#news НАТО расследует взлом одного из своих интернет-ресурсов – COI Cooperation Portal, предназначенного для распространения незасекреченной информации между членами альянса. Хакеры из некой SiegedSec выложили архив на 845 метров документов и 8000 строк пользовательской инфы с портала. Имена, подразделения, должности, почты, домашние адреса и фото юзеров. Если утечку подтвердят, она затронет все 31 страну в альянсе.

Группировка хоть и хактивистская, но с текущим конфликтом свой взлом не связывает. И утверждает, что взломали они этот портал от большой нелюбви к НАТО и веселья ради. Между тем хактивисты бывают… разные. И содержимое поста со сливом вызывает острое желание, так сказать, увидеть всю военную мощь пресловутого альянса по месту жительства товарищей из SiegedSec. Борьба с фурри-угрозой требует решительных мер!

@tomhunter

#news В Ubuntu нашли пару свежих уязвимостей, позволяющих локальным юзерам повысить привилегии. И затрагивают они солидную часть пользователей – ни много ни мало 40 процентов юзеров дистрибутива. Высокая CVE-2023-2640 на недостаточную проверку разрешений в ядре и средняя CVE-2023-35929 на произвольное выполнение кода.

Ну а причиной тому опять стал модуль OverlayFS. Исследователи обнаружили, что внесённые в него изменения в самой Ubuntu конфликтуют с позже внедрёнными Linux Kernel Project и недавно добавленными в дистр. Ну и конфликты в коде привели к новым уязвимостям, а также публично доступным проверкам концепции к ним. Форки Ubuntu без модификаций OverlayFS не затронуты. Между тем разработчики уже выкатили бюллетень по уязвимостям и исправления к ним. Пришло время обновлять ядро, ядро само себя не обновит!

@tomhunter

#news Про многочисленные фишинговые кампании и взломы от неутомимых ударников криптовалютного труда из Lazarus последнее время было много новостей. А где результаты? А вот они. Кражу с централизованной платформы Alphapo по обслуживанию сервисов азартных игр в прошлое воскресенье приписывают северокорейцам. По последним подсчётам с неё стянули $60 миллионов всевозможной крипты.

Судя по утёкшим с разных горячих кошельков средствам и внезапной остановке сервиса, в руки взломщикам попали приватные ключи. Так что, скорее всего, одна из недавних фишинговых шалостей Lazarus удалась и привела, так сказать, к их плодотворному сотрудничеству с очередной криптоплатформой. По крайней мере, к такому выводу пришли несколько блокчейн-аналитиков. Ну а нам остаётся делать ставки, сколько ещё несчастных платформ падут жертвой северокорейских криптостахановцев в этом году.

@tomhunter

#news Обычно об утечках волнуются простые юзеры, но не сегодня: на продажу в сети выставлена база данных почившего Breached. Вместе со всеми таблицами, включая инфу на пользователей, их приватные сообщения и платежи. С кучей всего инкриминирующего из чатиков и голыми айпишниками доморощенных хакеров. В свете последнего, напомню, база вместе с серверами с марта в руках у ФБР.

Товарищ Baphomet сообщил, что, судя по 212 тысячам юзеров, база на продажу старая – видимо, со взлома Breached в ноябре прошлого года. На момент закрытия на сайте было 336 тысяч аккаунтов. Два гига инфы уйдут с молотка одному счастливчику, и продавец сообщает о предложениях в четверть миллиона долларов. Между тем в качестве подтверждения он также поделился пользовательской базой с Have I Been Pwned. Так что все плохие мальчики и девочки могут искать себя в прохиндеях Breached на соответствующем сервисе.

@tomhunter

#news И снова в эфире… Lazarus. Успели соскучиться? Эстонский сервис криптоплатежей CoinsPaid обвинил группировку во взломе от 22 июля. С платформы стянули ~37 миллионов долларов, и компания заявила, что взломщики «рассчитывали на гораздо большее».

Клиентские средства не затронуты, сам сервис на несколько дней выпал из обработки платежей, а в пресс-релизе жизнерадостно расхваливают свою героическую работу по оставлению северокорейцев с рекордно низким уловом. Ещё больше амбиций у CEO компании, который заявил, что «хакеры точно не уйдут от правосудия». Снарядят ли в CoinsPaid на битки отряд головорезов для инфильтрации в КНДР или отправят запрос на экстрадицию товарищу Ким Чен Ыну, не уточняется. Между тем CoinsPaid работает в той же сфере, что и Alpapho, а это как бы намекает на цели атак северокорейских криптостахановцев в этом сезоне. В общем, Lazarus – это новая Log4j с новостями на каждый день. Оставайтесь с нами.

