#news Первое полугодие 2023-го выдалось урожайным для рансомварщиков: полученные на июнь выкупы суммарно уже вплотную подошли к выплатам за весь прошлый год. Почти $450 миллиардов составляют 90% доходов с рансомвари за 2022-й. Такими темпами к концу года выплаты могут приблизиться к рекорду 2021-го, когда злоумышленникам выплатили почти миллиард долларов.

При этом доходы от прочей киберпреступной деятельности серьёзно просели. Исследователи связывают финансовые успехи рансомварщиков с увеличением сумм выкупа: первый квартал 2023-го показал беспрецедентный рост крупных платежей. В топе по-прежнему BlackBasta, LockBit, Blackcat и Clop; у последних средние выплаты идут на уровне $1,7 миллионов. И клопы-оппортунисты в этом году отличились уже дважды: 129 атак через GoAnywhere в рекордном марте, уже 267 жертв атаки через MOVEit, и счётчик всё тикает. Ну а в тени больших рансомварь-мальчиков живут стервятники уровня операций Dharma и Phobos, которые стригут свои средние баксов 300 с простых юзеров.

@tomhunter

#news В сетевых дебрях замечена занятная редкость: новая безфайловая малварь под Linux. Написанный на Питоне вредонос PyLoose нацелен на облачную рабочую нагрузку и майнит Monero прямиком из памяти. Что в определённой степени делает его уникальным в своём роде.

Исследователи засекли первые атаки 22 июня и насчитали уже 200 случаев. Злоумышленники стучатся по сервисам Jupyter Notebook, на которых не ограничены системные команды. Затем подтягивают малварь с аналога Pastebin и грузят в память через memfd относительно свежий XMRig Miner, что позволяет обходить большинство защитных решений. Приписать атаку кому-то конкретному не удалось, отмечают только её продвинутость в сравнении с прочими такого рода. Подробнее о PyLoose в отчёте.

@tomhunter

#news В сеть утекли исходники малвари BlackLotus. Напомню, это наделавший немало шуму UEFI-буткит под Винду, обходящий Secure Boot на полностью патченной Windows 11 вместе с антивирусным софтом. А также он закрепляется в системе и подтягивает нагрузку с максимальными правами. Ну и запутанный процесс установки фикса от Майкрософт, ввиду чего многие просто не стали его накатывать, не способствовал решению проблемы.

Разработчик исходники ранее не раскрывал, вместо этого предлагая ребилды за отдельный ценник. Между тем слив неполный: в нём только сам руткит и код буткита для обхода Secure Boot. Тем не менее, и этого будет достаточно, чтобы использовать исходники под новые уязвимости в загрузчике. Так что потенциально, увы, нас ждёт много продвинутых UEFI-буткитов, хороших и разных и с пока неизвестными эксплойтами. Желающие поковыряться в коде BlackLotus найдут его на ГитХабе.

@tomhunter

#news Гугл выбрал занятный способ бороться со статусом их магазина как крупнейшего доставщика малвари в мире. Теперь при регистрации аккаунта разработчика организации должны будут предоставлять номер DUNS. Это уникальный девятизначный код, выдаваемый компанией В&B, и международный стандарт идентификации бизнесов. Между тем его получение занимает до 30 дней.

Идентификация разработчиков по DUNS призвана решить проблему перезалива малвари в Google Store под новыми аккаунтами, которые сейчас создать после бана – дело элементарное. Кроме того, раздел «Contact details» переименуют в «App Support» и добавят в него новую информацию о разработчике – название компании, адрес офиса и сайта плюс номер телефона. Всё это удовольствие вступит в силу с 31 августа для новых аккаунтов и со временем распространится на всех. Кому нововведение создаст больше проблем – легитимным разработчикам со всего мира или злоумышленникам – пока вопрос, мягко скажем, открытый.

@tomhunter

#news Исследователи изучили Docker Hub на предмет образов, содержащих ключи. Результат немного предсказуем: репозиторий под завязку набит контейнерами со всевозможными ключами. В среднем они нашлись в около 8,5 процентов образов на платформе.

