#news Вновь инновации социнженерии от рансомварщиков. Недавно группировка AvosLocker взломала системы небольшого частного университета Блюфилд в Штатах. Администрация вскоре сообщила, что волноваться не о чем и хищения персональных данных не было. Но 1 мая злоумышленники воспользовались системой аварийного оповещения вуза, чтобы встряхнуть университет, и разослали сотрудникам и студентам угрозы через смс и почту.

Вместо оповещений о чрезвычайных происшествиях, студенты получили от рансомварщиков уведомления, что те стянули 1,2TB, включая личные данные учащихся. Которые будут опубликованы, если университет не заплатит выкуп. Злоумышленники также призвали не верить администрации, скрывающей масштабы взлома, и связаться со СМИ. И опубликовали сэмпл с украденными данными, скинув ссылки на Tor Browser и свой сайт. Тактика, конечно, весьма оригинальная. Зачем давить на жертву самим, когда за тебя это может сделать орда паникующих, недовольных студентов.

@tomhunter

#news На прошлой неделе ФБР перехватило домены Try2Check – одного из старейших киберпреступных сервисов для проверки валидности украденных кредитных карт. Запущенный в 2005-м году сервис пользовался доверием многочисленных кардинговых площадок и обрабатывал больше миллиона запросов в месяц. Он принёс владельцу не меньше $18 миллионов, и им был наш соотечественник. Денис Кульков, 43 года, Самара.

В базе закрытой в 2017-м криптобиржи BTC-e товарищ Nordex, управлявший Try2Check, нашёлся под реальным именем. Затем органы обнаружили его ICloud-аккаунт, получили к нему доступ через суд... А там у Кулькова лежали фото его паспорта. На том можно было и закончить, но Кребс по традиции нарыл на героя истории всю подноготную. Что иронично, в слитых российских базах. Явки, пароли, адреса, данные по регистрации авто – роскошной Ferrari со столичных улиц. Подробнее о Кулькове читайте по ссылке, ну а желающим помочь ему выехать в зону Европола Штаты предлагают бонус в $10 миллионов.

@tomhunter

#news Первые последствия недавнего взлома MSI: группировка выложила исходники в открытый доступ, и среди них ключи для прошивки самой MSI (57 штук) и от Intel Boot Guard (166 штук). Утёкшие ключи могут быть использованы злоумышленниками для подписи малвари в UEFI-буткитах. Ключевая проблема в том, что ключи зашиты в интеловское железо и сменить их нельзя. Так что одним взломом Intel Boot Guard превращается в тыкву – скомпрометированы модели на процессорах с 11 по 13 поколения.

Между тем исследователи ещё в процессе разбора слива и обнаружили в нём, например, интеловский OEM-ключ, которым подписаны устройства от HP, Lenovo, AOPEN, CompuLab... Иными словами, утечка затрагивает не только модели от самой MSI, но также и продукты компаний по всей индустрии. И её масштабы ещё только предстоит оценить. К слову, Fwhunt.run обнаруживает подписанные слитыми ключами прошивки. И этот пост написан со скомпрометированного устройства. Спасибо, MSI.

@tomhunter

#news Майкрософт сделал обязательной фичу по подтверждению входа в своём приложении Microsoft Authenticator. Для логина нужно будет вводить в приложении число, которое пользователь видит на другом устройстве при попытке входа. Сделано это, как водится, для борьбы с атаками: фича рассчитана на так называемые MFA fatigue attacks, в которых владельца аккаунта забрасывают MFA-запросами в расчёте, что он кликнет по ошибке или от раздражения.

С сегодняшнего дня фича включится у всех юзеров со входом через push-уведомления. Между тем решение своевременное: такие атаки привели ко многим громким взломам прошлого года – Cisco, Uber и самой Microsoft. Что занятно, ранее фича была опциональной, и её давно и настойчиво рекомендуют подключать разработчики приложений для аутентификации. В Майкрософт, видимо, приняли взлом от Lapsus$ близко к сердцу, так что безопасность больше не обсуждается.

