#news К оригинальным крипто-скамам. Мошенники изображают утечку данных криптокошельков, чтобы заманить желающих их опустошить. На опубликованном скриншоте засветили сид-фразу от кошелька с солидным кушем — миллионом долларов в Monero. При попытке же залогиниться в этот кошелёк Electrum потенциальные жертвы обнаруживали, что тот поддерживает только битки, а для доступа нужен приватный ключ. Который из сид-фразы конвертеры почему-то не вытягивают.

Что делает замечтавшийся криптовор дальше? Гуглит «Electrum Monero». И попадает на фишинговую страницу от мошенников, где под видом форка Electrum скачивает вредонос. Скорее всего, инфостилер/криптодрейнер. Судя по тому, что скам вышел на второй круг, криптоловушка сработала на отлично. Ну а в том, что без средств остаются несостоявшиеся криптоворишки, как всегда присутствует солидная доля иронии.

@tomhunter

#news Великобританская NCA объявила об отключении фишинговой платформы Russian Coms. Сервис был активен с 2021-го и использовался злоумышленниками для мошеннических звонков с подменой номеров.

Звонки шли от лица банков и иных организаций. В одной только Великобритании число жертв составляет ~170 тысяч, всего же с платформы звонили в 107 стран мира, нанеся ущерб на десятки миллионов долларов. Трое злоумышленников, двое из которых ответственны за разработку, были арестованы и выпущены под залог. NCA также грозит преследованием клиентам Russian Coms в ближайшие месяцы. Несмотря на говорящее название, как считается, с Россией мошеннический сервис не связан. Так что пресловутые русские хакеры и прочие лучшие сыны ИБ-отечества, триумфально возвращающиеся на родину с почётным караулом, к нему отношения не имеют.

@tomhunter

#cve Подводим итоги июля дайджестом самых интересных CVE прошлого месяца. В Telegram была закрыта уязвимость, позволявшая загружать вредоносные .apk под видом видеофайлов. Июль был богат на нулевые дни в Gogs: в популярном Git-сервисе три критических бага, пока не получивших патчей. В OpenSSH исправили две RCE-уязвимости, а в GitLab CE/EE — критическую на запуск pipeline jobs произвольным пользователем.

Десяточкой по CVSS отметилась уязвимость в системе аутентификации Cisco SSM On-Prem, позволяющая злоумышленнику менять пароли в системе вплоть до администраторов. Максимальный рейтинг также получила CVE на обход плагина авторизации в Docker Engine. Об этом и других интересных уязвимостях ушедшего месяца читайте на Хабре!

@tomhunter

#news Пятничные новости из серии «Как один маленький файлик похоронил многомиллиардную компанию». К многочисленным искам против CrowdStrike ожидаемо присоединились инвесторы: падение акций почти на 40% стоило им серьёзных финансовых потерь.

Согласно иску, компания обманула инвесторов касаемо качества софта, его надёжности и адекватности тестирования. По некоторым оценкам, дефектное обновление обошлось бизнесу в $5,4 миллиарда. Так что желающих компенсировать убытки достаточно: Delta Airlines, потерявшая полмиллиарда на отменённых рейсах, рассчитывает на компенсацию и от CrowdStrike, и от Microsoft. И хотя засудить последнюю за чужой кривой софт едва ли получится, в памяти широкой публики инцидент с Falcon Sensor, видимо, так и останется как «Упала Windows, и всё сломалось». CrowdStrike же разблокировала плохую концовку, и на горизонте маячит потенциальное банкротство. Модуль ядра и автоматическое тестирование — что могло пойти не так?

@tomhunter

#news Китайские госхакеры продолжают демонстрировать смекалочку в деле доставки малвари. На этот раз группировка StormBamboo скомпрометировала неназванного интернет-провайдера и отравила DNS-запросы автообновлений софта.

Группировка использовала плохо защищённые механизмы обновлений, не проверяющие цифровые подписи, и HTTP-запросы перенаправлялись на C2-сервер злоумышленников, с которого подтягивался вредонос. Инструментом для атаки стали несколько производителей софта. Так, в случае с 5KPlayer на С2 лежал модифицированный Youtube.config, сообщивший о доступном обновлении youtube-dl, которое шло с бэкдором. Отравление DNS от китайских умельцев не первый раз светится в сетевых дебрях, но механизм интересный. Подробнее об атаке в отчёте.

@tomhunter

#digest Опубликовали наш традиционный дайджест ключевых ИБ-новостей прошлого месяца. Главным событием июля, несомненно, стал инцидент с CrowdStrike, приведший к одному из крупнейших падений систем по всему миру в истории.

