#news В Штатах пропал профессор по кибербезопасности и криптографии. В его доме прошёл зрелищный рейд ФБР, и после этого его никто не видел, связи с ним нет уже пару недель. С сайта университета, в котором работал учёный, исчез его профиль. А процедура лишения званий в США юридически очень сложная и долгая.

За спиной у пропавшего множество блестящих работ по защите данных, на Хабре можно найти упоминания исследователя в переводе статьи аж за 2011-й год. В чём же причина загадочного исчезновения именитого профессора? Судя по всему, ответ сокрыт в его имени. Зовут учёного Сяофэн Ван. И в Штатах могла развернуться детективная история со шпионажем в пользу Китая или что-то из этой серии. Страх ИБ-специалиста №23: ты станешь настолько хорош в своей работе, что к тебе в гости приедет пативэн, и больше о тебе никто не услышит.

@tomhunter

#news Покупая смартфон в сомнительных магазинчиках, можно обзавестись не только подделкой, но и троянцем. Новую версию Triada обнаружили в прошивке тысяч Android-устройств, большинство в России.

Triada остаётся одной из долгоиграющих угроз под Android, и функциональность у него впечатляющая: кража аккаунтов и криптовалюты, подмена ссылок и номеров, отправка сообщений от лица юзера, перехват SMS, подтягивание дополнительного вредоноса… В общем, полный набор удовольствий из поднятого вчера онлайн-магазинчика с удивительно низкими ценами. При этом продавцы могут и не подозревать, что закупленный ими за копейки контрафакт где-то по цепочке поставок снабдили опасным троянцем. Ну а пользователям остаётся только пожелать не искать халявы. Как водится, скупой платит дважды. В этом случае своими данными и содержимым криптокошельков.

@tomhunter

#news Разработчик создал запитанное от LLM’ок приложение рецептов с помощью вайбкодинга. Результат ожидаемый: в отсутствие модерации юзеры накидали в него чудесных рецептов. Мороженое с цианидом, урановая бомба или настоящий кокаин. Что предпочтёте?

Автор творения сообщил, что он, извините за выражение, стартапер-инвестор и собрал поделие на коленке с помощью Windsurf. У него есть опыт кодинга на PHP и Ruby, но он не написал ни строки кода с 2015-го. И, очевидно, не добавил толковых гайдлайнов в своё кулинарное поделие. Так что юзеры развлекаются как могут, генерируя непотребства. В общем, ярчайший пример текущего состояния вайбкодинга и LLM’ок. Хаотичная, стремительно развивающаяся смесь из глупости и вредоносности. А нам, между прочим, жить дальше в этом проклятом мире, который сами и создали.

@tomhunter

#news Приложения для отслеживания авто и родительского контроля от T-Mobile во вторник заглючили. И начали показывать пользователям чужие машины и детей вместо собственных. Некоторые юзеры сообщили о том, что в течение дня вместо своих детишек видели геолокацию до 20 чужих. С автомобилями та же история.

Потенциальные последствия такого глитча можете представить сами. В T-Mobile же, как в любой порядочной корпорации, с кризис-менеджментом оказалось не очень. Пока по неповоротливой цепи от бедолаг в техподдержке информация дошла до кого-то, кто в состоянии выдать что-нибудь осмысленное, инфа успела разлететься по всем платформам. В компании же сообщили, что глитч — это результат планового обновления. Ничто так не бодрит, как плановый апдейт, пошедший не по плану. CrowdStrike не даст соврать.

@tomhunter

#news Год назад Github сделал Push Protection активным по умолчанию, чтобы предотвращать утечку секретов из репозиториев. Мы тогда задавались вопросом, поможет ли это. Спойлер: не помогло. За год из реп утекли 39 миллионов секретов. *звуки грустного тромбона*

На фоне этого Github изменил свою политику Advanced Security и сделал предлагаемые продукты более доступными по цене. В наличии разные сканы, включая бесплатный для всех организаций, для некоторых фич больше не нужна подписка Advanced, так что маленькие команды могут их себе позволить. Есть Push Protection с гибкой политикой обхода пуша, чтобы ни у одного джуна не было возможности закомиттить секреты в открытую репу. Опять. И опять. И опять. Как сообщает Github, основная причина утечек — git-history и в целом приоритизация удобства кодинга разрабами, которые работают с секретами. В общем, с дипломатичного на человеческий, главная причина утечек — это ты, юзернейм. Это ты. Стыдно должно быть.

@tomhunter

#news Google готовит новый режим защиты для телефонов на Android. Он предназначен для пользователей в зоне риска, включая правозащитников и активистов.

