#news Trend Micro рапортует о сервисе с говорящим названием Kopeechka, позволяющем создавать сотни аккаунтов в соцсетях в считанные секунды. Он рассчитан на обход двух основных преград при массовой регистрации – верификацию по почте и телефону. Всё это на платформе можно полностью автоматизировать. Иными словами, раздолье для самых неискушённых киберпреступников.

Сервис активен с 2019-го года и идёт как с веб-интерфейсом, так и с API. Что интересно, на нём также обнаружили Pyrhon-скрипт для регистрации аккаунтов на VirusTotal – видимо, под тест малвари на предмет обнаружения. К примеру, через Kopeechka шло создание аккаунтов под наделавшую шуму мошенническую кампанию с криптой на Mastodon. В общем, если задумывались, откуда в комментариях берутся сотни простых Иванов из города Тверь – вот так, за копеечку пучок. Подробнее о сервисе в отчёте.

@tomhunter

#news Безопасники из HP Wolf Security опубликовали инфобез-отчёт с ключевыми малварь-кампаниями и трендами за ушедший квартал. Из примечательного, очередной чудесный пример ножа в спину от матёрых злоумышленников начинающим.

А именно ворох репозиториев на Гитхабе, якобы содержащих XWorm, популярный троян удалённого доступа. Но вместо него желающие приобщиться к миру киберкриминала получают вредонос – майнеры, клипперы и инфостилеры. Сам XWorm продаётся по 400-500 баксов, так что возможность заполучить его даром – хорошая приманка для привычного к халяве, неопытного злоумышленника. Ну а полученная в подарок малварь – полезный урок для делающих свои первые шаги в увлекательном мире киберпреступности. Может, кого-нибудь такой конфуз от сомнительного карьерного пути даже и отвадит.

@tomhunter

#news CVSS 4.0 официально запущен, спустя 8 лет после предыдущей крупной версии. Из ключевого в новой версии улучшенная детализация базовых метрик, а также упрощение метрик угроз для облегчения использования стандарта. С той же целью устранены некоторые неоднозначности в оценках.

Помимо этого, разработчики фреймворка представили пять дополнительных метрик для оценки уязвимостей и новую номенклатуру под их классификацию. И наконец, стандарт немного переработали с оглядкой на операционные технологии, промышленные системы управления и интернет вещей. В общем, если кратко, ещё больше деталей, ещё сложнее оценка. Недавно мы публиковали подробный разбор CVSS 4.0 на Хабре, так что если пропустили его или хотите освежить в памяти, читайте подробнее об изменениях и нововведениях в нашей статье.

@tomhunter

#news В Германии под рансомварь-атаку попали сервера муниципального провайдера, что получило далеко идущие последствия. А именно после ограничения доступа к IT-инфраструктуре 70 с лишним муниципалитетов лишились своих интернет-ресурсов, приложений и прочего.

Атака произошла утром понедельника, и всё по-прежнему лежит. Сайты недоступны, внутренняя и внешняя связь отвалилась, включая электронную почту и телефоны. Так, в городе Зиген с 100к населения выведены из строя большая часть городских IT-систем и отменён приём жителей. Плюс под конец месяца в Германии идут финансовые транзакции, так что это минус зарплаты, соцвыплаты и прочие переводы. Администрации работают в оффлайн-режиме, и расследование масштабов ущерба ещё идёт. Кто стоял за атакой, пока неизвестно. Но способ привлечь к себе лишнее внимание злоумышленники выбрали беспроигрышный. Надёжнее только взломы оборонки и спецслужб.

@tomhunter

#news Boeing подтвердила, что стала жертвой кибератаки. Клиенты и поставщики получают уведомления об инциденте, а сайт компании по продаже запчастей лежит «в связи с техническими неполадками». Как утверждают, за взломом стоит LockBit, а его причиной стал эксплойт нулевого дня.

В прошлую пятницу группировка добавила на свой сайт инфу о взломе Boeing, заявив о краже «огромного количества чувствительных данных». Компании выставили дедлайн по публикации данных до 2 ноября. Теперь же страница со взломом с сайта LockBit удалена. Так что, скорее всего, Боинг либо ведёт переговоры о выкупе, либо уже выплатила его злоумышленникам. С учётом прилёгшего сайта, вероятно, компания спешит получить декриптор. Что и неудивительно: продажа запчастей и обслуживание самолётов – самое прибыльное направление её бизнеса. И если LockBit успешно вдарила по этой сетевой инфраструктуре, здесь уже не долгих переговоров.

