#news Приехали: Apple прислала как минимум 9 сотрудникам Госдепартамента США уведомление о том, что их телефоны прослушиваются Пегасусом. Атаки свежие.

Кажется, неизвестных взломщиков интересовала информация, связанная с Угандой. NSO Group заявила, что уже перекрыла этим клиентам доступ к Пегасусу и изучает атаки. Впрочем, источники Reuters сообщают, что компания не знает точно, какие именно из их инструментов использовали для взлома.

Если мне не изменяет память, NSO Group говорила летом, что не знает, за кем именно следят её клиенты — не хранит такой информации. Ещё в саму технологию вшита невозможность атак на американские номера (начинаются с +1).

Напрашиваются два очевидных вопроса. Как тогда эти клиенты умудрились провести такие атаки, если их невозможность вшита в Пегасус? И как NSO Group так быстро определила, кто именно из её клиентов стоит за этими атаками, если таких данных они не хранят? Всё чудесатее и чудесатее — или я в этом витиеватом лоре уже запутался, или кто-то заврался.

@tomhunter

#news Метки Apple AirTags, которые позволяют владельцам техники Apple отслеживать свои вещи, все чаще используются для краж автомобилей в Канаде и США. Точнее, при угоне используются обычные методов, но AirTag позволяет точно отслеживать премиальный автомобиль до того момента, когда он остаётся на улице без присмотра и его легко угнать.

@tomhunter

#news Троян удаленного доступа BRATA Android (RAT) продолжил распространяться при помощи SMS-рассылки. Атака начинается с незапрашиваемого SMS-сообщения, содержащего ссылку на вредоносный веб-сайт. Этот текст представляет собой сообщение из банка, призывающее получателя загрузить приложение для защиты от спама. Ссылка ведет на страницу, с которой жертва сама загружает вредоносное ПО BRATA или перенаправляет их на фишинговую страницу для ввода своих банковских учетных данных. На этом этапе злоумышленники звонят жертве по телефону и притворяются сотрудником банка, предлагая помощь с установкой приложения. Приложению требуется несколько разрешений, чтобы позволить субъекту получить полный контроль над взломанным устройством, включая службы специальных возможностей, просматривать и отправлять SMS, совершать телефонные звонки и выполнять запись экрана.

@tomhunter

#news 72,5% организаций регистрируют у себя случаи нарушений в части управления доступом в информационные системы, а в 55% российских компаний такие инциденты приводят к утечке конфиденциальной информации. 40% компаний регистрируют случаи нарушений доступа более 3-х раз в год, а 32,5% - свыше 5-ти раз в год.

@tomhunter

#news Крутой пример расследования... Банды киберпреступников, внедряющие программы-вымогатели, редко сами получают первоначальный доступ к цели. Чаще такой доступ приобретается у брокера, который специализируется на получении учетных данных для удаленного доступа. На форумах Exploit и Verified пользователем с никнеймом “Babam” было опубликовано более 27 сообщение о продаже учетных данные виртуальных частных сетей (VPN), украденные у различных компаний. В ходе проведенного расследования удалось установить вероятную личность киберпреступника, которым оказался 36-летний житель Литвы по имени Витаутас Моцкус.

@tomhunter

#news KMSPico - популярный неофициальный активатор продуктов Microsoft Windows и Office, распространенный и в России, используется для кражи криптокошельков с Windows-ПК. Вредоносный установщик KMSPico имеет самораспаковывающийся исполняемый файл, такой как 7-Zip, и содержит как фактический эмулятор сервера KMS, так и Cryptbot. Поскольку работа Cryptbot не зависит от наличия незашифрованных двоичных файлов на диске, обнаружение его возможно только путем отслеживания выполнения команд PowerShell или внешнее сетевое взаимодействие.

