#news К оригинальной социнженерии для кражи данных доступа. Малварь переводит браузеры в режим киоска и блокирует клавиши ESC и F11 для выхода из него. Затем она отправляет жертву на страницу смены пароля Google, чтобы раздражённый юзер ввёл пароль в надежде, что это разблокирует браузер.

Метод атаки активен в сетевых дебрях минимум с августа, в основном у инфостилера Amadey. При запуске вредонос деплоит script AutoIt, который запускает браузер в киоске с игнорированием параметров для ESC и F11 и открывает URL. Так как перед сменой пароля Google требует ввести старый, инфостилер оперативно стягивает всё введённое и сохранённое на странице. При этом другие волшебные комбинации вроде Alt + F4 и Ctrl + Shift + Esc малварь не режет. Как и бессильна перед перезагрузкой. Но расчёт на нетерпеливого юзера, который поспешит сдать все явки и пароли, поминая Google нехорошими словами, видимо, работает. Работа горит, а с «Я что-то нажала, и всё пропало» к админу в 2024-м идти стыдно. Можно понять.

@tomhunter

#news Один из нулевых дней, исправленных Microsoft в сентябре, был замечен в атаках. Уязвимость спуфинга CVE-2024-43461 шла в цепочке атак с другой исправленной уязвимостью, позволяющей злоумышленникам запускать произвольный код в системах через вызов Internet Explorer с того света.

Уязвимость использовали в атаках минимум с июня 2024-го и с её помощью подтягивают инфостилер. Злоумышленники используют интересный метод для маскировки файлов: в название включены 26 пробельных символов шрифта Брайля. В окне открытия файла они уводят реальное расширение, .hta, за пределы видимости. И юзер видит только название файла, за счёт которого он выглядит как пдфка. Между тем фикс тянет лишь на костыль: на скриншоте пример до и после. Теперь пользователь видит и название, и расширение после символов. Так что исправление превращает доставку малвари в тест на внимательность. Пройдут его, как водится, не только лишь все.

@tomhunter

#article В нашей новой статье мы продолжаем говорить об использовании электронных таблиц в работе OSINT-аналитиков. В первой части мы обсуждали автоматизацию генерации дорков. Во второй — коснулись интеграции API для исследования данных. Сегодня раскроем тему скрапинга: разберем основы, сделаем сервис для пробива судимостей и чтения RSS, а также интегрируем поисковые выдачи с сайтов в наши Таблицы. За подробностями добро пожаловать на Хабр!

@tomhunter

#news Министерство финансов США ввело санкции против… нет, не очередной российской компании. На этот раз вновь досталось разработчику спайвари Predator, причём под раздачу попал топ-менеджмент консорциума Intellexa, передав привет одному грустному зелёному мишке.

Пять человек и одна компания в санкционном списке за кибердеятельность, угрожающую национальной безопасности. Активы заблокированы, сделки и финоперации запрещены — всё как полагается. Сама Intellexa под санкциями с июля 2023-го, и хотя на операциях компании это поначалу заметно сказалось, по последним данным, под Predator успешно подняли новую инфраструктуру, скрытнее прежней. Отслеживать её и клиентуру стало сложнее, но модус операнди тот же. И с рынком коммерческой спайвари, разросшимся до $12 миллиардов в год, санкциями от Минфина США не обойдёшься. Особенно с учётом того, что среди режимов, где спайварь в почёте, они скорее сойдут за маркетинговый инструмент.

@tomhunter

#news Киберпанковые ИБ-новости с фронтов вяло разгорающегося израильско-ливанского конфликта: у членов небезызвестной группировки, действующей на территории Ливана, вчера массово взорвались пейджеры. Минимум шестнадцать человек погибли, почти три тысячи получили ранения, двести критических. «Хезболла» уже заявила, что взрывы стали результатом операции Израиля.

Идут сообщения, что могли рвануть литиевые батареи — судя по видео, версия сомнительная. Так что помимо хитрой прошивки мог быть скомпрометирован поставщик с сюрпризом в тротиловом эквиваленте. Некоторые удачливые владельцы якобы успели заметить, что пейджеры греются, и избавились от них до взрыва. Кто в юности зачитывался Гибсоном и Стерлингом, те только покивают. И добавят, что через 10-15 лет в ленте будут новости о взрывающихся в головах у киберджихадистов кустарных нейрочипах, заражённых Pegasus v3. А пока будем надеяться, что в один прекрасный день и айфоны в карманах у кого следует нагреваться не начнут. А то ведь чревато.

@tomhunter

#news DrWeb раскрыла кибератаку по своим системам. Как сообщает компания, она началась 14 сентября. Также утверждают, что атака была локализована и пользователей не затронула.

