#news Число рансомварь-атак за год на начало декабря перевалило за 4,000 — исследователи насчитали 4,276 случаев. Что прогнозы в круглую цифру выше на этот год уже превзошло. Ключевым игроком по-прежнему ожидаемо остаётся LockBit, которых летом крайне успешной кампанией через MoveIT ненадолго подвинула Cl0p. Всего же за ноябрь LockBit, Play и BlackCat были ответственны за почти половину атак за месяц. Последним, впрочем, теперь немного не до этого. В сравнении же с ноябрём 2022-го у нас рост числа атак на 67 процентов.

Что интересно, в прошлом месяце засветился известный старичок Carbanak. Впервые всплывший ещё в 2014-м вредонос снова был замечен в атаках. Новые цепочки распространения через софт для бизнеса, новые векторы атаки. Видимо, почётный рансомварь-пенсионер обеспечивает чью-то новогоднюю сказку или готовит финансовую подушку на грядущий год.

@tomhunter

#news Группировка Sticky Werewolf, атакующая госучреждения и финансовый сектор в России и Белоруссии, не спешит уходить на праздники. Второй раз за месяц злоумышленники пытались атаковать фармацевтическую компанию в России. В начале декабря целью группировки был российский НИУ по разработке вакцин. Всего же с апреля по октябрь Sticky Werewolf провели не менее 30 атак.

На этот раз фишинговое письмо было вновь якобы от МЧС. В облаке по ссылке был троян удалённого доступа Darktrack. Само письмо, впрочем, не особо убедительное. Желающие могут найти в нём пару очевидных ошибок, допущенных ленивыми фишерами. Впрочем, с учётом плачевного состояния инфобеза в среднем по больнице и так сойдёт.

@tomhunter

#news Уходящий год принёс криптокраж на сумму свыше миллиарда долларов. Больше всего досталось крупным De-Fi протоколам и биржам. Лидирует, конечно, северокорейская Lazarus, пополняющая бюджет КНДР на сотни миллионов долларов.

От крупнейшей кражи года пострадала платформа Mixin: в сентябре она потеряла $200 миллионов после взлома их облака. Везунчиками года стала Euler Finance, после кражи $197 миллионов с которой злоумышленник вернул почти половину средств с извинениями. На дно 2023-го отправилась платформа MultiChain — проект закрылся после взлома на $125 миллионов. Хакеры активизировались под конец года ввиду ожившего после криптозимы рынка. В 2024-м же нас ждут запуск биржевого фонда под биткоин и его халвинг с прогнозами на рост до $130 тысяч за биток. Так что громкими кражами индустрию в новом году встряхнёт ещё не раз.

@tomhunter

#news Собеседования порою оставляют после себя неприятное послевкусие. Но у одного блокчейн-разработчика случай выдался совсем оригинальный: после общения с потенциальным работодателем у него опустошили криптокошелёк.

К товарищу обратился рекрутёр на LinkedIn с говорящим именем Олександр Андриченко и предложил работу на Upwork. В качестве тестового задания перед техническим собеседованием разработчик получил дебаг пары npm-пакетов с GitHub. Вот только вскоре после скачивания его кошелёк на MetaMask внезапно опустел. При этом разраб успел сходит на техсобеседование и объяснить скамеру решение. В итоге это обошлось ему в ~500 баксов эфиром. Можно сказать, легко отделался. Между тем другие разработчики также сообщают, что господин Андриченко предлагал им работу с подвохом. И бонусом в виде криптостилера.

@tomhunter

#article На Хабре наша новая статья. В ней мы подробно рассмотрим одну интересную уязвимость удалённого выполнения кода CVE-2023-35628, раскрытую 12 декабря 2023-го года в рамках December 2023 Security Updates. Мы попросили российского эксперта в области информационной безопасности, признанного самым ценным исследователем Microsoft в 2022-м году, Михаила Медведева (M3ik Shizuka) дать оценку этой уязвимости, а также дополнительные рекомендации по снижению уровня рисков. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news Лаборатория Касперского продолжает ковыряться в обнаруженной ими малвари под айфоны из «Операции Триангуляция». Названная ими «самой продвинутой атакой из известных», эта кампания, предположительно, активна с 2019-го. Из интересного в свежем докладе: одна из уязвимостей использует ранее неизвестные и недокументированные функции прошивки.