Из ключевых функций пока известно о запрете небезопасных соединений по 2G и установки приложений из сторонних источников, а также защите памяти с помощью MTE. Кроме того, добавят фишку с перезагрузкой устройства через три дня неактивности, как у яблочников. Приложения также смогут работать с ориентацией на безопасный режим, блокируя предпросмотр мультимедиа и JIT-компиляцию. В общем, минимальный набор защитных функций, известных по любой спецсборке под Android. Но их выход, в принципе — большой плюс для популяризации среди широких масс, не страдающих красноглазием и любовью к установке кастомных операционок для своих инфобез-игрищ на досуге. Релиз стоит ждать вместе с Android 16.

@tomhunter

#cve Разбираем самые интересные уязвимости ушедшего месяца. В марте отметилась россыпь RCE: в Veeam Backup & Replication, Apache Tomcat, GraphQL-Ruby, IP-камерах Edimax и продуктах от VMware и Microsoft.

Последняя также исправила семь нулевых дней в своём софте, 0-day на выход из песочницы также закрыли в операционках от Apple. Кроме того, во фреймворке js.React исправили критическую уязвимость на обход авторизации, а в библиотеке ruby-saml — на выдачу себя за другого пользователя. Обо всём этом и других ключевых CVE марта читайте на Хабре!

@tomhunter

#news В WinRAR обнаружили уязвимость, аналогичную недавно исправленной в 7-zip — на обход Mark-of-the-Web. Этого достигают за счёт использования символических ссылок.

Когда пользователь распаковывает архив со специальной ссылкой, WinRAR не добавляет MotW на исполняемые файлы. Впрочем, создание символических ссылок требует прав администратора — то есть уже скомпрометированных аккаунтов, плюс юзер должен открыть вредоносный архив. Так что уязвимость получила 6.8 по CVE. С другой стороны, как всегда, не следует недооценивать готовность юзера кликать что попало, особенно если он убеждён, что ему за это ничего не будет. И с учётом распространённости WinRAR охват у архиватора достаточный, чтобы уязвимость пустили в ход. Она присутствует в версиях до 7.11 и исправлена в свежей. Так что накатывайте на целевые системы, не ленитесь.

@tomhunter

#article В последние годы вокруг темы биометрии в России возникает всё больше вопросов — и со стороны бизнеса, и со стороны субъектов персональных данных (ПДн). Особенно остро обсуждаются случаи, когда те или иные сведения начинают подпадать под понятие биометрических персональных данных (БПДн) и, как следствие, требуют особого подхода к их обработке и защите в информационных системах ПДн.

В нашей новой статье мы разберём, что такое БПДн с юридической точки зрения, в каких случаях фото — это просто фото, а когда оно приобретает математический шаблон, вектор единой биометрической системы (ЕБС) и какое отношение ко всему этому имеет сама ЕБС. За подробностями добро пожаловать на Хабр!

@tomhunter

#news Стала известная причина штатовского Signalgate: к скандалу с Голдбергом, чатиком и хуситами привела автозамена в iPhone. Точнее, механизм обновления контактов.

В октябре 2024-го номер журналиста сохранил Уолтц, нынешний советник по нацбезопасности США. Номер был получен вместе с письмом, пересланным ему Хьюзом, пресс-секретарём СНБ. Алгоритм iOS решил, что номер Голдберга из письма принадлжит Хьюзу. И сохранил его соответствующе. Так что когда Уолтц хотел добавить в чатик друзей по Белому дому Хьюза, в записной книжке айфона всё перепутали, и обсуждать хуситов отправился Голдберг. Никакого злого умысла, хитрых инфильтраций и прочего. Просто глупая ошибка и безалаберность людей, решивших, что протоколы безопасности не для них писаны. Между тем последние пишут кровью, и идиоты в высоких кабинетах — это всегда бомба замедленного действия. Вопрос лишь в том, когда рванёт.

@tomhunter

#news Роскомнадзор вновь предупредил о деградации серверов возможном ограничении западных хостеров. Это связано с законом о приземлении, по которому предоставляющие хостинг компании должны выполнять ряд требований. Но почему-то делать этого не спешат.

В результате им грозит блокировка на территории РФ и отсутствие возможности работать с российскими клиентами. С одной стороны, речь идёт о списке конкретных хостеров, в котором сейчас 12 иностранных компаний. С другой, ранее РКН грозил блокировкой Amazon Web Services. Также РКН доверительно сообщает, что не может защитить тех, кто хостится за рубежом, от дудоса и прочих угроз. А это, между прочим, делает сайты уязвимыми перед киберпреступниками! А вот у тех хостеров, которые добросовестно выполняют российские законы, таких проблем, очевидно, нет. Так что пользуйтесь только одобренными РКН сервисами. Пока ещё можете.

