#news Пока Майкрософт не спешит исправлять уязвимость в Microsoft Teams, член красной команды ВМС США (да, есть и такая) выложил инструмент для её эксплойта. Написанный на Питоне TeamsPhisher позволяет автоматизировать атаки: достаточно скормить ему вложение, сообщение для фишинга и список жертв – и готово. Инструмент подгрузит вложение на Sharepoint и разошлёт по получателям.
Помимо прочего, TeamsPhisher может ограничивать просмотр файлов только получателем, добавлять задержку между сообщениями для обхода лимита и писать логи для атакующего. И хотя он создан для пентестеров, ничего не мешает воспользоваться им и злоумышленникам – инструмент-то вот он, на Гитхабе. Между тем Майкрософт доверительно сообщает, что уязвимость требует социнженерии для эксплойта, так что просто будьте хорошими мальчиками и не кликайте по левым ссылкам. Ну а если сотрудник стал жертвой фишинга – проблема на вашей стороне. Нечего нанимать кого попало, действительно.
@tomhunter
Помимо прочего, TeamsPhisher может ограничивать просмотр файлов только получателем, добавлять задержку между сообщениями для обхода лимита и писать логи для атакующего. И хотя он создан для пентестеров, ничего не мешает воспользоваться им и злоумышленникам – инструмент-то вот он, на Гитхабе. Между тем Майкрософт доверительно сообщает, что уязвимость требует социнженерии для эксплойта, так что просто будьте хорошими мальчиками и не кликайте по левым ссылкам. Ну а если сотрудник стал жертвой фишинга – проблема на вашей стороне. Нечего нанимать кого попало, действительно.
@tomhunter
🔥11😁1
#news К вопросу о том, чего такого уязвимого ещё есть в сети: исследователи насчитали ~130 тысяч обнаруживаемых в интернете устройств по контролю за солнечными панелями. Конечно, далеко не все из них уязвимы к атакам, но в них достаточно и уязвимостей, и проверок концепции к ним для потенциально масштабных атак.
Не помогает и то, что такие устройства часто страдают от редких обновлений и отсутствия обслуживания и могут годами стоять без апдейтов. Между тем эти контроллеры уже угоняют в ботнеты: уязвимость на удалённое внедрение команд в одной из моделей использовали под очередную разновидность Mirai. Так что дудосить теперь может не только старенький уральский принтер, но и потрёпанная солнечная панелька где-нибудь в японской глуши. Есть в этом что-то романтичное.
@tomhunter
Не помогает и то, что такие устройства часто страдают от редких обновлений и отсутствия обслуживания и могут годами стоять без апдейтов. Между тем эти контроллеры уже угоняют в ботнеты: уязвимость на удалённое внедрение команд в одной из моделей использовали под очередную разновидность Mirai. Так что дудосить теперь может не только старенький уральский принтер, но и потрёпанная солнечная панелька где-нибудь в японской глуши. Есть в этом что-то романтичное.
@tomhunter
🔥6😁2❤1
#news Малварью в Google Store никого не удивишь. А как насчёт приложений, сливающих данные юзеров в Китай (нет, не TikTok)? Исследователи обнаружили в магазине Гугла два приложения, декларирующих, что никакие данные не собирают. При этом они стягивают контакты с телефона и привязанных аккаунтов, обработанные приложениями файлы, местоположение юзера и прочее техническое. И всё это уходит на сервера в Китай.
Помимо этого, в их функционале самостоятельный запуск и рестарт телефона плюс скрытие иконок с экрана. Счётчик установок на двоих показывал более 1,5 миллионов установок, но, вероятно, они были раздуты для повышения рейтинга. Между тем приложения из магазина уже удалены, а их происхождение неясно. Может, выпускная работа китайских студентов-безопасников перед ударным трудом в составе госхакерской группировки?
@tomhunter
Помимо этого, в их функционале самостоятельный запуск и рестарт телефона плюс скрытие иконок с экрана. Счётчик установок на двоих показывал более 1,5 миллионов установок, но, вероятно, они были раздуты для повышения рейтинга. Между тем приложения из магазина уже удалены, а их происхождение неясно. Может, выпускная работа китайских студентов-безопасников перед ударным трудом в составе госхакерской группировки?