Прошлый месяц принёс и другие рекорды. Крупнейшую выплату после рансомварь-атаки, уязвимость с компрометацией Secure Boot на миллионах устройств с 2012-го года и мировое лидерство России по числу выложенных в даркнет баз данных. В июле «Лаборатория Касперского» ушла с рынка в США, а печально известная FIN7 активно прокладывала путь обратно на киберпреступную сцену. Об этом и других интересных новостях инфобеза выдавшегося очень горячим летнего месяца читайте на Хабре!

@tomhunter

#news В апреле брокер данных в США под брендом National Public Data, занимающийся аналогом проверок СБ, допустил масштабную утечку: 2,9 миллиарда записей на американцев. Тогда базу выставили на продажу за $3,5 миллиона, а теперь злоумышленники планируют её слить.

Журналисты запросили доступ к базе, файл массивный — 277,1GB. И предварительно данные по базе бьются, так что утечка реальна. ФИО, адреса за 30+ лет, страховые номера. В базе также информация на родителей и ближайших родственников и многое другое. Потенциально это может стать одной из крупнейших утечек в истории. По масштабам она вполне может сравниться со взломом Yahoo в 2013-м, когда утечка затронула все три миллиарда пользовательских аккаунтов на платформе. Тогда это обошлось Yahoo в $150 миллионов по судебным делам. Допустившему эту утечку брокеру данных, судя по всему, тоже стоит морально готовиться.

@tomhunter

#news ФБР на пару с немецкой полицией на выходных перехватили очередную сомнительную криптоплафторму. На этот раз под раздачу попал старичок Cryptonator. Как обычно, через него шла крипта в подсанкционные режимы, украденные киберпреступниками деньги и платежи с маркетов в даркнете.

Cryptonator был основан в 2013-м году, его CEO числится наш соотечественник, проживающий в Германии. Роман Пикулев, он же Роман Босс, родом из Норильска. Ему предъявлены обвинения в отмывании денег и ведении нелицензированного бизнеса по денежным переводам. О судьбе бывшего босса Cryptonator, впрочем, Министерство юстиции США не сообщает и на вопросы о том, где он находится и арестован ли, не ответило. Возможно, ему посчастливилось на момент предъявления обвинений и перехвата находиться в России, откуда, как известно, для таких персонажей при определённых обстоятельствах выдачи нет.

@tomhunter

#news Proton VPN добавил оригинальную фичу в свои приложения под Android. Пользователи смогут сменить иконку на нейтральную, маскирующую приложение под погодное, записки или калькулятор. Помимо этого, под Windows перекочевала уже стандартная фича маскировки VPN-трафика под обычный. А в страны на дне списка свобод и демократии отправятся дополнительные сервера.

Сделано это всё, как водится, для помощи пользователям, обитающим в таких светочах цивилизации как Эфиопия, Йемен, Судан и прочих злачных местах. Но и тем, кому в жизни повезло чуть больше, нововведения тоже могут пригодиться. А то вдруг вы там ютубчик на непозволительных скоростях смотреть отказываетесь и занимаетесь прочими неблагонадёжными вещами, не желая на VK Видео переходить. Всё для вас, мои маленькие любители бытового экстремизма.

@tomhunter

#news В США в работе любопытный законопроект. Сенатская комиссия по разведке предлагает приравнять рансомварь-атаки к терроризму. Злоумышленники в таком случае станут «враждебными иностранными киберпреступниками», а укрывающие их страны — «государственными спонсорами программ-вымогателей».

Сторонники закона считают, что он пошлёт важный сигнал о намерении бороться с киберпреступностью. В то же время часть экспертов сомневаются, что от него будет толк: уже обложенные санкциями страны новые вряд ли заметят, а скрывающиеся по ним злоумышленники поведения не изменят. Да и большие дяди, занимающиеся риал политик, лейблами «государство — спонсор [кибер]терроризма» разбрасываться не станут — борьба борьбой, а закулисные переговоры важнее. Так что станет ли закон переломным моментом в войне с киберпреступностью или всего лишь даст возможность товарищу Wazawaka и компании флексить статусом международного кибертеррориста, пока сказать сложно.

@tomhunter

#news CrowdStrike наняла две фирмы независимых аудиторов, чтобы проверить свой кривой код. Есть ли среди них разработчики, которых CrowdStrike уволила в начале года, прежде чем перевести разработку в Индию, не уточняется. Но результаты аудита симптоматичные.

