#news Популярный опенсорсовый проект Moq для поэлементного тестирования подвергся резкой критике в сети. На этой неделе разработчик без предупреждения добавил в него другой свой проект, SponsorLink. А в нём закрытый код и обфускация dll-ок, которые собирают хэши пользовательских электронных адресов и отправляют разработчику. Энтузиасты dll-ки разобрали, и действительно нашли в них соответствующий код.

Сам разработчик сообщил, что просто тестирует SponsorLink, и никакие почты он не собирает. Ну, только когда юзер поставит само приложение SponsorLink и даст ему соответствующие разрешения. А вместе с удалением приложения они удаляют и связанные с юзером данные. Но оправдания в инфобез-сообществе не оценили. И к следующей версии автор Moq решил всё откатить. Нет, товарищ разработчик, слово «открытый» в открытом коде не относится к пользовательским данным.

@tomhunter

#news Занятная история бытового инфобеза из UK. Правительству нужно обновлять данные избирателей (которые, как недавно выяснилось, утекли в сеть). И для этого они рассылают уведомления с просьбой ввести данные на сайте. А сам он на .com-домене вместо правительственного. И выглядит подозрительно.

Год за годом граждане нервничают и ищут подвох. А отказ от отправки уведомления в теории обойдётся штрафом в 1,000 фунтов и невозможностью участвовать в голосовании. И проблемами с кредитами, ипотеками, даже покупкой симки. Так что юзеры нервничают ещё больше. И уточняют в официальных аккаунтах госконтор: «А это точно не скам? А вы уверены? А сайт чего такой странный? Я буду жаловаться!» Вплоть до того, что властям приходится делать жалобные приписки: «Это похоже на скам, но уведомление настоящее, пришлите данные!» Но простой юзер не дурак. Если убеждают, что не скам, то отвечать точно не надо.

@tomhunter

#news Исследователи разработали новую атаку на отравление кэша. MaginotDNS нацелена на CDNS-резолверы и потенциально может скомпрометировать целые домены верхнего уровня. Атака завязана на несоответствия в контрольной проверке разного популярного софта, в том числе BIND9, Knot Resolver, Technitium и Microsoft DNS. При этом атаки возможны и on-path, и out-of-path. А некоторые конфигурации и вовсе обрабатывают записи, как в корневом домене. На момент скана сети насчитали ~55 тысяч уязвимых серверов, треть от всех CDNS онлайн.

Исследовательская работа была представлена на Black Hat 2023, поставщики уязвимых версий уже поправили баги в софте, но тут уж в дело должны вступить администраторы и патчи с настройками накатить. А с этим может быть как всегда. Подробнее можно почитать здесь.

@tomhunter

#news Discord[.]io подтвердил утечку данных 760 тысяч пользователей. Неофициальный сервис для кастомных инвайтов отключили после взлома. А на новой итерации Breached выставили на продажу его базу с пруфами в виде нескольких аккаунтов. Из чувствительного в утечке юзернеймы, электронные адреса, солёные пароли и Discord ID. Большая часть инфы публична для тех, кто на одном сервере с юзером, но утечка может позволить, например, связать аккаунт в Дискорде с почтовым ящиком.

Подробностей взлома нет, но вот сам хакер утверждает, что дело не только в деньгах. А в нелегальном контенте на серверах и тем, что сайт с этим не борется. Более того, он утверждает, что предпочёл бы базу не продавать и не сливать, а обменять на чистку Discord[.]io от соответствующих материалов. В принципе, для знакомых с интересами обитателей чумных дискордовых палат мотивация понятная. Признаться даже, довольно близкая.

@tomhunter

#news У Брайана Кребса вышел материал про полулегендарного товарища, кибер-афериста Джона Клифтона Дэвиса. Обманувший десятки IT-стартапов на более чем $30 миллионов под предлогом перспективных инвестиций товарищ взялся за старое. Причём буквально.

Ранее в этом месяце Кребс узнал от брокера, что один из его клиентов погорел на $50 тысяч в мошеннической схеме, идентичной той, что использовал Дэвис. И в этот раз даже не понадобилось золотой классики OSINT’a. Один из порталов фейковой юридической фирмы, связанной с этой схемой, слово-в-слово повторяет текст с ранних скам-сайтов нашего известного в узких кругах инвестора. И заявляет о «13 годах «опита» (sic!) в своей сфере», хотя домен был зарегистрирован только в этом апреле. На запросы наш щедрый бенефактор от мира инвестиций не ответил. Очевидно, эту старую собаку-афериста новым трюкам точно не научишь. Что ж, хотя бы верен себе.

