#news Microsoft обвинила пресловутых русских хакеров в атаке по своим системам. Они якобы получили доступ к почтовым ящикам руководителей компании, сотрудников ИБ-отдела, юристов и других подразделений. Атаку опять приписали Midnight Blizzard — группировке, которую корпорация связывает с российской службой внешней разведки.

Атаку компания обнаружила 12 января и назвала взлом ни много ни мало «атакой государства». Были похищены электронные письма и вложения. Microsoft утверждает, что изначально хакеры искали в письмах информацию о самих себе. Вектором атаки стал брутфорс с подбором учётных данных. Хакеры получили доступ к некому старому тестовому аккаунту и проникли в системы. Между тем Microsoft обещает продолжить работу над усилением ИБ в рамках своей программы «Secure Future Initiative». Чтобы вездесущие русские хакеры по их системам больше не шастали, видимо.

@tomhunter

Восторженный комментарий от руководителя СБ OZON Максима Мельничук обязывает нас рассказать о том, что T.Hunter собирается сделать в плане обучения корпоративных клиентов в 2024 году.

😉 Как вы уже могли видеть, на сайте компании обновился раздел Обучение конкурентной разведке (OSINT). Теперь на нем размещена не только общая программа повышения квалификации на 44 академических часа, но и спецкурсы. В числе последних:

1️⃣ Исследование цифровых финансовых активов (криптовалют)
2️⃣ Исследование электронно-цифрового следа
3️⃣ Проведение расследований в мессенджере Telegram
4️⃣ Исследование веб-ресурсов
5️⃣ Форензика (компьютерная криминалистика)
6️⃣ OSINT для служб безопасности

⚠️ Только корпоративное обучение! Готовы создавать курсы под задачи клиента!

🌐 https://tomhunter.ru/
📧 contact@tomhunter.ru
📱 +7 (812) 677-17-05

#news К вопросу о жизни Conti после их попытки играть в геополитику и развала. Исследователи связали свежую рансомварь 3AM с бывшими членами группировки. Вредонос всплыл в сентябре, но вот инфраструктура, сервера и прочее у него от Conti. Саму же рансомварь, судя по всему, распространяют её бывшие члены, работающие под брендом Royal.

Помимо старой инфраструктуры у ушедших в тень членов Conti новые методы давления на жертв. Группировка 3AM использует ботов в eX-Твиттере, чтобы оставлять ссылки на утечки в комментариях популярных аккаунтов. Кроме того, они рассылают информацию о взломе подписчикам жертв в соцсетях. Но судя по тому, что группировка пока использовала это ноу-хау социнженерии только один раз, особого выхлопа оно не принесло.

@tomhunter

#news В Германии суд оштрафовал айтишника на 3 тысячи евро за обнаружение уязвимости. В 2021-м фрилансер работал над неполадками у клиента IT-компании Modern Solution. Обнаружил в коде их софта незащищённое MySQL-подключение к серверу с базой на 700 тысяч клиентов. И сообщил Modern Solution о проблеме, публично раскрыв её в тот же день. А компания подала на него в суд.

Анализируя MySQL-соединение, товарищ вытащил из экзешника пароль, хранившийся в нём простым текстом. Обвинение же заявило, что этот подлец декомпилировал софт для получения доступа к базе. Декомпилировал, видимо, текстовым редактором и прочими сумрачными инструментами кулхацкера. Айтишника обвиняют в незаконном доступе к данным. Суд сначала встал на его сторону, но после апелляции решение изменили. ИБ-сообщество бурлит и хихикает над Modern Solution с их незашифрованными паролями и сокрытием масштабов утечки. В общем, трагикомедия «Как убить в себе белошляпочника». Так и живём.

@tomhunter

#news В считанные дни после раскрытия критической уязвимости в конфлюенсах пошёл её активный эксплойт. Речь про выбившую десяточку по CVSS CVE-2023-22527 на удалённое выполнение кода. Уязвимы версии Confluence Data Center и Server 8, вышедшие до 5 декабря, плюс 8.4.5.

Уже 19 января пошли первые попытки эксплойта с более чем 600 уникальных айпишников. И за несколько дней атак насчитали около 40 тысяч. Пока активность злоумышленников сводится к сканированию сети на предмет уязвимых серверов по whoami и обратными вызовами. В сети доступны более 11 тысяч инстансов Atlassian, но сколько из них уязвимы, неизвестно. Между тем больше половины зафиксированных попыток эксплойта идут с айпишников в России. Прямо гордостью за российских киберпреступников пробирает. Или нет?

