 48,3 миллиона строк с телефонами и имейлами. Всего в базе, как сообщают, 47,9 миллионов уникальных номеров телефонов.

В компании утечку проверяют. Ну а пока открещиваются тем, что подобные базы мошенники часто компилируют из старых сливов, пытаясь продать под видом оригинальных. Между тем это уже третья база от проектов Сбера за последние пару недель. Ранее всплыли «СберЛогистика» и «СберПраво». Спасибо, Сбер.

@tomhunter

По традиции разбираем самые горячие новости ушедшего месяца. Февраль принёс волну атак по ESXi-серверам, взломы Reddit и Activision, арест одного известного финского киберпреступника и довольно оригинальное решение в адрес пользователей от Твиттера. Об этом и других громких событиях инфобеза за февраль 2023-го года читайте на нашем Хабре!

@tomhunter

#news На прошлой неделе ФБР арестовало разработчика трояна для удалённого доступа NetWire и закрыло его сайт. На киберпреступном рынке с 2012-го года, NetWire стабильно держался в десятке самых популярных RAT-зловредов. Между тем у Брайана Кребса по следам ареста вновь старая-добрая инфобез-журналистика.

Так, с помощью нехитрых OSINT-методов по аккаунтам, почтовым ящикам и их утечкам Кребс отслеживает оператора NetWire, некоего Марио Занко. С опсеком у товарища было не очень: и имейл на своё имя с привязанным к нему Netwire-аккаунтами, и хорватские айпишники на почте с BlackHatWorld и HackForums. Вплоть до поста на Фейсбуке о записи на Андроид-курсы через пару дней после анонса функционала под Андроид на сайте трояна. Расследование Кребса вновь попадает в точку: днём позже в хорватскую прессу утекают фото и имя арестованного. И все 11 лет сайт Netwire сочился инфой о его личности и стране проживания. Опсек – дело тонкое!

@tomhunter

#news Исследователи обнаружили больше дюжины уязвимости в IP-видеодомофоне E11 от китайской компании Akuvox. Четыре из них получили рейтинг CVSS выше девятки, большая часть не патчена. При этом спектр возможностей у них широкий: RCE, удалённый доступ к камере и микрофону со скачиванием медиа c незащищённого FTP-сервера, админские права, закрепление в сети и далее по списку.

Коллекция уязвимостей такая внушительная, что CISA рекомендует отключить видеодомофоны от интернета, пока их не исправят. Между тем продукция компании представлена и на российском рынке. В том числе и герой новости с отличными отзывами. Такой вот круговорот китайского ширпотреба в природе. Теперь цифровой!

@tomhunter

#news К новинкам от мира кражи данных с изолированных от сети систем. Исследователи из Университета Корё в Сеуле разработали атаку с применением встроенного динамика компьютера. CASPER, как назвали атаку, использует ультразвук для передачи двоичного кода или азбуки Морзе. В качестве приёмника выступает смартфон или ноутбук на расстоянии до полутора метров. Ранее такой же метод они разработали для внешних динамиков, которые в отличие от внутренних на режимных объектах встречаются редко.

Как обычно, атака требует установки малвари на изолированный компьютер. Далее зловред может искать по системе нужные для передачи файлы или использоваться в качестве кейлоггера. Передача 2048-bit RSA-ключа займёт ~1,5 минуты, файла в 10 килобайт – больше часа, так как возможности передачи данных по звуку ограничены. Тем не менее, в компании шпионских атак вроде ETHERLED, COVID-bit и SATAn интересное пополнение. Подробнее о CASPER по ссылке.

@tomhunter

#news Исследователи обнаружили новую кампанию по криптоджекингу на уязвимых кластерах Kubernetes. Что в ней примечательно, так это впервые зарегистрированный майнинг Dero, конкурента Monero в плане анонимности и защищённости с большей доходностью от майнинга. Злоумышленники ищут куберы с открытым анонимным доступом к API и засылают майнер для угона ресурсов нод в кластере.

