#news Дядя Сэм выдал рансомварь-группировке Hive почётный знак: Госдепартамент предложил свою стандартную награду до $10 миллионов за информацию, которая приведёт к идентификации, обнаружению или аресту её членов. Также отметились и люди в чёрном: ФБР накинет сверху ещё $5 миллионов желающим поделиться ценными данными.

Награда предложена потенциальным сомнительным героям чуть больше года спустя после перехвата ФБР серверов Hive. Успешная операция тогда стоила Hive больше $200 миллионов не полученных выкупов за счёт разосланных жертвам ключей. Теперь же её члены пополнили стройные ряды рансомварщиков с 10-миллионным ценником за голову, где уже стоят Clop, Conti, REvil и Darkside. Вопрос лишь в том, есть ли честь среди киберворов. Точнее, есть ли у них друг на друга компромат для деанона.

@tomhunter

#news Hyundai Motor Europe стала жертвой рансомварь-атаки от Black Basta. Злоумышленники утверждают, что стянули три терабайта данных. Если это не преувеличение, компанию может ждать увлекательный забег наперегонки с конкурентами, охочими до чужих корпоративных секретов.

Что занятно, атака произошла ещё в начале января. Но тогда Hyundai сообщила прознавшим о ней журналистам, что «Всего лишь столкнулась с IT-проблемами». Ну, в каком-то смысле, они не соврали — можно взлом и так назвать. После того как появилась информация о краже данных, в Hyundai рансомварь-атаку всё же подтвердили. И ещё раз слово в слово воспроизвели корпоспик из января: «Доверие и безопасность являются нашим приоритетом». Не знаю как вы, но я бы им в свете вышенаписанного особо не доверял. Да и с безопасностью как-то не складывается — с предыдущей утечки чуть больше полугода прошло.

@tomhunter

#news К вопросу о порталах в ад и прочих VPN’ах. В новой версии Express VPN исчезло раздельное туннелирование. Догадаетесь почему? Из-за уязвимости в ней DNS-запросы пользователей утекали провайдеру. То есть последний мог видеть, на какие домены ходит юзер. И всё это с мая 2022-го по сей день — без малого два года.

Фича была забагована только в режиме раздельного туннелирования VPN под отдельные приложения. Как пытается смягчить новость компания, проблема затронула около 1% пользователей их VPN под Windows. Но тому одному проценту юзеров от этого вряд ли спокойнее. Фичу обещает вернуть, когда исправят уязвимость. Ну а пока её стоит отключить самому или обновиться до свежей версии.

@tomhunter

#news На сайте поддержки производителя сетевого оборудования Juniper Networks был доступ к данным клиентов. Под пользовательским аккаунтом можно было узнать модели, номера устройств и контракты на обслуживание. Последнее самое интересное — где закончившаяся поддержка, там и отсутствие обновлений.

В Juniper сообщили, что данные раскрыли из-за недавнего обновления сайта и оперативно устранили проблему. Между тем об обновлении портала они сообщили ещё в сентябре прошлого года — так что, возможно, насчёт оперативности слегка приукрасили. Судя по всему, на сервере крутился софт от Salesforce с неверными разрешениями. Проблему же обнаружил 17-летний стажёр компании, пользующейся оборудованием Juniper. Как получилось, что утечку находит юный любитель инфобеза со стороны, а не сама Juniper, в последней не уточнили.

@tomhunter

#news ФБР перехватило инфраструктуру трояна удалённого доступа Warzone и арестовало двух связанных с операцией злоумышленников. Warzone был активен с 2018-го года, имел ворох привычных для RAT функций и успел засветиться во множестве киберпреступлений.

На Мальте арестовали 27-летнего Даниэля Мели. Является ли он разработчиком, из документов неясно — в них обоих обвиняют в распространении и техподдержке. Между тем второй арестованный по документам проходит как Принц Онеозири Одинакачи. И он из Нигерии. Так что письма счастья от одного из нигерийских принцев, может, и не были с подвохом — мучимый совестью африканский аристократ просто хотел поделиться незаконно нажитым с подписок на Warzone RAT за 196 баксов в год.

@tomhunter

#news Исследователи из Южной Кореи нашли уязвимость в рансомвари Rhysida и собрали декриптор. Группировка активна с мая прошлого года и печально известна атаками на больницы, оборонку и энергетику. Но генератор псевдослучайных чисел у них оказался слабоват, что позволило определить стартовое число и расшифровать файлы.