Масштабы утечек и перспективы для атак внушительные. Так, исследователи насчитали ключи к ~22 тысячам сертификатов, среди которых больше тысячи публичных. Помимо этого, обнаружились почти 300 тысяч хостов, работающих на скомпрометированных ключах. SSH-сервера, кубы, тысячи почтовых серверов, FTP, IoT-хосты… Список можно продолжать. Между тем на самом Docker Hub 9 процентов утечек, а в приватных репах — 6,3 процента. С одной стороны, это говорит о том, что юзеры последних понимают в инфобезе чуть больше. С другой, понимают-то всё же явно недостаточно. Подробнее о масштабах проблемы в исследовании.

@tomhunter

#news На VirusTotal случился небольшой конфуз: утечка файла с 5,600 названиями организаций, именами и почтовыми ящиками зарегистрированных пользователей. В списке работники Агентства Национальной Безопасности США, ФБР и спецслужб из других стран. А файл с базой, собственно, нечаянно залил в открытый доступ на сайте сотрудник компании. Ну, бывает.

Гугл утечку подтвердил и сообщил, что файл провисел меньше часа после залива. Также компания по следам инцидента обещает улучшить внутренние процессы и поработать над защитой информации. В общем, ответственному за этот неловкий момент сотруднику надают по рукам и лишат доступа в игровую комнату. Две недели без Плейстейшн и настольного тенниса, в следующий раз будьте внимательнее.

@tomhunter

#news Занятный привет из прошлого: в аэропорту Барселоны арестовали предполагаемого разработчика лжеантивируса, который активно распространяли с 2006-го по 2011-й год. Неназванный гражданин Украины скрывался от следствия больше десяти лет.

Подробностей ареста мало, но судя по всему, он связан с операцией «Trident Tribunal»: в 2011-м году ФБР арестовали хакеров в 12 странах — в том числе Украине, Латвии и Литве — по следам распространения лжеантивирусного софта, он же scareware. Тогда злоумышленники стригли 129 баксов с жертв, пугая их страшными компьютерными вирусами, и в итоге набрался почти миллион суммарно заплативших им 72 миллиона долларов. Ну а теперь многие годы спустя в лапы правосудия попал наш незадачливый идейный борец за денежные знаки. И где-то по российским закоулкам крепко задумались над своей судьбой нынешние неуловимые рансомварь-ковбои и будущие герои таких же новостных заголовков.

@tomhunter

#news В сетевых дебрях новая рансомварь-как-услуга, причём не простая, а выдающая себя за олдовую инфобез-компанию. Обнаруженный в сети SophosEncrypt сначала приняли за инструмент красной команды Sophos, но компания сообщила, что отношения к нему не имеет. Помимо названия рансомварь имеет соответствующее расширение и обои с брендом, за который себя выдаёт.

Энкриптор написан на Rust c AES256-CBC шифрованием. После ввода токена жертвы из рансомварь-панели он предлагает зашифровать либо один файл, либо все разом. Ну а для связи зазывает в Jabber с заманчивым предложением поделиться биткоинами. О самой операции пока известно мало, но айпишник С2-сервера уже больше года пингуется как хост для атак через Cobalt Strike и засылки криптомайнеров. Между тем на ID Ransomware уже есть образец от жертвы, так что скоро почту Sophos могут завалить гневные письма. Ну или предложения заслать битков от не справившихся с древней жаба-технологией. Тут уж как повезёт.

@tomhunter

#news Любопытное развитие истории со взломом JumpCloud. Облачная платформа формата каталог-как-услуга на днях сообщила о взломе некими госхакерами в конце июня. Точечным фишингом по сотруднику они проникли в системы, точечно же отправились по данные клиентов компании. Ну а теперь понятно, что это был за «крайне узкий набор затронутых клиентов» – за взломом стояла северокорейская Lazarus.

