#news Финский хостинг-провайдер Tietoevry подвергся рансомварь-атаке. Виновником стали злоумышленники из Akira, а пострадал один из дата-центров в Швеции. Атака произошла в ночь на субботу, и компания оперативно изолировала затронутую платформу, но последствия впечатляющие.

Так, у крупнейшей сети кинотеатров в Швеции отвалилась покупка билетов онлайн. Затронуты несколько крупных торговых сетей, некоторые закрыли магазины до восстановления систем. Отвалилась зарплатная и HR-система, которая в ходу у правительства и университетов страны. В регионе Уппсала затронуто здравоохранение — нет доступа к системе записи. В общем, очередной яркий пример того, к каким последствиям приводят атаки по провайдерам. Сыпаться начинает вообще всё в масштабах страны.

@tomhunter

#news Исследователи из Cybernews обнаружили супермассивную чёрную дыру утёкших данных. Перепакованная и реиндексированная из прежних сливов коллекция получила название «Мать всех утечек». И заслуженно. В массиве 12 терабайт данных. И 26 миллиардов записей.

3,800 папок в сливе, по одной на каждую вошедшую в него утечку. И высока вероятность, что в нём также ранее не встречавшиеся в сети данные. Сотни миллионов строк с Weibo, Twitter, LinkedIn, VK, Telegram и других площадок. Данные правительственных организаций разных стран. И прочее-прочее. В общем, у нас кандидат на беспрецедентное воздействие по всей индустрии, особенно в отношении среднего пользователя с его повторяющимися паролями. Год начинается ярко, прямиком с невиданных ранее рекордов.

@tomhunter

#news По API Trello прошлись скрапером и вытащили данные 15 миллионов пользователей. Почтовые ящики, юзернеймы, имена и другая информация с аккаунтов. База выставлена на продажу на хакерском форуме.

Trello сначала заявила, что у них ничего не произошло и неавторизованного доступа не было. Сам же злоумышленник сообщил, что использовал уязвимый эндпоинт API Trello под скрапинг данных. API был публично доступен, товарищ скормил ему лист из 500 миллионов ящиков и вытащил привязанные к аккаунтам. А ограничение по доступу к API по айпишнику обошёл с помощью прокси. Компания позже подтвердила злоупотребление их API и сообщила, что теперь обращаться к нему могут только зарегистрированные юзеры. В общем, очередной абьюз API по аналогии с Твиттером пару лет назад. Утечка уже добавлена на Have I Been Pwned, можно искать свою почту с Trello в базе.

@tomhunter

#news Минцифры опубликовало рекомендации о переходе на отечественный софт для госкомпаний и корпораций. Российские операционные системы, офисные пакеты, антивирусы и виртуалки — все эти чудеса мы должны застать уже к 1 января 2025-го. Ну а годом позже везде должны уже крутиться отечественные системы управления базами данных. Возможно, даже с нескучными обоями.

Рекомендации, как водится, носят характер сугубо рекомендательный. Но при желании могут и не носить. В общем, прощайте Oracle с Microsoft SQL Server и прочим недружественным, поприветствуем своё родное и близкое сердцу. Между тем переход на новую СУБД в среднем требует 2-3 года — поэтому в сентябре прошлого года банки вновь просили отложить переход на отечественное года этак до 2027-го, а лучше навсегда. Увы, кто не поспел за духом времени и не оставил в прошлом ушедшие заморские решения, тот опоздал.

@tomhunter

#news Hewlett Packard Enterprise раскрыла взлом своей почтовой среды на Microsoft Office 365. Злоумышленники похитили данные из почтовых ящиков работников инфобез-отдела, бизнес-отдела и прочих. Ну а за взломом, как водится, предположительно стоят русские хакеры из пресловутой Midnight Blizzard.

Компания считает, что этот взлом связан с прошлым в мае 2023-го года, когда некто получил доступ к их серверу SharePoint и стянул данные. При этом HPE узнала о новом взломе в декабре прошлого года. То есть злоумышленники так и имели доступ к их системам с мая. Здесь уж неясно, что хуже — вездесущие русские хакеры или то, что взлом в IT-компании обнаруживают только спустя полгода.

@tomhunter

#news Разработчика TrickBot Владимира Дунаева, он же FFX, приговорили к пяти годам и четырём месяцам тюрьмы в Штатах. 40-летний гражданин России был арестован в Южной Корее в сентябре 2021-го и экстрадирован в США. Там его и восьмерых подельников и судили за разработку малвари.