Однако не всё так радужно. Энкриптор вскрыли ещё в прошлом году: Avast в октябре, CERT в июне и товарищ Фабиан Возар ещё в мае. Информацию о баге просто не публиковали, чтобы не уведомлять злоумышленников. Как утверждает Возар, с мая благодаря этому были приватно расшифрованы петабайты данных. Теперь же уязвимость в Rhysida исправят за пару дней и продолжат атаки. Такая вот медвежья услуга по-корейски, получается.

@tomhunter

#news В Румынии в ночь на 12 февраля произошла рансомварь-атака по местной системе управления здравоохранением. Сервера последней были зашифрованы, и по следам атаки больницы одна за другой были вынуждены отключить свои системы. На вчерашний день к бумажным записям вернулись 100 медицинских учреждений страны, а данные 25 больниц были зашифрованы.

Злоумышленники использовали рансомварь Backmydata из семейства Phobos и потребовали 3,5 биткоина выкупа — около 175 тысяч долларов. Однако выкупа они, скорее всего, не дождутся — как сообщают румынские безопасники, у большинства больниц есть резервные копии данных, сохранённые одним-тремя днями ранее, и только в одной бэкап двухнедельной давности. Так что эти рансомварь-отбросы останутся без битков.

@tomhunter

#news У нас первая громкая криптокража года: с платформы PlayDapp потенциально стянули 290 миллионов долларов. Судя по всему, хакеры получили приватный ключ и с его помощью начали минтить токены PLA — сначала на $36,5 миллионов 9 февраля, после чего взлом заметили и начали угрожать хакерам. Угрозы эффекта не возымели. И 12 февраля они наминтили ещё 1,59 миллиарда токенов. По его курсу на тот момент суммарно и набрались $290 миллионов.

Несмотря на попытки PlayDapp и крупных бирж приостановить процесс, токены активно двигают по аккаунтам и отмывают. При этом хакеры наминтили их больше, чем было в обороте до взлома, так что по рыночной стоимости загнать их не получится. Но сумма всё равно ожидается внушительная. Кто стоит за взломом, пока неизвестно. Но все мы и так прекрасно понимаем, кто может стоять за кражей таких масштабов. Бюджет КНДР на 2024-й сам себя не сведёт.

@tomhunter

#news Американская компания Securence предоставляет услуги фильтрации и защиты электронной почты. Но делает это не очень качественно. Переписка организации и её клиентов неизвестный срок лежала в публичном доступе по ссылке на сервер её материнской компании, провайдера U.S. Internet. Больше 6,500 доменов с ящиками юзеров с 2008-го года по сей день. Сервер неверно настроили.

Уязвимость обнаружили безопасники из Hold Security и сообщили Кребсу. Инцидент таких масштабов удивил даже его, пишущего об инфобезе 20 лет. Брайан переслал CEO U.S. Internet одно из его же свежих писем и тактично поинтересовался: «Ребята, что за дела?» Ответ оказался неудовлетворительным, так что теперь Кребс язвит, предполагает, что компания надеялась купить его молчание, и пишет, что с таким уровнем некомпетентности к чужой электронной почте Securence подпускать нельзя, пока не исправятся. В общем, довели человека.

@tomhunter

#news С декабря всплыли уже с десяток сэмплов Qakbot, операторы которого пытаются пересобрать ботнет после его перехвата в августе прошлого года. Судя по изменениям в билдах, разработчики тестируют и полируют новые бинарники.

Свежие версии идут в качестве MSI-экзешника, дропающего DLL-ку с помощью .CAB-архива. Раньше Qbot доставляли внедрением кода в процессы Windows. В новых вариантах продвинутая обфускация, включая AES-256 шифрование для сокрытия строк и стука по C2. Плюс они выдают себя за установочник Adobe для обмана юзера. И хотя пока образцов новой итерации Qakbot в сетевых дебрях встречается немного, специалисты держат руку на пульсе на случай, если у его операторов всё же получится поднять новый ботнет. С 15-летней историей Qbot можно ознакомиться в отчёте.

@tomhunter

#news Главарь JabberZeus Вячеслав Пенчуков признал свою вину по обвинениям в контроле группировок, стоявших за малварью Zeus и IcedID. Экстрадированному в прошлом году в США злоумышленнику грозит до 40 лет тюрьмы.

Пенчуков, напомню, был арестован в Швейцарии осенью 2022-го года. У товарища за спиной десять лет в списке особо разыскиваемых преступников ФБР. Он также стоял за малварью Maze — пионерами двойного вымогательства, использовавших украденные данные для давления на жертв. Пенчуков долгие годы избегал ареста, как считается, благодаря своим связям с прежней украинской властью. Однако события последних лет, очевидно, привели к его отъезду из страны и аресту в Женеве. Итог истории прожившего довольно увлекательную жизнь злоумышленника будет известен 9 мая — в этот день донецкому пижону по кличке Слава Рич вынесут приговор.