@tomhunter

#news Гугл опубликовал ежегодный отчёт об уязвимостях нулевого дня под Андроид. Прошлый год отметился 41 нулевым днём с эксплойтами, что на 40% меньше рекорда 2021-го, принёсшего нам 69 (nice). Из ключевых моментов, злоумышленники уходят в сторону атак без участия юзера из-за растущей защиты браузеров, больше 40% нулевых – варианты ранее известных уязвимостей.

Но самая мякотка отчёта – это признание, что эксплойты под 0-day и n-day под Андроид одинаково полезны опасны. Как так? А патчей-то нет. Огромные сроки исправления делают известные уязвимости не менее эффективным вектором атаки для злоумышленников. Так, от фикса CVE-2022-22706 в драйвере ARM Mali GPU до интеграции её исправления Андроидом прошло… 17 месяцев. Плюс ещё месяца три на патчи от производителей. И с такими задержками любой n-day эксплойт в сущности остаётся нулевым днём на месяцы, а то и годы. Эффективная работа экосистемы Андроида и никакого мошенничества!

@tomhunter

#news По следам WormGPT, языковой модели, натренированной под киберпреступные нужды, всплывают всё новые клоны ChatGPT. Так, некто с говорящим ником CanadianKingpin12 продвигает два чат-бота, FraudGPT и DarkBert, с прицелом на мошенников, хакеров и спамеров.

Всплывший 25 июля FraudGPT заманивает впечатляющим функционалом: и вредоносный код напишет, и фишинговую страницу создаст, и спам-письма предоставит, и утечки с уязвимостями найдёт. В том же ключе работает и DarkBert, обещая обучить любого незадачливого злоумышленника всевозможным киберпреступным навыкам и оформить за него вредоносную кампанию любого формата. Насколько растущий рынок вредоносных чат-ботов повлияет на мир инфобеза, ещё только предстоит оценить. Но один момент некоторые восторженные покупатели киберпреступных чудо-приблуд, наверняка, забудут учесть: никакие FraudGPT с DarkBert’ами за очередного малолетнего бога хакинга сидеть не будут.

@tomhunter

#news Пока товарищ Мордекай Гури выдумывает изощрённые способы кражи данных с изолированных систем, китайские госхакеры работают по старинке – малварью через флешки. Касперский сообщает о новом китайском вредоносе группировки APT31, с прошлого апреля замеченном в атаках по промышленности в Восточной Европе.

Модульная малварь подтягивает различную нагрузку на разных стадиях. Первый модуль проводит разведку на машине жертвы, второй заражает подключённые флешки через угон DLL экзешником от McAfee и создаёт заманчивый .lnk-файл. Последний же при запуске и заражает изолированную систему, стягивая скрины, логи клавиатуры, заголовки окон, файлы и прочее. И наконец, третий имплант архивирует принесённое жертвой на флешке добро, и затем архив уходит на DropBox. Вариант первого импланта также использует облако Яндекса в качестве С2-сервера, так что малварь продолжает тренд на абьюз легитимных облачных сервисов. Подробнее о китайском поделии в отчёте.

@tomhunter

#news Продолжая тему промышленности, вышел занятный анализ уязвимостей в промышленных системах управления за первое полугодие 2023-го. Результаты, как обычно, удручающие: ~треть уязвимостей, раскрытых за этот период, не имеют исправлений. Это в сравнении с 13 процентами за прошлый год.

Всего за первые полгода сообщили о 670 уязвимостях, из которых 88 критических и 215 высоких. И, собственно, к 227 из них нет патчей. Треть из них в обрабатывающем секторе, четверть – в энергетике. Антирекорд поставила Siemens – в их оборудовании найдена 41 уязвимость. UAF, чтение и запись за пределами буфера, неправильная проверка ввода, состояние гонки – баги на любой вкус. Между тем исследователи сообщают и о росте атак по промышленным объектам: так, по ханипотам безопасников из Nozomi Networks, в среднем, стучатся 813 раз в день с Китаем в топе айпишников. Увы, инфобез в критической инфраструктуре по-прежнему находится на критическом уровне.

@tomhunter

У нас в компании открылась вакансия специалиста по моделированию, сбору и анализу данных цифрового следа. В команду в Санкт-Петербурге нужен человек, не понаслышке знающий о таких вещах, как конкурентная разведка, форензика, ИСУБД и системы визуализации данных. Так что если у вас есть опыт работы в этой области и горячий интерес к OSINT и всему с ним связанному, подробности вакансии выложены на HeadHunter. Оформление по ТК, гибкий график работы, премии и прочие плюшки прилагаются.

@tomhunter

#news По следам недавней RCE-уязвимости в Citrix-серверах идёт её активный эксплойт: к 30 июля исследователи насчитали уже 640 взломанных серверов, получивших бэкдоры в виде веб-шеллов. И это лишь малая часть, которую удалось обнаружить. В качестве вредоноса в атаках, судя по всему, идёт вариант China Chopper.