@tomhunter

#news У нас снова малварь под macOS и не простая, а от криптостахановцев из Lazarus. И нацелена она, вполне ожидаемо, на блокчейн-инженеров на криптофинансовых биржах.

KandyKorn распространяют через Дискорд по тематическим каналам. Жертва полагает, что скачивает бот-арбитражник под автоматизацию транзакций. Вместо это же получает zip-архив с многоступенчатым модульным вредоносом на Питоне. Загрузчик подтягивает дроппер с Google Drive, итоговая нагрузка угоняет Discord для устойчивости в системе. Сам KandyKorn – скрытный бэкдор под стягивание данных, загрузку и выгрузку файлов, выполнение команд и прочее по мелочи. Иными словами, Lazarus всё так же в деле ударного труда по краже крипты, и macOS у них под прицелом вместе с работниками криптосферы. В общем, заклятый враг блокчейна на годы вперёд. Подробнее о KandyKorn в отчёте.

@tomhunter

#news Пятничные вопросы бытового инфобеза на родных просторах. «Госуслуги» хотят подключить к борьбе с телефонным спамом. Но в довольно занятном формате: через портал граждане будут сообщать о спам-звонках.

Предполагается, что раздосадованный назойливой рекламой юзер зайдёт на «Госуслуги» и в отместку настучит на телефонного спам-хулигана, предоставив номер, время и дату звонка. А дальше за дело возьмутся Роскомнадзор с ФАС и проверят, нет ли там случаем нарушений закона о рекламе. Механизм выглядит, мягко говоря, странно. У Роскомнадзора доступа к инфе о номерах юрлиц нет – она у операторов. У них же и относительно эффективные услуги по борьбе со спамом. Да и ФАС гаданием по номеру телефона нарушения определит едва ли. Эксперты с выдержкой называют предложение «незрелым». Что ж, на такой формулировке и остановимся. Сдержанности ради.

@tomhunter

#news Дискорд решил бороться со своим стремительным превращением в рассадник малвари радикальными методами. Ссылки на файлы на его серверах сделают временными, и они будут истекать через 24 часа. Нововведение призвано пресечь использование CDN Дискорда в качестве хоста и доставщика вредоноса.

К ссылкам добавят три новых параметра с временными метками и уникальными сигнатурами. Изменения вступят в силу к концу этого года и в сущности положат конец перманентному хранению файлов в Дискорде. Ход конём весьма удачный и долгожданный, особенно с учётом того, что за последние годы проблема вышла из под контроля, и на текущий момент сервера Discord являются хостингом для по меньшей мере 10 тысяч малварь-операций. Один вопрос сомнительного содержимого Дискорда решён, осталось всего несколько десятков.

@tomhunter

#digest Как обычно, подводим на Хабре итоги ушедшего месяца дайджестом самых примечательных ИБ-новостей. В октябре почти все популярные дистрибутивы под Линукс оказались под угрозой двух критических уязвимостей, а десятки тысяч роутеров и свитчей на IOS XE от Cisco были взломаны.

Рансомварь-группировка Ragnar Locker лишилась инфраструктуры, и был арестован её ключевой разработчик, а Hive в свою очередь, судя по всему, взялась за старое. Также мы застали несколько оригинальных ИБ-инициатив от ФСБ и Минцифры, ну а украинцы-антисемиты привели к отзыву свежего релиза Ubuntu и небольшой драме с уклоном в модный в англосфере «hate speech». Обо всём этом и других громких событиях октября читайте на нашем Хабре!

@tomhunter

#news Критическая уязвимость Looney Tunables под Линукс засветилась в эксплойте злоумышленниками. Криптоджекинг-группировка Kinsing использовала её для атак по облачным средам. Уязвимость, напомню, затронула большую часть популярных дистрибутивов из-за бага в базовой библиотеке.

В рамках этих атак Kinsing использовали проверку концепции на Питоне, опубликованную 5 октября, для получения прав суперпользователя на целевых системах. Далее в ход у злоумышленников идёт PHP-эксплойт для дальнейшей эксплуатации. Как отмечают исследователи, вместо угона облаков под майнинг крипты, в этот раз группировка занимается сбором данных доступа с них. Впрочем, здесь интереснее то, что перед нами первый публично известный случай эксплойта Looney Tunables. С учётом того, что PoCs доступны уже месяц, скорее всего, и не последний. А патчи всё так же застенчиво смотрят... Подробнее об атаке в отчёте.

