#news Чудеса инфобеза от оборонной промышленности Южной Кореи. Правящая партия страны сообщила, что КНДР получила доступ к секретной информации о танке K2 и разведывательных самолётах. И если в случае последних был взлом, инфу по танку южнокорейцы умудрились слить сами.

Утечка данных по танку K2 произошла, после того как инженеры одного из поставщиков ушли к конкуренту и унесли с собой на внешних носителях чертежи и отчёты. Вот так просто. Новый же работодатель решил экспортировать технологию на Ближний Восток и, соответственно, допустил утечку за пределы страны. В случае же с самолётами северокорейские госхакеры взломали подрядчика и стянули свежие техданные. Так или иначе, оба инцидента ставят оборонку Южной Кореи под серьёзный удар. Партия уже призвала срочно пересмотреть законодательство в сфере ИБ и шпионажа во избежание повторения утечек. Но судя по масштабам произошедшего, одной законодательной бюрократией здесь не отделаешься.

@tomhunter

#news Очередная рансомварь-операция перехвачена ФБР — на этот раз под нож пошла группировка Dispossessor. Любители чертовски хорошего кофе на заглушке шутят: сервера злоумышленников были «repossessed». То есть изъяты.

Операция была активна с августа 2023-го с неким Brain во главе, на её счету не меньше 43 жертв. Что примечательно, на её сайте регулярно всплывали данные со взломов других группировок, как то Cl0p, Hunters International и 8base — судя по всему, Dispossessor активно перетаскивала к себе недовольных партнёров с прочих RaaS-операций, и украденные ими данные повторно использовались под шантаж. В июле группировка также начала использовать слитый билдер LockBit 3.0, резко повысив масштаб атак. Но теперь её сервера в США, Великобритании и Германии перехвачены, а партнёрам группировки предстоит искать новый фасад для своих киберпреступных дел.

@tomhunter

#news Анализ первого полугодия 2024-го в мире рансомвари показывает устойчивый рост активности несмотря на успехи правоохранительных органов. И больше половины инцидентов пришлись на 6 группировок.

С уходом BlackCat и серьёзными проблемами у LockBit позиции укрепили Play, Akira и 8Base. В топ-6 также пробились BlackBasta и Medusa, а из новичков отметились RansomHub и DragonForce. Больше всего пострадал производственный сектор — на него пришлись 16,4% атак, следом идут здравоохранение и строительная отрасль с 9,6% и 9.4% атак по ним, соответственно. Из стран же абсолютным лидером по числу инцидентов ожидаемо являются США — 52% атак пришлись по Штатам, 917 зафиксированных инцидентов. Следом идёт Канада, 109 атак. Так что США продолжают быть основным спонсором рансомварь-сцены стран СНГ с мечтами о яхтах и роскошной жизни. Подробнее о трендах первого полугодия в отчёте.

@tomhunter

#news В США экстрадирован Максим Сильников, гражданин Беларуси и Украины, известный под псевдонимами J.P. Morgan, xxx и lansky. Он был арестован 18 июля 2023-го в Испании и отправлен в Штаты 9 августа. Где предстанет перед судом по делу о разработке рансомвари Ransom Cartel и старичка Reveton, а также эксплойт-китов, включая Angler Exploit Kit.

В начале 2010-x червь Reveton блокировал системы и под видом сообщения от ФБР и АНБ о нарушении копирайта или просмотре ЦП вымогал деньги. Позже Reveton обзавёлся модулем для кражи паролей. Обвинения предъявлены и двум подельникам, гражданам Беларуси и России, которые пока на свободе. NCA презентует Сильникова как «одного из самых выдающихся русскоязычных киберпреступников». Его точно можно назвать одним из самых долгоиграющих: J.P. и товарищи были активны с 2011-го и находились в разработке с 2015-го года. Пионеры RaaS-модели и эксплойт-китов, не иначе. Кульминация карьеры на видео с ареста здесь.

@tomhunter

#news Патчевый вторник августа принёс продуктам Microsoft исправление девяти нулевых дней, шесть из которых эксплойтят, и ещё один нулевой день пока без патча. Из исправленных выделяется CVE-2024-38063, критическая уязвимость в IPv6 под произвольный код. С нулевой интеракцией.

Уязвимость связана с целочисленным переполнением, ведёт к переполнению буфера и, соответственно, RCE. Затронуты Windows 10, 11 и Server, и, как утверждает исследователь, блокировка IPv6 в качестве костыля не сработает — ошибка возникает до обработки пакетов брандмауэром. Сложность эксплуатации низкая, такие баги ранее эксплойтили, так что опасность не теоретическая. И уязвимость, что называется, wormable. В общем, в августе она ожидаемое занимает почётное место одной из самых серьёзных из исправленных. Так что кто поленится накатывать патчи, сам виноват.

