#news Начинаем неделю с заголовков прямиком из киберпанкового будущего. Исследователи разработали ИИ-алгоритм для предотвращения MITM-атак по беспилотным военным роботам. Такие устройства уязвимы к атакам, способным нарушить работу техники, модифицировать команды и вплоть до перехвата контроля. Отсюда и запрос.

Натасканная учёными модель анализирует трафик на предмет попыток его перехвата. И демонстрирует впечатляющие результаты: 99 процентов предотвращённых атак и меньше 2 процентов ложноположительных. Желающие могут почитать исследовательскую работу о принципах работы нейронной сети, натасканной под задачу. Ну а все прочие – порадоваться, что потенциально ракеты с беспилотников будут лететь исключительно в цель вопреки мясным злоумышленникам и прочим декерам. Ура?

@tomhunter

#news Безопасники из F-Secure опубликовали анализ спайвари под Андроид Spynote. Вредонос обладает обширным функционалом на запись звонков и нажатий клавиш, скриншотов экрана, стягивание файлов и прочее. Распространяют его через смишинг-кампании.

Что примечательно, спайварь практически неубиваемая. Помимо маскировки присутствия и активности на телефоне жертвы, вредонос идёт с diehard-сервисами: так, он регистрирует широковещательный приёмник, автоматически перезапускающий спайварь при завершении. А также препятствует удалению через меню настроек, закрывая его. Через режим разработчика, опять же, удаление блокирует приёмник. И единственным вариантом для юзера остаётся сброс настроек телефона до заводских. Что, конечно, оптимальным не назовёшь. Подробнее о SpyNote читайте в отчёте.

@tomhunter

#news У Cisco в IOS XE обнаружена уязвимость, получившая десяточку по CVSS и всё ещё ждущая патча. Нулевой день CVE-2023-20198 в веб-интерфейсе позволяет неавторизированным злоумышленникам создать аккаунт и получить полные админские права на роутерах и свитчах. Судя по Shodan, под угрозой ~80 тысяч доступных в сети устройств.

При этом уязвимость активно эксплойтят: с 18 сентября неизвестный злоумышленник создаёт аккаунты и ставит импланты для команд на уровне ОС. Что занятно, после получения доступа атакующий также использует уже два года как исправленную CVE-2021-1435. Каким образом имплант попадает в пропатченные системы, Cisco пока не разобралась. С учётом лёгкости эксплойта и выбитой десяточки уязвимость не стоит оставлять без внимания. Пока компания готовит патч, следует отключить HTTP-сервера, чтобы избежать незваных гостей на своих устройствах.

@tomhunter

#news Discord продолжает быть рассадником малвари, с CDN приложения в качестве инструмента доставки вредоносной нагрузки. Анализ показывает не менее 10 тысяч образцов малвари, попадающих к жертвам через сети Дискорда. В основном, всевозможные инфостилеры и RAT’ы.

Помимо этого, теперь к веселью подключаются и злоумышленники серьёзнее. Так, неназванная группировка использует функционал Дискорда для атак по критической инфраструктуре Украины. На одной из стадий в ход идут веб-хуки платформы для стягивания данных. Что интересно, обычно Discord для таких целей не используют, так как платформа может в любой момент прикрыть лавочку, и группировка потеряет С2-сервера. Но тенденция занятная: абьюз Дискорда ещё и от APT как добавит головной боли разработчикам, уже не справляющимся с потоком малвари, так и расширит пространство потенциальных угроз. Подробнее читайте в отчёте от Trellix.

@tomhunter

#news В США осудили известного мошенника от IT Амира Голестана. Товарищ прославился тем, что использовал запутанную сеть фиктивных компаний для получения 735 тысяч айпишников от ARIN, Американского регистратора интернет-номеров, для дальнейшей перепродажи на солидную сумму – от 10 до 14 миллионов долларов.

В 2018-м ARIN раскусила Голестана, и тот по соглашению вернул большую часть ещё не проданных адресов. Но затем за дело взялись федеральные прокуроры, высоко оценившие выкрутасы современного Остапа Бендера. Цена хитроумных махинаций – 5 лет тюрьмы за мошенничество, два года судебного надзора после и $77 тысяч издержек стороне обвинения. Взгляните в эти честные глаза. Купили бы у этого предприимчивого товарища поддержанный айпишник?

