#news Атомными бывают не только кошельки, но и инфостилеры: под macOS засветился новый вредонос Atomic, он же AMOS. Распространяют его через Телеграм в виде dmg-файла за солидный ценник в 1000 долларов в месяц. Веб-панель между тем висит на ru-домене.

Малварь написана на Go и при запуске выдаёт фейковое окно под кражу системного пароля. А затем тянет пароли с Keychain, файлы с Desktop и Documents, плюс данные, куки и кредитки из браузеров. А заодно и данные с 50 криптоприложений и кошельков. В веб-панели брутфорсер под MetaMask, установщик дополнительных dmg, функционал под крипту и отправка логов в Телеграм. Свежая версия от 25 апреля, так что малварь в активной разработке и продолжает тренд криптостилеров под MacOS, которых становится всё больше. Подробнее об Atomic c IoCs и прочим читайте в отчёте.

@tomhunter

#news Гугл опубликовал отчёт по вредоносу в своём магазине приложений за 2022-й год. Так, компания забанила 173 тысячи аккаунтов, распространявших малварь и мошеннические приложения. А также заблокировала почти 1,5 миллиона вредоносных приложений, прежде чем они попали в магазин. Цифры примерно соответствуют 2021-му: на 200к больше забаненных приложений, чуть меньше девелоперских аккаунтов. И то благодаря вводу верификации разработчиков по почте и телефону.

Компания также сообщает, что предотвратила мошеннических транзакций на $2 миллиарда, а за последние 3 года заблокировала доступ полумиллиона приложений к рискованным разрешениям на устройствах. Между тем 14 версия Андроида выйдет с новыми фичами на улучшение безопасности. Ключевой названа блокировка вредоноса с эксплойтами под старые уровни API. Возможно, число историй формата «Юзеры установили приложение со смешными фильтрами и малварью миллион раз» в этом году всё же чуть уменьшится.

@tomhunter

#news Немного социнженерии от рансомварщиков. В конце марта Western Digital взломали злоумышленники из BlackCat. Группировка стянула корпоративные данные якобы на 10TB и требует выкуп, заявив, что будет пинать компанию, пока она не выдержит. Сегодняшний пинок от BlackCat – это 29 скриншотов имейлов, документов и видеозвонков того, как компания обсуждала взлом и что с ним делать. То есть доступ у них ещё какое-то время был.

Группировка также заявила, что у них на руках личные данные юзеров с полным бэкапом SAP-бэкофиса компании, и продолжает сыпать угрозами. Между тем Western Digital не спешит выходить с ними на связь. Но когда взломавшие вас злоумышленники с попкорном читают черновики заявления для прессы и переписку о сливших инфу о взломе сотрудниках – это всё же как-то неловко.

@tomhunter

Опубликовал на Хабре небольшую статью, в которой мы поговорим об использовании Google Таблиц в исследованиях OSINT. Встроенный инструментарий позволяет проводить расследования по ФИО цели, месте проживания, ИНН и/или адресу электронной почты. Об этом и двух функциях Google Таблиц, превращающих их в простой в использовании инструмент OSINT-исследователя, читайте на нашем Хабре!

@tomhunter

#news Европол провёл крупную операцию «SpecTor» по аресту наркоторговцев с даркнет-маркета «Monopoly Market». 288 арестов в Штатах, Великобритании, Германии и других европейских странах, 50 миллионов евро в разных валютах и почти тонна конфискованных веществ.

«Monopoly Market» внезапно закрылся в декабря 2021-го, что породило спекуляции о перехвате его инфраструктуры полицией. Часть юзеров была уверена, что перехвачен был только экзит-скам маркета. Европол между тем не раскрывал подробностей и подтвердил перехват серверов только по следам операции. И тактика по оставлению злоумышленников из даркнета в темноте принесла свои плоды – SpecTor стала самым успешным ударом по даркнет-рынку наркотиков за последние три года. Ну а аресты и ехидные заявления Европола спустя полтора года о том, что все ваши базы на барыг и юзеров принадлежат нам, добавят седых волос пользователям прочих перехваченных спецслужбами площадок. Да, товарищи с RaidForums и Breached, это касается и вас.

@tomhunter

#news ФБР перехватило девять криптообменных площадок, отмывавших деньги для скамеров и прочих киберпреступников, включая рансомварь-группировки. Сервера находились в Штатах, Украине и нескольких других европейских странах. А сами сайты отличались околонулевой KYC-политикой и были рассчитаны на англо- и русскоязычную публику. Заглушка на сайтах на двух языках как бы намекает.

