#news В Bluetooth обнаружили критическую уязвимость, позволяющую злоумышленникам подключаться к устройствам без аутентификации и вводить произвольные команды. Затронуты устройства на Linux, macOS, iOS и Android. И для эксплойта достаточно стандартного адаптера и машинки на Линуксе.

Больше всего досталось Android: устройства уязвимы, когда включён Bluetooth. Linux-устройства должны быть обнаруживаемыми в сети. MacOS и iOS баг затронет с подключённой к девайсу Magic Keyboard. Уязвимость древняя, старше MouseJack: исследователь воспроизвёл её на Андроиде 2012-го года. В Linux баг исправлен в 2020-м, но обновление по умолчанию отключено на большинстве дистрибутивов. Для Android младше 10 версии решения пока нет, Apple планами по исправлению не делится. Подробнее на Гитхабе исследователя. Между тем товарищ Ньюлин просит прислать ему «безопасную» беспроводную клаву, чтобы он и её мог взломать. Челлендж для производителей ещё тот.

@tomhunter

#news Пятничные новости инфобеза. По следам недавнего взлома и утечки данных ~7 миллионов клиентов компания по анализу генома 23andMe столкнулась с чередой исков. Как она решила обезопасить себя от утечек в будущем? Изменив условия использования, чтобы компанию было сложнее засудить!

Согласно обновлению, любые тяжбы с 23andMe теперь рассматриваются в арбитражном порядке — судом присяжных или коллективным иском больше не обойтись. Пользователи получили уведомления по электронной почте и в течение 30 дней могут уведомить компанию, что они не согласны с новыми условиями, и остаться на старых. Такой вот оригинальный подход к инфобезу. Главное, чтобы российские компании юридическую ИБ-инновацию не решили перенять. С них станется.

@tomhunter

#news Интригующее начало недели: сайты рансомварь-группировки ALPHV, она же BlackCat, прилегли и недоступны несколько дней. Злоумышленники сослались на проблемы с хостером и всё ещё в процессе восстановления. Между тем по индустрии бродят слухи, что инфраструктуру группировки положили любители чертовски хорошего кофе.

Так, исследователи из RedSense 9 декабря заявили о том, что сайты группировки положили правоохранительные органы. И следом со ссылкой на партнёров и брокеров доступа группировки утверждают, что те уверены в правоохранительном рейде по серверам BlackCat. Админ последней, впрочем, всё отрицает и продолжает твердить о проблемах с хостингом. Между тем сайты пролежали уже четыре дня, и оправдания звучат всё менее убедительно. Пока никаких официальных новостей от ведомств нет, но за разворачивающейся интригой вокруг даунтайма можно следить здесь.

@tomhunter

#news Декабрь 2023-го подходящее время, чтобы вспомнить про Log4j и проверить, как обстоят дела на фронте подзабытой знаменитости. А обстоят они не очень: ~38% приложений всё ещё работают на уязвимых версиях библиотеки. При том что патчи доступны уже два года.

Исследователи изучили данные с 38,278 приложений. Самая мякотка, из 38% уязвимых 32% (тридцать два процента) работают на версиях Log4j 1.2.x, чья поддержка закончилась ещё в августе 2015-го года. Четверть скачиваний библиотеки за прошлую неделю — а это почти 4 миллиона загрузок — приходятся на уязвимые версии. В общем, Log4j и её последствия хоть и стали бедствием для информационной безопасности, но к каким-либо заметным изменениям в порочных ИБ-практиках не привели. Так, 79% разработчиков по-прежнему не заморачиваются обновлением сторонних библиотек. И на конец 2023-го Log4j представляет собой поверхность атаки, отлитую в граните. Так и живём.

@tomhunter

#news Продолжая тему Log4j. Кто те оппортунисты, пользующиеся нежеланием ставить патчи два года спустя? Конечно же, северокорейская Lazarus. И у них три новых малвари под эксплойт Log4Shell, два трояна удалённого доступа и загрузчик. Что интересно, для обхода обнаружения они написаны на DLang — редкость в киберпреступной среде.