@tomhunter

#news Гражданка России Екатерина Жданова попала под санкции Министерства Финансов США. Как утверждается, эксперт в области криптовалют и блокчейна помогала российским олигархам выводить деньги из России. А также отмывала миллионы долларов для члена рансомварь-группировки Ryuk.

В схему входили открытые обманным путём инвестиционные счета и покупка недвижимости. В послужной список дамочки также входит получение гражданства ОАЭ и открытие счетов в этой стране. В общем, человек явно непростой. Другой такой российский криптотоварищ, обслуживавший финансы Ryuk, год назад был экстрадирован в США и пошёл под суд. Жданову же пока ждёт заморозка активов в стране и запрет на ведение деятельности с ней для жителей Штатов. Но свой героический вклад в вопрос гендерного равенства и репрезентации в традиционно мужской стезе криптопреступности гражданка Жданова уже внесла. С чем её можно и поздравить.

@tomhunter

#news Недавно был взломан крупнейший киберпреступный сервис по пересылке купленных в США с украденных кредиток товаров. Речь про работающий из России SWAT USA Drops, и по следам утечки вскрылась его внутренняя кухня. Ну а теперь у Брайана Кребса очередная классика OSINT-расследований. И возможность познакомиться с владельцем сервиса под ником Fearlless.

Товарищ был активен на небезызвестном форуме Verified с 2013-го и в январе 2021-го выкупил SWAT USA Drops у предыдущего владельца. А далее по череде сливов с самого Verified и по цепочке ящиков и паролей Кребс вышел на страницу предполагаемого оператора сервиса в VK. Некто Иван Щербан из Магнитогорска, ныне живущий роскошной жизнью в северной столице. Подробнее о персонаже и его опсек-ошибках в статье. Бонусом в комментариях глубинный лор о Кребсе, учащем русский язык с 2006-го для понимания постов на наших хакерских форумах без переводчика.

@tomhunter

#news От малвари в Google Store к криптокражам в магазине приложений Microsoft: вредоносная копия криптокошелька Ledger Live привела к утрате юзерами солидной суммы. А именно как минимум 768 тысяч долларов.

При этом усилия, вложенные злоумышленником, были минимальными. Копия описания с легитимного приложения, одна оценка в пять звёзд, «Official Dev» в качестве самоименования разработчика. Но и этого оказалось достаточно, чтобы приложение прошло скрининг и провисело в магазине с 19 октября по 5 ноября до репорта. Как сообщает Мелкософт: «Мы постоянно работаем над обнаружением вредоносного контента и его удалением». Очевидно, работают они над этим довольно паршиво. Десятки юзеров, лишившихся своих накоплений из-за элементарного скама прямиком в магазине приложений, не дадут соврать.

@tomhunter

#news T.Hunter совместно с проектом Код ИБ провёл конференцию по теме «Полезные приложения в смартфоне сотрудника ИБ и СБ». В дискуссии затронули такие вопросы, как задачи, которые безопасники решают при помощи смартфона. Какую роль смартфон играет для осинтера и какими приложениями можно использовать в работе. А также вопросы безопасности смартфона, альтернативные и анонимные операционные системы и многое другое.

Запись эфира доступна на Youtube, а также на нашем Хабре есть большая обзорная статья по теме, «Смартфон как инструмент ИБ-специалиста». Так что если вам интересно превратить ваш смартфон в полезный инфобез-инструмент, приятного просмотра и чтения!

@tomhunter

#news В новом отчёте от Касперского затронута животрепещущая тема для любителей компьютерных игр: кибербезопасность в мире гейминга. Результаты исследования интересные: так, софт фирмы за год зафиксировал более 4 миллионов попыток атак в этой среде, затронувших 200 тысяч геймеров. Причём по-прежнему единолично правит бал Minecraft: на ПК это вектор атаки в 70% случаев, а на мобилках – в более чем 90%.

Ключевой же малварью идут загрузчики – они встречаются под видом читов, модов и инсталляторов также в 70% случаев. Остальное – единичные проценты адвари и троянов. Отдельный вид мошенничества – кража учёток для стягивания игровой валюты и предметов. Здесь в ход часто идут фишинговые сайты с фейковыми раздачами бонусов. В общем, семейный инфобез начинается с объяснения детишкам, что не все моды под их любимый Майнкрафт одинаково полезны, и прочих не всегда очевидных вещей.

