#news Банковский троян Xenomorph, впервые всплывший в феврале 2022-го, засветился в очередной кампании. И как полагается порядочному киберпаразиту, ксеноморф продолжает расти и хорошеть. Теперь троян нацелен на десятки американских банков и криптокошельки, включая Bitcoin Binance и Coinbase.

В своих свежайших версиях Xenomorph также может похвастаться автоматической системой переводов для стягивания средств с устройств жертв, обходом MFA, кражей куки и работой под 400 банков по всему миру. Плюс функциями мимикрирования под легитимные приложения и отключения спящего режима, блокирующего выключение экрана. В запущенной в августе кампании троян распространяют под видом обновления Chrome или Google Play. Подробнее о ксеноморфе, давно доросшем до полноценной взрослой особи, читайте в отчёте от ThreatFabric.

@tomhunter

#news WhatsApp-каналы до нас не дошли, а вот Binance от нас уходит: криптобиржа сообщила о прекращении деятельности в России. Полном и безоговорочном, с продажей бизнеса без права на получение части прибыли и возможности обратного выкупа.

Новых юзеров частично переправят на CommEx. Переход же пользователей на другую платформу и отключение от Binance займёт до одного года. А может, и не займёт. Так что спешите спасать дорогие сердцу цифровые монетки и выводить их на платформы более дружелюбные к нам, обладателям чёрной метки поневоле на годы вперёд. Binance сообщает о направлении освободившейся энергии на развитие биржи в более чем 100 странах, где она продолжит функционировать. И крипта, и крипта на Бинансе встретит бычьего рынка рассвет, не заметив, что нас уже нет. Что ж, альтернатив у биржи достаточно. Ещё можно вспомнить про натуральный обмен.

@tomhunter

#news Вслед за развернувшимся на днях скандалом с Google и Apple, скрывшими детали исправленной компаниями уязвимости, Гугл раскрывает карты. Встречайте CVE-2023-5129, уязвимость ни в каком не Хроме, а в библиотеке libwebp. Десяточка по шкале CVSS.

Спустя две недели после выпущенных Гуглом исправлений и замалчивания проблемы, у нас официально есть критическая уязвимость, возможно, эксплойты. Ошибка на переполнение буфера в Webp, а с ней и произвольное выполнение кода, и прочие радости. Под угрозой, соответственно, всё ПО и платформы, в которых интегрирована эта библиотека. В том числе Signal, 1password, нативные браузеры под Андроид и полдюжины десктопных. В общем-то, проще сказать, где libwebp не встроена. Гугл по следам своего конфуза комментарии давать не спешит. Оно и понятно.

@tomhunter

#news Sony расследует заявления о взломе, произошедшем на этой неделе. Пока компания не спешит давать комментарии, среди киберпреступников развернулась баталия за право взять на себя ответственность за атаку. Группировка RansomedVC сообщила о взломе Sony[.]com и выставила на продажу данные и доступ. Но тут объявился некто MajorNelson, заявил о подлоге и слил жирный архив. После этого на хакерском форуме начался сущий кошмар.

RansomedVC утверждают, что стянули 260GB данных и требуют $2,5 миллиона за них. При этом в их сэмпле всего 2MB данных. Товарищ майор Нельсон же слил 3,14GB якобы с ключами и данными с SonarQube, Creators Cloud, сертификатами Sony и прочим. Слитое предварительно действительно от компании, но кто взломал и с кем вести задушевные беседы о выкупе – пока, очевидно, непонятно. В общем, Sony везёт на увлекательные инфобез-истории – то их северокорейцы взломают по заказу партии, то теперь вот это.

@tomhunter

#news Ростех сообщил о масштабной DDoS-атаке по системе бронирования авиабилетов Leonardo. Произошла она, как водится, из-за рубежа. В результате у «Аэрофлота» и «Победы» возникли проблемы с регистрациями на рейсы из-за сбоев в системе. Это привёло к задержке нескольких рейсов в среднем на полчаса. Отвалилось как бронирование, так и онлайн-регистрация, а в аэропортах она шла по старинке, вручную.

При этом сегодняшняя атака лишь самая заметная – они идут по системе регулярно и массово. Так, за последние месяцы их были десятки, и пять зафиксировали в одном только сентябре. В общем, стальные грозы на киберфронтах не утихают, и с попытками нарушить работу критической инфраструктуры мы продолжаем сталкиваться каждый день.