Дунаев начал работу на стоявших за TrickBot злоумышленников в 2016-м году. Малварь функционировала в качестве инфостилера и банковского трояна. Это уже второй разработчик, обвиняемый в работе над Trickbot, после Аллы Витте. Между тем в феврале и сентябре прошлого года 18 связанных с TrickBot и Conti человек попали под санкции США. В общем, Contigate 2022-го продолжает аукаться всем причастным, и о судах над участниками преступного синдиката, скорее всего, мы услышим ещё не раз.

@tomhunter

#news В США, Великобритании и Австралии попал под санкции гражданин России за взлом и утечку данных австралийского страхового гиганта Medibank. И непростой, а связанный с REvil. Встречайте, 33-летний Александр Ермаков.

Согласно документам, Ермаков активен в российской киберпреступной среде под псевдонимами GustaveDore, JimJones и Blade Runner. Стоял за рансомварь-операцией Sugar, она же Encoded01, и использовал несколько энкрипторов, включая разработанный REvil. А также был плотно связан с товарищем Михаилом Шефелем, он же Rescator, ответственным за кражу десятков миллионов кредиток в 2013-м и 2014-м. Санкции, как водится, Ермакову нипочём, пока он сидит в России. Но с его деаноном весь киберпреступный мир теперь в курсе, у кого есть тугой кошелёк с битками. А где уязвимый wetware с придатками, там и старый-добрый паяльничек. Так что жизнь у нашего бегущего по лезвию резко усложнилась.

@tomhunter

#news Под критическую уязвимость в Jenkins на RCE и чтение произвольных файлов опубликован ворох проверок концепции. Разработчик выпустил патчи под девять уязвимостей 24 января и опубликовал подробные сценарии возможных атак и путей эксплуатации. И пару дней спустя подоспели рабочие PoС под критическую CVE-2024-23897 с багом в парсере args4j.

Злоумышленники уже активно сканируют сеть на предмет уязвимых серверов и стучат по ним сценариями атак с минимальными изменениями или просто с эксплойтом из коробки. Исследователи также сообщают, что по их Jenkins-приманкам уже идут атаки, так что активный эксплойт разворачивается полным ходом. Иными словами, россыпь проверок концепции на Гитхабе шлют нам недвусмысленный сигнал – пришло время накатывать патчи.

@tomhunter

#news Возвращение, которого никто не хотел, но некоторые ждали: всплыл новый вариант ZLoader. Спустя почти два года после того как Microsoft отжала инфраструктуру малвари в апреле 2022-го. Согласно исследователям, новая версия в разработке с сентября прошлого года.

Написанный на основе утёкшего кода банковского трояна Zeus ZLoader был активен с 2015-го года, с 2019-го под именем «Silent Night». Увы, спустя два года после удара по ботнету ночь перестала быть тихой. В свежую версию малвари завезли новые методы обфускации, обновлённый алгоритм генерации доменных имён, RSA-шифрование и поддержку 64-битных систем. В общем, возвращение ZLoader предвещает череду рансомварь-атак. Подробнее о новой версии старой угрозы в отчёте.

@tomhunter

#news Инфобез уровня Mercedes-Benz: сотрудник компании оставил в публичном репозитории личный ключ разработчика. Где он и пролежал на протяжение четырёх месяцев, открывая доступ ко всей внутренней кухне автогиганта.

Токен случайно обнаружили безопасники из RedHunt Labs во время рутинного мониторинга. Ключ давал доступ к закрытым репозиториям компании с внутренними архивами, чертежами, дизайн-документами, API и прочим-прочим. Включая ключи к репам с исходниками, вёдрам Azure и AWS и базе Postgres. В общем, полный набор. Пока неясно, получал ли кто-либо доступ ко всей этой сокровищнице, открытой с сентября прошлого года. Представители Mercedes-Benz отказываются раскрывать, ведут ли они мониторинг, чтобы отслеживать несанкционированный доступ. Почему? А из соображений… информационной безопасности. Что сказать, вовремя вспомнили.

@tomhunter

#news В основных дистрибутивах Linux обнаружена очередная критическая уязвимость на root-доступ. На этот раз переполнение буфера на основе кучи и локальное повышение привилегий в glibc, CVE-2023-6246.