@tomhunter
🤔8😁3❤2🔥1
#news Вернёмся к инфобезу на родных просторах. ФСБ получит круглосуточный удалённый доступ к базам данных такси. Но это касается только сервисов, включённых в так называемый реестр организаторов распространения информации. Пока в нём числится только «Яндекс Такси». Так что с 1 сентября компания должна будет предоставить оный доступ по следам нового закона о такси.
Не включённые в реестр сервисы имеют небольшие послабления: они должны будут предоставлять ФСБ данные по запросу в течение 10 дней, а с пометкой «Срочно» – в течение трёх. Ну а помимо этого, спецслужба также хотела бы обязать сервисы из реестра ОРИ передавать данные о геолокации юзеров и указывать платёжную информацию со средством платежа, но этого в текущих формулировках нет. Казалось бы, что может пойти не так?
@tomhunter
Не включённые в реестр сервисы имеют небольшие послабления: они должны будут предоставлять ФСБ данные по запросу в течение 10 дней, а с пометкой «Срочно» – в течение трёх. Ну а помимо этого, спецслужба также хотела бы обязать сервисы из реестра ОРИ передавать данные о геолокации юзеров и указывать платёжную информацию со средством платежа, но этого в текущих формулировках нет. Казалось бы, что может пойти не так?
@tomhunter
🤬13🔥5🎉2❤1😁1
По следам ушедшего месяца подводим итоги дайджестом новостей. Он выдался довольно горячим: в первый же день июня прогремела «Операция Триангуляция» со спайварью под айфоны, выявленной Касперским на пару с ФСБ. А следом Atomic Wallet подвергся до сих пор не объяснённому компанией взлому, который грозит отправить кошелёк на дно, где умирают все стартапы.
Помимо этого, в MicrosoftTeams обнаружили элементарную уязвимость, позволяющую внешним пользователям отправлять файлы в организации, открывая широкий простор для фишинга. А на репозитории NPM всплыл масштабный конфуз с манифестами, способными скрывать за собой малварь и прочее вредоносное. Об этом и других интересных новостях первого летнего месяца читайте на нашем Хабре!
@tomhunter
Помимо этого, в MicrosoftTeams обнаружили элементарную уязвимость, позволяющую внешним пользователям отправлять файлы в организации, открывая широкий простор для фишинга. А на репозитории NPM всплыл масштабный конфуз с манифестами, способными скрывать за собой малварь и прочее вредоносное. Об этом и других интересных новостях первого летнего месяца читайте на нашем Хабре!
@tomhunter
❤7🔥1
#news В сети появилась информация о взломе компании Razer. На хакерском форуме на продажу выставлены исходники, база данных, ключи шифрования и бэкэнд-логины от сайта. Всё это удовольствие за $100 тысяч долларов в Monero разово всем желающим. На скринах у продавца, предположительно, исходники под античит и бонусную программу Razer, детали API, почтовые ящики и прочее.
Компания сообщила, что расследует взлом, а заодно сбросила аккаунты юзерам на своём сайте вместе с сессиями, запросив смену паролей. Логины из утечки же бьются по сайту, так что, скорее всего, она реальна. Данные также свежее, чем из их незапароленной базы от 2020-го. Между тем Razer всегда может успеть выкупить взлом сама. Возможно, даже на особых условиях: «Игровая утечка данных Limited Edition», всего за $100 миллионов в Монеро…
@tomhunter
Компания сообщила, что расследует взлом, а заодно сбросила аккаунты юзерам на своём сайте вместе с сессиями, запросив смену паролей. Логины из утечки же бьются по сайту, так что, скорее всего, она реальна. Данные также свежее, чем из их незапароленной базы от 2020-го. Между тем Razer всегда может успеть выкупить взлом сама. Возможно, даже на особых условиях: «Игровая утечка данных Limited Edition», всего за $100 миллионов в Монеро…
@tomhunter
😁8❤1🔥1
Опубликовал на Хабре новую статью. Сегодня обсудим «извечный вопрос»: как обнаружить точное местоположение пользователя методами OSINT? Первым делом вспомним, что OSINT – это совокупность методов и приемов работы с открытыми источниками информации. И в этом контексте самые очевидные способы обнаружения геолокаций заключаются в анализе той публичной информации, которую пользователи оставляют о себе в глобальной паутине. Это геометки и чекины в социальных сетях, анализ публичных записей, координаты в метаданных загружаемых фотографий, исследование фото и видео контента для выявления местоположения оператора и тому подобные.