@tomhunter

#news Новая Зеландия вновь постановила экстрадировать в США внушительную скалу, о которую в нулевые безуспешно бились волны копирайта. Кима Доткома, основателя файлообменника MegaUpload, в своё время одного из самых посещаемых сайтов, существовавшего с 2005-го по 2012-й год.

Как утверждают в США, файлообменник нанёс правообладателям убытки в полмиллиарда долларов, его сервера были перехвачены в Гонконге. С 2012-го Штаты с переменным успехом добивались экстрадиции мастадонта киберпиратства. Комментируя решение суда, Дотком назвал Новую Зеландию послушной американской колонией и грозится никуда не уезжать. С учётом его необъятной любви к России и содержимого высказываний по текущим событиям, значительная фигура от мира горячих твиттерных тейков Дотком мог бы и убежище в России запросить, чего стесняться. Экспертом на ТВ будет, любимчиком публики.

@tomhunter

#news 2024-й на пути к тому, чтобы стать рекордсменом по рансомварь-выплатам: за первую половину года злоумышленникам выплатили более $459 миллионов. Несмотря на то, что число компаний, готовых платить выкупы по следам шифрования, снизилось почти на треть, растут медианные выплаты и число атак. И злоумышленники чаще атакуют крупный бизнес и критическую инфраструктуру, готовые выплатить большой куш.

При этом в сравнении с аналогичным периодом прошлого года рост общих выплат небольшой — всего 2%. Криптовалютные кражи показали гораздо более впечатляющий рост: сумма почти удвоилась — с $857 миллионов до $1,58 миллиардов. Также почти вдвое выросла и средняя сумма краж, достигнув $10,6 миллионов. Частично за это ответственен выросший курс биткоина; по той же причине криптоворы возвращаются к корням — атакам по централизованным платформам, где торговля битком более популярна. Подробнее о трендах и рекордах 2024-го в отчёте.

@tomhunter

#news Google подтвердила атаки иранских хакеров по штабам предвыборной кампании в США. Как сообщает компания, APT42 нарастила активность в мае и июне, ведя небольшую, но активную фишинговую операцию. Как и в 2020-м, досталось обоим кандидатам в президенты, а также на тот момент вице-президенту Харрис.

По данным Google, целью APT42 стали почтовые аккаунты около десятка лиц, связанных с идущей президентской гонкой. В ход идёт изощренный фишинг в попытках украсть учётные данные, порою многоступенчатый: сначала жертва получает безобидные PDF, затем её пытаются перетащить на другие платформы, где уже предложат инфостилер. Из отчёта известно, что группировка получила доступ к почте видного политконсультанта, других успехов не приводят. Пока сенсаций вокруг вокруг активности APT42 в Штатах не разгоняют, но до выборов ещё далеко. Так что, возможно, о вредоносных госхакерах, наглым образом подрывающих демократические процессы, публикуя компромат на кандидатов, мы ещё услышим.

@tomhunter

#news Рансомварь-группировка Qilin пробивает очередное дно. Целью злоумышленников стала некоммерческая организация Promises2Kids в США, помогающая детям из детских домов, жертвам жестокого обращения в семьях. Группировка зашифровала системы фонда и шантажирует сливом конфиденциальных данных в рамках двойного вымогательства.

Qilin, она же Agenda, активна с 2022-го года и атак по здравоохранению не стесняется. В июне группировка уже отметилась шифрованием поставщика медицинских услуг в Лондоне, создав критическую ситуацию в местных больницах. А теперь добавила в свой послужной список детский благотворительный фонд. Не ленитесь распространить — страна должна знать своих героев рансомварь-сцены. А потенциальные партнёры — с каким отребьем предстоит сотрудничать.

@tomhunter

#news Оригинальные методы социнженерии от новой рансомварь-группировки Mad Liberator. Злоумышленники стучатся по адресам AnyDesk в расчёте, что жертва возьмёт трубку. А затем закидывают простенький файл, отключающий клавиатуру и мышь и… демонстрирующий экран обновления Windows. Всё, вся социнженерия.

Пока жертва ругает нехорошими словами всеми любимую корпорацию, злоумышленники стягивают файлы из сети и оставляют записки с требованием выкупа. Расчёт в атаке идёт на то, что сотрудник компании примет звонок в AnyDesk за стандартную работу IT-отдела. А экраном обновления Windows, давно ставшего героем мемов и популярной культуры, уж точно никого не удивишь. У группировки, активной с июля, на сайте указаны девять жертв, не считая потенциально выплативших выкуп, так что метод рабочий. Как, впрочем, и его митигация: подключения только с доверенных устройств и сотрудники, приученные не отвечать на запросы с незнакомых аккаунтов. Не бери трубку, не совершай ошибку.

