#news Ожидаемая судьба постигла хостинг Anonfiles: он объявил о закрытии. Причину назвали тоже прозаичную: не справились с абьюзом площадки под нелегальный контент. После недавнего их отключения прокси-провайдером, владельцы сайта решили больше не возиться с чисткой анонимных авгиевых конюшен.

Anonfiles делал ставку на анонимность юзеров, и быстро стал одной из наиболее популярных площадок для постинга краденных данных, материалов под копирайтом и прочего нелегального. В то же время сам хостинг часто ловили на распространении в рекламе малвари, скамов с техподдержкой и подозрительных расширений. За пару лет на хостинге засветились инфостилеры, ботнеты и рансомварь в рекламных предложениях. Теперь владельцы ищут покупателя на свой домен, вероятно, пожелающих запустить свой собственный рассадник вредоноса для анонимов.

@tomhunter

#news На GitLab замечена кампания по криптоджекингу и проксиджекингу. Злоумышленники используют старенькую 10-бальную уязвимость CVE-2021-22205 для взлома, бинарники на Go и .Net для обхода обнаружения и TryCloudflare для обфускации своих С2-серверов. Малварь также функционирует как бэкдор на заражённых системах. Год назад в эксплойте этой CVE были замечены хакеры из Индонезии, и тоже с криптомайнерами.

ГитЛаб по следам идущей кампании выпустил заявление, но сказать им особо нечего, кроме как «Ставьте патчи уже, ископаемые» и сослаться на свои посты двухлетней давности. Потому что уязвимость исправили ещё в 2021-м году. А некоторые всё так и сидят на старых версиях. Тех, собственно, и взломали. Можно бесконечно смотреть на три вещи. Две вы знаете, а третья – как юзеры годами откладывают накатывание патчей.

@tomhunter

#news Пятничная новость о заморских традициях. В Японии есть трудности с цифровизацией и введением цифровых ID. Система работает криво и медленно, сроки срываются, есть ошибка в её работе, трудности с получением и восстановлением карт и прочее. Люди протестуют и собирают подписи против. Доверие к электронному государству падает.

На фоне же провалов министр цифрового развития Японии признал трудности в работе системы, извинился за её неадекватное введение и… отказался от зарплаты за квартал. Это, к слову, распространённое в Японии явление с управленцами, отвечающими за свою работу. Цифровизация цифровизацией, но особенности менталитета у японцев никакие цифровые ID не отнимут.

@tomhunter

#news В WinRAR исправили занятный баг, позволяющий выполнять команды на компьютере жертвы просто при открытии архива. О CVE-2023-40477 сообщили RARLAB в начале июня. Проблема в обработке томов восстановления, это может вести к доступу к памяти за пределами выделенного буфера и, соответственно, выполнению произвольного кода.

Уязвимость поправили в версии WinRAR 6.23 от 2 августа. Она получила относительно невысокий рейтинг 7.8 по CVSS за счёт того, что жертву нужно заставить сначала открыть архив. Тем не менее, нельзя недооценивать готовность юзера кликать на всё подряд. И сидеть на древних версиях WinRAR вплоть до того момента, когда он куда-нибудь случайно нажмёт, и всё исчезнет.

@tomhunter

#news Август принёс ешё одну драму от мира борцов за открытый код: Serde, популярный инструмент (де)сериализации под Rust на 200 миллионов скачиваний, начал поставлять свой макрос serde_derive в виде прекомпилированного бинарника. И понеслось.

Безопасники ссылаются на потенциал атак на цепочку поставок, если бинарники окажутся скомпрометированы, и поминают нехорошими словами Python. Ругают втихую выкаченные изменения. Просят сделать форк для параноиков. Создатели Fedora Linux назвали решение «проблематичным», так как кроме прошивки ничего прекомпилированного поставлять не могут… В общем, сообщество бурлит. Сам разработчик уже успел послушать комментарии, принял их во внимание да и закрыл ветку со словами, что других вариантов у него нет, делайте, что хотите. Драма уже успела дорасти до масштабов недавнего шума вокруг Moq, так что можно делать ставки, закончится ли всё на этом.

@tomhunter

#news Гугл тестирует новую фичу, которая будет уведомлять пользователей о том, что установленные у них расширения в Хроме были удалены из магазина. Сейчас они так и продолжают висеть в установленных браузерах, но так у юзера хотя бы появится возможность узнать, что он поставил себе малварь и принять меры. Или не принять.