Это все здорово, но я хотел бы поговорить о более продвинутых возможностях технического наблюдения за умными устройствами. За подробностями добро пожаловать на наш Хабр!
@tomhunter
Это все здорово, но я хотел бы поговорить о более продвинутых возможностях технического наблюдения за умными устройствами. За подробностями добро пожаловать на наш Хабр!
@tomhunter
🔥8💩3❤2
#news В преддверии саммита НАТО в сети идут свои кибербаталии. Так, группировка RomCom использует фейковый сайт Всемирного конгресса украинцев для фишинга и доставки малвари. Хостящийся на .info вместо легитимного .org сайт распространяет RTF-доки с вредоносом.
Малварь от RomCom использует уязвимость Follina в MSDT и при успешном эксплойте ведёт к RCE и качает бэкдор. Затем она прописывается в автозапуск и ждёт команд от C2-сервера. В их числе стягивание данных, скачивание дополнительной нагрузки, удаление файлов и папок, плюс реверс-шел. Исследователи считают, что это либо операция самой RomCom, либо новая с участием ключевых членов группировки. Подробнее об информационных операциях и хактивизме в эпоху нестихающих стальных гроз читайте в отчёте.
@tomhunter
Малварь от RomCom использует уязвимость Follina в MSDT и при успешном эксплойте ведёт к RCE и качает бэкдор. Затем она прописывается в автозапуск и ждёт команд от C2-сервера. В их числе стягивание данных, скачивание дополнительной нагрузки, удаление файлов и папок, плюс реверс-шел. Исследователи считают, что это либо операция самой RomCom, либо новая с участием ключевых членов группировки. Подробнее об информационных операциях и хактивизме в эпоху нестихающих стальных гроз читайте в отчёте.
@tomhunter
🤡4🔥3❤1😁1
#news Продолжая тему разведывательных информационных операций. Исследователи из Palo Alto Networks делятся подробностями кампании от хакеров из Cozy Bear. В апреле они перехватили объявление о продаже BMW 5 от польского дипломата, подменили в нём фотоальбом на напичканный малварью, занизили цену до 7,5 тысяч евро и разослали по посольствам в Киеве.
Вместо точечной атаки в этот раз шла массовая: исследователи насчитали, минимум, 22 посольства из более чем 80 в городе, получивших рассылку. Скорее всего, их было больше. Увы, несмотря на вдумчивый подход, хакеры при этом всё же умудрились опечататься в паре адресов, и письма до адресатов не дошли. Цепочка атаки на скрине и подробнее о ней в отчёте по ссылке. Подержанный BMW по привлекательной цене, как вам такой вектор атаки?
@tomhunter
Вместо точечной атаки в этот раз шла массовая: исследователи насчитали, минимум, 22 посольства из более чем 80 в городе, получивших рассылку. Скорее всего, их было больше. Увы, несмотря на вдумчивый подход, хакеры при этом всё же умудрились опечататься в паре адресов, и письма до адресатов не дошли. Цепочка атаки на скрине и подробнее о ней в отчёте по ссылке. Подержанный BMW по привлекательной цене, как вам такой вектор атаки?
@tomhunter
🔥10😁3🤡2
#news Первое полугодие 2023-го выдалось урожайным для рансомварщиков: полученные на июнь выкупы суммарно уже вплотную подошли к выплатам за весь прошлый год. Почти $450 миллиардов составляют 90% доходов с рансомвари за 2022-й. Такими темпами к концу года выплаты могут приблизиться к рекорду 2021-го, когда злоумышленникам выплатили почти миллиард долларов.
При этом доходы от прочей киберпреступной деятельности серьёзно просели. Исследователи связывают финансовые успехи рансомварщиков с увеличением сумм выкупа: первый квартал 2023-го показал беспрецедентный рост крупных платежей. В топе по-прежнему BlackBasta, LockBit, Blackcat и Clop; у последних средние выплаты идут на уровне $1,7 миллионов. И клопы-оппортунисты в этом году отличились уже дважды: 129 атак через GoAnywhere в рекордном марте, уже 267 жертв атаки через MOVEit, и счётчик всё тикает. Ну а в тени больших рансомварь-мальчиков живут стервятники уровня операций Dharma и Phobos, которые стригут свои средние баксов 300 с простых юзеров.
