#news Reuters раскрывает подробности очередной северокорейской схемы по пополнению бюджета КНДР. Используя фальшивые имена и профили на LinkedIn, северокорейцы… устраиваются разработчиками в компании по всему миру. И работают в них. Всё, в этом вся схема.

При этом такой удалённый сотрудник обязан зарабатывать не менее $100 тысяч в год, из которых засланцу достаётся процентов 10-30, а остальное уходит в бюджет КНДР и на накладные расходы. В ход идут всевозможные ухищрения, поддельные документы, сценарии для собеседований, отговорки для удалёнки, чтобы обеспечить северокорейцев работой. А через какое-то время, от 6 месяцев до нескольких лет, они просто уходят с деньгами. Идеальное преступление! Но иметь в штате потенциальных шпионов и брокеров доступа для их соотечественников вряд ли кому захочется, конечно.

@tomhunter

#news Осень богата на оригинальные ИБ-инициативы в России: так, Минюст предлагает дать судебным приставам доступ к геоданным мобильных телефонов должников. Это поможет в их розыске и создании единого долгового досье — облачного хранилища данных о должниках, которое упростит процесс идентификации и поиска их имущества. Заодно приставы должны получить доступ к геоданным детей должников в случаях исполнительных производств по передаче ребенка другому родителю.

Предложенные меры планируют поэтапно внедрять с 2024-го по 2030-й год. Концепция также предполагает проработку взыскания цифровых валют и финансовых активов. Чтобы бессовестный должник уж точно не запрятал цифровые рубли в какой-нибудь криптокубышке.

@tomhunter

#news Классика инфобеза: на Гитхабе в публичных репозиториях лежат данные доступа от Kubernetes, и не простые, а от организаций из списка Fortune 500. В том числе пары топовых блокчейн-компаний. Они подтягивают с API Гитхаба .dockerconfigjson и .dockercfg от кубов, а в них, собственно, и данные доступа.

Часть истёкшие, зашифрованные, с двухфакторкой или с минимальными привилегиями. Тем не менее, из 438 изученных записей почти в половине содержались валидные ключи. Более того, исследователи прошлись и по найденным паролям: половина же из них оказались слабыми. Среди них и золотые стандарты: password и test123456. По понятным причинам владельцы репозиториев не названы. Но ситуация для них всё равно довольно неловкая. Подробнее читайте в отчёте.

@tomhunter

#news У безопасников из ESET вышел подробный анализ скамеров из Gypsy Team — группировки, работающей по странам СНГ. Активность мошенников завязана на бот в Телеграме Telekopye, который предоставляет шаблоны под фишинговые сайты, электронные письма, SMS и многое другое. Среди них полные копии Авито, Юлы и СДЭК.

ESET разбирает исходный код бота, переписку в чатах скамеров, в которые они проникли в ходе расследования. А также их внутреннюю документацию с руководствами, сценариями и прочим, предназначенную как для новичков в сомнительном бизнесе, так и опытных онлайн-мошенников. Что забавно, группировку для удобства окрестили «Неандертальцами» по следам их охоты на «Мамонтов». Такие вот коллизии, порождённые русским мошенническим сленгом. Подробнее о Gypsy Team и их методах в отчёте.

@tomhunter

#news CISA в компании с ИБ-министерствами других стран опубликовали руководство по инфобезу в бурно развивающейся отрасли — ИИ-моделях. Помимо таких приоритетных направлений, как кастрирование языковых моделей борьбой с «дискриминацией» и «предубеждениями», в нём рассмотрены и более насущные темы. А именно вопросы безопасного проектирования, разработки, деплоя и поддержки ИИ, охватывая весь жизненный цикл разработки.

Главной амбицией руководства выступает насаждение в отрасли инфобез-единорога «Secure by design». Оно также затрагивает вопрос новинок от мира атак в сфере языковых моделей — внедрение промтов и отравление данных для обучения нейронок. Подробнее о перспективных стандартах в мире ИИ-разработки в документе.

@tomhunter

#news Помните корейского крипто-Мавроди, До Квона, создателя Terra Luna и единоличного архитектора прошлогодней ядрёной криптозимы? Скоро по одобрению суда его ждёт экстрадиция из Черногории, где его задержали в марте. Но есть нюанс: власти пока не решили, выдать его в США или в Южную Корею. Обе страны прислали запрос на экстрадицию.