Уязвимость CVE-2023-38606 обходит аппаратную защиту ядра памяти ядра для получения контроля над устройством. Для этого атака пишет данные, адрес назначения и хэш данных в недокументированные, не используемые прошивкой аппаратные регистры чипа. Каким образом злоумышленники догадались её использовать, неясно — функция в прошивке не активна. Существует она для отладки или включена по ошибке, тоже непонятно. В общем, безопасность через неясность как она есть. В новом году компания обещает опубликовать полный отчёт по обратному инжинирингу нашумевшей малвари.

@tomhunter

#digest Пришло время подвести итоги декабря и вспомнить самые громкие инфобез-события месяца. Так, мы застали перехват ФБР серверов группировки BlackCat, а QakBot снова всплыл в попытках восстановить ботнет. По сети продолжает бродить призрак атаки на процессоры Spectre с новой её вариацией. Исследователь также раскрыл интересную уязвимость в протоколе Bluetooth. А главарь подростковой группировки Lapsus$ получил довольно неприятный приговор. Об этом и других горячих ИБ-новостях последнего месяца года читайте на нашем Хабре!

@tomhunter

#news Генпрокуратура Казахстана подтвердила выдачу Никиты Кислицина в Россию. 21 декабря уже прошлого года его экстрадировали в РФ. Товарищ, напомню, возглавлял журнал «Хакер» с 2006-го по 2012-й год, а позже работал в опальной Group-IB. В конце июня его задержали в Казахстане, выдачи по схожим обвинениям добивались США и Россия.

В США Кислицина обвиняют в продаже базы данных, украденной у соцсети Formspring в 2012-м году. Согласно приобщённой к делу переписке, цена вопроса – всего 5,5 тысяч евро. В России же главред «Хакера» проходит обвиняемым по взлому коммерческой организации, краже данных и требованию выкупа, кхм, в 550 тысяч рублей. Казахстанские органы доверительно сообщили, что российский запрос имеет приоритет над американским в силу гражданства Кислицина. В общем, стандартная схема «Как обломать выдачу российского хакера в Штаты» в действии.

@tomhunter

#news Как испортить праздники инфобез-компании? Взломать её аккаунт в Твиттере и использовать его под криптовалютный скам. Именно это произошло вчера с известной ИБ-фирмой. И не простой, а с самой Mandiant, дочкой Google.

Злоумышленник переименовал аккаунт в phantomsolw, чтобы выдать его за криптокошелёк Phantom. Если у юзера кошелёк не был установлен, по ссылке ждал его официальный сайт. Установленные же кошельки опустошались. Скам быстро раскусили, но на этом взломщики не остановились. И начали просто троллить Mandiant сообщениями в духе «Извините, пожалуйста, смените пароль» и «Проверьте закладки, когда восстановите аккаунт». Доступ к аккаунту Mandiant уже вернула, и никаких следов конфуза в нём не осталось. Но интернет всё помнит. В общем, 2024-й у Mandiant уже не задался, но 2025-й, наверняка, будет её годом!

@tomhunter

#news Злоумышленники из КНДР закончили 2023-й на мажорной ноте: за год они украли не меньше $600 миллионов. С учётом нескольких взломов под конец года сумма может достичь $700 миллионов. Несмотря на то, что рекордный 2022-й с его $850 миллионами побить не удалось, северокорейцы были ответственны за треть всех криптокраж прошлого года.

Санкции в адрес миксера Sinbad не особо повлияли на отмывание средств — группировка постоянно ищет новые платформы, готовые обрабатывать их транзакции. Переводимую в USDT и Tron крипту в итоге обменивают на валюту через внебиржевые сделки и финансируют военный комплекс КНДР. Ну а с учётом прогнозируемого роста крипторынка в этом году, можно делать ставки, удастся ли неутомимым северокорейским криптостахановцам побить свой рекорд 2022-го года.