@tomhunter
При этом доходы от прочей киберпреступной деятельности серьёзно просели. Исследователи связывают финансовые успехи рансомварщиков с увеличением сумм выкупа: первый квартал 2023-го показал беспрецедентный рост крупных платежей. В топе по-прежнему BlackBasta, LockBit, Blackcat и Clop; у последних средние выплаты идут на уровне $1,7 миллионов. И клопы-оппортунисты в этом году отличились уже дважды: 129 атак через GoAnywhere в рекордном марте, уже 267 жертв атаки через MOVEit, и счётчик всё тикает. Ну а в тени больших рансомварь-мальчиков живут стервятники уровня операций Dharma и Phobos, которые стригут свои средние баксов 300 с простых юзеров.
@tomhunter
🔥7
#news В сетевых дебрях замечена занятная редкость: новая безфайловая малварь под Linux. Написанный на Питоне вредонос PyLoose нацелен на облачную рабочую нагрузку и майнит Monero прямиком из памяти. Что в определённой степени делает его уникальным в своём роде.
Исследователи засекли первые атаки 22 июня и насчитали уже 200 случаев. Злоумышленники стучатся по сервисам Jupyter Notebook, на которых не ограничены системные команды. Затем подтягивают малварь с аналога Pastebin и грузят в память через memfd относительно свежий XMRig Miner, что позволяет обходить большинство защитных решений. Приписать атаку кому-то конкретному не удалось, отмечают только её продвинутость в сравнении с прочими такого рода. Подробнее о PyLoose в отчёте.
@tomhunter
Исследователи засекли первые атаки 22 июня и насчитали уже 200 случаев. Злоумышленники стучатся по сервисам Jupyter Notebook, на которых не ограничены системные команды. Затем подтягивают малварь с аналога Pastebin и грузят в память через memfd относительно свежий XMRig Miner, что позволяет обходить большинство защитных решений. Приписать атаку кому-то конкретному не удалось, отмечают только её продвинутость в сравнении с прочими такого рода. Подробнее о PyLoose в отчёте.
@tomhunter
🔥10❤3🤔2🤯1
#news В сеть утекли исходники малвари BlackLotus. Напомню, это наделавший немало шуму UEFI-буткит под Винду, обходящий Secure Boot на полностью патченной Windows 11 вместе с антивирусным софтом. А также он закрепляется в системе и подтягивает нагрузку с максимальными правами. Ну и запутанный процесс установки фикса от Майкрософт, ввиду чего многие просто не стали его накатывать, не способствовал решению проблемы.
Разработчик исходники ранее не раскрывал, вместо этого предлагая ребилды за отдельный ценник. Между тем слив неполный: в нём только сам руткит и код буткита для обхода Secure Boot. Тем не менее, и этого будет достаточно, чтобы использовать исходники под новые уязвимости в загрузчике. Так что потенциально, увы, нас ждёт много продвинутых UEFI-буткитов, хороших и разных и с пока неизвестными эксплойтами. Желающие поковыряться в коде BlackLotus найдут его на ГитХабе.
@tomhunter
Разработчик исходники ранее не раскрывал, вместо этого предлагая ребилды за отдельный ценник. Между тем слив неполный: в нём только сам руткит и код буткита для обхода Secure Boot. Тем не менее, и этого будет достаточно, чтобы использовать исходники под новые уязвимости в загрузчике. Так что потенциально, увы, нас ждёт много продвинутых UEFI-буткитов, хороших и разных и с пока неизвестными эксплойтами. Желающие поковыряться в коде BlackLotus найдут его на ГитХабе.
@tomhunter
🔥8😢1
#news Гугл выбрал занятный способ бороться со статусом их магазина как крупнейшего доставщика малвари в мире. Теперь при регистрации аккаунта разработчика организации должны будут предоставлять номер DUNS. Это уникальный девятизначный код, выдаваемый компанией В&B, и международный стандарт идентификации бизнесов. Между тем его получение занимает до 30 дней.
Идентификация разработчиков по DUNS призвана решить проблему перезалива малвари в Google Store под новыми аккаунтами, которые сейчас создать после бана – дело элементарное. Кроме того, раздел «Contact details» переименуют в «App Support» и добавят в него новую информацию о разработчике – название компании, адрес офиса и сайта плюс номер телефона. Всё это удовольствие вступит в силу с 31 августа для новых аккаунтов и со временем распространится на всех. Кому нововведение создаст больше проблем – легитимным разработчикам со всего мира или злоумышленникам – пока вопрос, мягко скажем, открытый.