Исследователи прошлись по IoCs по следам атаки, и они светились в предыдущих на цепочку поставок из КНДР. Так что перед нами очередной этап увлекательной гонки на время «Помогите Ким Чен Ыну свести бюджет на 2023-й, или ваша семья отправится в ГУЛАГ», и едва ли последний в этом году. Криптостахановцам из Lazarus не позавидуешь: выполнить и перевыполнить госплан по крипте после прошлогодней рекордной кражи с моста Ronin будет совсем уж непросто. Вот и стараются, бедняги.

@tomhunter

#news Злоумышленники проявляют всё больше интереса к языковым моделям. Больше 200 тысяч данных доступа к ChatGPT на продажу в дарквебе, почти 30 тысяч упоминаний модели по тематическим форумам и группам за полгода. А из новинок на хакерском рынке WormGPT – натасканный на малвари чат-бот. По заявлениям разработчика, «идеальная альтернатива ChatGPT для черношляпочников под всякое нелегальное».

Поковырявшись в инструменте, исследователь обнаружил, что WormGPT, как минимум, пишет фишинговые письма лучше среднего господина Самбубу из Нигерии. Убедительно, стратегически продуманно и без грамматических ошибок. Детали датасетов, на которых натаскивают модель, разработчик не раскрывает, так что прочий функционал ещё предстоит изучить. Но в руках не самых умелых злоумышленников, увы, инструмент уже может стать неплохим подспорьем. Ну или хотя бы грамотную рансомварь-записку за них напишет.

@tomhunter

#news Ни дня без новостей про Lazarus! ГитХаб рапортует о небольшой кампании группировки на платформе. Цель, как обычно, разработчики в блокчейне, крипте, онлайн-казино и инфобез-среде. Со скомпрометированных аккаунтов реальных рекрутеров и разработчиков или от фейковых персон приходят предложения о сотрудничестве. А дальше в дело идёт малварь.

Втеревшись в доверие, северокорейские лазари предлагают клонировать репу на Гитхабе, ну а в ней вредоносные NPM-зависимости. Они служат в качестве загрузчика, подтягивающих неизвестную малварь. Исследователи отмечают занятную цепочку атаки: особый порядок установки двух разных пакетов на устройстве жертвы. Плюс вредонос сидит на серверах и динамично подтягивается в процессе выполнения. Между тем Гитхаб всё оперативно потёр и опубликовал IoCs по следам кампании. Неугомонные северокорейские стахановцы, теперь и на Гитхабе!

@tomhunter

#news По следам своего звёздного часа с MOVEit Clop ищут всё новые методы давления на взломанные компании. Так, группировка переняла тактику BlackCat и создает сайты для слива данных в верхнем интернете. Логика понятная: для дарквеба и Tor нужен, и скорости скачивания барахлят, и поисковиков для индексации нет. Среднему сотруднику такое сложно, у него лапки – искать себя во взломах Clop в соседней вкладке с фейсбуком проще и приятнее.

Впрочем, сайты эти долго не живут и их оперативно кладут и провайдеры, и дудосы от инфобез-фирм, и прочие желающие. Так что толку от новой тактики мало. В группировке это тоже, видимо, понимают: сайты поднимают на скорую руку просто со списочком архивов на скачивание. Но с учётом того, что от взломов через MOVEit клопам светит до $75-100 миллионов выплат, попытки выжать всё до последнего цента любыми доступными методами вполне ожидаемы.

@tomhunter

#news Исследователи провели анализ логов с инфостилеров и насчитали в них около двух процентов корпоративных данных доступа. На ~20 миллионов записей пришлось больше 400 тысяч логов к AWS, Okta, DocuSigh, CRM и прочему. Чемпионом здесь оказался AWS – почти половина из этих украденных инфостилерами данных от их консоли.