Баг случайно ввели в версии glibc 2.37 ещё в августе 2022-го, а затем бэкпортировали в 2.36 в процессе исправления другой, менее серьёзной уязвимости. Затронуты Debian 12 и 13, Ubuntu 23.04 и 23.10, Fedora с 37 по 39. При этом исследователи изучили лишь несколько дистрибутивов, и, очевидно, уязвимы ещё многие другие. В общем, очередной пример критической важности инфобеза в разработке ключевых библиотек. Один неловкий бэкпорт, и уязвимы сотни тысяч систем. Подробнее об этой и трёх других уязвимостях, обнаруженных в glibc, в отчёте.

@tomhunter

#news Ещё одна крупная IT-компания ушла из России: чешская Avast закрыла доступ к своим продуктам пользователям из РФ. То есть попросту заблокировала их работу на территории России.

29 января юзеры по всей стране столкнулись с отказом софта на ПК и мобильных устройствах. Ни Avast, ни AVG, включая и бесплатную версию последнего под Андроид, больше не функционируют. Ограничения коснулись и популярной утилиты CCleaner. Сайты компании из РФ теперь тоже недоступны. Служба поддержки Avast же доверительно сообщает, что услуги на территории России и Беларуси больше не предоставляет. Ну а при запуске софта юзера ждёт лишь ехидное окошко «К сожалению, этот продукт не поддерживается в вашем текущем местоположении». В общем, наше положение в пространстве-времени и всё ему сопутствующее чехам не по душе. Желающим продолжать использовать софт придётся подрубать VPN или потанцевать с DNS-бубном.

@tomhunter

#news Рынок криптовалют грозит встряхнуть после изъятия немецкой полицией крупной суммы. И не просто крупной, а рекордной: киберпреступники лишились 50 тысяч биткоинов. А это около $2,1 миллиардов. Причём переданы они были добровольно одним из подозреваемых. Можно представить его боль.

Рекорд поставлен в связи с расследованием против владельцев портала movie2k[.]to. Он был площадкой для распространения пиратского контента и проработал до мая 2013-го. Средства с его работы и рекламы и были переведены в биткоины, которые достались полиции в середине января. Что делать с криптой, они пока не знают. Но с таким солидным капиталом немецкая полиция могла бы стать крупным игроком на рынке накачивания стоимости щиткоинов и озолотиться. Впрочем, вряд ли у них есть такие амбиции с душком анархо-капитализма. А зря. Бундестаг не сможет лишить твой департамент финансирования, если на его счета текут миллиарды в крипте.

@tomhunter

#news Ни месяца без оригинальных ИБ-инициатив, на этот раз от Минфина. Так, банкам предлагают расширить отслеживание геолокации клиентов и следить за ними на постоянной основе. Чтобы выявлять подлецов, пользующихся нашим всем финтехом из-за рубежа. И стучать на тех, кто забыл сообщить о своём налоговом статусе. Заодно расторгнув с ними договор.

Проект, как водится, сырой и в процессе обсуждения. Но в таком виде возможные последствия очаровательны. Забыл отрубить прокси при заходе в банковское приложение — получай письмо счастья из ФНС, решившей, что ты укатил в солнечную Аргентину, как обещал себе в 2022-м. А если сеть корпоративная? Для верности проще будет пробросить VPN до условного Ульяновска. Чтобы бдительный взор Минфин-дура ненароком не спутал тебя с трусливыми, мерзкими релокантсами, пытающимимся отнять его налоговую прелесть.

@tomhunter

7 февраля в 12:00 по Москве пройдёт эфир Код ИБ по теме «Методы слежки за смартфоном». Ведущие и приглашённые эксперты вебинара обсудят как и кто собирает данные с наших устройств, как обнаружить слежку за своим смартфоном и как сделать его использование более безопасным. А также потенциальные источники угрозы от услуг операторов связи до приложений родительского контроля и иных путей сбора информации. От T.Hunter в эфире примет участие руководитель нашего департамента расследований Игорь Бедеров. Зарегистрироваться на вебинар можно по ссылке. Присоединяйтесь, будет интересно!

@tomhunter

#news На хакерском форуме выставили на продажу якобы утечку базы на 50 миллионов клиентов Eurocar — международной компании по прокату автомобилей. Последняя утечку быстро опровергла: данные фейковые, по их базе не бьются, и вообще их написали с помощью ChatGPT. Всё хорошо, утечка и правда липовая. Только с обвинением ИИ-модели в компании поспешили.