@tomhunter

#news В эфире любимая рубрика «Брайан Кребс и сколько нам его открытий чудных». Так, сегодня речь про рансомварь-группировку Snatch. У товарищей есть сайт для слива данных жертв в Торе. Но помимо оных сайт сливает ещё и реальные айпишники посетителей этого сомнительного ресурса. Иронично, не правда ли? Страница «Server Status» доступна всем желающим.

Так, на ней мы узнаём, что активней всего на сайт стучится айпишник из Екатеринбурга, где стоит сервер, на котором крутятся домены Snatch. Другой айпи с их доменами постукивает из Москвы. Ну а зарегистрированы они на некий псевдоним Михаил Колесников, под чьим именем за последние 10 лет регали 1,300 доменов под фейковые сайты для распространения малвари, в том числе через Google Ads. Ну а во второй части поста Кребс обещает подробности о группировке и её основателе. Очевидно, каком-нибудь очередном нашем соотечественнике. Оставайтесь на связи.

@tomhunter

#news Про малварь в Google Ads все наслышаны, как насчёт вредоноса в чат-боте Bing Chat от Microsoft? Но суть, в принципе, та же. При запросе на скачивание софта ИИ-болванчик услужливо выдаёт ссылки из поиска. И первой показывает рекламную вместо ведущей на сайт с софтом – с марта Майкрософт пустила в бота рекламу. Ну а в ней, как водится, малварь.

В этом случае речь идёт про IP Scanner для сисадминов и Mycase law manager для юристов. Некий злоумышленник взломал рекламный аккаунт австралийской компании и создал объявления с вредоносом. По ссылкам клоны оригинальных сайтов, в MSI-установщике скрипт, подтягивающий неизвестную малварь. Скорее всего, как обычно, инфостилеры или RAT’ы. В общем, в Майкрософт решили не отставать от Гугла. Роль главного поставщика малвари в мире им, конечно, не отбить. Но посильный вклад вносят.

@tomhunter

#cve На Хабре наша традиционная подборка самых интересных уязвимостей за прошедший месяц. Сегодня из примечательного ворох уязвимостей в продуктах от TP-Link и D-Link, в том числе и критических, которые пока не получили исправлений. Также засветилась критическая уязвимость в GitLab, произвольный код в софте от Apple и привычная россыпь багов в компонентах от Google Chrome. За подведением итогов первого осеннего месяца добро пожаловать на наш Хабр!

@tomhunter

#news В Cloudflare обнаружили занятные уязвимости в механизмах защиты от DDoS-атак. Что их делает интересными – это, собственно, логические ошибки в контроле безопасности между самими клиентами. И для эксплойта достаточно простого… бесплатного аккаунта от самой Cloudflare.

Первая уязвимость завязана на проверку запросов в сети Cloudflare – от клиента к клиенту всё завязано на общий сертификат SSL/TLS. Вторая же обходит разрешение на трафик к серверам клиентов только с айпи от Cloudflare. В обоих случаях в дело идёт кастомный домен от Cloudflare с отключёнными функциями защиты. В итоге вредоносный трафик идёт через их инфраструктуру и расценивается системой как легитимный. И Cloudflare становится удобным инструментом для DDoS-атак, что довольно иронично. Комментариев по такому оригинальном эксплойту их систем компания пока не давала и закрыла репорт на H1 с пометкой «Информативно». Ну, действительно информативно же.

@tomhunter

#news К новинкам малвари, сегодня у нас BunnyLoader. Появившийся в даркнете всего месяц назад вредонос распространяют по схеме M-a-a-S. При этом он уже сейчас может похвастаться неплохим функционалом.

BunnyLoader написан на C/C++, имеет безфайловый загрузчик, функции инфостилера, клиппера и криптокрада, подтягивание допнагрузки, удалённые команды, обход анализа, веб-панель и прочие радости. И всё это удовольствие по ценнику $250 за пожизненную лицензию. При этом за сентябрь разработчики малвари выпустили десяток версий своего поделия, с обновлениями почти на каждый день. В общем, апдейты у вредоносного кролика идут с той же скоростью, что и обновление популяции у кроликов реальных. Так что к опасному новичку стоит присмотреться. Подробнее о BunnyLoader читайте в отчёте.

@tomhunter

#news ФСБ выступила с ещё одной занятной инициативой: предлагают обязать сервисы хранить данные о геолокации пользователей и средствах платежа. Такой проект постановления появился на сайте правительства.