Citrix исправила уязвимость CVE-2023-3519 18 июля, и за последние пару недель число уязвимых серверов сократилось с ~15 тысяч до, кхм, всего ~10 тысяч. Так что прогресс в накатывании патча есть, но довольно неспешный. Неспешный до такой степени, что если патч ещё не установлен, исследователи рекомендуют заранее считать сервер скомпрометированным. CISA также сообщает об активном эксплойте, включая по критической инфраструктуре в Штатах, и требует поставить патч до 9 августа. В общем, перед нами в прямом эфире гонка наперегонки со злоумышленниками формата «Пропатчь меня, если успеешь» с перспективой громких рансомварь-атак. Так что будем следить за развитием событий.

@tomhunter

#news Ломающие новости: хактивистские группировки используют обычные киберпреступные методы для финансирования своих операций. Исследователи прошлись по полудюжине громких имён и обнаружили, что не дудосом единым и сливами живут хактивисты всех сортов. А также продажей данных, ботнетами и малварью в качестве услуг, шантажом и прочими маленькими шалостями.

Так, товарищи из Killnet шантажируют жертв, оказывают услуги по взлому и DDoS’у, а также ведут курсы хакинга для самых маленьких. А в мае анонсировали криптобиржу – видимо, амбиции Conti покоя не дают. Помимо этого, Killnet и Anonymous Killnet Sudan торгуют логами, украденными данными и доступом к сетям. Anonymous Russia и Passion держат ботнеты. Антииранские хактивисты из Arvin Club ведут премиум-канал с эксплойтами и сливами… В общем, ничего удивительного. Одним хактивизмом сыт не будешь, а профиль работы, мягко говоря, к такому располагает. Днём ты простой киберпреступник, а ночью воюешь с проклятым Западом. Или наоборот. Так и живём.

@tomhunter

#news Проукраинские хакеры взломали сайт МосгорБТИ – бюро технической инвентаризации с данными о недвижимости и её собственниках в Москве. В появившейся на сайте заглушке они сообщили, что информация из базы передана СБУ, а инфраструктура и базы данных МосгорБТИ уничтожены.

Аккаунт, ссылка на который дана в заглушке, связан с атакой на RuTube, положившей сайт в мае 2022-го. Между тем в МосгорБТИ подтвердили взлом, но утечку отрицают – взломщики якобы получили доступ только к постингу, а база данных с информацией о недвижимости лежит отдельно и хорошо защищена. Формулировка в заявлении, конечно, занятная: «Сайт является только каналом для заказа документов и напрямую не связан с информационными системами учреждения». Сам сайт лежит. Что ж, проживающим в Москве особистам, военным и прочим товарищам, чья служба и опасна, и трудна, остаётся надеяться, что утечки действительно не было. Какие перспективы могут быть у такого слива в текущих условиях, думаю, объяснять не нужно.

@tomhunter

#news Небольшой апдейт к новости выше. В ответ на заявление МосгорБТИ хакеры выложили предположительно часть стянутой базы данных, 14ГБ файлов. И прочие пруфы касаемо их утверждений об уничтоженной инфраструктуре. Се ля ви.

@tomhunter

#news В эфире снова Lazarus и их друзья из ScarCruft, но под неожиданным углом: Reuters со ссылкой на отчёт SentinelLabs утверждает, что северокорейцы взломали сети нашего «НПО Машиностроения» и имели к ним доступ с конца 2021-го по май 2022-го, когда взлом был обнаружен. А оное НПО, собственно, производит крылатые и баллистические ракеты.

Дальше больше. Отчёт SentinelLabs выстроен на попавшей к ним случайной утечке электронных писем из корпорации. Злоумышленники скомпрометировали в ней почтовый сервер, а также использовали лазаровский бэкдор под Windows. На ключевом предприятии ВПК. Скомпрометирован почтовый сервер. Бэкдор под Винду. Спустя полгода персонал обсуждает подозрительные dll-ки в своих системах и странный стук по внешней инфраструктуре. И огромный массив имейлов по ошибке сливает в сеть сотрудник в попытке разобраться во взломе… Здесь могла быть ехидная шутка, но она будет излишней. Шутка уже написала себя сама. Вот тебе и инфобез.

@tomhunter

#news Хорошая новость подоспела из Польши: поставщик спайвари LetMeSpy закрывается 31 августа. В конце июня компания была взломана, и в сеть утекла часть её базы данных с инфой и переписками более 100 тысяч пользователей, которую взломщики также снесли с серверов компании. Видимо, взлом наделал достаточно шуму, чтобы LetMeSpy не пережила такого удара.