Резко скакнуло и число логов от OpenAI: их нашли 200 тысяч – в два раза больше от предыдущих чисел, о которых сообщали в июне. Что занятно, корпоративные логи в большом количестве засветились на русскоязычном Russian Market и в VIP-каналах в Телеграме. Так что пресловутые русские хакеры случайно или намеренно работают инфостилерами с прицелом на корпорации. Ну или дело просто в том, что средний российский работник знает об инфобезе меньше своих зарубежных коллег и чаще использует рабочий компьютер для личных нужд и прочих развесёлых ферм.

@tomhunter

#news Тренд на криптостилеры под Маки продолжается: в сети замечена новая малварь Realst с прицелом на последние версии Макоси – в свежих версиях задел под ещё не вышедшую Sonoma. Более того, исследователи насчитали 16 версий вредоноса, что говорит о его активной разработке. Подробнее о Realst в отчёте.

Распространяют его не менее масштабно вместе с привычными инфостилерами под Винду: в сети почти десяток сайтов с криптоиграми, под каждую свои аккаунты на других платформах. Злоумышленники набирают тестеров через личные сообщения, а затем те обнаруживают свои кошельки опустошёнными через 10 минут после скачивания игрульки. А на память о дорогих сердцу цифровых монетках остаются только ехидно глядящие из инсталлятора ящерки. Увы!

@tomhunter

#news НАТО расследует взлом одного из своих интернет-ресурсов – COI Cooperation Portal, предназначенного для распространения незасекреченной информации между членами альянса. Хакеры из некой SiegedSec выложили архив на 845 метров документов и 8000 строк пользовательской инфы с портала. Имена, подразделения, должности, почты, домашние адреса и фото юзеров. Если утечку подтвердят, она затронет все 31 страну в альянсе.

Группировка хоть и хактивистская, но с текущим конфликтом свой взлом не связывает. И утверждает, что взломали они этот портал от большой нелюбви к НАТО и веселья ради. Между тем хактивисты бывают… разные. И содержимое поста со сливом вызывает острое желание, так сказать, увидеть всю военную мощь пресловутого альянса по месту жительства товарищей из SiegedSec. Борьба с фурри-угрозой требует решительных мер!

@tomhunter

#news В Ubuntu нашли пару свежих уязвимостей, позволяющих локальным юзерам повысить привилегии. И затрагивают они солидную часть пользователей – ни много ни мало 40 процентов юзеров дистрибутива. Высокая CVE-2023-2640 на недостаточную проверку разрешений в ядре и средняя CVE-2023-35929 на произвольное выполнение кода.

Ну а причиной тому опять стал модуль OverlayFS. Исследователи обнаружили, что внесённые в него изменения в самой Ubuntu конфликтуют с позже внедрёнными Linux Kernel Project и недавно добавленными в дистр. Ну и конфликты в коде привели к новым уязвимостям, а также публично доступным проверкам концепции к ним. Форки Ubuntu без модификаций OverlayFS не затронуты. Между тем разработчики уже выкатили бюллетень по уязвимостям и исправления к ним. Пришло время обновлять ядро, ядро само себя не обновит!

@tomhunter

#news Про многочисленные фишинговые кампании и взломы от неутомимых ударников криптовалютного труда из Lazarus последнее время было много новостей. А где результаты? А вот они. Кражу с централизованной платформы Alphapo по обслуживанию сервисов азартных игр в прошлое воскресенье приписывают северокорейцам. По последним подсчётам с неё стянули $60 миллионов всевозможной крипты.

Судя по утёкшим с разных горячих кошельков средствам и внезапной остановке сервиса, в руки взломщикам попали приватные ключи. Так что, скорее всего, одна из недавних фишинговых шалостей Lazarus удалась и привела, так сказать, к их плодотворному сотрудничеству с очередной криптоплатформой. По крайней мере, к такому выводу пришли несколько блокчейн-аналитиков. Ну а нам остаётся делать ставки, сколько ещё несчастных платформ падут жертвой северокорейских криптостахановцев в этом году.