@tomhunter

Опубликовали новую статью, в которой мы разберём CVSS v.4.0, систему оценки уязвимостей, новый стандарт которой опубликуют 1 октября 2023-го года. А также расскажем про основные отличия от версии 3.1, грядущие изменения в расчётах при использовании новых метрик и о том, чего в инфобез-сообществе ждут от обновлённой версии. И, собственно, ответим на главный вопрос – стоит ли на неё вообще переходить. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news На LinkedIn идёт волна взломов аккаунтов. Пользователи жалуются на перехват своих профилей и невозможность их восстановить. Некоторые юзеры получают запросы о выкупе для восстановления доступа под угрозой удаления аккаунта. Часть просто остаются с уже удалённым.

От компании никаких сообщений нет, но судя по времени ответа техподдержки, там загружены запросами под завязку. Отвечать на вопросы нервничающих юзеров, стучащих во все официальные аккаунты, тоже никто не спешит. Между тем число запросов в GoogleTrends «LinkedIn взлом» выросло на 5,000% за пару месяцев. Судя по всему, массово ломают через подстановку учётных данных или брутфорс. Причём почты для угона с русскоязычными никами на Рамблере. Ну и в лучших традициях инфобеза взломщики подключают 2FA на взломанных аккаунтах без неё, закрывая юзеру восстановление. Урок полезный: не включишь двухфакторку сам, за тебя это сделает злоумышленник.

@tomhunter

#news Ожидаемая судьба постигла хостинг Anonfiles: он объявил о закрытии. Причину назвали тоже прозаичную: не справились с абьюзом площадки под нелегальный контент. После недавнего их отключения прокси-провайдером, владельцы сайта решили больше не возиться с чисткой анонимных авгиевых конюшен.

Anonfiles делал ставку на анонимность юзеров, и быстро стал одной из наиболее популярных площадок для постинга краденных данных, материалов под копирайтом и прочего нелегального. В то же время сам хостинг часто ловили на распространении в рекламе малвари, скамов с техподдержкой и подозрительных расширений. За пару лет на хостинге засветились инфостилеры, ботнеты и рансомварь в рекламных предложениях. Теперь владельцы ищут покупателя на свой домен, вероятно, пожелающих запустить свой собственный рассадник вредоноса для анонимов.

@tomhunter

#news На GitLab замечена кампания по криптоджекингу и проксиджекингу. Злоумышленники используют старенькую 10-бальную уязвимость CVE-2021-22205 для взлома, бинарники на Go и .Net для обхода обнаружения и TryCloudflare для обфускации своих С2-серверов. Малварь также функционирует как бэкдор на заражённых системах. Год назад в эксплойте этой CVE были замечены хакеры из Индонезии, и тоже с криптомайнерами.

ГитЛаб по следам идущей кампании выпустил заявление, но сказать им особо нечего, кроме как «Ставьте патчи уже, ископаемые» и сослаться на свои посты двухлетней давности. Потому что уязвимость исправили ещё в 2021-м году. А некоторые всё так и сидят на старых версиях. Тех, собственно, и взломали. Можно бесконечно смотреть на три вещи. Две вы знаете, а третья – как юзеры годами откладывают накатывание патчей.

@tomhunter

#news Пятничная новость о заморских традициях. В Японии есть трудности с цифровизацией и введением цифровых ID. Система работает криво и медленно, сроки срываются, есть ошибка в её работе, трудности с получением и восстановлением карт и прочее. Люди протестуют и собирают подписи против. Доверие к электронному государству падает.

На фоне же провалов министр цифрового развития Японии признал трудности в работе системы, извинился за её неадекватное введение и… отказался от зарплаты за квартал. Это, к слову, распространённое в Японии явление с управленцами, отвечающими за свою работу. Цифровизация цифровизацией, но особенности менталитета у японцев никакие цифровые ID не отнимут.

@tomhunter

#news В WinRAR исправили занятный баг, позволяющий выполнять команды на компьютере жертвы просто при открытии архива. О CVE-2023-40477 сообщили RARLAB в начале июня. Проблема в обработке томов восстановления, это может вести к доступу к памяти за пределами выделенного буфера и, соответственно, выполнению произвольного кода.