Что занятно, пока исследователи изучали под лупой этот случай криптоджекинга, они застали оператора Monero, зашедшего угнать те же ресурсы. Конкурент удалил майнер Dero и поставил свой, причём с более агрессивным перехватом кластера с эскалацией до хоста и, соответственно, с майнингом на больших ресурсах. Такие вот забавные разборки за территорию среди злоумышленников в цифровую эпоху. Это наш куб! И мы его доим!

@tomhunter

#news NordVPN опенсорснул исходники своего клиента под Линукс и связанных с ним библиотек LibDrop и Libtelio. Первая библиотека служит для передачи файлов через приватные тоннели, а вторая лежит в основе всех приложений NordVPN и отвечает за создание защищённых сетей в MeshNet. Собственно, в свободном доступе всё это оказалось по следам анонса фичи MeshNet для всех желающих и без подписки – достаточно поставить клиент.

Компания выложила всё это на потеху линуксоидам под эгидой прозрачности и, судя по всему, для борьбы с параноидальными настроениями среди убеждённых шифропанков. Все исходники можно скачивать, компилировать и модифицировать под себя. NordVPN также рассчитывает, что энтузиасты прошерстят код на предмет багов и уязвимостей. В их BB-программе заложены суммы от 10 до 50 тысяч долларов за критические уязвимости. Желающие поковыряться в коде могут отправиться на Гитхаб компании.

@tomhunter

#news Под нож ФБР отправился ChipMixer – один из крупнейших криптомиксеров в дарквебе, проработавший с 2017-го года. Платформа позволяла перегонять крипту в неотслеживаемые чипы, которые позже выводились на чистые криптоадреса для дальнейшего вывода в твёрдую валюту. Проще говоря, ландромат для киберпреступников без всяких оговорок про законность и прочих реверансов.

Через ChipMixer отмывали деньги LockBit, Dharma, Suncrypt и другие рансомварщики. А также наркомаркеты, контрабандисты, педофилы и криптоворы. Европол сообщает, что через платформу прогнали до 152 тысяч битков, что по нынешнему курсу тянет почти на три миллиарда евро. И нет, не подумайте, её владельцем не оказался очередной наш соотечественник. Вслед за перехватом сайта был арестован 49-летний гражданин Вьетнама, предполагаемый создатель и оператор ChipMixer. Что ж, ближайшие лет двадцать ему предстоит месить совсем не крипту.

@tomhunter

#news Исследователи опубликовали проверку концепции под критическую уязвимость на эскалацию привилегий в Microsoft Outlook, CVE-2023-23397. Исправленный на днях нулевой день с рейтингом 9.8 используется в атаках как минимум с апреля 2022-го. И позволяет красть учётные данные NTLM, просто отправив жертве письмо. Эксплойту достаточно, чтобы Outlook был открыт и напоминалка о письме триггернулась в системе. Соответственно, юзер в атаке не задействован.

Эксплойт пересылает злоумышленнику хешированные NTLM-данные, которые позже могут быть использованы в relay-атаках. При этом в нём задействована пара элементарных параметров, что было обнаружено после разбора выпущенного Майкрософт скрипта. Так что число атак под эту уязвимость теперь быстро пойдёт вверх. Читайте подробнее по ссылке и не забывайте накатывать патчи.

@tomhunter

#news Пятничная новость о находчивых сотрудниках техподдержки Майкрософт. Один пользователь обратился в саппорт, после того как у него десятка не активировалась купленным ключом. И был крайне удивлён, когда сотрудник заглянул к нему через Quick Assist и активировал винду… с помощью кряка. На глазах у озадаченного юзера смекалистый товарищ просто подключился к репозиторию massgrave.dev и скачал активатор.

Между тем в тематических чатах сообщают, что видят такое от техподдержи Майкрософт не впервые. Что ж, их несложно понять: работа в саппорте располагает к поиску самых оригинальных решений. Ты мне тикет дал? Дал. Я тебе его закрыл? Закрыл. А остальное уже несущественные детали.