@tomhunter

#news Иранская криптобиржа Bit24[.]cash заботится о KYC-политике и собирает данные пользователей. А вот беречь их получается хуже: как обнаружили исследователи, у биржи был неверно настроенный инстанс MinIO с открытым доступом к облаку S3. В котором, собственно, лежали документы юзеров. 230 тысяч иранцев с фото, паспортами и кредитками.

По следам публикации доступ к облаку закрыли. Ну а безопасник с биржи в официальном ответе сообщил, что утечек данных не было. И вообще никакого открытого S3-ведра у них не было и быть не могло, и их облака были и остаются защищенными, потому что политика у них такая — всё безопасно и работает как часы. Ну а иранского джентльмена и его документы с фото выше кафиры из Cybernews с помощью какой-нибудь мерзкой ИИ-модели нарисовали сенсационности ради, наверняка.

@tomhunter

#news В середине октября проукраинские хакеры заявили о взломе Альфа-банка и утечке их базы данных. В ней якобы ни много ни мало 38 миллионов клиентов банка. Ну а теперь по следам осенних обещаний вчера взломщики сообщают о публикации всей базы. ФИО, дата рождения, номера счетов, телефоны физических и юридических лиц. Таблица на 115 миллионов записей с 2004-го года.

Альфа-банк же верен себе и на развёрнутые комментарии каких-то там невнятных сливов не разменивается. Как и в октябре, кратко сообщают следующее: «Это фейк. Сведения скомпилированы из разных источников, где люди оставляют данные про себя». Подлинность утечки комментировать пока не будем. Главное, не оставляйте нигде данные про себя, дорогие любители инфобеза. И всё будет хорошо. Всегда ваш, Альфа-банк.

@tomhunter

#news Брайан Кребс врывается в 2024-й со своим любимым занятием — деаноном российских киберпреступников. На этот раз безопасник со стажем закрывает давний гештальт — идентичность операторов старого российского форума Spamdot Icamis’a и Salomon’a. И пока последний, Александр Гречишкин, отбывает четырёхлетний срок в Штатах за создание bulletproof-хостинга и готовится на выход в феврале, Кребс деанонит Icamis’a.

В процессе OSINT-раскопок Кребс забирается совсем глубоко: на форум средней школы в Череповце из начала нулевых. Который товарищ Icamis, известный в миру как Андрей Скворцов, собирал на коленке в юности. На этом круг замыкается: Скворцова осудили вместе с Гречишкиным по тем же обвинениям. Скворцов получил отбытый за время пребывания под стражей срок, предположительно, был депортирован и пропал с радаров. В общем, пока все праздновали, Кребс деанонил русских киберпреступников по отключённым школьным форумам Череповца. Что сказать, увлечённый человек.

@tomhunter

#news По следам своих неурядиц в конце прошлого года группировка BlackCat повышает ставки и играет с огнём. Мягко говоря. Злоумышленники взломали Ultra I&C, американское дочернее подразделение корпорации Ultra. А это, собственно, британская оборонка.

По утверждениям BlackCat, они похитили 30 ГБ данных 27 декабря и выложили у себя на сайте. Среди них якобы информация, касающаяся ФБР, НАТО, Швейцарии, Израиля и нескольких оборонных компаний. И, собственно, на днях Минобороны Швейцарии атаку подтвердило — утечка затронула ВВС страны, но пока хакеры опубликовали только коммерческие данные. Значимость взлома ещё предстоит оценить. Но если в недалёком будущем BlackCat и компания начнут резко испытывать серьёзные трудности с продолжением операций и свободой передвижений, то это произойдёт во многом благодаря вот таким выкрутасам.

@tomhunter

#news Порой случаются смешные конфузы с неверно настроенными облаками и утечкой данных из них. А затем случается Бразилия. В общедоступном инстансе Elasticsearch в которой лежали данные, предположительно, на всё население страны.

Исследователи обнаружили в утечке более 223 миллионов записей — что, собственно, примерно соответствует числу жителей. Имена, даты рождения, пол и 11-значные номера налогоплательщиков. Данные больше не доступны публично, и какая именно организация стояла за происшествием, неизвестно. Тем не менее, если данные попали в руки злоумышленников, масштабы утечки серьёзно так повышают потенциальный ущерб от неё. Это, конечно, всё ещё далеко от нашумевшей утечки данных миллиарда китайцев в 2022-м, но и бразильцы просто не успели расплодиться до таких впечатляющих чисел. В абсолютном же выражении рекорд побит. Viva Brasil!