@tomhunter

#news В начале октября на BreachForums всплыла информация о взломе D-Link. Злоумышленник утверждал, что стянул 3 миллиона записей с данными клиентов, включая госслужащих Тайваня и работников компании, плюс исходники к D-View. В итоге компания взлом подтвердила. А вот горе-хакер, судя по всему, изрядно приврал.

Фишинг по сотруднику дал злоумышленнику доступ к «тестовой среде» с куцыми данными на 700 аккаунтов, неактивных больше семи лет. Что объясняет даты в сэмпле – 2012-й и 2013-й годы – и демократичный ценник в $500 на предположительно масштабный слив. Между тем взломанный сервер крутился на старенькой платформе D-View 6, списанной в утиль ещё в далёком 2015-м. Что делало это ископаемое в их сетях, компания не объяснила. Из плюсов несостоявшейся громкой утечки, старичка от сети, судя по всему, отключили. Спасибо некому succumb’у. Но вот лёгких 500 баксов, увы, ему уже не видать.

@tomhunter

#news Вновь к будням шпионского инфобеза, на этот раз прямиком из ЦРУ. В официальном аккаунте управления в Твиттере была дана ссылка на их Телеграм-канал для связи и рекрутинга потенциальных информаторов. Причём канал русскоязычный, так что сами понимаете. Но из-за глитча с отображением ссылок платформа её обрезала, и теперь ссылка вела на несуществующий аккаунт.

Увы, в самом ЦРУ это не заметили – вряд ли ведущий аккаунт младший сотрудник особо мотивирован заниматься такими тривиальными вещами. Зато приметил безопасник. Немножко так удивился и оперативно зарегистрировал аккаунт под этим именем, оставив предупреждение, что писать госсекреты для ЦРУ сюда не надо. Меры предосторожности здравые. Ведь с тем же успехом вместо доброго белошляпочника аккаунт мог перехватить кто-нибудь посерьёзнее. И желающие поработать на ЦРУ изрядно бы удивились, когда их завербовал бы совсем не Джон Смит, а простой Иван Кузнецов из контрразведки.

@tomhunter

#news В канале украинских хакеров, ранее сообщавшем об утечке из «Сирена-Трэвел», теперь заявили о взломе «Альфа-банка». Как утверждают злоумышленники, у них в руках база всех клиентов на 22 миллиона физлиц. ФИО, даты рождения, номера телефонов, информация о номерах карт и счетов. В сэмпле 44 тысячи клиентов. Как минимум, это данные реальных людей.

В «Альфа-банке» дали комментарий ТАСС, назвав утечку фейком и добавив, что «Личные данные в материале скомпилированы из нескольких случайных номеров». Что имели в виду в организации, неясно. Видимо, поэтому отредактированный комментарий банка теперь звучит как «Это фейк, больше нечего добавить». Действительно, иногда лучше молчать, чем говорить. Между тем взломщики обещают слить всю клиентскую базу в открытый доступ. Тогда и посмотрим. А пока остаётся, хм… скрестить пальцы на удачу? Пусть для разнообразия будет фейк.

@tomhunter

#news Подоспели первые результаты по следам уязвимости в IOS XE от Cisco, выбившей десяточку по CVSS. И они удручающие: на 18 октября больше 40 тысяч устройств скомпрометированы в результате атак. При этом Shodan насчитал всего около 145 тысяч доступных в сети уязвимых роутеров и свитчей.

Операторы связи, медцентры, университеты, банки, больницы и госучреждения – спектр организаций с уязвимыми устройствами довольно широк. При этом во многих из них, скорее всего, и не подозревают о безопасниках и злоумышленниках, с попкорном изучающих результаты из Shodan’a. Подробностями атак Cisco пока не делится и обещает опубликовать их после выпуска патча и завершения расследования. Ну а пока можно делать ставки, сколько ещё их устройств успеют взломать.

@tomhunter

#news В Санкт-Петербурге 22 октября пройдёт масштабное событие в сфере ИБ под названием ZERO-DAY. Это конкурс для студентов-очников высших и средне-специальных заведений, на котором они смогут протестировать свои навыки в области информационной безопасности. Участников ждёт три модуля: White Hat-пентест со взломом системы от организаторов, OSINT-квест и набор задач в формате jeopardy/task-based.

ZERO-DAY пройдёт при поддержке T.Hunter, а задание по OSINT для участников подготовил наш коллега, Игорь Бедеров. Студенты получат возможность на практике оценить будни ИБ-специалиста, а также пообщаться с экспертами из инфобез-сферы. Подробнее о событии на сайте Технопарка Санкт-Петербурга.