@tomhunter

#news Toyota в очередной раз подверглась взлому. На этот раз пострадало отделение в США. Деталями утечки и числом затронутых ею клиентов компания не делится, указывая лишь, что проблема ограничена в масштабах и не затронула системы целиком. Ограничена же она 240GB данных в открытом доступе.

Злоумышленники утверждают, что в сливе контакты, финансовые данные, информация по клиентам и сотрудникам, почты, данные доступа и многое другое. На файлах даты от декабря 2022-го, так что, возможно, пострадал сервер с бэкапом. В прошлом году Toyota уже светилась в утечках с неверно настроенных облаков и тогда пообещала ввести автоматический мониторинг настройки облачных серверов, чтобы избежать подобных инцидентов в будущем. Вероятно, до американского отделения нововведения напополам с аудитом добраться не успели. В таких корпорациях дела быстро не делаются.

@tomhunter

#news Любопытные подробности недавней масштабнейшей утечки от брокера данных National Public Data в США. У сестринской компании с доступом к тем же базам данных прямо на сайте, на домашней странице, в открытом доступе лежал архив с исходниками, паролями к админке и бэкенду.

Архив висел на сайте до 19 августа, пока о нём не сообщили журналисты. А пароли совпадают с теми, которые раньше утекали с аккаунтов основателя NPD. Сам он сообщил, что архив с сестринского сайта убрали, его скоро отключат, и вообще это был старый сайт с нерабочим кодом, а ввиду идущего расследования больше подробностей он сообщить не может. Но звучит это всё не очень убедительно. Так что за утечкой данных на 3 миллиарда записей и, по предварительным оценкам, на 272 миллиона человек может стоять вот такое лёгкое ИБ-недоразумение.

@tomhunter

#news В США хакер нашёл оригинальный способ не платить алименты: он взломал регистрационную систему и подделал своё свидетельство о смерти. Используя украденную учётку врача, злоумышленник создал фиктивное дело, внёс данные для свидетельства и заверил цифровой подписью врача. Документы были заполнены верно, так что во многих государственных базах данных взломщик был отмечен как умерший.

В итоге товарищ избежал возврата долгов по алиментам и дальнейших выплат. На этом его хакерская карьера не закончилась, и он продолжил взламывать сети, подрабатывая брокером начального доступа. Увы, многоходовочку в итоге раскрыли, и героя истории приговорили почти к 7 годам тюрьмы и $195 тысячам штрафа. В которые входят в том числе и пропущенные выплаты по алиментам. Остап Бендер от мира киберпреступности упустил важный шаг в инсценировке собственной смерти — побег в далёкие тёплые края.

@tomhunter

#news В России сегодня днём произошёл массовый сбой в работе многочисленных сервисов. В 14:00 по Москве прилегли Telegram и WhatsApp, следом посыпалось многое другое, включая Discord, Steam, Skype и далее по списку. Трафик у операторов за час просел на 10-15%. Telegram каким-то образом также отвалился в Казахстане и Узбекистане. Внимание, вопрос: 2018-й все помнят?

Между тем, как сообщает РКН, сбои в работе связаны с DDoS-атакой на российских операторов связи. По состоянию на 15:00 атака была героически отражена. Помогите Даше объяснить, как работает DDoS-атака сразу по двум тысячам российских операторов связи, которая при этом кладёт отдельно взятые мессенджеры и ещё десяток ресурсов по касательной.

@tomhunter

#news В Enterprise Server от GitHub исправили критическую уязвимость на получение доступа к учётной записи с правами администратора. CVE-2024-6800 получила 9.5 по CVSS и связана с проверкой подписи в XML при использовании SAML-аутентификации.

Уязвимость позволяет злоумышленнику подделать SAML-ответ для доступа к учётке. Помимо неё также исправлены ещё две средних уязвимости, но они блекнут на фоне критической. Патч уже доступен и устраняет уязвимость в версиях GHES 3.13.3, 3.12.8, 3.11.14 и 3.10.16. Из хороших новостей, большая часть доступных в сети GHES-инстансов стоят в Штатах — 29, 200 из 36,500 судя по данным поисковика FOFA. Между тем парочка из поднятых в России принадлежат VK. Так что пришло время накатывать патчи.

@tomhunter

#news ИБ-отдел Университета Калифорнии решил провести тренировку студентов и сотрудников по противодействию фишингу. После этого на кампусе начался сущий кошмар: согласно письму, один из коллег вернулся из Южной Африки с эболой. Для получения дополнительных данных предлагалось перейти по ссылке. Классика.