@tomhunter

#news BreachForums по-прежнему доступен в Интернете, и из просмотра чата в реальном времени на домашней странице сайта видно, что активные пользователи форума только сейчас осознали, что их администратор — и база данных сайта — теперь, вероятно, в руках ФБР.

Напомню, что 15 марта ФБР задержало жителя Нью-Йорка Конора Брайана Фицпатрика, по подозрению в том, что он является владельцем форума BreachForums, выступающим под ником «Pompompurin». BreachForums считается реинкарнацией RaidForums, закрытого ФБР в 2022 году.

@tomhunter

#news Недавно вышедший из спячки ботнет Emotet оперативно обновили под реалии 2023-го. Привычная рассылка с макросами под Word и Excel результата ожидаемо не принесла, и операторы переключились на хит сезона – вложения в OneNote. Вот вам и новые трюки.

Как и в остальных подобных атаках, в файле под заманчивой плашкой «Кликни меня» скрывается вредоносный VBScript. Скрипт качает dll-ку с ботнетом, а там уже привычные кража почтовых ящиков, контактов и закрепление в сети. Майкрософт обещает закрыть лазейку с OneNote, через которую пускают одну малварь-кампанию за другой, но конкретных сроков не называют. Так что пока остаётся только блокировать доставку OneNote-файлов юзерам вручную.

@tomhunter

#news Профильные агентства в Штатах выпустили сводку по LockBit 3.0. Тактики, техники, индикаторы компрометации и прочие детали одной из самых активных и успешных рансомварь-брендов на сегодняшний день. На счету группировки ~1000 жертв по всему миру и более $100 миллионов выкупов. Злоумышленники также в числе наиболее активно атакующих критическую инфраструктуру вместе с Hive и BlackCat.

Из любопытного, локали в исключениях их рансомвари – молдавская, сирийская и татарская. Занятный набор. Версия 3.0 вышла более модульной и скрытной, чем предыдущие, и в коде схожести со зловредом Blackmatter и BlackCat. Группировка не сбавляет обороты несмотря на слитый полгода назад билдер. Подробнее о работе LockBit 3.0 читайте по ссылке.

@tomhunter

#news У Mandiant вышел отчёт по эксплойту нулевых дней за прошлый год. Суммарно 55 уязвимостей были в активном ходу у злоумышленников, в основном в продуктах Майкрософт, Гугл и Эппл – операционки, браузеры и сетевые решения. Почти все на эскалацию привилегий или удалённый код.

Активней всего нулевые дни эксплуатируют в кибершпионаже с китайскими госхакерами во главе. Следом идут рансомварщики. Кроме того, ушедший год выдался рекордным по числу активно эксплуатируемых нулевых дней, и исследователи ожидают, что в 2023-м тренд продолжится. Но переход на облачные сервисы может снизить число раскрытых поставщиками уязвимостей, так как облака обычно не спешат делать их публичными. Подробнее о нулевых днях 2022-го и местах их обитания читайте в отчёте.

@tomhunter

#news Хакерский форум Breached был отключён из опасений, что ФБР получило доступ к серверам. Неделю назад небезызвестный товарищ Pompompurin был арестован в Нью-Йорке, после чего Breached ещё оставался онлайн с юзерами, размышляющими над своей дальнейшей судьбой в общем чате.

Ранее Pompompurin утверждал, что даже в случае его ареста Breached продолжит работу. Тем не менее, оставшийся в админке некто Baphomet отказался от изначального плана перенести сайт на новую инфраструктуру ради восстановления опсека и продолжения работы форума. Как сообщает финальный апдейт, есть основания считать, что люди в чёрном получили доступ к компьютерам Pompompurin’a – кто-то на днях логинился на один из серверов. Видимо, гроза всех шифропанков, мистер паяльник от добродушного агента ФБР, в том или ином виде возымел эффект. Дальнейшая судьба форума туманна. Остаётся ждать новой итерации хаба киберпреступных ковбоев, как было с Breached, пришедшим на смену RaidForums.