@tomhunter

#news Гитхаб сделал общедоступной ещё одну фичу по сканированию для публичных репозиториев. Ранее доступный только по GHAS-подписке скан работает по 69 видам токенов и ключей и не даёт публиковать изменения, если обнаружит их утечку в коде. На приватных репах всё ещё придётся раскошелиться на лицензию, но на публичных она теперь доступна бесплатно.

Как утверждает Гитхаб, с запуска бета-версии в апреле 2022-го скан предотвратил ~17 тысяч публикаций токенов в коде и сэкономил разработчикам 95 тысяч часов на отзыв и смену скомпрометированных данных. Кроме того, шанс ложноположительного срабатывания у скана низкий, так что если он что и блокирует, то это стоит проверить. Фича по сути является дополнительной защитой к добавленному ранее сканированию репозиториев – вместо бодрящих уведомлений о закравшихся в код токенах можно пойти чуть дальше и вообще избавить себя от шанса их случайной публикации. Подробнее о фиче в блоге Гитхаба.

@tomhunter

Опубликовал наш традиционный дайджест самых громких новостей информационной безопасности за ушедший месяц. Апрель был богат на интересные события: двойная атака на цепочку поставок от северокорейцев из Lazarus, перехват ФБР Genesis Market, взлом MSI с далеко идущими последствиями, новинки от мира малвари под MacOs… Об этом и других главных апрельских новостях из мира инфобеза читайте на нашем Хабре!

@tomhunter

#news Исследователи из CyberArk разработали декриптор White Phoenix под рансомварь с прерывистым шифрованием. Наработка использует незашифрованные части файлов в качестве лазейки для восстановления данных. Начав с успешных экспериментов с pdf-файлами, разработчики добавили поддержку для zip-архивов и офисных файлов форматов Word, Excel и Powerpoint.

Само собой, такой универсальный декриптор сработает далеко не всегда даже для теоретически поддерживаемых форматов. Так, если значительная часть файла была зашифрована, включая критические части, восстановлению он не подлежит. Инструмент также поддерживает только файлы с определёнными строками. Тем не менее, такие экспериментальные декрипторы могут позволить восстановить как минимум часть важных файлов после рансомварь-атаки. А заодно поставить под вопрос использование прерывистого шифрования злоумышленниками. Подробнее о Белом Фениксе по ссылке.

@tomhunter

#news Гугл расширил доступ к фиче по сканированию пользовательских ящиков на предмет их слива в даркнете. Пока она доступна только для юзеров Gmail в Штатах, но позже скан добавят на часть международного рынка. Фича позволяет проверять, не засветилась ли почта в сливах, получать напоминания о скане и настройках двухфакторки в случае утечки.

Ранее фича была доступна только по подписке на Google One в США и является частью гугловского Dark web report. Последний позволяет вбить любые личные данные и регулярно мониторить их на предмет слива. ФИО, адрес, почта, телефон, страховой номер – зачем ждать, когда это сольют в даркнет, когда можно слить всё Гуглу самому. В обрезанном же виде скан по почтовому ящику несильно функциональнее того же haveibeenpwned. Но средний юзер так далеко в сетевые дебри не заходит, так что скан из гугловского загончика – уже лучше, чем ничего.

@tomhunter

#news Пользователи Твиттера годами запрашивали сквозное шифрование для сообщений на сайте. Фича чуть было не случилась в 2018-м, но в итоге увидела свет только сейчас. Однако, как водится, есть нюанс. Она только для платных подписчиков. Прямо как двухфакторка по смс.

Помимо того, что бесплатные пользователи обойдутся незашифрованным общением, у фичи есть и другие ограничения. Никакого шифрования для групповых чатов, только текст и ссылки (без медиа-файлов), новые устройства в открытые беседы не добавить и лимит в 10 устройств на пользователя. Ну и для шифрования диалога оба участника должна быть премиальными юзерами с соответствующей галочкой на хохолке. Что ж, Илону Маску следует отдать должное за последовательность. И можно делать ставки, какая фича станет платной следующей. Скажем, хешированные пароли только у твиттерных премиум-бояр, а у остальных они будут храниться простым текстом! За безопасность-то надо платить.