@tomhunter
Идентификация разработчиков по DUNS призвана решить проблему перезалива малвари в Google Store под новыми аккаунтами, которые сейчас создать после бана – дело элементарное. Кроме того, раздел «Contact details» переименуют в «App Support» и добавят в него новую информацию о разработчике – название компании, адрес офиса и сайта плюс номер телефона. Всё это удовольствие вступит в силу с 31 августа для новых аккаунтов и со временем распространится на всех. Кому нововведение создаст больше проблем – легитимным разработчикам со всего мира или злоумышленникам – пока вопрос, мягко скажем, открытый.
@tomhunter
😁7🔥4🤡2
#news Исследователи изучили Docker Hub на предмет образов, содержащих ключи. Результат немного предсказуем: репозиторий под завязку набит контейнерами со всевозможными ключами. В среднем они нашлись в около 8,5 процентов образов на платформе.
Масштабы утечек и перспективы для атак внушительные. Так, исследователи насчитали ключи к ~22 тысячам сертификатов, среди которых больше тысячи публичных. Помимо этого, обнаружились почти 300 тысяч хостов, работающих на скомпрометированных ключах. SSH-сервера, кубы, тысячи почтовых серверов, FTP, IoT-хосты… Список можно продолжать. Между тем на самом Docker Hub 9 процентов утечек, а в приватных репах — 6,3 процента. С одной стороны, это говорит о том, что юзеры последних понимают в инфобезе чуть больше. С другой, понимают-то всё же явно недостаточно. Подробнее о масштабах проблемы в исследовании.
@tomhunter
Масштабы утечек и перспективы для атак внушительные. Так, исследователи насчитали ключи к ~22 тысячам сертификатов, среди которых больше тысячи публичных. Помимо этого, обнаружились почти 300 тысяч хостов, работающих на скомпрометированных ключах. SSH-сервера, кубы, тысячи почтовых серверов, FTP, IoT-хосты… Список можно продолжать. Между тем на самом Docker Hub 9 процентов утечек, а в приватных репах — 6,3 процента. С одной стороны, это говорит о том, что юзеры последних понимают в инфобезе чуть больше. С другой, понимают-то всё же явно недостаточно. Подробнее о масштабах проблемы в исследовании.
@tomhunter
🔥3🤯2
#news На VirusTotal случился небольшой конфуз: утечка файла с 5,600 названиями организаций, именами и почтовыми ящиками зарегистрированных пользователей. В списке работники Агентства Национальной Безопасности США, ФБР и спецслужб из других стран. А файл с базой, собственно, нечаянно залил в открытый доступ на сайте сотрудник компании. Ну, бывает.
Гугл утечку подтвердил и сообщил, что файл провисел меньше часа после залива. Также компания по следам инцидента обещает улучшить внутренние процессы и поработать над защитой информации. В общем, ответственному за этот неловкий момент сотруднику надают по рукам и лишат доступа в игровую комнату. Две недели без Плейстейшн и настольного тенниса, в следующий раз будьте внимательнее.
@tomhunter
Гугл утечку подтвердил и сообщил, что файл провисел меньше часа после залива. Также компания по следам инцидента обещает улучшить внутренние процессы и поработать над защитой информации. В общем, ответственному за этот неловкий момент сотруднику надают по рукам и лишат доступа в игровую комнату. Две недели без Плейстейшн и настольного тенниса, в следующий раз будьте внимательнее.
@tomhunter
😁16🔥2
#news Занятный привет из прошлого: в аэропорту Барселоны арестовали предполагаемого разработчика лжеантивируса, который активно распространяли с 2006-го по 2011-й год. Неназванный гражданин Украины скрывался от следствия больше десяти лет.
Подробностей ареста мало, но судя по всему, он связан с операцией «Trident Tribunal»: в 2011-м году ФБР арестовали хакеров в 12 странах — в том числе Украине, Латвии и Литве — по следам распространения лжеантивирусного софта, он же scareware. Тогда злоумышленники стригли 129 баксов с жертв, пугая их страшными компьютерными вирусами, и в итоге набрался почти миллион суммарно заплативших им 72 миллиона долларов. Ну а теперь многие годы спустя в лапы правосудия попал наш незадачливый идейный борец за денежные знаки. И где-то по российским закоулкам крепко задумались над своей судьбой нынешние неуловимые рансомварь-ковбои и будущие герои таких же новостных заголовков.