@tomhunter

#news В инструменте «Ножницы» под Windows 11 обнаружилась занятная уязвимость. Исходные данные PNG-изображения сохраняются в файле после редактирования, если перезаписать оригинальный файл обрезанной версией. Так что изображение можно частично восстановить с помощью простенького скрипта. Уязвимость остроумно окрестили «Acropalypse». Исследователи сообщают, что эксплойт можно подогнать и под JPG-файлы.

Не смейтесь, но ножницы от Мелкософта элементарно не обрезают неиспользованные данные в картинке после её перезаписи. Они так и висят в файле после куска кода IEND в отредактированном изображении. У тебя была одна задача, Snipping Tool. Только одна задача.

@tomhunter

#news Гугл забанил приложение гигантского китайского маркетплейса Pinduoduo из-за малвари в нём. За невинным заголовком любопытная история: приложение использует уязвимости под Андроид для эскалации привилегий и кражи пользовательских данных. А заодно закрепляется в системе и препятствует удалению.

О цепочке эксплойтов на доступ к файловой системе в неназванном коммерческом приложении писали с ноября прошлого года. И раньше прочих его раскрыли внезапно на Breached: любознательный юзер почившего форума нашёл в приложении Pinduoduo кусок вредоносного кода, который ранее показывали исследователи. Между тем у приложения маркетплейса в Китае почти миллиард пользователей. К вопросу о том, почему США считают Китай главной киберугрозой. Ну а у нас в скором времени приложение AliExpress, видимо, начнёт зачитывать нетленное «Я простой рабочий Иван город Тверь…»

@tomhunter

#news В софте для управления сервером CloudPanel обнаружили ворох уязвимостей. Так, установочный скрипт сбрасывает ufw-правила и ставит менее строгие. Закрывший доступ с левых айпишников админ обнаружит порты открытыми всем желающим. Незапароленный при установке аккаунт суперюзера делу тоже не поможет. Ну а чтобы злоумышленники легко нашли уязвимые сервера, CloudPanel идёт со статичным SSL-сертификатом с одним ключом на всех.

В итоге цепочка уязвимостей позволяет перехватить сервер, пока CloudPanel деплоят. Между тем софт рассчитан на энтузиастов с собственным хостингом. И Shodan находит почти 6,000 серверов с ним на дефолтном сертификате. «Одержимость простотой» на пользу панели не пошла. О безопасности тоже стоило подумать.

@tomhunter

#news До Квон добрался аж до Балкан. Человека с фальшивыми документами, похожего на создателя печально известного токена TerraUSD (UST), задержали в аэропорту черногорской Подгорицы.

В мае прошлого года стейблкоин UST обвалился вместе с LUNA, к которой был привязан. Уже в сентябре южнокорейский суд выдал ордер на арест местного косплеера Мавроди, и тот оперативно скрылся. Прокуратура парой месяцев спустя начала предполагать, что пропавший скрывается в Сербии — судя по всему, они были не так уж и далеки от истины.

Что ж, если это действительно До Квон, ему придётся теперь разбираться с $42 миллиардами потерь бывших держателей его монеток. А остальным алгоритмическим стейблкоинам пожелаем больше удачи и меньше громких обещаний.

@tomhunter

#news Гитхаб сменил свой приватный SSH-ключ, после того как тот был нечаянно опубликован в публичном репозитории. В посте по следам события доверительно сообщают, что ключ был в открытом доступе совсем недолго, нет причин полагать, что его кто-либо абьюзил, а сменили его вообще от чрезмерной предосторожности.

При этом ключ-то менять нужно независимо от. И что занятно, конкретные временные рамки, сколько он так провисел, Гитхаб не называет, хотя это всё это должно быть в логах и истории коммитов. И его собственная фича по сканированию публичных репозиториев увидела релиз всего три недели назад… Так что всё это звучит немного подозрительно. Впрочем, даже если за всем этим и правда скрывается неловкий гитхабовый конфуз, есть повод и порадоваться: фичу со сканированием разрабатывали-то совсем не зря!

@tomhunter