«Operation Blacksmith» северокорейцы ведут с марта и атакуют промышленные и сельскохозяйственные компании, а также критическую инфраструктуру по всему миру. Атаки идут по уязвимым серверам VMWare Horizon, троянец NineRAT используется API Telegram в качестве C2-сервера. Новые инструменты группировки поддерживают широкий спектр команд, крадут файлы с устройств жертв, подтягивают дополнительную нагрузку. В общем, Lazarus, так сказать, ready to give the D админам, которые годами ленятся обновлять сторонние библиотеки. И поделом.

@tomhunter

#news Toyota предупредила клиентов об утечке личных данных. По следам недавнего взлома их дочерней фирмы Toyota Financial Services злоумышленники из Medusa Ransomware слили украденные данные. Очевидно, переговоры о выкупе ни к чему не привели — группировка требовала от компании $8 миллионов.

Пока досталось клиентам из Германии: утекли их ФИО, адреса, данные контрактов и номера банковских счетов. Затронутые сливом немцы получают письма формата «Нам очень жаль», а Toyota продолжает вести внутреннее расследование, чтобы определить масштабы утечки. Возможно, под удар попали и другие подразделения компании в Европе и Африке. Пока Toyota не делится подробностями и обещает оперативно сообщить о результатах расследования всем прочим потенциально затронутым взломом счастливчикам.

@tomhunter

#news В США инженер облачных сервисов получил два года тюрьмы и почти $500 тысяч штрафа за кибератаку по бывшему работодателю. Мистер Броуди был уволен из банка в 2020-м за нарушение политики компании довольно пикантным образом — товарищ притащил на работу порно на флешке и подключил к рабочим компьютерам. В ответ на увольнение находчивый инженер отказался возвращать ноут компании, а после ИБ-инцидента заявил о его краже.

На деле же Броуди использовал свою учётку, чтобы удалить репозитории с кодом банка и запустить вредоносные скрипты и сценарии для уничтожения серверов и удаления журналов. Он также оставил комментарии в коде с насмешками в адрес коллег и отправил себе на почту код, над которым работал. Увы, шалость не удалась, и в версию с кражей ноута следователи не поверили. Что ж, хотя бы получил свои пять минут удовольствия, когда писал остроумные оскорбления бывшим коллегам. Уверен, они оценили.

@tomhunter

#news Лаборатория Касперского провела исследование утечек в даркнете за последние два года. Результаты занятные: из 700 изученных компаний 223 упомянуты в дарквебе в контексте взломов. Иными словами, каждый третий бизнес сталкивается с утечками данных. И ежемесячно на даркнет-рынках появляются ~1700 сообщений касаемо покупки/продажи и слива данных из утечек.

На продажу помимо слитых баз наиболее активно идёт доступ к инфраструктуре: за 2022-2023-й годы количество уникальных предложений превысило 6000. Особняком стоят скомпрометированные аккаунты для начального доступа. Вопреки азам инфобеза, сотрудники компаний по-прежнему используют корпоративные почты для своих нужд, повторно же используют пароли и в итоге становятся уязвимостью для сетей работодателя. А дальнейшее уже — задача для ИБ-отдела. Если он в компании есть, конечно.

@tomhunter

#news Последствия ареста серверов Hive в начале года и работы ФБР по группировке продолжают давать плоды. В Париже 5 декабря арестовали гражданина России по подозрению в отмывании выплат жертв группировки.

Товарищ проживал на Кипре, где также прошёл рейд по местам обитания ходячего рансомварь-ландромата. Полиция изъяла $570 тысяч в крипте. Поимка же стала возможна после того, как с арестованным связали криптокошельки, на которые приходили подозрительные транзакции в миллионы долларов. Между тем обнаружили его благодаря анализу активности в соцсетях. Подробностей последнего французская полиция не приводит, но можно предположить, что герой истории тщательно документировал свою роскошную жизнь и не забывал чекиниться в фешенебельных отелях Парижа и на кипрских курортах в Инстаграме.