Перехват площадок усложнит финансовые операции рансомварщикам, а сервера в руках у ФБР сулят дальнейшие аресты среди владельцев и клиентов отключённых сервисов. Полный список по ссылке. Между тем это уже не первый в этом году удар по теневым криптобменникам: в марте на дно ушёл ChipMixer, а в январе был перехвачен Bitzlato, и владельцам обоих грозят солидные сроки. Так что месседж для Дикого Криптовалютного Запада, забитого ландроматами разной степени сомнительности, вполне понятный. Услуг ex-Conti, LockBit и прочим замечательным людям лучше не оказывать.

@tomhunter

#news В эфире претендент на самое идиотское киберпреступление года. На выходных у производителя FPV-очков Orqa устройства начали массово превращаться в кирпич при запуске. Как утверждает компания, это результат малвари в прошивке, которую несколько лет назад подсадил внештатный сотрудник. А сделал он это из расчёта, что воспользуется паникой и запросит солидный выкуп.

Кустарная рансомварь представляет из себя баг в прошивке в коде даты/времени. В сущности бомба с таймером, которая должна была сработать несколько лет спустя и поставить подросшую к тому моменту компанию в неловкое положение. Увы, шалость не удалась, запаниковал сам вымогатель и выложил фикс в открытый доступ, судя по всему, присочинив историю про «истёкшую лицензию». Между тем компания уже готовит свой фикс и судебный иск. Не «вымогательство», а «плата за лицензию». Не «тюремный срок», а «вынужденный переезд в закрытый санаторий».

@tomhunter

#news Исследователь перехватил больше дюжины PHP-пакетов на Packagist с сотнями миллионов установок. Форки пакетов с заменёнными GitHub-ссылками вели на его репозиторий, а сделано это было, собственно, для самопиара. Единственным изменением в оригиналах было описание. Товарищ был краток: «Pwned by neskafe3v1... Ищу работу на позиции Application Security, Penetration Tester, Cyber Security Specialist».

Доступ к аккаунтам герой истории получил с помощью ранее скомпрометированных на других площадках данных – на всех четырёх были простенькие пароли и отсутствовала двухфакторка. Между тем на Packagist таким экспериментам не очень рады – ни их, ни владельцев пакетов об экстравагантном поиске вакансий не уведомили. Но наш большой оригинал уверен, что работа его теперь непременно найдёт. Что ж, главное, чтобы она была не в даркнете. А то его подход к тому, так сказать, располагает.

@tomhunter

#news Вновь инновации социнженерии от рансомварщиков. Недавно группировка AvosLocker взломала системы небольшого частного университета Блюфилд в Штатах. Администрация вскоре сообщила, что волноваться не о чем и хищения персональных данных не было. Но 1 мая злоумышленники воспользовались системой аварийного оповещения вуза, чтобы встряхнуть университет, и разослали сотрудникам и студентам угрозы через смс и почту.

Вместо оповещений о чрезвычайных происшествиях, студенты получили от рансомварщиков уведомления, что те стянули 1,2TB, включая личные данные учащихся. Которые будут опубликованы, если университет не заплатит выкуп. Злоумышленники также призвали не верить администрации, скрывающей масштабы взлома, и связаться со СМИ. И опубликовали сэмпл с украденными данными, скинув ссылки на Tor Browser и свой сайт. Тактика, конечно, весьма оригинальная. Зачем давить на жертву самим, когда за тебя это может сделать орда паникующих, недовольных студентов.

@tomhunter

#news На прошлой неделе ФБР перехватило домены Try2Check – одного из старейших киберпреступных сервисов для проверки валидности украденных кредитных карт. Запущенный в 2005-м году сервис пользовался доверием многочисленных кардинговых площадок и обрабатывал больше миллиона запросов в месяц. Он принёс владельцу не меньше $18 миллионов, и им был наш соотечественник. Денис Кульков, 43 года, Самара.

В базе закрытой в 2017-м криптобиржи BTC-e товарищ Nordex, управлявший Try2Check, нашёлся под реальным именем. Затем органы обнаружили его ICloud-аккаунт, получили к нему доступ через суд... А там у Кулькова лежали фото его паспорта. На том можно было и закончить, но Кребс по традиции нарыл на героя истории всю подноготную. Что иронично, в слитых российских базах. Явки, пароли, адреса, данные по регистрации авто – роскошной Ferrari со столичных улиц. Подробнее о Кулькове читайте по ссылке, ну а желающим помочь ему выехать в зону Европола Штаты предлагают бонус в $10 миллионов.

@tomhunter

#news Первые последствия недавнего взлома MSI: группировка выложила исходники в открытый доступ, и среди них ключи для прошивки самой MSI (57 штук) и от Intel Boot Guard (166 штук). Утёкшие ключи могут быть использованы злоумышленниками для подписи малвари в UEFI-буткитах. Ключевая проблема в том, что ключи зашиты в интеловское железо и сменить их нельзя. Так что одним взломом Intel Boot Guard превращается в тыкву – скомпрометированы модели на процессорах с 11 по 13 поколения.