@tomhunter
Подробностей ареста мало, но судя по всему, он связан с операцией «Trident Tribunal»: в 2011-м году ФБР арестовали хакеров в 12 странах — в том числе Украине, Латвии и Литве — по следам распространения лжеантивирусного софта, он же scareware. Тогда злоумышленники стригли 129 баксов с жертв, пугая их страшными компьютерными вирусами, и в итоге набрался почти миллион суммарно заплативших им 72 миллиона долларов. Ну а теперь многие годы спустя в лапы правосудия попал наш незадачливый идейный борец за денежные знаки. И где-то по российским закоулкам крепко задумались над своей судьбой нынешние неуловимые рансомварь-ковбои и будущие герои таких же новостных заголовков.
@tomhunter
😁6🔥3
#news В сетевых дебрях новая рансомварь-как-услуга, причём не простая, а выдающая себя за олдовую инфобез-компанию. Обнаруженный в сети SophosEncrypt сначала приняли за инструмент красной команды Sophos, но компания сообщила, что отношения к нему не имеет. Помимо названия рансомварь имеет соответствующее расширение и обои с брендом, за который себя выдаёт.
Энкриптор написан на Rust c AES256-CBC шифрованием. После ввода токена жертвы из рансомварь-панели он предлагает зашифровать либо один файл, либо все разом. Ну а для связи зазывает в Jabber с заманчивым предложением поделиться биткоинами. О самой операции пока известно мало, но айпишник С2-сервера уже больше года пингуется как хост для атак через Cobalt Strike и засылки криптомайнеров. Между тем на ID Ransomware уже есть образец от жертвы, так что скоро почту Sophos могут завалить гневные письма. Ну или предложения заслать битков от не справившихся с древней жаба-технологией. Тут уж как повезёт.
@tomhunter
Энкриптор написан на Rust c AES256-CBC шифрованием. После ввода токена жертвы из рансомварь-панели он предлагает зашифровать либо один файл, либо все разом. Ну а для связи зазывает в Jabber с заманчивым предложением поделиться биткоинами. О самой операции пока известно мало, но айпишник С2-сервера уже больше года пингуется как хост для атак через Cobalt Strike и засылки криптомайнеров. Между тем на ID Ransomware уже есть образец от жертвы, так что скоро почту Sophos могут завалить гневные письма. Ну или предложения заслать битков от не справившихся с древней жаба-технологией. Тут уж как повезёт.
@tomhunter
🔥3😁2🤯1
#news Любопытное развитие истории со взломом JumpCloud. Облачная платформа формата каталог-как-услуга на днях сообщила о взломе некими госхакерами в конце июня. Точечным фишингом по сотруднику они проникли в системы, точечно же отправились по данные клиентов компании. Ну а теперь понятно, что это был за «крайне узкий набор затронутых клиентов» – за взломом стояла северокорейская Lazarus.
Исследователи прошлись по IoCs по следам атаки, и они светились в предыдущих на цепочку поставок из КНДР. Так что перед нами очередной этап увлекательной гонки на время «Помогите Ким Чен Ыну свести бюджет на 2023-й, или ваша семья отправится в ГУЛАГ», и едва ли последний в этом году. Криптостахановцам из Lazarus не позавидуешь: выполнить и перевыполнить госплан по крипте после прошлогодней рекордной кражи с моста Ronin будет совсем уж непросто. Вот и стараются, бедняги.
@tomhunter
Исследователи прошлись по IoCs по следам атаки, и они светились в предыдущих на цепочку поставок из КНДР. Так что перед нами очередной этап увлекательной гонки на время «Помогите Ким Чен Ыну свести бюджет на 2023-й, или ваша семья отправится в ГУЛАГ», и едва ли последний в этом году. Криптостахановцам из Lazarus не позавидуешь: выполнить и перевыполнить госплан по крипте после прошлогодней рекордной кражи с моста Ronin будет совсем уж непросто. Вот и стараются, бедняги.
@tomhunter
🔥5😁2
#news Злоумышленники проявляют всё больше интереса к языковым моделям. Больше 200 тысяч данных доступа к ChatGPT на продажу в дарквебе, почти 30 тысяч упоминаний модели по тематическим форумам и группам за полгода. А из новинок на хакерском рынке WormGPT – натасканный на малвари чат-бот. По заявлениям разработчика, «идеальная альтернатива ChatGPT для черношляпочников под всякое нелегальное».