При этом заявления от DrWeb, скажем так, противоречивы. Серверы были «оперативно отключены»… 16 сентября — признаки «внешнего воздействия» засекли только спустя два дня. Компания вроде как «держала всё под контролем» и «наблюдала за атакой», но при этом инфраструктуру для диагностики по итогам отключили, а вместе с ней на сутки отвалилось и обновление антивирусных баз. Иными словами, пока ничего не ясно, но пробел в два дня между компрометацией систем и реакцией на неё симптоматичный. Остаётся ждать детального отчёта по инциденту и делать ставки по степени, что называется, тактического контроля за глубиной проникновения в системы.

@tomhunter

#news Вы таки не поверите, но в Ливане продолжение банкета от израильских затейников. Сегодня у «Хезболлы» начали дружно взрываться переносные рации. Взрывы прошли по Бейруту и югу Ливана пару часов назад. Как сообщают СМИ, пострадали сотни человек. Предварительно известно о девяти погибших.

Рации якобы были закуплены примерно в то же время, что и пейджеры с подвохом — пять месяцев назад. Иными словами, можно с достаточной уверенностью утверждать, что скомпрометированы они были тем же образом — вероятно, где-то по цепочке поставок в устройства попала взрывчатка. Вовлечены ли во всю эту историю кибератаки с хитрыми манипуляциями прошивкой и перегревом или обошлось активацией по старинке, пока до конца неясно. Но операция в своём роде уникальная — израильская разведка сумела изобретательно и масштабно саботировать всю связь группировки. В общем, на фоне таких происшествий ругать пресловутые баофенги, полагаю, какое-то время будут чуть меньше. Как водится, всё познаётся в сравнении.

@tomhunter

#news Европол и компания безопасников в погонах из девяти стран перехватили платформу Ghost — сервис для зашифрованной связи, используемый преступниками, занятыми среди прочего в таких почётных сферах бизнеса, как наркоторговля и отмывание денег. За ~5 тысяч долларов в год клиенты получали модифицированный смартфон и техподдержку под него.

Расследование по Ghost’у шло с марта 2022-го года. По его итогам были обнаружены сервера во Франции и Исландии, активы на счетах в США, а сами операторы — в Австралии. Им грозит до 26 лет тюрьмы. Арестованы 51 человек, изъяты миллион евро наличных и оружие, попутно найдена нарколаболатория. Таким образом, Ghost отправился по следам Sky ECC, EncroChat и Exlu. А связь у кибер- и не только преступников ждёт дальнейшая фрагментация по местечковым сервисам в попытках избежать правосудия после их перехвата.

@tomhunter

#news На Github оригинальная кампания по распространению малвари. Злоумышленники открывают тикеты в репозиториях с опенсорсом, утверждая, что в них есть уязвимость. Сообщение призывает перейти на сайт с неким GitHub Scanner. А там малварь.

Что интересно, при этом всем подписанным на репозиторий приходят письма с комментарием с легитимного ящика Гитхаба и якобы с наилучшими пожеланиями от Github Security Team. Фишинг, на первый взгляд, относительно убедительный. Но дальше резко сдаёт обороты: на сайте юзеру предлагают впихнуть вредоносный скрипт в Run, чтобы обзавестись Lumma Stealer — целевая аудитория под такой очевидный трюк выбрана немного не та. Так что основная проблема в рассылке комментариев со скриншота прямиком с серверов платформы. Иными словами, у нас очередной находчивый вариант абьюза инфраструктуры GitHub номер сто восемьдесят семь.

@tomhunter

#news FTC выпустила доклад о сборе информации соцсетями и прочими платформами. Он основан на запросах, отправленных разработчикам сервисов, касаемо их практик по использованию пользовательских данных. В принципе, нового мало.

Компании, как известно, собирают огромные объёмы данных. И при этом хранят их бессрочно и не всегда удаляют по запросу юзеров. Некоторые используют пиксель отслеживания под целевую рекламу. Алгоритмы и ИИ активно утилизируют персональные данные — контроль над этим у юзеров минимальный или отсутствует. Отдельно в докладе идёт нарратив «Подумайте о детях»: данные несовершеннолетних также уходят в массивы, обеспечивающие рекламный поток. FTC рекомендует меры по минимизации перемалывания нашего цифрового следа в товар, но перспективы у этого — сами понимаете. В общем, фиксируем дивный новый мир надзорного капитализма.