@tomhunter

#article У нас на Хабре большая обзорная статья о различных способах проверки контактов. Кратко пройдемся по всевозможным методам для сбора информации, составим список полезных в каждом случае сервисов и затронем ограничения того или иного способа. Начнем с самых азов для начинающих любителей OSINT и дойдем до неочевидных вариантов проверки потенциальных контактов. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news Подошла к концу история рансомварь-группировки с броским названием Ragnar Locker: Европол перехватил их сервера и арестовал нескольких членов. С 16 по 20 октября в Чехии, Испании и Латвии прошли обыски и аресты. Ключевой разработчик был арестован во Франции и предстал перед судом в Париже.

Группировка была активна с декабря 2019-го и, согласно Европолу, провела атаки по 168 международным компаниям в Европе и Штатах. Двое участников уже были арестованы в Украине в 2021-м, в этот раз ещё один попался в Киеве. С арестом главного разработчика и уничтожением инфраструктуры группировка в нынешнем виде, очевидно, прекратит своё существование. С чем её можно и поздравить. И делать ставки, увидим ли мы ещё оставшихся злоумышленников из Ragnar Locker под новым брендом.

@tomhunter

#news Гугл готовит тест новой фичи в Хроме под названием «Защита IP». Компания планирует гнать трафик пользователей из определённых доменов через свои прокси-сервера, чтобы скрывать айпишники юзеров от сторонних сайтов и сервисов. На бумаге это должно защитить пользователей от межсайтового отслеживания и повысить их конфиденциальность.

На первом этапе систему протестируют на пользователях из США и и сервисах самого Гугла. Затем её расширят на прочих счастливчиков. В планах двуххоповая прокси с внешним CDN и токены по квотам на доступ к ней для юзеров, чтобы избежать злоупотреблений. В общем, в конечном счёте вместо сторонних сайтов трафик из Хрома будет идти на сервера Гугла. Такая вот конфиденциальность по версии заботливой мегакорпорации.

@tomhunter

#news По следам разгоревшегося на Ближнем Востоке конфликта израильская инфраструктура подвергается ежедневным атакам. Теперь якобы особо отличились турки: хакерская группировка Ayyıldız Tim, одна из самых известных в Турции, заявила о взломе Министерства Обороны Израиля.

По утверждениям хакеров, к ним в руки попали секретные документы, данные о военных учениях и персонале Министерства. Как обычно, новости такого характера сопровождают грозные лозунги: «Вы увидите силу тюрков!» и всё такое прочее. Хотелось бы вместо этого увидеть убедительные доказательства взлома, но с этим у группировки пока туговато, а одинокий скриншот в Твиттере смахивает на подлог. Израильское Минобороны информацию пока не комментировало. Но у них сейчас есть заботы поважнее, чем турецкий твиттерный хайп. Что ж, хотя бы инфоповод удался.

@tomhunter

#news Менеджер паролей 1Password сообщил об «инфобез-инциденте» в своих системах. Но в этот раз, похоже, без масштабных утечек формата «последний раз с LastPass». Некий злоумышленник получил доступ к их среде на платформе Okta, был быстро обнаружен и выброшен из системы. Компания заявляет, что никакие данные затронуты не были, ни пользовательские, ни девелоперские.

А началось всё со взлома техподдержки самой Okta. 1Password грузила в неё HAR-файл из Chrome Dev Tools с куками и прочим чувствительным. С помощью сессии из этого файла злоумышленник и попал в их системы на платформе. Оттуда пытался зайти в панель управления и запросил список админов. О последнем пришёл запрос на почту 1Password, что их IT-отдел очень удивило и, как утверждает компания, вызвало оперативную реакцию со счастливым ИБ-концом. В таком случае LastPass есть, с кого брать пример.

@tomhunter

#news Сегодня у нас день проверок концепций: и Citrix, и VMware сообщили клиентам о публикации PoCs к уязвимостям в своих продуктах. CVE-2023-34051 с рейтингом 8.1 на обход авторизации и произвольный код в Aria Operations for Logs от VMware. CVE-2023-4966 на 9.4 по CVSS в Netscaler ADC и Gateway от Citrix на угон сессий.

Уязвимости в Citrix уже активно эксплойтят, а с публикацией проверок концепции риск этого только возрастёт. Но исправления к обеим уязвимостям уже доступны, так что всё зависит от того, насколько юзеры горят желанием обезопасить свои устройства. Между тем CVE от VMware обходит патч к критическим уязвимостям, исправленным в январе, причём, как утверждает исследователь, обойти его оказалось не так сложно. Так что не все официальные патчи одинаково полезны.