Уязвимость поправили в версии WinRAR 6.23 от 2 августа. Она получила относительно невысокий рейтинг 7.8 по CVSS за счёт того, что жертву нужно заставить сначала открыть архив. Тем не менее, нельзя недооценивать готовность юзера кликать на всё подряд. И сидеть на древних версиях WinRAR вплоть до того момента, когда он куда-нибудь случайно нажмёт, и всё исчезнет.

@tomhunter

#news Август принёс ешё одну драму от мира борцов за открытый код: Serde, популярный инструмент (де)сериализации под Rust на 200 миллионов скачиваний, начал поставлять свой макрос serde_derive в виде прекомпилированного бинарника. И понеслось.

Безопасники ссылаются на потенциал атак на цепочку поставок, если бинарники окажутся скомпрометированы, и поминают нехорошими словами Python. Ругают втихую выкаченные изменения. Просят сделать форк для параноиков. Создатели Fedora Linux назвали решение «проблематичным», так как кроме прошивки ничего прекомпилированного поставлять не могут… В общем, сообщество бурлит. Сам разработчик уже успел послушать комментарии, принял их во внимание да и закрыл ветку со словами, что других вариантов у него нет, делайте, что хотите. Драма уже успела дорасти до масштабов недавнего шума вокруг Moq, так что можно делать ставки, закончится ли всё на этом.

@tomhunter

#news Гугл тестирует новую фичу, которая будет уведомлять пользователей о том, что установленные у них расширения в Хроме были удалены из магазина. Сейчас они так и продолжают висеть в установленных браузерах, но так у юзера хотя бы появится возможность узнать, что он поставил себе малварь и принять меры. Или не принять.

«Safety Check» сообщит, по какой причине расширение пропало из магазина – вредонос в нём или его, например, убрал сам разработчик. Между тем это выглядит, просто как плашка в настройках безопасности, в которую не всякий юзер заглядывает, так что полезность пока под вопросом. Фичу выкатят в версии Хром 117, но её уже можно протестировать и на 116-й в порядке эксперимента, довольно крякнуть «Да, это была малварь» и закрыть вкладку.

@tomhunter

#news В сетевых дебрях замечена новая версия XLoader под Маки. Инфостилер и кейлогер получил обновку, написан на C и Objective C и идёт в виде подписанного вредоносного образа вместо прежнего .jar-формата. На VirusTotal в июле несколько загрузок малвари, так что кампания по распространению идёт активно.

Новый XLoader замаскирован под приложение для офисной продуктивности OfficeNote. При запуске он выдаёт ошибку, но подтягивает вредонос. Который, в свою очередь, ставит Launch Agent для закрепления в системе и тянет инфу из буфера и с браузеров Chrome и Firefox. Ну а маскировка под офисное приложение намекает на цели кампании. Что занятно, версия XLoader под Макось заметно дороже той, что идёт под Винду: 199 баксов против 59. Видимо, под Маки не только стильные подставочки под монитор, но и малварь должна идти с завышенным ценником. Подробнее о новой версии в отчёте от SentinelOne.

@tomhunter

#news Безопасники из AppOmni выпустили отчёт о состоянии инфобеза на рынке Software-as-a-Service. Из интересного, три ключевых проблемы в этой сфере. Первая – ошибочные представления о безопасности SaaS-продуктов, что резко контрастирует с утечками, неверными настройками и разрешениями, незащищёнными данными в них. Вторая – чрезмерная уверенность в прозрачности инфобез-рисков в этой среде. И третья – непонимание того, какие вообще риски несёт использование SaaS-решений.

Всё это суммарно ведёт к забавной коллизии. 85% пользователей SaaS-продуктов блаженно уверены в их безопасности, а 71% высоко оценивают своё понимание рисков. Но при этом только 21% SaaS-решений сообщают об отсутствии инцидентов с кибербезопасностью за последний год. Такой вот инфобез-парадокс с далеко идущими последствиями. — Безопасность видишь? — Вижу. — А её нет. — Понятно, давайте подпишемся ещё на парочку SaaS'ов.

@tomhunter

#news Давненько не было занятных новостей про малварь в рекламе от Гугла. В этот раз засветился скам с техподдержкой, год назад всплывавший под видом YouTube. Теперь на первом месте по запросу Amazon в выдаче фейковая страница. С полным совпадением адреса сайта. С оригиналом, стыдливо ютящимся под полудюжиной ссылок на скам.