Сам До Квон согласился на выдачу в Южную Корею, но окончательное решение за самим министром юстиции Черногории. Так что чьи добрые руки будут выбивать из Ма Вроди признание, куда бесследно пропал резервный фонд Terra Luna на $3,5 миллиарда в битках, пока остаётся интригой. Что неожиданно роднит криптомагнатов-аферистов и наркобаронов Южной Америки, так это то, что наиболее эффективным средством против них остаётся экстрадиция в США. Иронично.

@tomhunter

#news «Тинькофф» запретил сотрудникам работу из-за границы. Поиграть в цифрового кочевника работникам банка разрешат только в огороженной песочнице из трёх стран — Армении, Белоруссии и Казахстана. В них есть центры разработки «Тинькофф».

Запрет объяснён заботой об информационной безопасности данных банка и его систем. Это у нас субъект критической инфраструктуры и объект высокого риска атак, и оставлять сотрудников по недружественным заграницам становится не комильфо. Безопасности ради в странах без центров разработки критичные доступы сотрудников должны быть полностью отключены. Так что к 2024-му айтишники «Тинькофф» за рубежом могут перебираться в солнечную Армению или релоцироваться с места работы на более щадящие условия.

@tomhunter

#news Интерпол провёл масштабную операцию по аресту рансомварщиков из Украины. Дубль два операции 2021-го года, в этот раз арестован предполагаемый 32-летний глава группировки и четыре сообщника. Группировка была ответственна за атаки в 71 стране и шифровку более 250 серверов крупных корпораций с ущербом в сотни миллионов евро.

В арсенале у злоумышленников были LockerGoga, MegaCortex и Dharma. А аресты недельной давности, собственно, стали результатом анализа данных, перехваченных Интерполом во время рейдов в 2021-м. LockerGoga впервые всплыла в январе 2019-го и с тех пор была под пристальным вниманием норвежской полиции по следам нашумевшего взлома промышленного гиганта Norsk Hydro. В итоге норвежцы годами продавливали поимку злоумышленников, в чём и преуспели. Бонусом по ссылке маски-шоу по местам обитания украинских рансомварь-баронов.

@tomhunter

#news У Google Drive случился небольшой конфуз: у пользователей пропали данные из облака, и содержимое хранилищ откатилось по состоянию на апрель-май 2023-го. Проблема возникла на прошлой неделе, и она не на стороне юзеров — файлы за полгода просто испарились.

Официальной информации от Гугла о произошедшем пока нет. Некоторые пользователи ссылаются на отвалившуюся синхронизацию, другие пытаются вытянуть файлы из локального кэша. Между тем от инженеров компании поступают рекомендации ничего не трогать и не тыкать в корень облака палочкой, пока они работают над решением проблемы. Расчётного времени фикса, впрочем, тоже нет. Так или иначе, волонтёрской службе поддержки Гугла сейчас не позавидуешь — о работе облачных сервисов компании они знают немногим больше юзеров. А последние, мягко говоря, не особо рады произошедшему и отсутствию внятных комментариев.

@tomhunter

#news Подоспел ещё один анализ Docker Hub на предмет секретов в образах. Исследователи изучили 10,178 контейнеров, из них в 5,493 лежали данные доступа. Суммарно в них набралось 191,529 секретов. А сами текущие контейнеры были скачаны больше 132 миллиардов раз. Так что где-то неизбежно есть сервера на утёкших данных.

В топе забытых в образах секретов токены от GitHub, Datadog и URI. Нашлись также и ключи от PayPal с Polygon. Большая часть утекла в связи с повторным использованием пакетов, в которых содержится конфиденциальная информация, часть истёкшие и конфиденциальной информации не содержат. Тем не менее, об отношении к безопасности это говорит достаточно. И ждать, пока в образах покопается потенциальный взломщик, у которого слишком много свободного времени, — такая себе инфобез-практика.

@tomhunter

#news С появлением языковых моделей, натасканных под киберпреступные задачи, некоторые опасались бума скрипт-кидди с ИИ-подручными. Однако обученные на малвари болванчики себя пока не оправдывают: на хакерских форумах царит скептицизм, кодят по старинке, а создателей чат-ботов обвиняют в мошенничестве и отсутствии заявленного функционала.

Так, в реальных сценариях модели малопригодны и не особо помогают в комплексных атаках. В том числе у написанного нейросетями кода больше шансов быть обнаруженным антивирусами и EDR. На практике примеров их использования пока мало, толк был разве что в генерации проверок концепции. Модели помогают с рутинным кодом, генерацией тестовых данных и портированием библиотек, но с этим справляется и обычный ChatGPT. В общем, пока расцвет преступных ИИ-моделей откладывается, и большая часть злоумышленников ждут дальнейшего развития технологии.

