#news Пока товарищ Мордекай Гури выдумывает изощрённые способы кражи данных с изолированных систем, китайские госхакеры работают по старинке – малварью через флешки. Касперский сообщает о новом китайском вредоносе группировки APT31, с прошлого апреля замеченном в атаках по промышленности в Восточной Европе.

Модульная малварь подтягивает различную нагрузку на разных стадиях. Первый модуль проводит разведку на машине жертвы, второй заражает подключённые флешки через угон DLL экзешником от McAfee и создаёт заманчивый .lnk-файл. Последний же при запуске и заражает изолированную систему, стягивая скрины, логи клавиатуры, заголовки окон, файлы и прочее. И наконец, третий имплант архивирует принесённое жертвой на флешке добро, и затем архив уходит на DropBox. Вариант первого импланта также использует облако Яндекса в качестве С2-сервера, так что малварь продолжает тренд на абьюз легитимных облачных сервисов. Подробнее о китайском поделии в отчёте.

@tomhunter

#news Продолжая тему промышленности, вышел занятный анализ уязвимостей в промышленных системах управления за первое полугодие 2023-го. Результаты, как обычно, удручающие: ~треть уязвимостей, раскрытых за этот период, не имеют исправлений. Это в сравнении с 13 процентами за прошлый год.

Всего за первые полгода сообщили о 670 уязвимостях, из которых 88 критических и 215 высоких. И, собственно, к 227 из них нет патчей. Треть из них в обрабатывающем секторе, четверть – в энергетике. Антирекорд поставила Siemens – в их оборудовании найдена 41 уязвимость. UAF, чтение и запись за пределами буфера, неправильная проверка ввода, состояние гонки – баги на любой вкус. Между тем исследователи сообщают и о росте атак по промышленным объектам: так, по ханипотам безопасников из Nozomi Networks, в среднем, стучатся 813 раз в день с Китаем в топе айпишников. Увы, инфобез в критической инфраструктуре по-прежнему находится на критическом уровне.

@tomhunter

У нас в компании открылась вакансия специалиста по моделированию, сбору и анализу данных цифрового следа. В команду в Санкт-Петербурге нужен человек, не понаслышке знающий о таких вещах, как конкурентная разведка, форензика, ИСУБД и системы визуализации данных. Так что если у вас есть опыт работы в этой области и горячий интерес к OSINT и всему с ним связанному, подробности вакансии выложены на HeadHunter. Оформление по ТК, гибкий график работы, премии и прочие плюшки прилагаются.

@tomhunter

#news По следам недавней RCE-уязвимости в Citrix-серверах идёт её активный эксплойт: к 30 июля исследователи насчитали уже 640 взломанных серверов, получивших бэкдоры в виде веб-шеллов. И это лишь малая часть, которую удалось обнаружить. В качестве вредоноса в атаках, судя по всему, идёт вариант China Chopper.

Citrix исправила уязвимость CVE-2023-3519 18 июля, и за последние пару недель число уязвимых серверов сократилось с ~15 тысяч до, кхм, всего ~10 тысяч. Так что прогресс в накатывании патча есть, но довольно неспешный. Неспешный до такой степени, что если патч ещё не установлен, исследователи рекомендуют заранее считать сервер скомпрометированным. CISA также сообщает об активном эксплойте, включая по критической инфраструктуре в Штатах, и требует поставить патч до 9 августа. В общем, перед нами в прямом эфире гонка наперегонки со злоумышленниками формата «Пропатчь меня, если успеешь» с перспективой громких рансомварь-атак. Так что будем следить за развитием событий.

@tomhunter

#news Ломающие новости: хактивистские группировки используют обычные киберпреступные методы для финансирования своих операций. Исследователи прошлись по полудюжине громких имён и обнаружили, что не дудосом единым и сливами живут хактивисты всех сортов. А также продажей данных, ботнетами и малварью в качестве услуг, шантажом и прочими маленькими шалостями.

Так, товарищи из Killnet шантажируют жертв, оказывают услуги по взлому и DDoS’у, а также ведут курсы хакинга для самых маленьких. А в мае анонсировали криптобиржу – видимо, амбиции Conti покоя не дают. Помимо этого, Killnet и Anonymous Killnet Sudan торгуют логами, украденными данными и доступом к сетям. Anonymous Russia и Passion держат ботнеты. Антииранские хактивисты из Arvin Club ведут премиум-канал с эксплойтами и сливами… В общем, ничего удивительного. Одним хактивизмом сыт не будешь, а профиль работы, мягко говоря, к такому располагает. Днём ты простой киберпреступник, а ночью воюешь с проклятым Западом. Или наоборот. Так и живём.