По ссылкам же угрозы юзеру блокировкой компьютера на полный экран из-за некого трояна и призывы немедленно связаться с техподдержкой Windows по указанному номеру. Спустя год написания новостей по теме, одна удивительнее другой, журналисты с Bleeping Computer уже прямо недоумевают, почему Гугл пускает откровенную малварь и скамы в свои рекламные запросы. Видимо, запасов журналистской этики для тактичного выплясывания вокруг проблемы не осталось.

@tomhunter

#news На новой итерации Breached выложили данные пользователей Duolingo. Собраны скрапингом, на 2,6 миллиона юзеров, их впервые выставили на продажу в январе. В слив помимо публично доступных данных попали электронные почты. Компания, реагируя на утечку, тогда тактично забыла упомянуть, что последние общедоступными не являются.

Данные собрали через публично доступный API, судя по всему, скормив ранее утекавшие в сеть почты. Это, конечно, не полмиллиарда юзеров Фейсбука, скрапинг которых обошёлся компании в четверть миллиарда долларов штрафа. Но осадочек всё равно неприятный. Что занятно, об абьюзе API Duolingo сообщили ещё в январе, но как удалось подтвердить, он по-прежнему доступен всем желающим. Комментарии по этому поводу зелёная птичка давать тоже не спешит. Как обычно, за скрапинг мы не отвечаем. API свободный, пользуйтесь кто хотите.

@tomhunter

#news Датский хостинг, владеющий сервисами CloudNordic и AzeroCloud пострадал от рансомварь-атаки. Казалось бы, дело рутинное, но есть подвох: компания потеряла все клиентские данные. Удалось поднять только часть серверов, да и те без данных, и как сообщают, восстановлению они не подлежат. Более того, выплачивать выкуп они тоже не собираются, и нет следов кражи данных.

А секрет атаки прост: она пришлась на момент миграции дата-центра. Сервера были подключены к более широкой сети, и злоумышленники зашифровали вообще всё: диски, первичный и вторичный бэкапы, критические системы. Всё закоррапчено и утрачено. Сотни датских компаний потеряли всё, что у них было в облаках: сайты, документацию, переписку и прочее. Директор компании сообщил, они не ждут, что кто-то из клиентов останется у них после восстановления систем. В общем, новость, которую больно читать.

@tomhunter

#news У Tornado Cash дела пошли от плохого к худшему: создателям криптомиксера предъявили обвинения в отмывании доходов, полученных преступным путём. В деле фигурируют больше миллиарда долларов, украденных Lazarus и другими злоумышленниками. Взломы мостов Ronin и Harmony, платформ Audius, BeanStalk и Uniswap, плюс финансовый скам от криптомошенников с Arbix.

Вчера в Вашингтоне арестовали Романа Сторма, а Роману Семёнову обвинения предъявлены заочно. Видимо, товарищ успел скрыться. Между тем оба Романа проходят по заговору с целью отмывания денег и нарушению закона о международных чрезвычайных экономических полномочиях. За каждую из этих шалостей грозит до 20 лет тюрьмы. В общем, что и год назад, что сейчас мораль прежняя: от проводника цифрового будущего до экономического преступника – один шаг. Точнее, один миллиард баксов, украденных северокорейскими криптостахановцами и прочими разбойниками с большой блокчейн-дороги.

@tomhunter

#news В Великобритании судят достигшего совершеннолетия Ариона Куртая из Lapsus$. Ему предъявлены объявления в соучастии во взломах дюжины крупных компаний. Напомню, на счету подростковой группировки были Microsoft, Cisco, Nvidia, Samsung, Ubisoft, 2K и другие гиганты.

Сам Куртай, которого считают лидером Lapsus$, также пошёл под суд за взломы Revolut, Uber и Rockstar Games. В прошлом году уже выпущенный под залог малолетний киберпреступник взломал упомянутые компании и сливал геймплейные видео из GTA6, требуя миллионы долларов выкупа. Попутно он растерял около 300 битков со взломов на азартных играх и после краж от соучастников из группировки. В общем, персонаж интересный. И его защита строится на том, что мальчик – аутист и перед судом предстать не может. Но дальнейшая судьба юного дарования зависит от присяжных, которые определят, является ли аутизм достаточным основанием, чтобы он избежал тюрьмы.

@tomhunter