Своё ПО LetMeSpy продвигали как легитимный инструмент для мониторинга детей и отслеживания потерянных телефонов. Между тем оно было спайварью под Андроид для лога сообщений, звонков, местоположения и другой инфы с телефонов жертв. Соответственно, пользовались им банально для слежки за детьми, партнёрами и сотрудниками с совсем неблагородными целями. Так что на закрытие этого низкопробного образчика stalkerware остаётся только сказать «Скатертью дорога». И пожелать той же судьбы всяческим Пегасам и прочей спайвари рангом повыше.

@tomhunter

По следам ушедшего месяца разбираем громкие события из мира инфобеза. В июле особо отметились ударным трудом криптостахановцы из Lazarus, а ФСБ выбило себе круглосуточный доступ к данным сервисов такси, что особенно отразится на работе Яндекса в России и зарубежом. Кроме того, на VirusTotal произошёл небольшой конфуз с утечкой данных западных спецслужб, а анализ DockerHub на предмет секретов и данных доступа в образах ожидаемо продемонстрировал золотые стандарты инфобеза в индустрии. Об этом и других интересных событиях июля читайте на нашем Хабре!

@tomhunter

#news Новость про чудеса открытости при работе с утечками, на этот раз для разнообразия не из России. Избирательная комиссия Великобритании сообщила о масштабной утечке личных данных избирателей за период с 2014-го по 2022-й год. По следам кибератаки утекла база со списком избирателей. ФИО, электронная почта, домашний адрес, телефон и прочее по мелочи. Речь о десятках миллионов людей.

Об утечке комиссия уведомляет через 10 месяцев после того, как узнала о ней в октябре 2022-го, а сам взлом произошёл ещё в августе 2021-го года. Прошло два года. При этом масштабы утечки пытаются преуменьшить такими аргументами как «На выборы это не повлияло» и «Почти всё это общедоступная информация». Из общедоступного там ФИО и адрес. У взломщиков также был доступ к почтовому серверу комиссии и всей переписке с ним. В общем, простые граждане могут порадоваться, что их вообще поставили в известность. Это вам не данные спецслужб на VirusTotal залить – тут и извинений, скорее всего, не дождёшься.

@tomhunter

#news В эфире у нас защищённый и конфиденциальный ProtonMail, как известно, всем сердечком болеющий за защиту и конфиденциальность своих пользователей. А повод печальный: ProtonMail выдал ФБР юзера, писавшего угрозы в адрес директора избирательной комиссии в городке Милуоки в Штатах. Дамочка подверглась травле после публикации личной переписки, по следам которой радетели за великую прекрасную Америку решили, что она фальсифицировала выборы для дедушки Джо Байдена.

Наш уверенный в своей анонимности юзер допустил в письме нелестные высказывания и пригрозил страшными карами. ProtonMail же в ответ на запрос ФБР выдал его метаданные, а не содержимое переписки, но и этого оказалось достаточно, чтобы незадачливого героя истории отыскать. Лжи в этой грустной сказке нет, но есть простой урок для добрых криптомолодцев. Не спешите доверять платформам, заверяющим вас в безопасности, анонимности и преданности идеалам свободы. Каждый из нас убеждённый шифропанк, пока на пороге не объявится гражданин с ксивой.

@tomhunter

#news В нескольких популярных криптографических протоколах нашли пару нулевых дней. Затронуты GG-18, GG-20 и Lindell 17, в свою очередь, используемые на таких криптоплатформах, как CoinBase, ZenGo, Binance и многих других. Десятки кошельков по-прежнему уязвимы и нуждаются в исправлениях.

Получившая название BitForge уязвимость в GG18 и GG20 связана с пороговыми подписями. Эксплойт позволяет злоумышленникам с помощью специально созданных сообщений вытянуть ключи от кошельков 16-битными кусками. Похожая уязвимость и в протоколе Lindell17 2PC – здесь виной кривая имплементация отмен запросов по кошельку. Атаки ассиметричные, так что позволяют скомпрометировать и клиент, и сервер. Исследователи уже опубликовали проверки концепции на Гитхабе, а здесь отслеживают статус кошельков, в которых уязвимости исправлены. И где-то вдалеке довольно потирают руки северокорейские любители крипты.

@tomhunter

Получаю множество вопросов от начинающих и не только специалистов поИБэ - что делать для развития, как поучаствовать в чем то настоящем, как ....

Для успеха - нужны лишь действия. Также важен коллектив в котором находишься.

От себя лично рекомендую вступить в ваше региональное отделение децентрализованной международной патриотической сети Рокот

Что вы получаете:

- отличный сплоченной одной идеей коллектив
- множество реальных задач в различных областях
- возможность реализовать свои идеи
- т.д.

Если есть вопросы пишите мне @SlipperyFox

Будь с лучшими, подпишись на @XPanamas