@tomhunter

#news Пятничные новости от директора Агентства по кибербезопасности США. На конференции от Mandiant Джен Истерли сделала несколько смелых заявлений. В частности о том, что проблемы в ИБ создают разработчики: подлецы выпускают уязвимый софт. Иными словами, пишите качественный код.

Также нужно прекратить гламуризировать киберпреступность: хватит поэтичных названий для группировок, время «Тощих Неприятностей» и «Злых Хорьков». Именовать дыры в безопасности «уязвимостями софта» тоже не комильфо — это теперь «дефекты в продукте». И винить надо не бедных юзеров, не успевающих накатывать исправления, а индустрию дырявого кода и нескончаемых патчей. В общем, у нас нет проблем с кибербезопасностью, есть проблема с качеством софта. И нам нужно больше не продуктов для безопасности, а безопасных продуктов. Логика в этом, конечно, есть. Может быть настоящая ИБ — это «secure by design» софт, который мы напишем по пути?

@tomhunter

#news 19-20 сентября прошёл всероссийский форум «Экономическая безопасность бизнеса 2024». В нём в качестве модератора принял участие руководитель департамента киберрасследований T.Hunter Игорь Бедеров.

Обсуждение ожидаемо началось с обеспечения безопасности цепочек поставок на фоне взрывных новостей из Ливана. А затем участники обсудили разработку собственного софта на фоне покидающих нас решений, интеграцию ИБ в СБ, противостояние мошенническим атакам, эффективность фишинг-тренингов для сотрудников и другие темы в сфере управления рисками. Запись обсуждения доступна по ссылке.

@tomhunter

#news В сетевых дебрях замечен новый инструмент для пост-эксплуатации. Проектное имя Splinter, написан на Rust, автор пока неизвестен. Unit42 обнаружила тулкит в системах клиентов, так что его уже активно используют в атаках.

Функциональность у Splinter стандартная для пентеста, JSON для конфигурации, внедрение в процесс для запуска модулей. Выполнение команд, стягивание файлов, подтягивание дополнительной нагрузки, инфостилер, самоуничтожение — всё при нём. Хотя инструмент не такой продвинутый, как Cobalt Strike, тем не менее, в арсенале у киберпреступников пополнение, а у безопасников — очередной фреймворк для мониторинга. Подробнее о Splinter в отчёте.

@tomhunter

#news Массивная операция по распространению инфостилеров от злоумышленников из Marko Polo набирает обороты. Исследователи насчитали 30 уникальных скам-кампаний в соцсетях. Помимо этого, 20 скомпрометированных билдов Zoom, кряки софта и отравленные торрент-файлы. Многие из кампаний всё ещё активны.

Целью злоумышленников являются криптовладельцы, инфлюенсеры, разработчики и прочие потенциальные держатели ценных активов. Их заманивают на собеседования под видом известных и выдуманных брендов и вручают инфостилер. В арсенале у трафферов HijackLoader, Stealc, Rhadamanthys и AMOS. А с учётом масштабов, вероятно, скомпрометированы десятки тысяч устройств и похищены миллионы долларов. Операция, как водится, русско- и украиноязычная, админы, скорее всего, разбросаны по постсоветскому пространству. Подробнее о ней в отчёте (PDF).

@tomhunter

#news Telegram будет выдавать властям айпишники и номера телефонов нарушителей. Об этом сообщил Дуров в своём блоге. За последние несколько недель платформа обзавелась командой модераторов, порезавшей «проблемный контент». А также едиными условиями и политикой конфиденциальности для всего мира.

Помимо прочего, с момента ареста Дурова команда мессенджера стала активно сотрудничать с органами Франции и других стран и убрала функцию «Люди рядом», с помощью которой именитые релоканты в Прибалтике скрашивали свой досуг. Так что близкие контакты третьей степени с французскими правоохранителями воздействие явно возымели. Децентрализованная вольница в Телеграме окончена, магазинчики вернутся под крыло наркомафии на крупных площадках в даркнете, а прочее нелегальное, иноагентное и взрывоопасное будет искать альтернативные средства связи. Либертарианство до первого госпаяльника, в общем. Много таких случаев!

@tomhunter

#news Не так давно по итогам выхода Касперского с рынка США хотелось похвалить компанию за полгода обслуживания для клиентов в качестве прощального подарка. Увы, подарок оказался с подвохом: антивирус Касперского самоудаляется у клиентов в Штатах. И подтягивает на своё место UltraAV. Тоже первый раз слышите?

Софт всплыл на машинах юзеров без всяких уведомлений: некоторые схватили мини-инфракты, обнаружив, что Касперский самоустранился. Счастливчики с подпиской на Kaspersky VPN также обнаружили у себя UltraVPN. Как доверительно сообщает письмо от Касперского, они преданы делу предоставления первоклассных услуг. Поэтому продали свою клиентскую базу крайне сомнительному антивирусному решению и форсированно накатили его на устройства. В общем, уйти с рынка красиво у зелёного мишки не получилось. Получилось как всегда.