@tomhunter

#news Вслед за Hive почётный знак от Госдепа получили и Blackcat: пресловутые до $10 миллионов предложены за лидеров группировки. Предлагают сдать информацию о местонахождении или личности ключевых фигур, ответственных за разработку и распространение рансомвари.

Бонусом выплатят ещё до $5 миллионов за информацию о тех, кто только подумывает работать на Blackcat. Предполагается, что это отпугнёт потенциальных злоумышленников от сотрудничества. Ну или приведёт к тому, что у новых партнёров Blackcat будут перспективы как у среднего закладчика. Как сообщает департамент, на сентябрь прошлого года группировка получила не менее $300 миллионов выкупа с более чем 1000 жертв — игнорировать это дальше не получается. Как, видимо, и недавний взлом оборонки в Штатах — награда нашла героев всего месяц спустя. В общем, допрыгались.

@tomhunter

#news У нас следующий кандидат от криптомиксеров на санкции от США и посадку операторов: Lazarus переключились на YoMix. Согласно данным, со второго квартала 2023-го и до конца года миксер стабильно рос благодаря вложениям северокорейцев. Треть прошедших через него денег пришлись на криптокражи.

Комментариев по поводу своей популярности на YoMix не дают – скромничают. Да и уже научены, что аргументы про цифровое будущее не прокатывают. Между тем в 2023-м в миксеры с отслеживаемых адресов ушли всего $500 миллионов в сравнении с миллиардом годом ранее. Так что в год халвинга битка северокорейским криптостахановцам есть куда стремиться. Подробнее о трендах в мире криптомиксеров в отчете.

@tomhunter

#news Инфраструктура LockBit перехвачена ФБР и международной полицией. По следам «Операции Кронос» под контролем британской NCA оказался сайт с утечками группировки в TOR, на нём болтается красочная заглушка. Некоторые их сайты ещё работают, другие прилегли.

Кроме того, положили и панель партнёров LockBit. Согласно сообщению о её захвате, к правоохранительным органам попали исходники LockBit, чаты, информация о жертвах и украденных данных. Безопасники в погонах ехидничают и предлагают злоумышленникам благодарить товарища Lockbitsupp за уязвимости в инфраструктуре, которые привели к перехвату. У последнего в статусе сообщение, что сервера взломали PHP-эксплойтом. В общем, не успели LockBit воспользоваться неурядицами BlackCat, как столкнулись с тем же. Любители чертовски хорошего кофе также обещают партнёрам группировки вскоре выйти с ними на связь. Иными словами, им теперь не позавидуешь.

@tomhunter

#news Вслед за мощным ударом по LockBit сворачивается ещё одна рансомварь-операция, в этот раз местечковая. Операторы Knight 3.0 выставили на продажу исходники энкриптора и панели.

Рансомварь Knight появилась в июле 2023-го и была ребрендингом Cyclops с атаками по Windows, macOS, Linux и ESXi-системам. Определённую популярность Knight получила за счёт инфостилеров в комплекте и облегчённой версии энкриптора для партнёров рангом пониже с атаками по небольшим компаниям. С июля прошлого года операторы Knight заявили о взломе 50 организаций. Теперь же их сайт для жертв отключён, представители рансомвари с декабря неактивны на форумах, а исходники идут на разовую продажу. Так что, видимо, эти злоумышленники решили свернуть лавочку и уйти со сцены. По крайней мере, под этим брендом.

@tomhunter

#news Госдеп закрепляет успех после перехвата инфраструктуры LockBit: привычная награда до $15 миллионов ждёт бегущих с идущего на дно киберпреступного корабля. Десять миллионов за главарей группировки и ещё пять за партнёров LockBit. Судя по информации от органов, всего у них было 188 партнёров, но сколько активных на момент перехвата серверов, не сообщают.

С учётом своего появления в сентябре 2019-го бренд поставил рекорд как самый долгоживущий на сцене, а с января 2020-го под ним провели больше двух тысяч атак. Между тем сайт LockBit теперь выглядит так. В чувстве юмора безопасникам в погонах не откажешь. Кто же такой LockbitSupp? Вопрос к подельникам на десять миллионов долларов.

@tomhunter

#news Чудные нововведения от Минтранса: по плану с 1 сентября перевозчиков обяжут передавать в базу ЕГИС ОТБ дополнительные данные о пассажирах. Помимо паспортов, дат поездки и маршрута в неё отправятся: банковские карты, айпишники, телефоны, электронные почты и… логины и пароли от учёток на сайтах перевозчиков. Как и, главное, зачем? Загадка.