Между тем исследователи ещё в процессе разбора слива и обнаружили в нём, например, интеловский OEM-ключ, которым подписаны устройства от HP, Lenovo, AOPEN, CompuLab... Иными словами, утечка затрагивает не только модели от самой MSI, но также и продукты компаний по всей индустрии. И её масштабы ещё только предстоит оценить. К слову, Fwhunt.run обнаруживает подписанные слитыми ключами прошивки. И этот пост написан со скомпрометированного устройства. Спасибо, MSI.

@tomhunter

#news Майкрософт сделал обязательной фичу по подтверждению входа в своём приложении Microsoft Authenticator. Для логина нужно будет вводить в приложении число, которое пользователь видит на другом устройстве при попытке входа. Сделано это, как водится, для борьбы с атаками: фича рассчитана на так называемые MFA fatigue attacks, в которых владельца аккаунта забрасывают MFA-запросами в расчёте, что он кликнет по ошибке или от раздражения.

С сегодняшнего дня фича включится у всех юзеров со входом через push-уведомления. Между тем решение своевременное: такие атаки привели ко многим громким взломам прошлого года – Cisco, Uber и самой Microsoft. Что занятно, ранее фича была опциональной, и её давно и настойчиво рекомендуют подключать разработчики приложений для аутентификации. В Майкрософт, видимо, приняли взлом от Lapsus$ близко к сердцу, так что безопасность больше не обсуждается.

@tomhunter

#news Гитхаб сделал общедоступной ещё одну фичу по сканированию для публичных репозиториев. Ранее доступный только по GHAS-подписке скан работает по 69 видам токенов и ключей и не даёт публиковать изменения, если обнаружит их утечку в коде. На приватных репах всё ещё придётся раскошелиться на лицензию, но на публичных она теперь доступна бесплатно.

Как утверждает Гитхаб, с запуска бета-версии в апреле 2022-го скан предотвратил ~17 тысяч публикаций токенов в коде и сэкономил разработчикам 95 тысяч часов на отзыв и смену скомпрометированных данных. Кроме того, шанс ложноположительного срабатывания у скана низкий, так что если он что и блокирует, то это стоит проверить. Фича по сути является дополнительной защитой к добавленному ранее сканированию репозиториев – вместо бодрящих уведомлений о закравшихся в код токенах можно пойти чуть дальше и вообще избавить себя от шанса их случайной публикации. Подробнее о фиче в блоге Гитхаба.

@tomhunter

Опубликовал наш традиционный дайджест самых громких новостей информационной безопасности за ушедший месяц. Апрель был богат на интересные события: двойная атака на цепочку поставок от северокорейцев из Lazarus, перехват ФБР Genesis Market, взлом MSI с далеко идущими последствиями, новинки от мира малвари под MacOs… Об этом и других главных апрельских новостях из мира инфобеза читайте на нашем Хабре!

@tomhunter

#news Исследователи из CyberArk разработали декриптор White Phoenix под рансомварь с прерывистым шифрованием. Наработка использует незашифрованные части файлов в качестве лазейки для восстановления данных. Начав с успешных экспериментов с pdf-файлами, разработчики добавили поддержку для zip-архивов и офисных файлов форматов Word, Excel и Powerpoint.

Само собой, такой универсальный декриптор сработает далеко не всегда даже для теоретически поддерживаемых форматов. Так, если значительная часть файла была зашифрована, включая критические части, восстановлению он не подлежит. Инструмент также поддерживает только файлы с определёнными строками. Тем не менее, такие экспериментальные декрипторы могут позволить восстановить как минимум часть важных файлов после рансомварь-атаки. А заодно поставить под вопрос использование прерывистого шифрования злоумышленниками. Подробнее о Белом Фениксе по ссылке.

@tomhunter

#news Гугл расширил доступ к фиче по сканированию пользовательских ящиков на предмет их слива в даркнете. Пока она доступна только для юзеров Gmail в Штатах, но позже скан добавят на часть международного рынка. Фича позволяет проверять, не засветилась ли почта в сливах, получать напоминания о скане и настройках двухфакторки в случае утечки.

Ранее фича была доступна только по подписке на Google One в США и является частью гугловского Dark web report. Последний позволяет вбить любые личные данные и регулярно мониторить их на предмет слива. ФИО, адрес, почта, телефон, страховой номер – зачем ждать, когда это сольют в даркнет, когда можно слить всё Гуглу самому. В обрезанном же виде скан по почтовому ящику несильно функциональнее того же haveibeenpwned. Но средний юзер так далеко в сетевые дебри не заходит, так что скан из гугловского загончика – уже лучше, чем ничего.