«Safety Check» сообщит, по какой причине расширение пропало из магазина – вредонос в нём или его, например, убрал сам разработчик. Между тем это выглядит, просто как плашка в настройках безопасности, в которую не всякий юзер заглядывает, так что полезность пока под вопросом. Фичу выкатят в версии Хром 117, но её уже можно протестировать и на 116-й в порядке эксперимента, довольно крякнуть «Да, это была малварь» и закрыть вкладку.

@tomhunter

#news В сетевых дебрях замечена новая версия XLoader под Маки. Инфостилер и кейлогер получил обновку, написан на C и Objective C и идёт в виде подписанного вредоносного образа вместо прежнего .jar-формата. На VirusTotal в июле несколько загрузок малвари, так что кампания по распространению идёт активно.

Новый XLoader замаскирован под приложение для офисной продуктивности OfficeNote. При запуске он выдаёт ошибку, но подтягивает вредонос. Который, в свою очередь, ставит Launch Agent для закрепления в системе и тянет инфу из буфера и с браузеров Chrome и Firefox. Ну а маскировка под офисное приложение намекает на цели кампании. Что занятно, версия XLoader под Макось заметно дороже той, что идёт под Винду: 199 баксов против 59. Видимо, под Маки не только стильные подставочки под монитор, но и малварь должна идти с завышенным ценником. Подробнее о новой версии в отчёте от SentinelOne.

@tomhunter

#news Безопасники из AppOmni выпустили отчёт о состоянии инфобеза на рынке Software-as-a-Service. Из интересного, три ключевых проблемы в этой сфере. Первая – ошибочные представления о безопасности SaaS-продуктов, что резко контрастирует с утечками, неверными настройками и разрешениями, незащищёнными данными в них. Вторая – чрезмерная уверенность в прозрачности инфобез-рисков в этой среде. И третья – непонимание того, какие вообще риски несёт использование SaaS-решений.

Всё это суммарно ведёт к забавной коллизии. 85% пользователей SaaS-продуктов блаженно уверены в их безопасности, а 71% высоко оценивают своё понимание рисков. Но при этом только 21% SaaS-решений сообщают об отсутствии инцидентов с кибербезопасностью за последний год. Такой вот инфобез-парадокс с далеко идущими последствиями. — Безопасность видишь? — Вижу. — А её нет. — Понятно, давайте подпишемся ещё на парочку SaaS'ов.

@tomhunter

#news Давненько не было занятных новостей про малварь в рекламе от Гугла. В этот раз засветился скам с техподдержкой, год назад всплывавший под видом YouTube. Теперь на первом месте по запросу Amazon в выдаче фейковая страница. С полным совпадением адреса сайта. С оригиналом, стыдливо ютящимся под полудюжиной ссылок на скам.

По ссылкам же угрозы юзеру блокировкой компьютера на полный экран из-за некого трояна и призывы немедленно связаться с техподдержкой Windows по указанному номеру. Спустя год написания новостей по теме, одна удивительнее другой, журналисты с Bleeping Computer уже прямо недоумевают, почему Гугл пускает откровенную малварь и скамы в свои рекламные запросы. Видимо, запасов журналистской этики для тактичного выплясывания вокруг проблемы не осталось.

@tomhunter

#news На новой итерации Breached выложили данные пользователей Duolingo. Собраны скрапингом, на 2,6 миллиона юзеров, их впервые выставили на продажу в январе. В слив помимо публично доступных данных попали электронные почты. Компания, реагируя на утечку, тогда тактично забыла упомянуть, что последние общедоступными не являются.

Данные собрали через публично доступный API, судя по всему, скормив ранее утекавшие в сеть почты. Это, конечно, не полмиллиарда юзеров Фейсбука, скрапинг которых обошёлся компании в четверть миллиарда долларов штрафа. Но осадочек всё равно неприятный. Что занятно, об абьюзе API Duolingo сообщили ещё в январе, но как удалось подтвердить, он по-прежнему доступен всем желающим. Комментарии по этому поводу зелёная птичка давать тоже не спешит. Как обычно, за скрапинг мы не отвечаем. API свободный, пользуйтесь кто хотите.