@tomhunter

Завтра с 12:40 до 13:05 участвуем в онлайн-конференции КОНТРАГЕНТЫ 2023. Руководитель департамента информационно-аналитических исследований T.Hunter Игорь Бедеров сделает доклад на тему Apparatus sapiens: на пути эволюции в безопасности.

Присоединяйтесь. Будет интересно!

Трансляция: https://facecast.net/w/oo7vgx

#news Очередной криптомиксер, Sinbad, ожидаемо отправился на дно. На этот раз платформа не отделалась одними санкциями — обе версии сайта, во внешнем интернете и в дарк-вебе, перестали работать. На них висят заглушки от ФБР.

Sinbad был одним из любимых миксеров криптостахановцев из Lazarus, через него в том числе прошли средства, украденные в прошлом году со взломов Horizon Bridge и Axie Infinity. Готовность обслуживать незаконные транзакции без разбора криптомиксер и погубила. В феврале 2023-го создатель платформы утверждал, что «Sinbad находится в открытом доступе, потому что не делает ничего плохого». Увы, убедить Минфин США в том, что в отмывании похищенных средств нет ничего плохого, потому что это цифровое криптобудущее, не получилось. С учётом того, что владелец Tornado Cash год назад безуспешно пытался съехать с обвинений с похожими формулировками, стоило искать аргументы убедительнее.

@tomhunter

#news У популярного приложения для родительского контроля KidSecurity утекли логи активности пользователей. Причём слили их самым позорным ИБ-образом: разработчик не настроил аутентификацию для хранилищ Elasticsearch и Logstash. Пароль забыли поставить, в общем. Данные провисели в открытом доступе больше месяца.

В утечке 300 миллионов записей, включая 21 тысячу телефонов и 31 тысячу почт. Плюс информация с карт — часть номера, дата выпуска и банк. Более того, есть следы потенциального эксплойта инфы злоумышленниками. Утечка данных приложения для слежения за детьми — тот ещё скандал, особенно с учётом конфуза с паролем. В конце концов, следить за безопасностью такого деликатного приложения разработчик должен успешнее, чем современные родители следят за детьми. Спасает разрабов разве что не утёкшая геолокация юзеров и прочее чувствительное — после такого можно было бы сразу искать идеи для нового перспективного стартапа.

@tomhunter

#news Исследовательский центр Eurecom обнаружил уязвимости в Bluetooth, допускающие MitM-атаки, и создал на их основе серию эксплойтов. Две новых уязвимости в стандарте касаются процесса создания сеансовых ключей и расшифровки данных. Проблема архитектурная, так что от ПО и оборудования не зависит. Плюс затрагивает спецификацию с версий 4.2 по 5.4 — то есть миллиарды устройств с 2014-го года.

Серия атак BLUFFS эксплуатирует уязвимости в процессе получения сеансового ключа. В сценарии атаки по двум устройствам злоумышленник выдаёт себя за одно из них и получает слабый и короткий ключ. А далее брутфорс, и расшифровка сигнала. Тест на разных устройствах — смартфонах, наушниках и ноутбуках — показал их уязвимость к по меньшей мере трём атакам из шести. Подробнее об атаке в статье, а на Гитхабе лежит тулкит для проверки концепции.

@tomhunter

#news На календаре 1 декабря, а значит, вступило в силу постановление об идентификации пользователей хостинг-провайдерами. Документ предусматривает шесть способов для клиентов опознать себя: через системы ЕСИА и ЕБС, с использованием электронной подписи, личным обращение с предоставлением паспорта и иных документов, платёжными системами и переводами из банка РФ, а также через системы самого провайдера по идентификации.

Кроме того, Роскомнадзор будет вести реестр хостинг-провайдеров и собирать с них уведомления о начале деятельности в течение 15 рабочих дней. И карать провайдеров с нарушениями исключением из реестра. С 1 февраля 2024-го провайдеры вне реестра работать не смогут, а его почётные члены по закону обязаны пользователей идентифицировать. В общем, круг замкнулся под бдительным оком Роскомнадзора. Добро пожаловать!