@tomhunter

#news Немного о странных находках в прошивке. Новость пятничная, так что вместо бэкдоров от Интел и прочей малвари в эфире Kingston. С текстом песни Coldplay – The Scientist от 2002-го года в их прошивке для SSD-контроллера. Её обнаружил один исследователь при изучении кода, изрядно удивился и поспешил поделиться находкой с журналистами.

Выпущенная в январе 2020-го прошивка серии SKC2000 стоит на SSD-дисках фирмы, например, в линейке KC2000. Найденное удивило даже матёрого безопасника, разбиравшего файл для исследовательской работы. Как он говорит, видел в прошивке многое, но вот текст поп-рок песни, зашитый в контроллер жёсткого, встретил впервые. Как он там оказался, тоже неясно: сэмпл данных для тестирования или просто пасхальное яйцо от разработчиков? В Kingston находку пока не комментируют. Песню с контроллера же можно оценить по ссылке.

@tomhunter

#news Toyota сообщила об утечке данных из своего облака, из-за которой была доступна информация о локации их машин. На 2,150,000 автовладельцев. Из-за криво настроенной базы данных, доступ к которой мог получить любой желающий без пароля. На протяжение 10 лет с ноября 2013-го по апрель 2023-го года.

Утечка затронула владельцев авто, которые пользовались сервисами T-Connect G-Link, G-Link Lite и G-BOOK. В открытом доступе был ID GPS-навигатора, номер шасси и данные по местонахождению авто с привязкой по времени. Во втором заявлении Toyota также сообщила, что мог быть доступ к видео с авто в течение семи лет. Информации о том, что эти данные были кем-либо использованы, нет. И злоумышленнику нужно было бы знать номер шасси авто для его отслеживания – то есть иметь физический доступ к машине. Тем не менее, Toyota обещает принести персональные извинения всем затронутым автовладельцам. Два с лишним миллиона извинений на подходе.

@tomhunter

#news Бывшего сотрудника Ubiquiti осудили за кражу данных и попытку вымогательства у нанимателя. Напомню, в январе 2021-го компания объявила о взломе. Сначала некий анонимный хакер запросил $2 миллиона в битках. А когда Ubiquiti отказалась платить, в СМИ пошли новости от инсайдера, что компания скрывает катастрофические масштабы взлома. Из-за этого её акции просели почти на четверть, на более чем $4 миллиарда.

На деле же за взломом, шантажом и инсайдерской липой стоял сеньор-разработчик Николас Шарп. Он стянул данные, используя свою админку, логи во время атаки поправил, свои устройства потёр. Но во время скачивания репозиториев из-за сбоившего интернета у несостоявшегося вымогателя отвалился VPN и слил его домашний айпишник. На суде же он заявил, что его атака была «несанкционированной проверкой безопасности». В итоге товарищ отделался шестью годами заключения. Плюс три года ограничения свободы и $1,5 миллиона штрафа. Ну и что-то подсказывает, в инфобезе он больше работать не будет.

@tomhunter

#news К инструменту Code Insight по сканированию вредоноса на основе языковой модели вышло масштабное обновление. Добавлена поддержка для скриптов форматов BAT, CMD, SH, AHK и PY. Кроме того, в два раза увеличен лимит размера файлов под сканирование и улучшены результаты анализа с акцентом на поведении кода.

Фичу, напомню, запустили меньше месяца назад, и изначально она работала только по небольшим PowerShell-файлам. Так что прогресс внушительный. В ближайших планах у разработчиков дальнейшие расширение поддерживаемых форматов и лимитов по размеру, анализ бинарников и исполняемых файлов, добавление контекстуальной информации помимо анализа самого кода. Так что скоро языковые модели будут не только писать малварь для скрипт-кидди, но и анализировать своё творчество на предмет вредоносного поведения. Аутосорсинг, который мы заслужили.