@tomhunter

#news Под конец года неладно что-то в рансомварь-королевстве: пока вокруг падения инфраструктуры ALPHV/BlackCat множатся слухи, их сайт вернулся онлайн, но с него пропали все данные. Тем временем группировка NoEscape, как утверждают её партнёры, провернула экзит-скам, отключила свои сайты и пропала с миллионами долларов выплат.

Но и это не всё. На фоне волнений активизировалась LockBit: группировка спешит воспользоваться моментом и нанимает партнёров и разработчиков ALPHV и NoEscape по следам их очень странных дел. И не просто нанимает, а предлагает перевести на неё бэкапы ранее украденных данных, чтобы продолжить шантаж уже под брендом LockBit. Такой вот ловкий оппортунизм от мира киберпреступности. Между тем когда Avaddon, ребрендом которой является NoEscape, ушла со сцены, злоумышленники слили свой декриптор в свободный доступ. Может, жертвам повезёт и в этот раз.

@tomhunter

#news Отдел по борьбе с киберпреступлениями Microsoft по решению суда перехватил домены Storm-1152 из Вьетнама. Группировка зарегистрировала более 750 миллионов аккаунтов Outlook и перепродала их за миллионы долларов. Злоумышленники также держали несколько сайтов для обхода капчи.

Storm-1152 активна как минимум с 2021-го года. Их услугами пользовались многие группировки, включая нашумевшую в этом году молодёжь из Scattered Spider. Microsoft также отследила трёх вьетнамцев, разработчиков и операторов перехваченных сайтов. По оценкам компании, ущерб от вьетнамских CaaS составляет сотни миллионов долларов. Вьетнамцев ждёт судебное разбирательство. А любители киберпанка могут полюбоваться на заглушку, на которой вместо «Домен перехвачен ФБР» красуется гордое «Домен перехвачен Microsoft».

@tomhunter

#news К новинкам малвари. В сети засветился новый мультиплатформенный вредонос NKAbuse на Go. Из примечательного, он утилизирует NKN, New Kind of Network, — относительно свежий P2P-протокол на основе блокчейна. Соответственно, с обфускацией, анонимностью и обходом защитных решений у него всё в порядке.

NKAbuse включает в себя широкую DDoS-функциональность, но также служит трояном удалённого доступа и бэкдором под Linux для выполнения команд, стягивания данных и скриншотов. И за счёт того, что протокол новый, большая часть защитного софта его не мониторит. В общем, в мире ботнетов это образчик довольно нетипичный. Пока, впрочем, он был замечен в атаках в основном в Мексике, Колумбии и Вьетнаме. Подробнее о занятной новинке в отчёте.

@tomhunter

#news Операторы QakBot пытаются перезапустить свой ботнет по следам уничтожения его инфраструктуры спецслужбами США в августе 2023-го. Microsoft сообщила, что неделю назад QBot всплыл в фишинговой кампании по гостиничному бизнесу.

Исследователи отмечают, что у злоумышленников в ходу действительно новая версия ботнета, но с минимальными изменениями. AES-алгоритм для расшифровки строк вместо XOR и ошибки в коде, указывающие на продолжающуюся разработку. Кампания, замеченная Microsoft, была не особо активной, и восстановить работу ботнета злоумышленникам будет непросто. Так, Emotet после своего отключения в 2021-м пытались вернуть в строй, но в итоге его операторы ничего толком не добились и ушли со сцены. QakBot 2.0 остаётся пожелать того же самого.

@tomhunter

#news По следам кибератаки в Иране сегодня перестали работать две трети заправочных станций. Всего их в стране ~33 тысяч, то есть из строя вышли более 20 тысяч заправок. За атаку ответственна Predatory Sparrow, которая предположительно связана с Израилем. Сама группировка заявила, что это ответ на агрессию Ирана, и опубликовала снимки экрана систем управления АЗС.