@tomhunter

#news В Москве вынесли приговор злоумышленнику, взломавшему «Гемотест» в прошлом году. Тогда в сеть утекла база на ~600 миллионов записей клиентов лаборатории. Взломщик воспользовался скомпрометированной админской учёткой и PHP-скриптами, чтобы выгрузить данные из базы. Для любопытствующих, вот текст приговора с подробнейшим килл-чейном.

Сама лаборатория за утечку 300 ГБ данных тогда отделалась штрафом в королевские 60 тысяч рублей. Но теперь и приговор хакеру оказался неожиданно щедрым — 1,5 года условно. Из приговора также известно имя взломщика, Алекперов Фуад Маариф оглы. Студент-четверокурсник, за которым с 2020-го тянется киберкриминальный след с солидным послужным списком: взломы сайтов, торговля украденными данными, продажа вредоносного ПО и прочее-прочее. Товарищ три года стримит свои взломы и получает 1,5 условно. Самый гуманный суд в мире, что тут скажешь.

@tomhunter

#news Тренд на малварь под macOS всё продолжается: на этот раз у нас новый прокси-троян. Его распространяют вместе со взломанным платным софтом, исследователи насчитали 35 программ, включая видео- и фоторедакторы, софт для восстановления данных и прочее популярное у любителей халявы. Установщики идут в виде PKG-файлов, а в них, соответственно, вредоносные скрипты.

Малварь маскируется под легитимный системный процесс WindowServer. При запуске троян подключается к своему С2-серверу через DNS-over-HTTPS и создаёт TCP/UDP-соединения под прокси-запросы. Первые версии вредоноса засветились в апреле этого года. Он не обошёл стороной и другие платформы: через те же C2-сервера работают трояны под Андроид и Винду, их также распространяют с ломаным софтом. Подробнее о новинке в отчёте.

@tomhunter

#news Энтузиасты продолжают инфобез-наблюдения за отжившими своё серверами Microsoft Exchange. Результаты их не устраивают: с апреля этого года число серверов с завершившейся поддержкой снизилось на 18% с 43,656 штук по данным Shodan. Но их по-прежнему остаётся ~30 тысяч по всему миру.

Лишённые обновлений динозавры уязвимы к россыпи уязвимостей, большая часть высокие, некоторые — критические. Среди них приветы из прошлых лет от ProxyLogon, ProxyToken и кусок цепочки от ProxyNotShell. Между тем среди серверов нашлось место и Exchange Server 2007: около 300 почётных ископаемых крутятся на софте, поддержка которого закончилась ещё в 2017-м. Такое вот вечное лимбо информационной небезопасности.

@tomhunter

#news Инфобез уровня вселенной Warhammer 40,000 с утраченными технологиями: 43% банковских систем работают на нём и обрабатывают транзакции на $3 триллиона ежедневно. Включая 95% всех операций в банкоматах США. О чём речь? Конечно, о языке COBOL. Который был создан 64 года назад, и его давно перестали преподавать. И девелоперов, разбирающихся в этом ископаемом, остаётся всё меньше.

IBM предлагает решать проблему с помощью ИИ-моделей и разработала ассистента, пригодного для портирования COBOL на более современные языки. Однако ИИ-болванчик может заменить 90% возни с древним кодом, но остаток всё ещё нужно добивать с помощью дряхлеющего wetware. Между тем портируют его… на Java. Бедняге можно только посочувствовать. Дело, конечно, неблагодарное, но без порта мы рискуем остаться с банкоматами, принцип работы мэйнфреймов которых уже никто не понимает. Останется только литании над ними читать.

@tomhunter

#news The Guardian в расследовании утверждает, что некие связанные с Россией и Китаем хакеры могли взломать системы атомного комплекса Селлафилд в Великобритании. Он же «самый опасный ядерный объект» страны, связанный с производством оружейного плутония и топлива для АЭС и прочим стратегическим.

Первые следы взлома обнаружили ещё в 2015-м году — в системе засекли спящую малварь. Возможно, у её операторов был доступ к сверхсекретным данным. Между тем Британия в очередной раз предоставляет пример как не надо заниматься инфобезом, тем более на ядерных объектах. Так, власти не знают, когда точно были взломаны системы — руководство комплекса годами скрывало от регуляторов информацию о произошедшем. Дошло до того, что в отношении 11 тысяч сотрудников Селлафилда ввели некие «специальные меры» в 2022-м. По следам расследования же комментариев не дают ни власти, ни руководство комплекса, которое отрицает и утечки, и их сокрытие. В общем, с 2015-го в Селлафилде ничего не произошло.

@tomhunter