@tomhunter

#news В Штатах возбудили уголовное дело на нашего соотечественника, Михаила Павловича Матвеева, также известного как Wazawaka и BorisElcin. Его обвиняют в участии в трёх рансомварь-группировках, Hive, LockBit и Babuk. Названный ключевой фигурой в развитии российской рансомвари, Матвеев также попал под санкции за участие в атаках на организации и критическую инфраструктуру в США.

Между тем товарищ Wazawaka, известный брокер начального доступа, и не скрывает свою киберпреступную деятельность, раздаёт интервью, делится эксплойтами онлайн и утверждает, что никто его в России не тронет, пока он следует золотому правилу киберпреступника «Не гадь там, где живёшь». Матвеев также расширил его до «Отдыхай на родине и не выезжай за границу». Ну а пока за его поимку назначены уже знаковые в этой сфере «до 10 миллионов долларов», и можно делать ставки, не бросит ли его однажды родина, как то было, например, с REvil. Подробнее о Матвееве читайте в прошлогоднем отчёте от Кребса.

@tomhunter

#news Запущенные Гуглом новые домены верхнего уровня разожгли горячие дискуссии в инфобез-сообществе. А всё потому что среди них оказались .zip и .mov. Как считают некоторые специалисты, это создаёт ненужные риски и простор для фишинговых атак. На .zip-домене регистрируют образовательные страницы на тему того, почему .zip-домена не должно быть. Запрашивают удаление новых доменов из Public Suffix List Мозиллы, демонстрируют фишинговые страницы под видом ссылок на легитимные файлы с Гитхаба... В общем, страсти кипят.

Между тем пока часть безопасников посмеивается над «раздутой .zip-угрозой», злоумышленники тоже не дремлют. Например, уже обнаружились фишинговые страницы для кражи данных доступа Microsoft по чудесному адресу microsoft-office[.]zip. И гиперссылки, оканчивающиеся на .zip, которые теперь расползутся по сети, явно не поспособствуют безопасности среднего юзера. Так что ирония может быть преждевременной.

@tomhunter

#news К чудным новинкам рансомвари. В сетевых дебрях замечены MalasLocker, шифрующие сервера Zimbra и крадущие с них почту. Примечательны они не только редким в таких случаях инструментом для шифрования Age. Вместо выкупа злоумышленники якобы просят у жертв… пожертвовать деньги в благотворительный фонд по их выбору.

На сайте с утечками группировки выложен пространный манифест, полный ресентимента про классовую борьбу с корпорациями, неравенством и ужасами колониализма в Африке, Латинской Америке и Палестине. И с восхитительными заходами про то, что рансомварь не должна быть инструментом исключительно финансово мотивированных российских группировок. В общем, фабрики рабочим, энкрипторы угнетённым. Пока скучные рансомварщики из России застряли в диком капитализме, где-то на другом конце света товарищи из MalasLocker живут в тёплом ламповом мире Shadowrun. Где энкриптор – это инструмент освободительной цифровой борьбы. Такой вот сентиментальный рансомварь-хактивизм.

@tomhunter

#news Блокчейн-компания LayerZero Labs запустила рекордную BB-программу на платформе Immunefi. Белошляпочников с проверками концепции к критическим уязвимостям в блокчейнах и смарт-контрактах ждут выплаты до 15 миллионов долларов. Сумма делает программу крупнейшей в истории.

В категорию критических попали эксплойты под безвозвратную блокировку, утрату или кражу пользовательских средств, а также флешинг. Максимальные выплаты идут в первой группе за уязвимости в платформах Ethereum, BNB Chain, Avalanche, Polygon, Arbitrum, Optimism, и Fantom. Во вторую попадают все прочие блокчейны, поддерживаемые LayerZero. Выплаты, что характерно, можно получить в стейблкойнах. Кроме того, перед их получением нужно будет пройти проверку Министерства Финансов США на предмет присутствия в санкционных списках. Что-то мне подсказывает, большие специалисты по блокчейнам из КНДР этому пункту будут очень не рады.