@tomhunter

#news В Испании задержали шестерых человек, ответственных за инвестиционное мошенничество на $20 миллионов с ~200 жертв. Из свежего у нас LLM'ки, участвующие в схеме. С их помощью создавали ролики со знаменитостями, продвигающими скам.

Оцените долгоиграющую модель скама. Сначала в деле байт на романтику или советы финконсультантов. Дальше нейросетевые клоны заманивают в схему. Жертва довольно урчит, наблюдая рост инвестиций на фейковой платформе, и закидывает больше денег. Затем счёт блокируют и требуют крупный платёж для разблокировки. Но и на этом не всё. Здесь подключают фейковых агентов Европола или юристов — они утверждают, что деньги удалось вернуть, но нужно оплатить с них налоги. В общем, фантазия у злоумышленников разгулялась, и на каждом этапе жертва расставалась со всё большими суммами. Я уже даже не вижу блондинку, брюнетку, рыжую. Я вижу нейросетевой фейк, романс скам, липовый колл-центр, пиг-бутчеринг…

@tomhunter

#digest Время освежить в памяти ключевые ИБ-события прошлого месяца. Главным, несомненно, стал Signalgate от высших должностных лиц США, встряхнувший и без того бурлящее болото штатовской политики. А в инфобез-отношениях между Америкой и Россией также наметились сдвиги.

В марте российская криптобиржа Garantex была перехвачена ФБР, а её сооснователь арестован. Ключевого разработчика LockBit выслали в США. 23andMe и Pokemon Go уходят с молотка вместе с данными пользователей. А ИИ-модели отметились в нескольких крупных инфоповодах — от раскрытия уязвимостей до выполнения сценариев атак с нуля. Об этом и других интересных новостях марта читайте на Хабре!

@tomhunter

#news Исследователи копают под EncryptHub, известного злоумышленника — он связан со взломами 618 организаций и разработкой Fickle Stealer. Ошибок в опсеке и заражения инфостилером хватило, чтобы найти на него много инфы. И начинается эта история в Харькове…

По опсеку всё плохо: повторное использование паролей, а также личных аккаунтов, юзернеймов и инфраструктуры в киберпреступной деятельности. Открытый C2-сервер со списком каталогов и слитым реальным айпи, кривой бот в Telegram… Из интересного, EncryptHub связали с BB-аккаунтом, с которого он репортил две уязвимости Microsoft, закрытые в марте. Он также дружил с ChatGPT и спрашивал, тварь он вредоносная или право классным хакером считаться имеет. LLM’ка постановила, что он на 40% черношляпочник, на 30% в серой зоне и на 20% в белой шляпе стоит красивый. В общем, раздираемый противоречиями персонаж. Подробнее о нашем узнаваемом романтическом герое от мира киберпреступности в отчёте.

@tomhunter

#news Очередная увлекательная история от ФБР с детективным душком и привкусом стартапа. Любители чертовски хорошего кофе заманили в США и арестовали товарища ElonmuskWHM — криптоландромат на ножках с почившего White House Market. И ещё год от его лица проводили операции.

ФБР на год превратилось в услужливую кассу для киберпреступников и не только и попутно фиксировало всё по клиентам — адреса, связи в преступном мире и прочее. Среди пойманных наркоторговцы, грабители и члены Scattered Spider. В ход шли трекеры в отправляемой наличке, завербованные информаторы, анализ блокчейна, запрос в Google по всем пользователям, смотревшим отправленный подозреваемому ролик. В общем, в методах не стеснялись. Как сообщают в пресс-релизе, ФБР использует все возможности для поимки преступников. Как видите, в том числе и отмывание крипты для хакеров. Но в этой истории хотя бы без откровенного подстрекательства к совершению. Так что уже неплохо.

@tomhunter

#news В Париже прошла конференция Pall Mall Process — европейская инициатива в попытках обуздать рынок коммерческой спайвари. Сами же организаторы не стесняются пессимизма: с дипломатического на прямолинейный — рынок растёт всё быстрее и всё хуже поддаётся контролю.