@tomhunter

#news Десятки компаний из Fortune 100 наняли северокорейцев на удалённые IT-должности в штат. Новость в копилку многосерийного триллера с фермами ноутбуков, фейковыми идентичностями и схемой по финансированию Северной Кореи.

Так как это IT, у многих северокорейских сотрудников доступ к исходникам, проду и внутренним сетям. И потенциал под инсайдерские атаки и бэкдоры в софте. Поэтому угрозу недооценивать не стоит: помимо миллионов долларов в бюджет КНДР эти стахановцы глубокого внедрения могут принести и сюжеты прямиком из шпионских фильмов — в час Х заслав рансомварь, вайперы и прочие сюрпризы в сети работодателей. Так что проблема насущная, и меры по чистке штата от киберкротов необходимы прямо сейчас. Иначе как пару лет назад гласило резюме одного северокорейского злого гения: «Мир увидит великий результат из моих рук».

@tomhunter

#news По следам недавней массивной утечки от брокера данных в США журналисты, судя по всему, взялись за аналогичные компании. И раскопали золото: ещё один брокер под проверки СБ допустил утечку. У компании MC2 в открытом доступе была база на 2,2 ТБ и больше 106 миллионов записей.

Классика ИБ: база была доступна в сети и висела без пароля. Базу обнаружили 7 августа, сколько она болталась в таком виде неизвестно. Компания на запросы журналистов не ответила, но доступ прикрыла. Между тем в утечке были данные примерно 100 миллионов американцев, а также более 2 миллионов клиентов компании. И чего только в базе нет: ФИО, почты, адреса, номера, данные по собственности, судимостям, трудовому стажу, родственникам… Иными словами, с ИБ у брокеров данных в США всё явно не очень. А у нас очередной яркий пример того, к чему ведёт сбор всевозможной информации на людей в одну большую базу в некомпетентных руках. Любые совпадения и параллели, как водится, случайны.

@tomhunter

#news Ностальгических новостей пост: исходники Winamp выложены на GitHub. Компания выполнила свои майские обещания и спустя почти 30 лет после выхода исходный код, системы сборки и библиотеки доступны всем желающим. Опенсорс, но не совсем: распространять модифицированный софт лицензия не позволяет.

Публикация исходников — приглашение разработчикам подогнать проект под современные стандарты. Так что все желающие могут поработать над новыми фичами и фиксами, а также собрать персональный билд с самой красочной визуализацией под личное пользование. Меньше суток спустя у репозитория 2,8 тысячи звёзд и 700 форков. Лама пошла вразнос! Присоединяйтесь.

@tomhunter

#news К новостям отрасли с выдающимися стандартами ИБ — автомобильной. 4 из 5 авто со вторичного рынка в европейских странах идут на продажу с личными данными прежних владельцев. На трети из них домашние адреса и иные геолокации, на половине доступны данные со смартфонов. Всё это в одном клике.

Личные данные были обнаружены в ходе 40 из 70 тест-драйвов подержанных авто. При этом из 46 опрошенных дилеров 35 заявили, что всегда чистят компьютеры. Увы, числа с заявлениями не бьются. Так что не только бренды собирают данные с бортовых систем, но и дилеры вместе с машинами перепродают историю поездок прежних владельцев. На скрине один из примеров обнаруженного при аудите. Ушедший с молотка подержанный автомобиль как потенциальный вектор атаки по военному подрядчику. Говорите, ваша ИБ не шпионский боевик?

@tomhunter

#news К вопросу имплементации secure-by-design кода и попыток разорвать порочный круг нескончаемых патчей. У Google хорошие результаты по следам перехода Android на Rust и сопутствующее: число уязвимостей в памяти снизилось с 76% в 2019-м до 24% в 2024-м.

Этого удалось добиться приоритизацией безопасных языков в новом коде. От переписывания старого отказались, ограничившись патчами и фокусом на совместимости. В итоге новый код изначально более безопасен, а старый набит патчами по самое темечко. Несмотря на контринтуитивность, это оказалось более эффективным решением, чем переписывать всё с нуля и править баги в свежем коде. Так что в битве между утечками памяти и отвратительным синтаксисом Rust’a последний одерживает уверенную победу. Но потребность в загадочных бородатых сущностях в растянутых свитерах вместо программистских носков для правок легаси-кода до совершенства всё ещё остаётся.

@tomhunter