Товарищ Трой Хант сообщает, что ChatGPT здесь явно не при делах. Большая часть утечки действительно сгенерирована. Но не супер-продвинутой языковой моделью, а обычным стареньким скриптом вроде Faker на Питоне. Так что злоумышленник либо стянул базу из тестовой среды компании, либо, гораздо более вероятно, скамер просто собрал на коленке топорный фейк. Ну а в пиар-отделе Eurocar работают визионеры, опережающие время: уверенно винить во всём ИИ-модели можно будет ещё только через несколько лет.

@tomhunter

#news Джошуа Шульте, бывший программист ЦРУ, ответственный за нашумевшую утечку Vault 7, получил ожидаемый драконовский срок. Высшую меру ему выбить не смогли, но продавили 40 лет тюрьмы. И добавили пожизненный надзор после выхода в 2060-х.

Vault 7 стала крупнейшей утечкой в истории ЦРУ, слитой на WikiLeaks и раскрывшей немало интересных подробностей о внутренней кухне разведки Штатов. Полной таких деталей, что ненароком помянешь добрым словом одного известного математика польского происхождения. Шульте признали виновным в шпионаже, хакерской деятельности, неуважении к суду и даче ложных показаний. После изъятия его техники на жёстких также обнаружилась тонна ЦП, что добавило весу обвинениям и резко усложнило жизнь Шульте в тюрьме. В общем, незавидный финал.

@tomhunter

#news LockBit пробивает очередное дно: группировка взяла на себя ответственность за атаку на больницу в Чикаго 18 декабря. Больница Святого Антония пострадал от рансомварь-атаки и кражи данных пациентов. Злоумышленники потребовали $850 тысяч выкупа. Больница же некоммерческая, так что сумма для неё, очевидно, неподъёмная. Сегодня для выкупа крайний срок.

Что занятно, год назад LockBit была в похожей ситуации — один из партнёров группировки атаковал детскую больницу в Торонто. Вплоть до того, что атака тоже была 18 декабря. Тогда группировка извинилась, выслала декриптор, а провинившегося партнёра, как утверждали, выпнула. Видимо, с тех пор ограничения по атакам у рансомварщиков стали менее жёсткими, и кокетничать, изображая подобие моральных принципов, они перестали.

@tomhunter

#news Производитель софта для удалённого доступа AnyDesk подвергся серьёзному взлому. Атака произошла в конце января. Злоумышленники получили доступ к исходникам и частным ключам подписи кода. Подробностями атаки AnyDesk не делится — известно, что это была не рансомварь, но по итогам взлома компания отозвала сертификаты безопасности и пароли к своему сайту. А также аннулирует скомпрометированный сертификат подписи кода.

Личные ключи, токены и пароли в их системах не хранятся, так что, как доверительно сообщает AnyDesk, для пользователей угрозы нет. Тем не менее, всем рекомендовано сменить пароли, особенно если они где-то повторно используются, и скачать свежую версию софта с новым сертификатом. Между тем на Exploit[.]in на продажу выставили данные доступа ~18,000 клиентов компании — видимо, в преддверии возможного сброса паролей. В общем, у AnyDesk всё под контролем. Кто-то, конечно, поковырялся в их прод-системах. Но это так, дело житейское.

@tomhunter

#cve Опубликовали на Хабре подборку самых интересных уязвимостей января. Первый месяц года выдался богатым на любопытные CVE. Так, шуму наделала критическая уязвимость в Jenkins, к которой быстро опубликовали ворох эксплойтов. Также засветились CVE на GitLab на запись произвольных файлов и RCE в продуктах Cisco с потенциальным root-доступом. Критическими уязвимостями отметился GitHub Enterprise Server, и, конечно же, не обошлось без экстренного исправления россыпи багов в Google Chrome. Об этом и других интересных CVE января читайте на нашем Хабре!

@tomhunter

#news Мошенничество с помощью дипфейков выходит на качественно новый уровень. Международная компания в Гонконге лишилась 25,6 миллионов долларов. Сотруднику её финотдела прислали фишинговое письмо с запросом транзакций и для убедительности пригласили на созвон с финансовым директором, коллегами и иными лицами. Следуя указаниям, он перевёл деньги на разные счета. Вот только все участники видеозвонка были дипфейками.

Случай примечателен солидной украденной суммой и целой подставной группой цифровых лиц и синтезированных голосов. Энтузиасты уже придумывают способы проверки реальности собеседника на видеозвонке, особенно если он просит в долг сотку [миллионов гонконгских долларов]. А вообще, у этих дипфейк-пионеров общества нулевого доверия, предсказанного футуристами, есть чему поучиться. Можно ведь и самому натаскать дипфейк на созвоны за себя ходить. Пусть отдувается.

@tomhunter