Договор по итогам конференции подписала 21 страна. Однако шансы у добровольных соглашений противостоять рынку в десятки миллиардов долларов немного — ~100 стран с контрактами на спайварь не дадут соврать. Участники на условиях анонимности и не скрывают: как будет работать договор, неясно. Между тем не обошлось и без скандала: представитель США от СНБ заявил, что техрешения здесь бесполезны и злоумышленников от мира спайвари Штаты будут убивать. Это, конечно, частные слова отдельного выдающегося академика, не раз призывавшего киберпреступников просто убивать-убивать-убивать. Но всё равно забавно. Как думаете, с кого начнут? Со своих израильских друзей из NSO? Или со своих израильских партнёров из Paragon? Вопросы, вопросы…

@tomhunter

#news Исследователи раскрыли детали запитанной от LLM платформы AkiraBot. Её используют для спама в чатах и комментариях сайтов и их формах для связи, чтобы продвигать сомнительные SEO-услуги вроде Akira и ServicewrapGO.

С сентября 2024-го AkiraBot успешно прошёлся по ~400 тысячам сайтов и заспамил не меньше 80 тысяч из них. Бот генерирует сообщения с помощью gpt-4o-mini от OpenAI и успешно обходит спам-фильтры, так как подбирает уникальный контент под каждый сайт. Бот также решает основные капчи и использует прокси-сервисы для обхода обнаружения по сетевой активности. OpenAI в ответ на отчёт заблокировала токен, по которому бот стучался по API, но сами понимаете. Мы с вами живём в последние годы человеческого интернета. Скоро будем скрываться по катакомбным чатам и прочим потайным местам от вездесущих ботов и ИИ-агентов. Тренировка перед безжалостным будущим со Скайнетом и киборгами, так сказать.

@tomhunter

#news В сетевых дебрях новый троянец удалённого доступа под Windows, Neptune RAT. Функциональность у него впечатляющая: клиппер для крипты, стягивание паролей и кредов, доставка рансомвари, вайп системы и прямая трансляция с экрана.

Neptune RAT снабжён кодом под устойчивость и обход анализа, и самое главное, есть его бесплатная опенсорсная версия. С намёками на то, что за пейволлом всё ещё круче. При этом разработчики заявляют об образовательных и этических целях у троянца — он для пентестеров и красных команд. Но с генерацией PowerShell-команд прямиком из билдера. В любом случае подмигивания про пентестеров можно смело пропускать: в конце концов, между киберпреступником и безопасником разница лишь в том, санкционировала ли взламываемая организация пентест. Или хотя бы насколько этично ты обошёлся с его итогами, если у тебя шляпа серовата, а на соседней зашифрованной виртуалке россыпь интересных вкладочек. Подробнее о Neptune RAT в отчёте.

@tomhunter

#news В ИИ-моделях изучают новый потенциальный вектор атаки на цепочку поставок — slopsquatting. Как можно догадаться, он связан с галюцинациями LLM’ок. Точнее, несуществующими пакетами, которые они придумывают в процессе кодинга.

Выдуманные пакеты ИИ предлагает с завидной регулярностью — до 20% случаев. Хуже дела обстоят у опенсорсных: ложных рекомендаций до 21,7%, в то время как коммерческие держатся на 5,2%. Ключевой момент, галлюцинации воспроизводимые: почти в 60% повторения промптов те же слоп-пакеты вновь всплывали в выдаче. Причём сами названия звучат убедительно. Иными словами, злоумышленник может выловить их в выдаче модели, зарегистрировать вредоносные пакеты и ждать, пока любитель вайбкодинга и около того словит в инфраструктуру услужливо предложенный LLM’кой бэкдор. Причём о его существовании он даже не будет догадываться. Как вам такие вайбы?

@tomhunter

#news Рынок кардинга последние годы переживает расцвет благодаря китайским умельцам. И смишинговые триады поднимают ставки: они имперсонируют организации вроде PayPal, Visa и MasterCard, а также банки напрямую и существенно расширяют инфраструктуру и персонал.

Жертвы получают смс о неоплаченной пошлине за проезд или почтовой посылке. Особо находчивые переходят на фишинговый сайт, вводят данные карты и одноразовый код от банка. Последний злоумышленники используют для привязки карты к виртуальному кошельку, которые затем пачками перепродают с доставкой и прочими удобствами. Атаки ведут по всему миру — под угрозой две трети стран, и за 20 дней фишинговые страницы набирают больше миллиона посещений. Между тем проблема правится элементарно: вместо разового кода сделать привязку к цифровому кошельку только через приложение. Но, как известно, до нашего финтеха значительной части мира далеко. Так что простор для работы у китайских триад достаточный.

@tomhunter