@tomhunter

#news Занятные новости из Китая. Финансируемый правительством институт заявляет, что нашёл способ дешифровать логи от фичи AirDrop у Apple. Что позволит определять телефонные номера и почтовые ящики тех, кто делится контентом.

У Китая долгая история борьбы за цензуру всего и вся. Поэтому жители Цифровой Поднебесной переключились на AirDrop для передачи изображений при блокировке связи. Так, в Гонконге в 2019-м фичу использовали для распространения протестных плакатов и прочего крамольного. Большой верный друг партия Китай Apple уже ограничивала работу фичи на телефонах для китайского рынка, чтобы им не ограничили продажи. Но этого партии показалось мало. Собственно, и способ дешифровки у института запросили после большого скандала: кто-то рассылал «неправомерные» комментарии в метро Пекина. Теперь не поотправляешь — а то ведь и на метро ездить запретят.

@tomhunter

#cve По следам ушедшего года публикуем подборку самых интересных CVE за последний месяц 2023-го. В декабре засветился ворох уязвимостей в Chrome и Firefox, вынудивших компании выпускать экстренные патчи. А также критические уязвимости в OpenSSH, фреймворке Apache Struts и маршрутизаторе Netgear. Об этом и других любопытных CVE прошлого месяца читайте на нашем Хабре!

@tomhunter

#news Mandiant закончила расследование недавнего инцидента со своим аккаунтом в eX-Твиттере. Что-то рассказать по итогам нужно, но получается всё равно как-то неловко. Так, за взломом стояла DaaS-группировка (Drainer-as-a-Service). Ну а стянули они у доверчивых пользователей как минимум 900 тысяч долларов.

Как сообщает компания, в обычных условиях такого произойти не могло — помогла бы 2FA. Но вот из-за перестановок у них в команде, а также изменившейся политики Твиттера в отношении двухфакторки, получилось что получилось. Между тем аккаунт, судя по всему, был взломан брутфорсом пароля. И здесь уже становится совсем неловко. Загадка от инфобез-сообщества, на размышление даётся 30 секунд. Какой пароль стоял в соцсети у ИБ-фирмы, что его можно было брутфорснуть?

@tomhunter

#news В 2024-й с сомнительными достижениями: GitHub можно окончательно фиксировать как популярный инструмент для злоумышленников формата «Living Off Trusted Sites». С возможностью маскировки трафика под легитимный в качестве ключевой фичи. И без простых решений растущей проблемы.

GitHub в основном используют под доставку вредоноса, а также в качестве хостов для фишинга и перенаправления трафика, как резервный канал управления и ящик для ссылок на C2-сервера. Вплоть до использования платформы под выгрузку данных, что режется ограничением на размер файлов и шансами обнаружения. Полноценный командные сервера между тем тоже встречаются, хоть и редко и в основном в исполнении госгруппировок. Подробнее о GitHub’e как лучшем друге злоумышленников в 30-страничном отчёте от Recorded Future.

@tomhunter

#news Экстремистская компания Meta* снова отправляется под суд. И по забавному поводу: австрийские защитники прав потребителей не впечатлены подходом корпорации к конфиденциальности. В частности, речь идёт о возможности юзеров отказаться от слежки на их платформах. В чём проблема? А отказ платный.

Так, чтобы получить иллюзию безопасности своих данных, пользователь должен пролистать несколько страниц и найти подписочку на услуги без рекламы. Бонусом в пакет которых входит отказ от сбора и использования личных данных под целевую рекламу. Плата же варьируется от 9,99 до 12,99 евро с бонусом сверху за каждый аккаунт. В общем, 250 евро в год, чтобы сделать вид, что ты не телеметрийный хомячок у Цукербринов. Австрийские эксперты по защите данных недовольны, что согласие на сбор даётся в один клик, а отказ от него — через платную полосу препятствий. Буквально анекдот про бесплатный вход и платный выход. Meta* же в ответ с ухмылкой сообщает, что модели лучше у них для нас нет. Так и живём.

@tomhunter