@tomhunter

#news Проукраинские хакеры взломали сайт МосгорБТИ – бюро технической инвентаризации с данными о недвижимости и её собственниках в Москве. В появившейся на сайте заглушке они сообщили, что информация из базы передана СБУ, а инфраструктура и базы данных МосгорБТИ уничтожены.

Аккаунт, ссылка на который дана в заглушке, связан с атакой на RuTube, положившей сайт в мае 2022-го. Между тем в МосгорБТИ подтвердили взлом, но утечку отрицают – взломщики якобы получили доступ только к постингу, а база данных с информацией о недвижимости лежит отдельно и хорошо защищена. Формулировка в заявлении, конечно, занятная: «Сайт является только каналом для заказа документов и напрямую не связан с информационными системами учреждения». Сам сайт лежит. Что ж, проживающим в Москве особистам, военным и прочим товарищам, чья служба и опасна, и трудна, остаётся надеяться, что утечки действительно не было. Какие перспективы могут быть у такого слива в текущих условиях, думаю, объяснять не нужно.

@tomhunter

#news Небольшой апдейт к новости выше. В ответ на заявление МосгорБТИ хакеры выложили предположительно часть стянутой базы данных, 14ГБ файлов. И прочие пруфы касаемо их утверждений об уничтоженной инфраструктуре. Се ля ви.

@tomhunter

#news В эфире снова Lazarus и их друзья из ScarCruft, но под неожиданным углом: Reuters со ссылкой на отчёт SentinelLabs утверждает, что северокорейцы взломали сети нашего «НПО Машиностроения» и имели к ним доступ с конца 2021-го по май 2022-го, когда взлом был обнаружен. А оное НПО, собственно, производит крылатые и баллистические ракеты.

Дальше больше. Отчёт SentinelLabs выстроен на попавшей к ним случайной утечке электронных писем из корпорации. Злоумышленники скомпрометировали в ней почтовый сервер, а также использовали лазаровский бэкдор под Windows. На ключевом предприятии ВПК. Скомпрометирован почтовый сервер. Бэкдор под Винду. Спустя полгода персонал обсуждает подозрительные dll-ки в своих системах и странный стук по внешней инфраструктуре. И огромный массив имейлов по ошибке сливает в сеть сотрудник в попытке разобраться во взломе… Здесь могла быть ехидная шутка, но она будет излишней. Шутка уже написала себя сама. Вот тебе и инфобез.

@tomhunter

#news Хорошая новость подоспела из Польши: поставщик спайвари LetMeSpy закрывается 31 августа. В конце июня компания была взломана, и в сеть утекла часть её базы данных с инфой и переписками более 100 тысяч пользователей, которую взломщики также снесли с серверов компании. Видимо, взлом наделал достаточно шуму, чтобы LetMeSpy не пережила такого удара.

Своё ПО LetMeSpy продвигали как легитимный инструмент для мониторинга детей и отслеживания потерянных телефонов. Между тем оно было спайварью под Андроид для лога сообщений, звонков, местоположения и другой инфы с телефонов жертв. Соответственно, пользовались им банально для слежки за детьми, партнёрами и сотрудниками с совсем неблагородными целями. Так что на закрытие этого низкопробного образчика stalkerware остаётся только сказать «Скатертью дорога». И пожелать той же судьбы всяческим Пегасам и прочей спайвари рангом повыше.

@tomhunter

По следам ушедшего месяца разбираем громкие события из мира инфобеза. В июле особо отметились ударным трудом криптостахановцы из Lazarus, а ФСБ выбило себе круглосуточный доступ к данным сервисов такси, что особенно отразится на работе Яндекса в России и зарубежом. Кроме того, на VirusTotal произошёл небольшой конфуз с утечкой данных западных спецслужб, а анализ DockerHub на предмет секретов и данных доступа в образах ожидаемо продемонстрировал золотые стандарты инфобеза в индустрии. Об этом и других интересных событиях июля читайте на нашем Хабре!

@tomhunter

#news Новость про чудеса открытости при работе с утечками, на этот раз для разнообразия не из России. Избирательная комиссия Великобритании сообщила о масштабной утечке личных данных избирателей за период с 2014-го по 2022-й год. По следам кибератаки утекла база со списком избирателей. ФИО, электронная почта, домашний адрес, телефон и прочее по мелочи. Речь о десятках миллионов людей.