@tomhunter

#news Немного курьёзные детали инфобеза израильтян из Сектора Газа. По запросу израильской армии Google отключил отображение пробок в самом Израиле и на спорных территориях.

Собственно, данные о движении в реальном времени могли раскрыть передвижения израильских войск. И любители OSINT с красными глазами по анализу красных же участков трасс вполне могут просчитать на них происходящее, а там и до соответствующих действий в штабах недалеко. В прошлом году Гугл также отключал функцию просмотра движения на дорогах в другом конфликте, о котором все читатели наслышаны. Как сообщают источники в Израиле, Apple также удовлетворила запрос на отключение функционала в своих картах. Такие вот неочевидные аспекты опсека в эпоху развитого наблюдения всех за всеми.

@tomhunter

#news Учёные разработали атаку по уязвимости в процессорах серий А и М от Apple, позволяющую красть содержимое почты, автозаполнение паролей и другие чувствительные данные. Названная iLeakage атака по сторонним каналам эксплуатирует функцию спекулятивного выполнения в процессорах. В общем, аналог Spectre шесть лет спустя.

Атак реализована в виде вредоносного сайта, который с помощью JavaScript открывает другой сайт на выбор злоумышленника, скажем, Gmail, и браузер рендерит оба через один процесс. Это и позволяет iLeakage вытянуть данные со скомпрометированной страницы. На Маках атака обходит защиту в Safari, на мобильных устройствах уязвимы все браузеры, так как дело в движке Apple Webkit. Между тем Apple планирует исправить уязвимость в ближайшем обновлении, а в силу технической сложности атака, скорее, представляет больше академический интерес. Подробнее о ней с техдеталями, видео и прочим на сайте исследователей.

@tomhunter

#news Занимательные подробности нашумевших взломов сетей казино Caesars Entertainment и MGM Resorts. Как известно, за атаками стояла группировка подростков, англоязычные и в возрасте до 20 лет. И они использовали для взломов социнженерию. И какую!

Собственно, на скриншотах примеры работы по сотрудникам казино. Малолетние взломщики выбивали из них данные доступа угрозами по смс. Оказывается, «Отдай мне пароли, ****, или я убью тебя и всю твою семью» срабатывает и в реальной жизни. Ценник на радикальную подростковую социнженерию тоже вышел солидный: Caesars Entertainment выплатила $15 миллионов выкупа, MGM Resorts понесла $100 миллионов убытков. Некий анонимный безопасник заявляет, что инфобез-отрасль недооценила молодых и талантливых хакеров. Но внушаемость традиционно самого слабого ИБ-звена недооценивать тоже явно не стоит. Подробнее о юных дарованиях из Octo Tempest в отчёте Microsoft.

@tomhunter

#news В Касперском обнаружили прежде неизвестный кроссплатформенный вредоносный фреймворк. StripedFly, ранее обозначенный как простой криптомайнер под Monero, оказался малварью гораздо серьёзнее. И за пять лет тайком заразил более миллиона устройств под Линукс и Винду.

При этом фреймворку есть чем похвастаться. Сложная система скрытия трафика через Tor, автообновления с доверенных платформ, механизм распространения, как у червей, и кастомный эксплойт EternalBlue, написанный ещё до утечки данных о нём. Помимо криптомайнера в малвари ещё десяток модулей со всевозможным функционалом под шпионаж, а сам майнер, судя по всему, встроен для отвлечения внимания. Причём вполне успешного. Видимо, перед нами серьёзный инструмент госхакерской группировки. Подробнее о любопытной находке в отчёте.

@tomhunter

#news Разработчики анонимной сети Tor опубликовали результаты аудита браузера Tor Browser и развиваемых проектом инструментариев OONI Probe, rdsys, BridgeDB и Conjure, применяемых для обхода цензурирования. Аудит проводился компанией Cure53 с ноября 2022 года по апрель 2023 года.

В ходе проверки были выявлены 9 уязвимостей, две из которые отнесены к категории опасных, одной присвоен средний уровень опасности, а 6 отнесены к проблемам с незначительным уровнем опасности. Также в кодовой базе было найдено 10 проблем, отнесённых к категории не связанных с безопасностью недоработок. В целом код проекта Tor отмечен как соответствующий практикам безопасного программирования.

@tomhunter