Поковырявшись в инструменте, исследователь обнаружил, что WormGPT, как минимум, пишет фишинговые письма лучше среднего господина Самбубу из Нигерии. Убедительно, стратегически продуманно и без грамматических ошибок. Детали датасетов, на которых натаскивают модель, разработчик не раскрывает, так что прочий функционал ещё предстоит изучить. Но в руках не самых умелых злоумышленников, увы, инструмент уже может стать неплохим подспорьем. Ну или хотя бы грамотную рансомварь-записку за них напишет.
@tomhunter
Поковырявшись в инструменте, исследователь обнаружил, что WormGPT, как минимум, пишет фишинговые письма лучше среднего господина Самбубу из Нигерии. Убедительно, стратегически продуманно и без грамматических ошибок. Детали датасетов, на которых натаскивают модель, разработчик не раскрывает, так что прочий функционал ещё предстоит изучить. Но в руках не самых умелых злоумышленников, увы, инструмент уже может стать неплохим подспорьем. Ну или хотя бы грамотную рансомварь-записку за них напишет.
@tomhunter
🔥4😁4❤1
#news Ни дня без новостей про Lazarus! ГитХаб рапортует о небольшой кампании группировки на платформе. Цель, как обычно, разработчики в блокчейне, крипте, онлайн-казино и инфобез-среде. Со скомпрометированных аккаунтов реальных рекрутеров и разработчиков или от фейковых персон приходят предложения о сотрудничестве. А дальше в дело идёт малварь.
Втеревшись в доверие, северокорейские лазари предлагают клонировать репу на Гитхабе, ну а в ней вредоносные NPM-зависимости. Они служат в качестве загрузчика, подтягивающих неизвестную малварь. Исследователи отмечают занятную цепочку атаки: особый порядок установки двух разных пакетов на устройстве жертвы. Плюс вредонос сидит на серверах и динамично подтягивается в процессе выполнения. Между тем Гитхаб всё оперативно потёр и опубликовал IoCs по следам кампании. Неугомонные северокорейские стахановцы, теперь и на Гитхабе!
@tomhunter
Втеревшись в доверие, северокорейские лазари предлагают клонировать репу на Гитхабе, ну а в ней вредоносные NPM-зависимости. Они служат в качестве загрузчика, подтягивающих неизвестную малварь. Исследователи отмечают занятную цепочку атаки: особый порядок установки двух разных пакетов на устройстве жертвы. Плюс вредонос сидит на серверах и динамично подтягивается в процессе выполнения. Между тем Гитхаб всё оперативно потёр и опубликовал IoCs по следам кампании. Неугомонные северокорейские стахановцы, теперь и на Гитхабе!
@tomhunter
🔥10
#news По следам своего звёздного часа с MOVEit Clop ищут всё новые методы давления на взломанные компании. Так, группировка переняла тактику BlackCat и создает сайты для слива данных в верхнем интернете. Логика понятная: для дарквеба и Tor нужен, и скорости скачивания барахлят, и поисковиков для индексации нет. Среднему сотруднику такое сложно, у него лапки – искать себя во взломах Clop в соседней вкладке с фейсбуком проще и приятнее.
Впрочем, сайты эти долго не живут и их оперативно кладут и провайдеры, и дудосы от инфобез-фирм, и прочие желающие. Так что толку от новой тактики мало. В группировке это тоже, видимо, понимают: сайты поднимают на скорую руку просто со списочком архивов на скачивание. Но с учётом того, что от взломов через MOVEit клопам светит до $75-100 миллионов выплат, попытки выжать всё до последнего цента любыми доступными методами вполне ожидаемы.
@tomhunter
Впрочем, сайты эти долго не живут и их оперативно кладут и провайдеры, и дудосы от инфобез-фирм, и прочие желающие. Так что толку от новой тактики мало. В группировке это тоже, видимо, понимают: сайты поднимают на скорую руку просто со списочком архивов на скачивание. Но с учётом того, что от взломов через MOVEit клопам светит до $75-100 миллионов выплат, попытки выжать всё до последнего цента любыми доступными методами вполне ожидаемы.
@tomhunter
🔥6😁2