@tomhunter

#news Cisco сообщила о четырёх критических уязвимостях в своих свитчах. Несложный эксплойт позволяет злоумышленникам исполнять произвольный код с рут-правами на скомпрометированных устройствах. И дальше полный набор: все четыре уязвимости на 9.8 баллов, эксплойтятся по отдельности, участия юзера не требуют, и к ним в сети уже есть проверки концепции.

Уязвимости связаны с неверной валидацией запросов, отправляемых в веб-интерфейсы свитчей. Что, собственно, позволяет злоумышленникам отправить вредоносный запрос для атаки. В свитчах серии 250, 350, 350X и 550X, включая бизнес-модели, уязвимости исправлены в свежих версиях прошивки. А вот устаревшие модели серий 200, 300 и 500, увы, останутся без патчей, так как у них уже закончилась поддержка. Так что этих старичков уж точно пора отключать от сети. Подробнее об уязвимостях в отчёте Cisco.

@tomhunter

#news Пятничная новость об очередном малолетнем боге хакинга. В США предъявлены обвинения ответственному за взлом сайта для ставок DraftKings в ноябре 2022-го. Им оказался 18-летний паренёк Джозеф Гаррисон из Висконсина. На его устройствах нашли софт для атак на подстановку учётных данных, 700 конфигов под них и файлы с 40 миллионами учёток.

После взлома аккаунтов на DraftKings юное дарование с соучастниками продавали их под вывод средств. Всего были украдены около $600 тысяч c 1,600 аккаунтов. Тем же методом были взломаны аналогичная платформа FanDuel и сайт сети фастфуд-ресторанов Chick-Fil-A. Аккаунты шли с молотка через магазин Гаррисона, а в его телефоне нашли скриншот без даты с упоминанием более 200 тысяч транзакций на сумму больше $2 миллионов. Плюс переписку с подельниками о взломе DraftKings. Ну и традиционное для его лет «Взломы – это весело и увлекательно, полиция меня не поймает, я неуязвим». В общем, очередной скрипт-кидди столкнулся с суровой реальностью. Увы и ах.

@tomhunter

#news Принтеры от HP начали уходить в BSOD по всему миру. Затронуты полдюжины моделей серии HP OfficeJet 902x. А виной тому кривая прошивка от HP, обновление которой выпустили ранее в этом месяце. Причём накатывается она автоматически на подключённых к интернету принтерах.

Получившие забагованное обновление устройства выдают синий экран, на этом их дальнейшая работоспособность ограничивается. Форум HP уже пару недель завален тредами с десятками страниц жалоб, а вот решения у фирмы всё ещё нет. Между тем поддержка HP сообщает некоторым юзерам, что принтеры придётся отправлять к ним на обслуживание, либо они вышлют замену. Ну а пока единственной рекомендацией остаётся отключить принтер от интернета, чтобы криворукий производитель ненароком не превратил его в кирпич. В общем, HP, как обычно, держит марку.

@tomhunter

#news Скучали по сливам данных юзеров из России? В открытом доступе всплыли данные пользователей сети лабораторий «Ситилаб». ФИО, логины, почты, хешированные пароли, телефоны. Примерно по полмиллиона уникальных ящиков и телефонов. А также сканы анализов, паспортов, договоров и чеков – в сэмле 1,000 pdf-ок с ними.

Между тем это якобы лишь 1.7ТБ от 14ТБ внутренних данных, стянутых злоумышленниками после взлома. База свежая, актуальна на 18 мая, и почтовые ящики бьются по форме восстановления на сайте «Ситилаб». Компания же пока не спешит давать комментарии касаемо произошедшего. Но опасаться им особо нечего: если вы думали, что за год в плане ответственности за сливы что-то изменилось, то нет. Так, пару недель назад VK выписали минимальный штраф в 60 тысяч рублей за утечку данных 3,5 миллионов пользователей почты Mail[.]ru. А за небольшой слив, не дотягивающий и до миллиона, можно на первый раз просто пальчиком погрозить.

@tomhunter