Об утечке комиссия уведомляет через 10 месяцев после того, как узнала о ней в октябре 2022-го, а сам взлом произошёл ещё в августе 2021-го года. Прошло два года. При этом масштабы утечки пытаются преуменьшить такими аргументами как «На выборы это не повлияло» и «Почти всё это общедоступная информация». Из общедоступного там ФИО и адрес. У взломщиков также был доступ к почтовому серверу комиссии и всей переписке с ним. В общем, простые граждане могут порадоваться, что их вообще поставили в известность. Это вам не данные спецслужб на VirusTotal залить – тут и извинений, скорее всего, не дождёшься.

@tomhunter

#news В эфире у нас защищённый и конфиденциальный ProtonMail, как известно, всем сердечком болеющий за защиту и конфиденциальность своих пользователей. А повод печальный: ProtonMail выдал ФБР юзера, писавшего угрозы в адрес директора избирательной комиссии в городке Милуоки в Штатах. Дамочка подверглась травле после публикации личной переписки, по следам которой радетели за великую прекрасную Америку решили, что она фальсифицировала выборы для дедушки Джо Байдена.

Наш уверенный в своей анонимности юзер допустил в письме нелестные высказывания и пригрозил страшными карами. ProtonMail же в ответ на запрос ФБР выдал его метаданные, а не содержимое переписки, но и этого оказалось достаточно, чтобы незадачливого героя истории отыскать. Лжи в этой грустной сказке нет, но есть простой урок для добрых криптомолодцев. Не спешите доверять платформам, заверяющим вас в безопасности, анонимности и преданности идеалам свободы. Каждый из нас убеждённый шифропанк, пока на пороге не объявится гражданин с ксивой.

@tomhunter

#news В нескольких популярных криптографических протоколах нашли пару нулевых дней. Затронуты GG-18, GG-20 и Lindell 17, в свою очередь, используемые на таких криптоплатформах, как CoinBase, ZenGo, Binance и многих других. Десятки кошельков по-прежнему уязвимы и нуждаются в исправлениях.

Получившая название BitForge уязвимость в GG18 и GG20 связана с пороговыми подписями. Эксплойт позволяет злоумышленникам с помощью специально созданных сообщений вытянуть ключи от кошельков 16-битными кусками. Похожая уязвимость и в протоколе Lindell17 2PC – здесь виной кривая имплементация отмен запросов по кошельку. Атаки ассиметричные, так что позволяют скомпрометировать и клиент, и сервер. Исследователи уже опубликовали проверки концепции на Гитхабе, а здесь отслеживают статус кошельков, в которых уязвимости исправлены. И где-то вдалеке довольно потирают руки северокорейские любители крипты.

@tomhunter

Получаю множество вопросов от начинающих и не только специалистов поИБэ - что делать для развития, как поучаствовать в чем то настоящем, как ....

Для успеха - нужны лишь действия. Также важен коллектив в котором находишься.

От себя лично рекомендую вступить в ваше региональное отделение децентрализованной международной патриотической сети Рокот

Что вы получаете:

- отличный сплоченной одной идеей коллектив
- множество реальных задач в различных областях
- возможность реализовать свои идеи
- т.д.

Если есть вопросы пишите мне @SlipperyFox

Будь с лучшими, подпишись на @XPanamas

#news Популярный опенсорсовый проект Moq для поэлементного тестирования подвергся резкой критике в сети. На этой неделе разработчик без предупреждения добавил в него другой свой проект, SponsorLink. А в нём закрытый код и обфускация dll-ок, которые собирают хэши пользовательских электронных адресов и отправляют разработчику. Энтузиасты dll-ки разобрали, и действительно нашли в них соответствующий код.

Сам разработчик сообщил, что просто тестирует SponsorLink, и никакие почты он не собирает. Ну, только когда юзер поставит само приложение SponsorLink и даст ему соответствующие разрешения. А вместе с удалением приложения они удаляют и связанные с юзером данные. Но оправдания в инфобез-сообществе не оценили. И к следующей версии автор Moq решил всё откатить. Нет, товарищ разработчик, слово «открытый» в открытом коде не относится к пользовательским данным.

@tomhunter

#news Занятная история бытового инфобеза из UK. Правительству нужно обновлять данные избирателей (которые, как недавно выяснилось, утекли в сеть). И для этого они рассылают уведомления с просьбой ввести данные на сайте. А сам он на .com-домене вместо правительственного. И выглядит подозрительно.