@tomhunter

#news Датский хостинг, владеющий сервисами CloudNordic и AzeroCloud пострадал от рансомварь-атаки. Казалось бы, дело рутинное, но есть подвох: компания потеряла все клиентские данные. Удалось поднять только часть серверов, да и те без данных, и как сообщают, восстановлению они не подлежат. Более того, выплачивать выкуп они тоже не собираются, и нет следов кражи данных.

А секрет атаки прост: она пришлась на момент миграции дата-центра. Сервера были подключены к более широкой сети, и злоумышленники зашифровали вообще всё: диски, первичный и вторичный бэкапы, критические системы. Всё закоррапчено и утрачено. Сотни датских компаний потеряли всё, что у них было в облаках: сайты, документацию, переписку и прочее. Директор компании сообщил, они не ждут, что кто-то из клиентов останется у них после восстановления систем. В общем, новость, которую больно читать.

@tomhunter

#news У Tornado Cash дела пошли от плохого к худшему: создателям криптомиксера предъявили обвинения в отмывании доходов, полученных преступным путём. В деле фигурируют больше миллиарда долларов, украденных Lazarus и другими злоумышленниками. Взломы мостов Ronin и Harmony, платформ Audius, BeanStalk и Uniswap, плюс финансовый скам от криптомошенников с Arbix.

Вчера в Вашингтоне арестовали Романа Сторма, а Роману Семёнову обвинения предъявлены заочно. Видимо, товарищ успел скрыться. Между тем оба Романа проходят по заговору с целью отмывания денег и нарушению закона о международных чрезвычайных экономических полномочиях. За каждую из этих шалостей грозит до 20 лет тюрьмы. В общем, что и год назад, что сейчас мораль прежняя: от проводника цифрового будущего до экономического преступника – один шаг. Точнее, один миллиард баксов, украденных северокорейскими криптостахановцами и прочими разбойниками с большой блокчейн-дороги.

@tomhunter

#news В Великобритании судят достигшего совершеннолетия Ариона Куртая из Lapsus$. Ему предъявлены объявления в соучастии во взломах дюжины крупных компаний. Напомню, на счету подростковой группировки были Microsoft, Cisco, Nvidia, Samsung, Ubisoft, 2K и другие гиганты.

Сам Куртай, которого считают лидером Lapsus$, также пошёл под суд за взломы Revolut, Uber и Rockstar Games. В прошлом году уже выпущенный под залог малолетний киберпреступник взломал упомянутые компании и сливал геймплейные видео из GTA6, требуя миллионы долларов выкупа. Попутно он растерял около 300 битков со взломов на азартных играх и после краж от соучастников из группировки. В общем, персонаж интересный. И его защита строится на том, что мальчик – аутист и перед судом предстать не может. Но дальнейшая судьба юного дарования зависит от присяжных, которые определят, является ли аутизм достаточным основанием, чтобы он избежал тюрьмы.

@tomhunter

#news Недавняя история со шлюзами электронной почты от Barracuda получила продолжение. Напомню, тогда компания после патча на нулевой день с активным эксплойтом без лишних объяснений сообщила, что устройства нужно заменять. И вот ожидаемая новость: патчи оказались просто неэффективны, и шлюзы снова ломают.

Об этом сообщило ФБР, сославшись на новую малварь под устройства. Но это всё те же китайские госхакеры, вновь реверс-шеллы и удалённое выполнение команд. Между тем прошло почти два месяца с тех пор, как компания отозвала скомпрометированные устройства. А теперь и ФБР настойчиво призывает их менять. «Патчи не помогли, ваши шлюзы всё так же ломают, немедленно их убирайте». Вопрос лишь в том, насколько понятен будет такой тонкий намёк на этот раз. Хм, что же они пытаются этим сказать?

@tomhunter

#news В арсенале операторов загрузчика SmokeLoader засветился любопытный инструмент Whiffy Recon. А используют его для триангуляции местоположения заражённых устройств c помощью API геолокации Гугла и сканирования Wi-Fi.

Whiffy Recon абьюзит сервис WLANSVC Винды и пускает циклы скана Wi-Fi с периодичностью в минуту. Затем он шлёт HTTPS POST-запросы на API Гугла с информацией о точках доступа. В конце координаты уходят на С2-сервер злоумышленников, местоположение определяют с точностью до 20-50 метров в плотной городской застройке. Зачем это нужно, неясно. Исследователи спекулируют, что таким образом могут запугивать жертв взлома, внушая им мысли о слежке. Старое-доброе «Мы следим за тобой, ничтожество» в исполнении киберпреступников совсем уж лишается ностальгического очарования.