Вкратце, в файле обновления был 21 входный параметр, в то время как код, загоняющий его в интерпретатор, поддерживал только 20. Несовпадение числа параметров пропустили при тестировании, валидации билда, стресс-тестах и предыдущих успешных случаях деплоя таких обновлений. Пока 19 июля апдейт не проинструктировал интерпретатор обратиться к отсутствующему параметру. В итоге выход за пределы массива и упавшие системы. Анализ первопричины инцидента доступен здесь. Последний оставшийся вопрос: будет ли CrowdStrike ещё существовать через полгода? McAfee после схожего инцидента в 2010-м в итоге была продана Intel.

@tomhunter

#news Небезызвестный даркнет-форум WWH Club был перехвачен ФБР, во Флориде арестован его владелец. Очередной наш соотечественник, Павел Кублицкий. Другим администратором назван Александр Ходырев из Казахстана. Из дела неясно, был ли он задержан.

WWH Club был хабом для всевозможных киберпреступных активностей и насчитывал 170 тысяч юзеров. Согласно иску, ФБР получили доступ к админке и базе данных сайта. И разбирали её с гуглтранслейтом, так как админка была на русском. Кублицкий и Ходырев объявились в США в декабре 2022-го, подали на убежище, но жили на широкую ногу, соря деньгами. Между тем из дела известен адрес почты Кублицкого. И благодаря ему выяснилось, что товарищ из Омска, на него открыто несколько производств приставами, и он был одним из руководителей МММ-2011, заведовал омским филиалом. Как водится, привычка — вторая натура. От одной масштабной мошеннической операции в другую и по следам своего идейного лидера — за решётку.

@tomhunter

#news В начале года в новостях светился оригинальный персонаж: рэппер Punchmade Dev, воспевающий киберпреступность и держащий платформу с продажей украденных аккаунтов и финансовых данных. История получила продолжение. Теперь он судится с банком, заморозившим его счёт.

Как Punchmade Dev указал в заявлении, банк незаконно отнял его 500 тысяч долларов, и всё это одна большая ошибка, включая отметку банка, что счётом интересуются правоохранительные органы. И ничем незаконным невинный клиент не занимается. Но есть нюанс. В заявлении Punchmade Dev указал свой номер телефона. И на него же зарегистрирован домен, на котором висит его новый киберпреступный магазин. Товарищ продаёт курсы по опсеку, но не в состоянии обзавестись анонимным доменом. В общем, не все киберпреступники одинаковы опасны. Некоторые существуют просто для того, чтобы Кребсу было чем развлечься в свободное от серьёзного OSINT’a время.

@tomhunter

#news Привет из прошлого для браузеров: раскрытая 18 лет назад уязвимость, получившая название 0.0.0.0 day, позволяет вредоносным сайтам обходить защиту в Chrome, Firefox и Safari и взаимодействовать с сервисами в локальной сети. Уязвимость не затрагивает устройства под Windows, только под Linux и MacOS.

Баг связан с тем, как браузеры обрабатывают сетевые запросы по айпишнику 0.0.0.0 и в определённых сценариях может вести вплоть до RCE. Риск не теоретический — эксплойт светится в атаках. При этом Mozilla об уязвимости сообщили ещё в 2006-м, и все эти годы мейнтейнеры закрывали-переоткрывали репорт и спорили: «Это баг? Это фича? Ни то, ни другое?» Теперь вопрос закрыт: разработчики браузеров проблему признали, и в ближайших версиях будут фиксы с блокировкой доступа к 0.0.0.0. А пока доступны костыли. Подробнее о проблеме в отчёте.

@tomhunter

#news Исследователь Вангелис Стикас, выступая на BlackHat 2024, поделился успехами контррансомварь-деятельности. У группировки Everest был уязвимый сайт на WordPress. У BlackCat — незащищённые API, позволившие дампнуть команды и документацию с серверов. А в случае с Mallox с помощью IDOR был получен доступ к сообщениям в чате администратора. Итог ста часов свободного времени — деанон части злоумышленников, пара ключей шифрования для жертв и предотвращение нескольких готовившихся в январе BlackCat атак.

Стикас также отметил интересную вещь: из 135 протестированных им сайтов рансомварь-группировок уязвимы были только 3. То есть меньше 3%, в то время как у бизнеса баги он находит в 40-50%. Так что киберпреступники относятся к ИБ гораздо серьёзнее простых смертных. Понимают, шельмецы, с чем имеют дело. При этом Стикас получил предупреждения от Google, что им начали интересоваться госхакеры — это ли не лучшее признание своей работы для безопасника?

@tomhunter

#news Вездесущие госхакеры вновь вмешиваются в выборы в США! Только на этот раз иранские. На днях издание Politico писало, что в конце июля получило от анонима на почту внутренние документы штаба Трампа, включая подробное досье на кандидата в вице-президенты. После этого предвыборный штаб заявил о взломе.