В ведомстве отмечают, что сейчас эти сведения в правила напрямую не внесены, но по сути в них упоминаются и обрабатываются. Что, в свою очередь, «формирует неоднозначную правоприменительную практику». А в порядочном ведомстве, как водится, всё должно быть однозначно. Крупные агрегаторы и прочие обитатели реестра распространения информации, вроде VK и Яндекса, комментарии пока давать не спешат и ждут окончательных формулировок. Ну а неискушённые и просто неоднозначные юзеры по следам новости уже спешат брать пример с наученных жизнью инфобез-параноиков и ставят Fake GPS.

@tomhunter

#news В Линуксе обнаружили уязвимость на получение рут-прав через эксплойт переполнения буфера. Почему в Линуксе? А уязвимость в базовой библиотеке glibc. Которая, собственно, присутствует в большинстве дистрибутивов. Fedora, Ubuntu, Debian и далее по списку – сколько систем под угрозой, представите сами.

Уязвимость появилась в апреле 2021-го года с выходом версии glibc 2.34. Она скрывается в динамическом загрузчике ld[.]so, который обрабатывает переменную среды GLIBC_TUNABLES. Соответственно, вредоносные переменные позволят злоумышленнику выполнить произвольный код. Атака простенькая, особых прав не требует, как и участия юзера. Выдыхать могут юзеры дистрибутива Alpine, которых уязвимость обошла стороной. Ну а всем прочим нужно срочно озаботиться накатыванием патчей. Подробнее о CVE-2023-4911 читайте в блоге.

@tomhunter

#news У Xiaomi вчера под вечер случился массовый сбой в экосистеме по всей России и Беларуси. Оказались недоступны сервера и массово отвалились умные устройства. Судя по репортам недовольных юзеров со всех регионов, проблема носит общероссийский характер. Ну а с учётом четверти мобильного рынка, занятого теперь компанией в России, масштабы можете представить сами.

У пользователей нет доступа к приложению Mi Home и возможности пользоваться привязанными к нему устройствами. У многих также отвалился доступ к аккаунтам и магазину приложений. Между тем компания сообщила, что у них сбой на серверах, и пообещала оперативно решить проблему, чем и занялась, судя по возвращающимся онлайн гаджетам. Так что испугавшийся за дорогой сердцу робот-пылесос мелкий айтишный буржуа из столицы, похоже, может выдыхать – санкции пока до него не добрались.

@tomhunter

#news Если товарищи линуксоиды ещё не спешили с обновлениями по следам всплывшей пару дней назад уязвимости «Looney Tunables»… В сети появилась проверка концепции с её эксплойтом. Уязвимость элементарная, так что эксплойт ей под стать – справится даже малолетний скрипт-кидди.

Напомню, «Looney Tunables» даёт злоумышленнику root-права из-за переполнения буфера в динамическом загрузчике ld[.]so библиотеки glibc. А она присутствует в большинстве Linux-дистрибутивов за очень малыми исключениями. Работоспособность опубликованной PoC исследователями подтверждена, параллельно идёт разработка и публикация других эксплойтов под уязвимость. Так что если вдруг ждали знака, чтобы начать накатывать патчи, это он. Пора. Вот уже прямо сейчас.

@tomhunter

#digest По следам ушедшего первого осеннего месяца время подвести его итоги и вспомнить самые громкие инфобез-события сентября. Так, мы застали громкие взломы отечественных компаний и уже привычные сливы данных россиян. Над Google начался эпохальный антимонопольный процесс. Исследователи представили несколько интересных атак. А Минцифры предложило деанонимизировать владельцев хостингов. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news В копилку любопытных взломов: об утечке данных клиентов сообщила компания 23andMe, занимающаяся анализом генома. Так что помимо привычных ФИО, даты рождения, фото из профиля утекла информация и пооригинальнее. А именно результаты анализов и географическое положение пользователей.

Сама компания утверждает, что утечка произошла через подстановку учётных данных – злоумышленники получили доступ к аккаунтам и наскрапили с них инфу. Между тем взломщики слили данные одного миллиона евреев в открытый доступ. Видимо, перед нами мамкины хакеры, любящие почитывать /pol. Теперь же они продают профили пачками по ценнику от 10 до 1 бакса за штуку. А любознательные юзеры якобы уже находят в сливе разных публичных персон вроде Маска и Цукерберга. В общем, радостный день для всех параноиков, свысока смотревших на наивных глупцов, отправляющих свою ДНК в сомнительные конторки. Между прочим, их предупреждали!