@tomhunter

#news Прошёл почти год после утечки билдера LockBit 3.0, и можно оценить как он пошёл в народ. Первые компиляции, не связанные с группировкой, засветились в считанные дни после слива. И сейчас у Касперского на счету 396 образцов рансомвари LockBit. Из которых 312 собраны утёкшим билдером.

Утечка также поспособствовала и появлению новых группировок. Билдер использует ранее неизвестная NATIONAL HAZARD AGENCY, а также злоумышленники из Bl00dy и Buhti. Что забавно, многие образцы, собранные на основе утечки, иду на дефолтной конфигурации или с самыми минимальными изменениями. Так что за билдер, очевидно, схватились окрылённые мечтами о больших выкупах рансомварь-оппортунисты, и в эти фантазии весь выхлоп для многих и ушёл. Подробнее о билдере от Lockbit 3.0 и его приключениях в сетевых дебрях в отчёте.

@tomhunter

#news Безопасники из JPCERT делятся подробностями атаки MalDoc in PDF, которую засекли в июле. В ход идут полиглоты под видом pdf-ки с вшитым doc-файлом. В последнем VBS-макро с малварью, детали которой исследователи не приводят. Сама по себе атака не нова, но в таком формате засветилась впервые.

Между тем MalDoc стандартный запрет на автозапуск макросов не обходит, так что при хорошо обученном юзере, не кликающим куда попало, из основных плюсов у атаки остаётся обход базовых средств защиты. Так, простой анализ pdf-файла притаившийся в нём вредонос не обнаружит, но инструменты вроде OLEVBA забьют тревогу. Подробнее об атаке читайте в отчёте, а здесь есть видео с примером её использования.

@tomhunter

#news Давненько не было новостей про занятные игровые читы с далеко идущими последствиями. Так, взлому подвергся любимец всех девочек из Твиттера Genshin Impact. Неофициальный плагин Kaveh Hacks позволял присоединяться в co-op к игрокам и удалять у них ключевые предметы и неписей. Что делало невозможным прогресс в игре. 60-миллионное сообщество бурлит.

А из последствий здесь то, что компания не только перебанила виновников, но и грозит судиться с разработчиками, пользователями и распространителями чита. Чтобы никто не ушёл не обиженным. Между тем за такой абьюз условий пользования и проприетарного кода могут выписать и нарушение копирайта, и кибермошенничество согласно Computer Fraud and Abuse Act. В похожей истории разработчик Destiny 2 отсудил $4,2 миллиона у продававшей к ней читы компании. Так что любителям пошутить над анимешными девочками остаётся надеяться, что они живут в какой-нибудь другой юрисдикции. Иначе шутить с ними начнёт уже суд.

@tomhunter

#news Спецслужбы США сообщают о перехвате инфраструктуры QakBot. Эта малварь была в ходу у многих киберпреступных групп, использовавших её для задела под рансомварь-атаки. Появившийся в 2007-м в качестве банковского трояна QakBot вырос в серьёзный вредонос. За последние полтора года через него прошли 40 атак от рансомварщиков на $58 миллионов.

Как сообщают, федералы получили доступ к онлайн-панели QakBot’a, и это стало началом его конца. Контрольная панель же показала впечатляющие цифры: 700 тысяч заражённых устройств только за прошлый год. Самый популярный лоадер вредоноса и за 2023-й, QakBot занимал треть рынка, но теперь более 50 его серверов по всей Европе перехвачены, а на инфицированные машины отправлены команды на удаление ботнета. Любители чертовски хорошего кофе не только выступили в роли доброй инфобез-феи, но также поделились 6,5 миллионами перехваченных данных доступа жертв с Have I Been Pwned.

@tomhunter

#article На Хабре наша новая статья, в которой мы рассмотрим смартфон в качестве полезного инструмента специалиста по инфобезу и работника службы безопасности. От очевидных функций вроде дистанционного фотографирования и прослушивания до обнаружения слежки и поиска скрытых камер. Как обычно, с примерами, полезными приложениями и прочими деталями. За подробностями добро пожаловать на наш Хабр!

@tomhunter