Пока перевозчики задумчиво изучают проект и нервно курят, пытаясь сообразить, как это всё собирать и передавать и что будет в случае утечки. В Минтрансе же сидят люди оптимистичнее. ЕГИС ОТБ, как водится, хорошо защищена, в порядочном ведомстве утечек не бывает, а анализ данных пассажиров позволит выявлять некие «поведенческие аномалии» и ловить злоумышленников «от контрабандистов до террористов». Как выглядят аномалии в глазах чиновника из Минтранса, неизвестно. Так ведь, глядишь, придётся оправдываться за совершенно здоровое желание улететь на Сахалин смотреть на косаток в четыре утра понедельника.

@tomhunter

#news У нас редкий зверь: утечка из-за великого китайского файерволла. А именно, из топовой инфобез-фирмы i-SOON в Шанхае. Судя по всему, от недовольного сотрудника. В сливе на Гитхабе больше пятисот документов, позволяющих подглядеть внутреннюю кухню компании.

Помимо повседневного из переписок сотрудников с жалобами на переработки и низкие зарплаты, есть и довольно занятная информация. О госконтрактах на шпионаж, которые Китай скармливает частным ИБ-фирмам. Так, один из адресов в переписке связан с доменом, светившимся в кампании по Тибету в 2019-м, а безопасников из i-SOON тогда обозначили как APT-группировку Poison Carp. Случаются у i-SOON и конфузы. Так, один сотрудник рапортует об успешном взломе тайского вуза. А начальник присылает ему скриншот, в котором этого университета в списках на взлом нет. В общем, материал любопытный. Утечки такого плана из Цифровой Поднебесной — раритетная вещь.

@tomhunter

#news Санта-Барбара вокруг LockBit продолжается: по следам перехвата инфраструктуры группировка подняла новый сайт, товарищ LockbitSupp пишет письма ФБР и угрожает сливом данных со взлома правительственного сайта округа Фултон в США.

В бреду величия LockbitSupp заявляет, что «Операцию Кронос» провели, чтобы не дать слить судебные дела на Трампа, что скажется на выборах. Новый счётчик ставит слив на 2 марта. Дальнейшее содержание письма локбитовцев американскому шайтану — в основном бессвязное бормотание, что его не запугают и никогда не остановят. В общем, забытый PHP-апдейт товарища сильно выбил из колеи. Между тем в LockBit пытаются спасти лицо и утверждают, что ФБР арестовало пару случайных людей, а на ключевых лиц группировки у них ничего нет, и предлагают уже $20 миллионов за свой деанон. В новом сезоне нас могут ждать триумфальное явление LockBit 4.0 и продолжение мыльной рансомварь-оперы.

@tomhunter

#news Минцифры вернулось к законопроекту, который должен обязать Apple позволять установку приложений из сторонних магазинов. По аналогии с законом о цифровых рынках (DMA) в Евросоюзе, ибо чем мы хуже.

Законопроект стал ответом на удаление российских приложений из официальных магазинов. Под новые регуляции попадут все мобильные системы, производители и операторы. При этом механизмов давления на Apple у российских регуляторов особо нет, да и DMA, на который ссылаются законодатели, сам зарегулирован по самое не балуйся. Есть ли перспективы у RuStore яблочных приложений, или же все магазины равны, но некоторые равнее других, вероятно, узнаем уже в этом году — проект рассмотрят на весенней сессии Госдумы.

@tomhunter

#news Инфобез с оттенком геополитики: у берегов Йемена повреждены кабели оптоволоконной связи. Связь оказалась нарушена у AAE-1, EIG, TGN и Seacom. В последней подтвердили повреждения и сообщили о трудностях с восстановлением из-за боевых действий в регионе. Пока трафик перенаправляют по другим кабелям.

Ситуация возникла по следам недавних угроз хуситов перебить кабели, так что подозреваемые очевидны. Между тем масштабы потенциальных проблем переоценить сложно: по кабелям на дне Красного моря идёт 17 процентов мирового трафика. Так что хуситы рискуют резко подорвать глобальную систему цифровых коммуникаций и привести к проседанию экономики в разных странах. Да и просто к коллапсу сетей: так, в 2022-м после аварии в Египте трафик в Эфиопии просел больше чем на 90 процентов. В общем, не спешите с ходу списывать лагающий Телеграм на Роскомнадзор — возможно, это весёлые йеменские неолуддиты шатают мировую связность коммуникаций.

@tomhunter