В университете такую оригинальную кампанию по борьбе с фишингом не оценили. Так что ИБ-отделу пришлось извиняться за поднятую панику и подрыв доверия не только к официальным сообщениям, но и к прекрасной далёкой Южной Африке, где случаев заражения эболой не было с 1996-го. При этом безопасники университета просто использовали в качестве шаблона реальное фишинговое письмо, полученное несколькими неделями ранее. Но как водится, что дозволено киберпреступнику, не дозволено безопаснику.

@tomhunter

#news В США судят гражданина Латвии, проживавшего в Москве, за участие в работе рансомварь-группировки Karakurt. Арестованный в Грузии в декабре прошлого года, 33-летний Денис Золотарев ранее в августе был экстрадирован в США, его обвиняют в отмывании денег, электронном мошенничестве и вымогательстве.

Согласно делу, товарищ был известен под ником Sforza_cesarini и был переговорщиком по раносмварь-висякам — случаям, где переговоры после атаки зашли в тупик. Он связан как минимум с шестью вымогательствами для группировки. Сама же Karakurt была крылом Conti, работавшим исключительно по стягиванию данных и последующим выкупам. Золотарев — первый попавшийся член Karakurt, так что у него есть все шансы получить от ФБР предложение, от которого невозможно отказаться. А следом уже и идентификация прочих членов синдиката бодрее пойдёт.

@tomhunter

#news В сентябре в Госдуме представят законопроект о специальном сборе с бизнеса за зарубежное ПО. Согласно планам, бизнес будет оплачивать лицензии на него на рублёвые спецсчета, а в случае отказа правообладателей от такой щедрости деньги уйдут в фонд поддержки российского IT.

Мера, как водится, непопулярная, но направлена на стимулирование перехода на российское ПО. Малый и средний бизнес, а также бюджетные организации, она не затронет. Некоторые участники рынка планируемым нововведениям не рады и не стесняются выражать обеспокоенность, ссылаясь на трудности и расходы на разработку собственного ПО. При этом каждая пятая компания, владеющая критической инфраструктурой, год назад сообщила, что к 2025-му на отечественный софт перейти не успеет. С учётом новых сборов, вероятно, некоторые решат всё же пересмотреть своё пристрастие к пережиткам однополярного мира в виде чуждого нам западного софта.

@tomhunter

#news Внезапные ночные новости: Павел Дуров задержан в аэропорту Парижа и помещён под стражу. Его приняли прямо с трапа его частного самолёта. На Дурова, гражданина Франции с 2021-го, был выдан ордер на задержание, и сообщают, что его точно арестуют. Завтра должны предъявить обвинения. Французское ТВ утверждает, что ему грозит до 20 лет тюрьмы.

Власти Франции обвиняют Дурова в соучастии в торговле наркотиками, преступлениях против детей, терроризме, отмывании денег и мошенничестве из-за отсутствия модерации в Telegram. Также сообщают, что ордер действовал только во Франции и Дуров якобы знал, что он в стране «персона нон грата». Что это за неожиданный поворот в истории основателя Telegram и не нацелилась ли французская разведка на ключи шифрования или иные преференции от взятого за мягкое место создателя мессенджера? Станет понятнее в ближайшие дни. Пока можно спекулировать, зачем долгое время избегавший европейских силовиков Дуров отправился во Францию.

@tomhunter

#news Аудиторы обнаружили серьёзные пробелы в безопасности складов ФБР. Речь идёт о хранилищах жёстких и прочих носителей, содержащих чувствительную и засекреченную информацию.

ФБР толком не отслеживает жёсткие и флешки, попадающие на склад, так что их пропажи никто и не заметит. Этому также способствует отсутствие маркировки формата «Секретно» и «Совершенно секретно». И неработающие на складах камеры. С правилами доступа на склад всё тоже не очень, а хранятся носители под уничтожение в паллетах в открытом виде. Пример из отчёта на фото. Вот такой вот мешочек жёстких, подозрительно похожий на коробку кабелей в гараже. ФБР проблему признало и обещает поставить клетки и рабочие камеры и порешать прочие незначительные вопросики с хранением разных интересных данных, за доступ к которым можно ненароком стать врагом государства.

@tomhunter

#news Ничто так не бодрит, как новости о малвари под Linux, которая не была обнаружена два года. Названный sedexp вредонос активен как минимум с 2022-го и избегает обнаружения с помощью техники, ещё не включённой в MITRE ATT&CK.

Sedexp использует правила udev для устойчивости и запускается, каждый раз как система подгружает /dev/random. То есть при каждом ребуте. Малварь использует реверс-шеллы для доступа к заражённому устройству и манипулирует памятью, скрывая строки «sedexp» от команд ls и find. Sedexp нашли необнаруженным во многих песочницах, а на VirusTotal только два движка помечают образцы как вредоносные. На заражённых веб-серверах же малварь использовали для скрейпинга данных банковских карт, так что операция финансово мотивированная. Подробнее о находке в отчёте.

@tomhunter