Год за годом граждане нервничают и ищут подвох. А отказ от отправки уведомления в теории обойдётся штрафом в 1,000 фунтов и невозможностью участвовать в голосовании. И проблемами с кредитами, ипотеками, даже покупкой симки. Так что юзеры нервничают ещё больше. И уточняют в официальных аккаунтах госконтор: «А это точно не скам? А вы уверены? А сайт чего такой странный? Я буду жаловаться!» Вплоть до того, что властям приходится делать жалобные приписки: «Это похоже на скам, но уведомление настоящее, пришлите данные!» Но простой юзер не дурак. Если убеждают, что не скам, то отвечать точно не надо.

@tomhunter

#news Исследователи разработали новую атаку на отравление кэша. MaginotDNS нацелена на CDNS-резолверы и потенциально может скомпрометировать целые домены верхнего уровня. Атака завязана на несоответствия в контрольной проверке разного популярного софта, в том числе BIND9, Knot Resolver, Technitium и Microsoft DNS. При этом атаки возможны и on-path, и out-of-path. А некоторые конфигурации и вовсе обрабатывают записи, как в корневом домене. На момент скана сети насчитали ~55 тысяч уязвимых серверов, треть от всех CDNS онлайн.

Исследовательская работа была представлена на Black Hat 2023, поставщики уязвимых версий уже поправили баги в софте, но тут уж в дело должны вступить администраторы и патчи с настройками накатить. А с этим может быть как всегда. Подробнее можно почитать здесь.

@tomhunter

#news Discord[.]io подтвердил утечку данных 760 тысяч пользователей. Неофициальный сервис для кастомных инвайтов отключили после взлома. А на новой итерации Breached выставили на продажу его базу с пруфами в виде нескольких аккаунтов. Из чувствительного в утечке юзернеймы, электронные адреса, солёные пароли и Discord ID. Большая часть инфы публична для тех, кто на одном сервере с юзером, но утечка может позволить, например, связать аккаунт в Дискорде с почтовым ящиком.

Подробностей взлома нет, но вот сам хакер утверждает, что дело не только в деньгах. А в нелегальном контенте на серверах и тем, что сайт с этим не борется. Более того, он утверждает, что предпочёл бы базу не продавать и не сливать, а обменять на чистку Discord[.]io от соответствующих материалов. В принципе, для знакомых с интересами обитателей чумных дискордовых палат мотивация понятная. Признаться даже, довольно близкая.

@tomhunter

#news У Брайана Кребса вышел материал про полулегендарного товарища, кибер-афериста Джона Клифтона Дэвиса. Обманувший десятки IT-стартапов на более чем $30 миллионов под предлогом перспективных инвестиций товарищ взялся за старое. Причём буквально.

Ранее в этом месяце Кребс узнал от брокера, что один из его клиентов погорел на $50 тысяч в мошеннической схеме, идентичной той, что использовал Дэвис. И в этот раз даже не понадобилось золотой классики OSINT’a. Один из порталов фейковой юридической фирмы, связанной с этой схемой, слово-в-слово повторяет текст с ранних скам-сайтов нашего известного в узких кругах инвестора. И заявляет о «13 годах «опита» (sic!) в своей сфере», хотя домен был зарегистрирован только в этом апреле. На запросы наш щедрый бенефактор от мира инвестиций не ответил. Очевидно, эту старую собаку-афериста новым трюкам точно не научишь. Что ж, хотя бы верен себе.

@tomhunter

Опубликовали новую статью, в которой мы разберём CVSS v.4.0, систему оценки уязвимостей, новый стандарт которой опубликуют 1 октября 2023-го года. А также расскажем про основные отличия от версии 3.1, грядущие изменения в расчётах при использовании новых метрик и о том, чего в инфобез-сообществе ждут от обновлённой версии. И, собственно, ответим на главный вопрос – стоит ли на неё вообще переходить. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news На LinkedIn идёт волна взломов аккаунтов. Пользователи жалуются на перехват своих профилей и невозможность их восстановить. Некоторые юзеры получают запросы о выкупе для восстановления доступа под угрозой удаления аккаунта. Часть просто остаются с уже удалённым.

От компании никаких сообщений нет, но судя по времени ответа техподдержки, там загружены запросами под завязку. Отвечать на вопросы нервничающих юзеров, стучащих во все официальные аккаунты, тоже никто не спешит. Между тем число запросов в GoogleTrends «LinkedIn взлом» выросло на 5,000% за пару месяцев. Судя по всему, массово ломают через подстановку учётных данных или брутфорс. Причём почты для угона с русскоязычными никами на Рамблере. Ну и в лучших традициях инфобеза взломщики подключают 2FA на взломанных аккаунтах без неё, закрывая юзеру восстановление. Урок полезный: не включишь двухфакторку сам, за тебя это сделает злоумышленник.

@tomhunter