@tomhunter

#news Группировка LockBit заявила о взломе сети ресторанов Subway. Информация об этом появилась у них на сайте. При этом утечка предположительно солидная: группировка утверждает, что выгрузила всю внутреннюю систему компании на сотни гигабайт данных. Финансы сети, выплаты по франшизе, обороты ресторанов и прочее.

Образцов данных LockBit не опубликовала, но выставила срок в две недели на выплату выкупа. После этого они будут готовы продать стянутые данные конкурентам сети ресторанов. Subway пока сообщила, что проверяет заявления злоумышленников. Но если группировка не преувеличивает масштабы утечки, желающие её выкупить из числа конкурентов действительно найдутся. И вся внутренняя кухня бутербродного гиганта вполне может уйти с молотка какому-нибудь инфернальному бургерному клоуну или куриному Троцкому.

@tomhunter

#news Финский хостинг-провайдер Tietoevry подвергся рансомварь-атаке. Виновником стали злоумышленники из Akira, а пострадал один из дата-центров в Швеции. Атака произошла в ночь на субботу, и компания оперативно изолировала затронутую платформу, но последствия впечатляющие.

Так, у крупнейшей сети кинотеатров в Швеции отвалилась покупка билетов онлайн. Затронуты несколько крупных торговых сетей, некоторые закрыли магазины до восстановления систем. Отвалилась зарплатная и HR-система, которая в ходу у правительства и университетов страны. В регионе Уппсала затронуто здравоохранение — нет доступа к системе записи. В общем, очередной яркий пример того, к каким последствиям приводят атаки по провайдерам. Сыпаться начинает вообще всё в масштабах страны.

@tomhunter

#news Исследователи из Cybernews обнаружили супермассивную чёрную дыру утёкших данных. Перепакованная и реиндексированная из прежних сливов коллекция получила название «Мать всех утечек». И заслуженно. В массиве 12 терабайт данных. И 26 миллиардов записей.

3,800 папок в сливе, по одной на каждую вошедшую в него утечку. И высока вероятность, что в нём также ранее не встречавшиеся в сети данные. Сотни миллионов строк с Weibo, Twitter, LinkedIn, VK, Telegram и других площадок. Данные правительственных организаций разных стран. И прочее-прочее. В общем, у нас кандидат на беспрецедентное воздействие по всей индустрии, особенно в отношении среднего пользователя с его повторяющимися паролями. Год начинается ярко, прямиком с невиданных ранее рекордов.

@tomhunter

#news По API Trello прошлись скрапером и вытащили данные 15 миллионов пользователей. Почтовые ящики, юзернеймы, имена и другая информация с аккаунтов. База выставлена на продажу на хакерском форуме.

Trello сначала заявила, что у них ничего не произошло и неавторизованного доступа не было. Сам же злоумышленник сообщил, что использовал уязвимый эндпоинт API Trello под скрапинг данных. API был публично доступен, товарищ скормил ему лист из 500 миллионов ящиков и вытащил привязанные к аккаунтам. А ограничение по доступу к API по айпишнику обошёл с помощью прокси. Компания позже подтвердила злоупотребление их API и сообщила, что теперь обращаться к нему могут только зарегистрированные юзеры. В общем, очередной абьюз API по аналогии с Твиттером пару лет назад. Утечка уже добавлена на Have I Been Pwned, можно искать свою почту с Trello в базе.

@tomhunter

#news Минцифры опубликовало рекомендации о переходе на отечественный софт для госкомпаний и корпораций. Российские операционные системы, офисные пакеты, антивирусы и виртуалки — все эти чудеса мы должны застать уже к 1 января 2025-го. Ну а годом позже везде должны уже крутиться отечественные системы управления базами данных. Возможно, даже с нескучными обоями.

Рекомендации, как водится, носят характер сугубо рекомендательный. Но при желании могут и не носить. В общем, прощайте Oracle с Microsoft SQL Server и прочим недружественным, поприветствуем своё родное и близкое сердцу. Между тем переход на новую СУБД в среднем требует 2-3 года — поэтому в сентябре прошлого года банки вновь просили отложить переход на отечественное года этак до 2027-го, а лучше навсегда. Увы, кто не поспел за духом времени и не оставил в прошлом ушедшие заморские решения, тот опоздал.

@tomhunter

#news Hewlett Packard Enterprise раскрыла взлом своей почтовой среды на Microsoft Office 365. Злоумышленники похитили данные из почтовых ящиков работников инфобез-отдела, бизнес-отдела и прочих. Ну а за взломом, как водится, предположительно стоят русские хакеры из пресловутой Midnight Blizzard.