@tomhunter

#cve Опубликовали на Хабре топ самых интересных CVE за октябрь 2023 года. Сегодня у нас нулевые дни в протоколе HTTP/2 и Confluence – последний с десяточкой по CVSS. Хранение токенов OAuth2 в открытом виде в Nextcloud, а также уязвимость в ядре Linux, ряд уязвимостей в Acronis Agent и многое другое. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news Вчера прилегли сервера ChatGPT, ИИ-модель была недоступна для пользователей со всего мира и продолжает периодически выдавать ошибки. Как сообщает OpenAI, причиной стала DDoS-атака, с которой они пытаются справиться. А ответственность за неё взяла на себя Anonymous Sudan.

Группировка использовала в атаках ботнет SkyNet, на днях добавивший атаки на 7 уровень модели OSI в список услуг. Это объясняет эффективность атаки. Пока расчётного времени фикса нет, а Anonymous Sudan продолжают оправдывать наличие Anonymous в своём нике, занимаясь сомнительными вещами, больше смахивающими на громкие пиар-акции. Так, в списке причин атак по OpenAI указано её отношение к Израилю, злой еврейский ИИ на службе Моссада и то, что OpenAI – это американская компания. А анонимные «суданцы» атакуют любые американские компании. Что ж, это многое объясняет.

@tomhunter

#news Сегодня с утра были взломаны три сайта российских банков, ВБРР, Фора-Банка и БЖФ Банка. Некие злоумышленники выложили на них сообщения, что банки приостанавливают выплаты по вкладам и счетам физических лиц. А физлиц с суммами на счетах выше 1 миллиона 400 рублей якобы ждёт превращение лишних средств в облигации федерального займа. Сообщения ссылались на несуществующий указ президента от 2 ноября 2023-го года.

Сообщения провисели недолго, а банки сообщили о взломе сайтов. Информация, очевидно, не соответствовала действительности и была топорно слепленным фейком. Так выглядит информационная атака и попытка посеять панику. Впрочем, не особо успешная – фейк раскусили ещё до того, как проснулись банки.

@tomhunter

#news Вслед за OpenAI от Anonymous Sudan досталось и Cloudflare: вчера пламенные интернет-борцы с американским империализмом устроили стресс-тест сайту Cloudflare с помощью ботнетов Godzilla и SkyNet. Чем его ненадолго и положили.

Cloudflare подтвердила, что стала жертвой DDoS-атаки, вызвавшей проблемы с подключением аж на несколько минут. Группировка грозно потрясает ботнетами в своём Телеграме со словами «Если они не могут защитить свой сайт от дудоса, то как защитят вас?» Между тем сервисы компании оказались не затронуты – инфраструктуру сайта хостят отдельно от продуктовой. В течение часа был выкачен фикс, ну а наши анонимные «суданцы» получили свою очередную минуту сомнительной славы. Что тут скажешь, чем бы кибердитя ни тешилось.

@tomhunter

#news LockBit слила данные, стянутые у Boeing, больше 43GB данных. Видимо, переговоры пошли не по плану — платить выкуп компания в итоге отказалась. В утечке в основном бэкапы для разных систем. Сначала злоумышленники угрожали сэмплом в 4GB, но затем выложили всё стянутое.

В сливе есть бэкап под Citrix, что намекает на возможный вектор атаки — проверка концепции к Citrix Bleed, CVE-2023-4966, была опубликована 24 октября, и атаки по ней носят массовый характер.  Между тем, судя по тому, что это весь слив, особо глубоко в сети Боинга группировка не попала. И разговоры про огромное количество чувствительных данных были привычным рансомварь-блефом. Что ж, с гигантом уровня Boeing можно и поблефовать. Увы, в этот раз безуспешно.

@tomhunter

#news Новый Outlook от Майкрософта оказался совсем не бесплатным: юзеры расплачиваются своей конфиденциальностью. Так, оно пересылает данные IMAP и SMTP на серверы компании. А также все письма.

Если добавить в этот Outlook сторонний аккаунт, он синхронизируется с облаком Майкрософта. И всё содержимое также уходит не по адресу. При создании учётки IMAP почтовый шпион передаёт компании данные сервера, имя юзера и пароль. Причём в открытом виде. Иными словами, чем больше на это смотришь, тем хуже становится. При этом дивный новый Outlook должен стать дефолтной почтовой программой под Винду в 2024-м, заменив классический. В общем, «Все ваши письма принадлежат нам» как бы сообщает нам Мелкософт.

@tomhunter