Между тем атака была контролируемой. Группировка заранее предупредила экстренные службы до начала операции. Кроме того, оставшиеся работающими треть заправок не случайны — хакеры утверждают, что намеренно ограничили потенциальный ущерб от атаки несмотря на возможность полностью нарушить их работу. Так что можно представить, какой хаос могут посеять подобные киберинциденты, если их целью является полный отказ функционирования систем в стране. Особенно опирающейся на китайскую электронику и устаревшее оборудование.

@tomhunter

#article Опубликовали на Хабре новую статью. Сегодня мы рассмотрим, как создать Telegram HoneyBot для идентификации анонимных пользователей «самого безопасного» мессенджера. А на примере такого бота заодно и наглядно покажем, как избегать деанонимизации в Telegram, и напомним о необходимости сохранять бдительность, кликая по подозрительным кнопкам и ссылкам в нём. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news Рансомварь-группировка Play за полтора года существования набрала больше 300 успешных взломов. Злоумышленники активны с июня 2022-го и успели отличиться атаками по бизнесу и критической инфраструктуре по всей Северной и Южной Америкам и Европе. Особо нашумевшим было шифрование систем города Окленд в США: городские службы на время забыли про цифровизацию, и на восстановление ушли недели.

Группировка использует известные уязвимости в серверах Microsoft Exchange, устройствах Fortinet и ProxyNotShell. В качестве тактики у них двойное вымогательство с кражей данных и их шифрованием. При этом исследователи отмечают, что Play действует более осторожно, чем другие киберпреступники. Хотя громкие атаки по критической инфраструктуре городов сложно назвать осторожными — это отличный способ привлечь к себе внимание спецслужб. Подробнее о Play в отчёте CISA.

@tomhunter

#news Наш технический директор Сергей Матвеев принял участие в подкасте форума для хостинг-провайдеров ХостОбзор. Темой выпуска стали СЗИ и подача заявки на включение в реестр провайдеров согласно новому закону. Также в подкасте обсудили учения по обеспечению безопасности, в том числе объектов критической информационной инфраструктуры, взаимодействие хостеров с регуляторами и другие животрепещущие вопросы. Обо всём этом в интервью выше.

@tomhunter

#news Интригу за падением сайтов BlackCat можно считать закрытой: поступили новости от ФБР. Бюро взломало сервера группировки, следило за их активностью и получило ключи шифрования. Любители чертовски хорошего кофе были на их серверах месяцами, тихонько стягивали ключи и передавали жертвам. Всего подарки достались 500 счастливчикам примерно на сумму в $68 миллионов выкупа.

ФБР сообщает, что перехватило сайт, получив публичный и приватный ключи к серверам в Tor. Следом группировка восстановила сайт, но так как ключи и у ФБР, и у злоумышленников, то они просто играют в кошки-мышки. Между тем это уже третий за три года перехват инфраструктуры этих рансомварь-трудяг: DarkSide в 2020-м, BlackMatter в 2021-м и теперь под брендом BlackCat. Как видно по сочащемуся обидой посту на сайте, группировка своим злоключениям, мягко говоря, не очень рада. Увы и ах.

@tomhunter

#news Несколько ключевых выводов из ежегодного отчёта «Стоимость утечек данных 2023». Так, средняя стоимость утечек в этом году рекордная: $4,45 миллиона. Но при этом только половина компаний готовы увеличить расходы на инфобез. Кроме того, последствия утечек и стоимость наиболее высокие, когда данные хранятся в разных средах — публичных, приватных, гибридных облачных. В общем, облака по-прежнему являются фактором риска.

Важную роль в этом году сыграли ИИ-модели и автоматизация: вложения компаний в эту сферу снизило среднюю стоимость решения утечки на $1,76 миллиона в сравнении с работающими по старинке. Ну и самое шокирующее. Обнаружение утечек своим ИБ-отделом и работа с правоохранительными органами в среднем ведут к снижению расходов от киберинцидентов. Вложения в инфобез, оказывается, приносят плоды. Можете себе такое представить? А вот многие вне индустрии до сих пор не могут.

@tomhunter