Документы, как водится, были получены незаконно «из иностранных источников, враждебных США», и целью всего это является вмешаться в выборы и посеять хаос в демократических процессах. Microsoft подробностями не делится, но иранские госхакеры активно рассылают фишинговые письма со взломанных аккаунтов чиновникам из президентской кампании. Так что, видимо, Иран приключения Трампа на президентском посту ему так и не простил и шлёт приветы.

@tomhunter

12-13 сентября в Москве пройдёт восьмая ежегодная конференция «MOSCOW FORENSICS DAY 2024». Два дня, посвящённых цифровой криминалистике и информационной безопасности, и возможность встретиться со специалистами со всей России и из стран СНГ.

От T.Hunter в конференции примет участие Игорь Бедеров, руководитель нашего департамента расследований, с докладом «Криминалистическое исследование Telegram-каналов». С полной программой можно ознакомиться здесь. Участие бесплатное, по регистрации. Присоединяйтесь, будет интересно!

@tomhunter

#news На Breached в свободном доступе всплыла масштабная утечка с данными американцев от брокера National Public Data. Недавно шедшая на продажу за $3,5 миллиона, теперь база доступна всем желающим.

2,7 миллиарда записей содержат имена, адреса и страховые номера. Последнее особенно примечательно, так как в США на них многое завязано, поэтому есть потенциал для мошенничества. Также часть записей идёт с данными на родственников, а некоторые содержат информацию о людях на 30+ лет в прошлое — всё, что брокер данных сумел собрать на продажу. Потенциально утечка затрагивает чуть ли не каждого американца, но часть проверенных данных по базе не бьются, так что она местами либо устаревшая, либо неточная. На вопросы об утечке компания не ответила, но ей сейчас и не до этого — на неё уже подали несколько коллективных исков, и слив таких масштабов грозит не 60 тысячами рублей штрафа, а миллионами долларов.

@tomhunter

#news Чудеса инфобеза от оборонной промышленности Южной Кореи. Правящая партия страны сообщила, что КНДР получила доступ к секретной информации о танке K2 и разведывательных самолётах. И если в случае последних был взлом, инфу по танку южнокорейцы умудрились слить сами.

Утечка данных по танку K2 произошла, после того как инженеры одного из поставщиков ушли к конкуренту и унесли с собой на внешних носителях чертежи и отчёты. Вот так просто. Новый же работодатель решил экспортировать технологию на Ближний Восток и, соответственно, допустил утечку за пределы страны. В случае же с самолётами северокорейские госхакеры взломали подрядчика и стянули свежие техданные. Так или иначе, оба инцидента ставят оборонку Южной Кореи под серьёзный удар. Партия уже призвала срочно пересмотреть законодательство в сфере ИБ и шпионажа во избежание повторения утечек. Но судя по масштабам произошедшего, одной законодательной бюрократией здесь не отделаешься.

@tomhunter

#news Очередная рансомварь-операция перехвачена ФБР — на этот раз под нож пошла группировка Dispossessor. Любители чертовски хорошего кофе на заглушке шутят: сервера злоумышленников были «repossessed». То есть изъяты.

Операция была активна с августа 2023-го с неким Brain во главе, на её счету не меньше 43 жертв. Что примечательно, на её сайте регулярно всплывали данные со взломов других группировок, как то Cl0p, Hunters International и 8base — судя по всему, Dispossessor активно перетаскивала к себе недовольных партнёров с прочих RaaS-операций, и украденные ими данные повторно использовались под шантаж. В июле группировка также начала использовать слитый билдер LockBit 3.0, резко повысив масштаб атак. Но теперь её сервера в США, Великобритании и Германии перехвачены, а партнёрам группировки предстоит искать новый фасад для своих киберпреступных дел.

@tomhunter

#news Анализ первого полугодия 2024-го в мире рансомвари показывает устойчивый рост активности несмотря на успехи правоохранительных органов. И больше половины инцидентов пришлись на 6 группировок.

С уходом BlackCat и серьёзными проблемами у LockBit позиции укрепили Play, Akira и 8Base. В топ-6 также пробились BlackBasta и Medusa, а из новичков отметились RansomHub и DragonForce. Больше всего пострадал производственный сектор — на него пришлись 16,4% атак, следом идут здравоохранение и строительная отрасль с 9,6% и 9.4% атак по ним, соответственно. Из стран же абсолютным лидером по числу инцидентов ожидаемо являются США — 52% атак пришлись по Штатам, 917 зафиксированных инцидентов. Следом идёт Канада, 109 атак. Так что США продолжают быть основным спонсором рансомварь-сцены стран СНГ с мечтами о яхтах и роскошной жизни. Подробнее о трендах первого полугодия в отчёте.

@tomhunter