@tomhunter

#news Обычно об утечках волнуются простые юзеры, но не сегодня: на продажу в сети выставлена база данных почившего Breached. Вместе со всеми таблицами, включая инфу на пользователей, их приватные сообщения и платежи. С кучей всего инкриминирующего из чатиков и голыми айпишниками доморощенных хакеров. В свете последнего, напомню, база вместе с серверами с марта в руках у ФБР.

Товарищ Baphomet сообщил, что, судя по 212 тысячам юзеров, база на продажу старая – видимо, со взлома Breached в ноябре прошлого года. На момент закрытия на сайте было 336 тысяч аккаунтов. Два гига инфы уйдут с молотка одному счастливчику, и продавец сообщает о предложениях в четверть миллиона долларов. Между тем в качестве подтверждения он также поделился пользовательской базой с Have I Been Pwned. Так что все плохие мальчики и девочки могут искать себя в прохиндеях Breached на соответствующем сервисе.

@tomhunter

#news И снова в эфире… Lazarus. Успели соскучиться? Эстонский сервис криптоплатежей CoinsPaid обвинил группировку во взломе от 22 июля. С платформы стянули ~37 миллионов долларов, и компания заявила, что взломщики «рассчитывали на гораздо большее».

Клиентские средства не затронуты, сам сервис на несколько дней выпал из обработки платежей, а в пресс-релизе жизнерадостно расхваливают свою героическую работу по оставлению северокорейцев с рекордно низким уловом. Ещё больше амбиций у CEO компании, который заявил, что «хакеры точно не уйдут от правосудия». Снарядят ли в CoinsPaid на битки отряд головорезов для инфильтрации в КНДР или отправят запрос на экстрадицию товарищу Ким Чен Ыну, не уточняется. Между тем CoinsPaid работает в той же сфере, что и Alpapho, а это как бы намекает на цели атак северокорейских криптостахановцев в этом сезоне. В общем, Lazarus – это новая Log4j с новостями на каждый день. Оставайтесь с нами.

@tomhunter

#news Гугл опубликовал ежегодный отчёт об уязвимостях нулевого дня под Андроид. Прошлый год отметился 41 нулевым днём с эксплойтами, что на 40% меньше рекорда 2021-го, принёсшего нам 69 (nice). Из ключевых моментов, злоумышленники уходят в сторону атак без участия юзера из-за растущей защиты браузеров, больше 40% нулевых – варианты ранее известных уязвимостей.

Но самая мякотка отчёта – это признание, что эксплойты под 0-day и n-day под Андроид одинаково полезны опасны. Как так? А патчей-то нет. Огромные сроки исправления делают известные уязвимости не менее эффективным вектором атаки для злоумышленников. Так, от фикса CVE-2022-22706 в драйвере ARM Mali GPU до интеграции её исправления Андроидом прошло… 17 месяцев. Плюс ещё месяца три на патчи от производителей. И с такими задержками любой n-day эксплойт в сущности остаётся нулевым днём на месяцы, а то и годы. Эффективная работа экосистемы Андроида и никакого мошенничества!

@tomhunter

#news По следам WormGPT, языковой модели, натренированной под киберпреступные нужды, всплывают всё новые клоны ChatGPT. Так, некто с говорящим ником CanadianKingpin12 продвигает два чат-бота, FraudGPT и DarkBert, с прицелом на мошенников, хакеров и спамеров.

Всплывший 25 июля FraudGPT заманивает впечатляющим функционалом: и вредоносный код напишет, и фишинговую страницу создаст, и спам-письма предоставит, и утечки с уязвимостями найдёт. В том же ключе работает и DarkBert, обещая обучить любого незадачливого злоумышленника всевозможным киберпреступным навыкам и оформить за него вредоносную кампанию любого формата. Насколько растущий рынок вредоносных чат-ботов повлияет на мир инфобеза, ещё только предстоит оценить. Но один момент некоторые восторженные покупатели киберпреступных чудо-приблуд, наверняка, забудут учесть: никакие FraudGPT с DarkBert’ами за очередного малолетнего бога хакинга сидеть не будут.

@tomhunter