Компания считает, что этот взлом связан с прошлым в мае 2023-го года, когда некто получил доступ к их серверу SharePoint и стянул данные. При этом HPE узнала о новом взломе в декабре прошлого года. То есть злоумышленники так и имели доступ к их системам с мая. Здесь уж неясно, что хуже — вездесущие русские хакеры или то, что взлом в IT-компании обнаруживают только спустя полгода.

@tomhunter

#news Разработчика TrickBot Владимира Дунаева, он же FFX, приговорили к пяти годам и четырём месяцам тюрьмы в Штатах. 40-летний гражданин России был арестован в Южной Корее в сентябре 2021-го и экстрадирован в США. Там его и восьмерых подельников и судили за разработку малвари.

Дунаев начал работу на стоявших за TrickBot злоумышленников в 2016-м году. Малварь функционировала в качестве инфостилера и банковского трояна. Это уже второй разработчик, обвиняемый в работе над Trickbot, после Аллы Витте. Между тем в феврале и сентябре прошлого года 18 связанных с TrickBot и Conti человек попали под санкции США. В общем, Contigate 2022-го продолжает аукаться всем причастным, и о судах над участниками преступного синдиката, скорее всего, мы услышим ещё не раз.

@tomhunter

#news В США, Великобритании и Австралии попал под санкции гражданин России за взлом и утечку данных австралийского страхового гиганта Medibank. И непростой, а связанный с REvil. Встречайте, 33-летний Александр Ермаков.

Согласно документам, Ермаков активен в российской киберпреступной среде под псевдонимами GustaveDore, JimJones и Blade Runner. Стоял за рансомварь-операцией Sugar, она же Encoded01, и использовал несколько энкрипторов, включая разработанный REvil. А также был плотно связан с товарищем Михаилом Шефелем, он же Rescator, ответственным за кражу десятков миллионов кредиток в 2013-м и 2014-м. Санкции, как водится, Ермакову нипочём, пока он сидит в России. Но с его деаноном весь киберпреступный мир теперь в курсе, у кого есть тугой кошелёк с битками. А где уязвимый wetware с придатками, там и старый-добрый паяльничек. Так что жизнь у нашего бегущего по лезвию резко усложнилась.

@tomhunter

#news Под критическую уязвимость в Jenkins на RCE и чтение произвольных файлов опубликован ворох проверок концепции. Разработчик выпустил патчи под девять уязвимостей 24 января и опубликовал подробные сценарии возможных атак и путей эксплуатации. И пару дней спустя подоспели рабочие PoС под критическую CVE-2024-23897 с багом в парсере args4j.

Злоумышленники уже активно сканируют сеть на предмет уязвимых серверов и стучат по ним сценариями атак с минимальными изменениями или просто с эксплойтом из коробки. Исследователи также сообщают, что по их Jenkins-приманкам уже идут атаки, так что активный эксплойт разворачивается полным ходом. Иными словами, россыпь проверок концепции на Гитхабе шлют нам недвусмысленный сигнал – пришло время накатывать патчи.

@tomhunter

#news Возвращение, которого никто не хотел, но некоторые ждали: всплыл новый вариант ZLoader. Спустя почти два года после того как Microsoft отжала инфраструктуру малвари в апреле 2022-го. Согласно исследователям, новая версия в разработке с сентября прошлого года.

Написанный на основе утёкшего кода банковского трояна Zeus ZLoader был активен с 2015-го года, с 2019-го под именем «Silent Night». Увы, спустя два года после удара по ботнету ночь перестала быть тихой. В свежую версию малвари завезли новые методы обфускации, обновлённый алгоритм генерации доменных имён, RSA-шифрование и поддержку 64-битных систем. В общем, возвращение ZLoader предвещает череду рансомварь-атак. Подробнее о новой версии старой угрозы в отчёте.

@tomhunter

#news Инфобез уровня Mercedes-Benz: сотрудник компании оставил в публичном репозитории личный ключ разработчика. Где он и пролежал на протяжение четырёх месяцев, открывая доступ ко всей внутренней кухне автогиганта.

Токен случайно обнаружили безопасники из RedHunt Labs во время рутинного мониторинга. Ключ давал доступ к закрытым репозиториям компании с внутренними архивами, чертежами, дизайн-документами, API и прочим-прочим. Включая ключи к репам с исходниками, вёдрам Azure и AWS и базе Postgres. В общем, полный набор. Пока неясно, получал ли кто-либо доступ ко всей этой сокровищнице, открытой с сентября прошлого года. Представители Mercedes-Benz отказываются раскрывать, ведут ли они мониторинг, чтобы отслеживать несанкционированный доступ. Почему? А из соображений… информационной безопасности. Что сказать, вовремя вспомнили.