@tomhunter

#news На хакерском форуме слили исходники рансомвари HelloKitty. В архиве решение от Microsoft Visual Studio, собирающее энкриптор и декриптор, а также библиотека NTRUEcrypt, используемая энкриптором. Исследователи подтвердили подлинность исходников.

HelloKitty активна с ноября 2020-го года, наибольшую публичность им принёс взлом CD Project Red в феврале 2021-го и предполагаемая кража исходников игр компании. По мнению ФБР группировка работает из Украины. Что интересно, исследователи считают, что исходный код рансомвари слил сам разработчик. Который теперь утверждает, что «У нас в работе новый продукт гораздо интереснее LockBit». Насчёт последнего пока сомневаюсь, но вот желающих пустить в ход исходники определённо найдётся немало. В случае с тем же слитым Babuk’ом девять рансомварь-группировок до сих пор используют его для своих энкрипторов два года спустя.

@tomhunter

#news «Тинькофф» запросил у своих клиентов согласие на обработку фото для биометрии. Банк обслуживает около 30 миллионов человек, и их фотографии с оформления карт, видеозвонков и из FaceID отправятся в Единую биометрическую систему.

При этом банк сделал это в сторис в приложении, и юзеры запрос не совсем оценили: вариантов отказаться от обработки данных в нём попросту не было. В лучших традициях выборов в банановых республиках, в приложении предусмотрели только одну кнопку – «разрешить». Итоги недопонимания – тысячи комментариев от смущённых пользователей. Однако вариант отказаться от процедуры внесения себя в базу всё же есть: нужно отправлять отказ в банк через «Почту России» либо через личное обращение в банк. Так что спешите воспользоваться предложением, если вдруг не горите желанием пожертвовать свою физиономию из архивов «Тинькоффа» в ЕБС.

@tomhunter

#news Минцифры продолжает фонтанировать оригинальными идеями: теперь на очереди повышение градуса цифрового суверенитета. Так, с 1 декабря планируют ввести новые требования к хостерам. Держать оборудование исключительно в России, использовать только DNS-серверы национальной системы и подключиться к госсистеме обнаружения компьютерных атак.

Хостинг-провайдеры пока в глубокой задумчивости над трудностями бытия – по оценкам установка оборудования под запросы обойдётся в десятки миллионов рублей разово и по несколько миллионов ежемесячно. А часть требований проекта, как водится, едва ли выполнима. Так что в случае его реализации небольшие хостеры с нами попрощаются, а отъевшие их долю крупные игроки, естественно, переложат новые расходы на клиентов. Вот тогда заживём. Или нет.

@tomhunter

#news Не каждый линуксоид ещё пропатчил Looney Tunables, а на очереди ещё одна серьёзная уязвимость. CVE-2023-43641 на повреждение памяти в библиотеке libcue, превращающая её в RCE в один клик. Уязвимы системы, использующие рабочее окружение GNOME. А это Debian, Ubuntu, Fedora и далее по списку.

Исследователи продемонстрировали проверку концепции, но пока публиковать её не спешат во избежание. Что это, собственно, за библиотека? Libcue используется для анализа CUE-файлов и интегрирована в индексатор Tracker Miners в GNOME. И хотя для эксплойта понадобится юзер, скачавший и запустивший вредоносную куешку, не спешите списывать уязвимость со счётов. Патчи лучше всё же накатить, даже если последний раз неизвестный файл пускали в начале нулевых за семью песочницами. Подробнее об уязвимости в блоге на Гитхабе.

@tomhunter

#news Испанская авиакомпания Air Europa подверглась взлому и просит клиентов заблокировать свои кредитные карты. В утечку попали их номера, сроки действия и CVV. Так что всех покупавших билеты через сайт компании ждёт перевыпуск карт во избежание.

Сколько клиентов затронуты утечкой и когда она произошла, компания сообщать не спешит. Однако ж, это для неё не первый взлом: в 2021-м кредитки счастливчиков точно так же утекли с сайта Air Europa. И тогда пострадали ~500 миллионов человек. Из них обчистили карты у ~4000 счастливчиков, но при этом авиаперевозчик приписал взлому «среднюю степень риска» и оперативно уведомлять клиентов не стал. За что и получил штраф в 600 тысяч евро. В этот раз, видимо, раскошеливаться не хочется, вот и подсуетились. Спасибо прошлому живительному пинку от регулятора. А схема-то, оказывается, рабочая!

@tomhunter