@tomhunter

#news Пользователи Твиттера годами запрашивали сквозное шифрование для сообщений на сайте. Фича чуть было не случилась в 2018-м, но в итоге увидела свет только сейчас. Однако, как водится, есть нюанс. Она только для платных подписчиков. Прямо как двухфакторка по смс.

Помимо того, что бесплатные пользователи обойдутся незашифрованным общением, у фичи есть и другие ограничения. Никакого шифрования для групповых чатов, только текст и ссылки (без медиа-файлов), новые устройства в открытые беседы не добавить и лимит в 10 устройств на пользователя. Ну и для шифрования диалога оба участника должна быть премиальными юзерами с соответствующей галочкой на хохолке. Что ж, Илону Маску следует отдать должное за последовательность. И можно делать ставки, какая фича станет платной следующей. Скажем, хешированные пароли только у твиттерных премиум-бояр, а у остальных они будут храниться простым текстом! За безопасность-то надо платить.

@tomhunter

#news Немного о странных находках в прошивке. Новость пятничная, так что вместо бэкдоров от Интел и прочей малвари в эфире Kingston. С текстом песни Coldplay – The Scientist от 2002-го года в их прошивке для SSD-контроллера. Её обнаружил один исследователь при изучении кода, изрядно удивился и поспешил поделиться находкой с журналистами.

Выпущенная в январе 2020-го прошивка серии SKC2000 стоит на SSD-дисках фирмы, например, в линейке KC2000. Найденное удивило даже матёрого безопасника, разбиравшего файл для исследовательской работы. Как он говорит, видел в прошивке многое, но вот текст поп-рок песни, зашитый в контроллер жёсткого, встретил впервые. Как он там оказался, тоже неясно: сэмпл данных для тестирования или просто пасхальное яйцо от разработчиков? В Kingston находку пока не комментируют. Песню с контроллера же можно оценить по ссылке.

@tomhunter

#news Toyota сообщила об утечке данных из своего облака, из-за которой была доступна информация о локации их машин. На 2,150,000 автовладельцев. Из-за криво настроенной базы данных, доступ к которой мог получить любой желающий без пароля. На протяжение 10 лет с ноября 2013-го по апрель 2023-го года.

Утечка затронула владельцев авто, которые пользовались сервисами T-Connect G-Link, G-Link Lite и G-BOOK. В открытом доступе был ID GPS-навигатора, номер шасси и данные по местонахождению авто с привязкой по времени. Во втором заявлении Toyota также сообщила, что мог быть доступ к видео с авто в течение семи лет. Информации о том, что эти данные были кем-либо использованы, нет. И злоумышленнику нужно было бы знать номер шасси авто для его отслеживания – то есть иметь физический доступ к машине. Тем не менее, Toyota обещает принести персональные извинения всем затронутым автовладельцам. Два с лишним миллиона извинений на подходе.

@tomhunter

#news Бывшего сотрудника Ubiquiti осудили за кражу данных и попытку вымогательства у нанимателя. Напомню, в январе 2021-го компания объявила о взломе. Сначала некий анонимный хакер запросил $2 миллиона в битках. А когда Ubiquiti отказалась платить, в СМИ пошли новости от инсайдера, что компания скрывает катастрофические масштабы взлома. Из-за этого её акции просели почти на четверть, на более чем $4 миллиарда.

На деле же за взломом, шантажом и инсайдерской липой стоял сеньор-разработчик Николас Шарп. Он стянул данные, используя свою админку, логи во время атаки поправил, свои устройства потёр. Но во время скачивания репозиториев из-за сбоившего интернета у несостоявшегося вымогателя отвалился VPN и слил его домашний айпишник. На суде же он заявил, что его атака была «несанкционированной проверкой безопасности». В итоге товарищ отделался шестью годами заключения. Плюс три года ограничения свободы и $1,5 миллиона штрафа. Ну и что-то подсказывает, в инфобезе он больше работать не будет.

@tomhunter

#news К инструменту Code Insight по сканированию вредоноса на основе языковой модели вышло масштабное обновление. Добавлена поддержка для скриптов форматов BAT, CMD, SH, AHK и PY. Кроме того, в два раза увеличен лимит размера файлов под сканирование и улучшены результаты анализа с акцентом на поведении кода.

Фичу, напомню, запустили меньше месяца назад, и изначально она работала только по небольшим PowerShell-файлам. Так что прогресс внушительный. В ближайших планах у разработчиков дальнейшие расширение поддерживаемых форматов и лимитов по размеру, анализ бинарников и исполняемых файлов, добавление контекстуальной информации помимо анализа самого кода. Так что скоро языковые модели будут не только писать малварь для скрипт-кидди, но и анализировать своё творчество на предмет вредоносного поведения. Аутосорсинг, который мы заслужили.

@tomhunter