@tomhunter

#news В основных дистрибутивах Linux обнаружена очередная критическая уязвимость на root-доступ. На этот раз переполнение буфера на основе кучи и локальное повышение привилегий в glibc, CVE-2023-6246.

Баг случайно ввели в версии glibc 2.37 ещё в августе 2022-го, а затем бэкпортировали в 2.36 в процессе исправления другой, менее серьёзной уязвимости. Затронуты Debian 12 и 13, Ubuntu 23.04 и 23.10, Fedora с 37 по 39. При этом исследователи изучили лишь несколько дистрибутивов, и, очевидно, уязвимы ещё многие другие. В общем, очередной пример критической важности инфобеза в разработке ключевых библиотек. Один неловкий бэкпорт, и уязвимы сотни тысяч систем. Подробнее об этой и трёх других уязвимостях, обнаруженных в glibc, в отчёте.

@tomhunter

#news Ещё одна крупная IT-компания ушла из России: чешская Avast закрыла доступ к своим продуктам пользователям из РФ. То есть попросту заблокировала их работу на территории России.

29 января юзеры по всей стране столкнулись с отказом софта на ПК и мобильных устройствах. Ни Avast, ни AVG, включая и бесплатную версию последнего под Андроид, больше не функционируют. Ограничения коснулись и популярной утилиты CCleaner. Сайты компании из РФ теперь тоже недоступны. Служба поддержки Avast же доверительно сообщает, что услуги на территории России и Беларуси больше не предоставляет. Ну а при запуске софта юзера ждёт лишь ехидное окошко «К сожалению, этот продукт не поддерживается в вашем текущем местоположении». В общем, наше положение в пространстве-времени и всё ему сопутствующее чехам не по душе. Желающим продолжать использовать софт придётся подрубать VPN или потанцевать с DNS-бубном.

@tomhunter

#news Рынок криптовалют грозит встряхнуть после изъятия немецкой полицией крупной суммы. И не просто крупной, а рекордной: киберпреступники лишились 50 тысяч биткоинов. А это около $2,1 миллиардов. Причём переданы они были добровольно одним из подозреваемых. Можно представить его боль.

Рекорд поставлен в связи с расследованием против владельцев портала movie2k[.]to. Он был площадкой для распространения пиратского контента и проработал до мая 2013-го. Средства с его работы и рекламы и были переведены в биткоины, которые достались полиции в середине января. Что делать с криптой, они пока не знают. Но с таким солидным капиталом немецкая полиция могла бы стать крупным игроком на рынке накачивания стоимости щиткоинов и озолотиться. Впрочем, вряд ли у них есть такие амбиции с душком анархо-капитализма. А зря. Бундестаг не сможет лишить твой департамент финансирования, если на его счета текут миллиарды в крипте.

@tomhunter

#news Ни месяца без оригинальных ИБ-инициатив, на этот раз от Минфина. Так, банкам предлагают расширить отслеживание геолокации клиентов и следить за ними на постоянной основе. Чтобы выявлять подлецов, пользующихся нашим всем финтехом из-за рубежа. И стучать на тех, кто забыл сообщить о своём налоговом статусе. Заодно расторгнув с ними договор.

Проект, как водится, сырой и в процессе обсуждения. Но в таком виде возможные последствия очаровательны. Забыл отрубить прокси при заходе в банковское приложение — получай письмо счастья из ФНС, решившей, что ты укатил в солнечную Аргентину, как обещал себе в 2022-м. А если сеть корпоративная? Для верности проще будет пробросить VPN до условного Ульяновска. Чтобы бдительный взор Минфин-дура ненароком не спутал тебя с трусливыми, мерзкими релокантсами, пытающимимся отнять его налоговую прелесть.

@tomhunter

7 февраля в 12:00 по Москве пройдёт эфир Код ИБ по теме «Методы слежки за смартфоном». Ведущие и приглашённые эксперты вебинара обсудят как и кто собирает данные с наших устройств, как обнаружить слежку за своим смартфоном и как сделать его использование более безопасным. А также потенциальные источники угрозы от услуг операторов связи до приложений родительского контроля и иных путей сбора информации. От T.Hunter в эфире примет участие руководитель нашего департамента расследований Игорь Бедеров. Зарегистрироваться на вебинар можно по ссылке. Присоединяйтесь, будет интересно!

@tomhunter