@tomhunter

#news Новая фишинговая кампания нацелилась на подтвержденные учетки в Twitter (это те, у кого есть синий значок с галочкой). Эти аккаунты обычно представляют известных влиятельных лиц, известных знаменитостей, политиков, журналистов, активистов, а также правительственные и частные организации. Фишинг побуждает пользователя Twitter «обновить» свои данные, чтобы не потерять подтвержденный статус. При этом, фишинг успешно проходит спам-фильтры Gmail.

@tomhunter

#news И снова про фишинг. Продолжается серия атак с использованием поддельных уведомлений Office 365. Что делает эти фишинговые письма особенно убедительными, так это использование домена [at] messaging.microsoft.com для их отправки потенциальным целям и отображаемое имя, соответствующее доменам получателей. Кроме того, злоумышленники встроили официальный логотип Office 365 и включили ссылки на заявление о конфиденциальности и политику допустимого использования Microsoft в конце электронного письма.

@tomhunter

#news Киберпреступники усиливают распространение файлов Excel XLL, которые загружают на компьютеры жертв троян RedLine. Вредонос предназначен для кражи файлов cookie, имен пользователей и их паролей, кредитных карт, а также иной информации.

@tomhunter

#news Cisco Talos рассказали о malvertising-кампаниях (malware + advertising), проведённых в 2018-2020 годах неким magnat.

Схема такая. Пользователь хочет установить какое-нибудь популярное приложение или игру: Viber, WeChat, NoxPlayer, Battlefield и так далее. Прогуглив желаемое, он переходит по ссылке из выдачи или рекламы на зловредный сайт. Под видом установщика на устройство засаживают:
⋅ вора паролей RedLine Stealer;
⋅ бэкдор на AutoIt, устанавливающий постоянное соединение с удалённым сервером хакера;
⋅ зловредное Chrome-расширение MagnatExtension, которое может воровать данные из форм, вытягивать куки и выполнять произвольный JS-код.

@tomhunter

#news И вот опять. У криптоплатформы BitMart украли крипты на чуть менее $200 миллионов: ETH, BSC, а также самые разные токены на Ethereum и Binance Smart Chain.

С причинами и ходом атаки пока разбираются, но всё выглядит довольно банально — хакеры каким-то образом украли ключи от пары кошельков платформы, всё вывели и отмыли. Пока что платформа временно заблокировала возможность вывода средств с неё.

Очередная иллюстрация того, почему нельзя считать своими деньги, лежащие в горячих (то есть, имеющих доступ в интернет) кастодиальных (то есть, «безопасно» хранящих ваши ключи вместо вас) кошельках. Сегодня-то они ваши, а вот завтра платформа внезапно накосячит.

@tomhunter

#news У Gravatar утечка: в руках хакеров оказались данные около 114 миллионов пользователей. Слиты юзернеймы, имена и MD5-хэши почтовых адресов.

Граватар — это такой сервис-аддон для WordPress, показывающий аватарки. Один исследователь ещё год с хвостиком назад рассказывал, что скрейпить данные с Граватара проще простого, но… кто ж станет исследователей слушать?

Об этой утечке мы пока знаем по рассылке от Have I been pwned?. Аккаунт вашего покорного слуги, кстати, тоже попался.

@tomhunter

#news С как минимум 2017 года некто загадочный KAX17 держал сотни зловредных Tor-ретрансляторов. Предполагается, что их цель — отслеживать и деанонимизировать пользователей Тора.

Сотни таких ретрансляторов Tor Project свернул в октябре и ноябре этого года. Какие-то, по всей видимости, действуют и сейчас.

На пике зловредов было 900. Для сравнения, в среднем в сети ежедневно активно от 9 до 10 тысяч серверов.

Исследователь говорит, что в определённый момент каждый пользователь Тора имел 16% вероятность подключиться к зловреду на входе, 35% шанс пройти через один из таких «защитных» (middle) ретрансляторов и 5% шанс поймать что-то на выходе.

@tomhunter

#news WhatsApp объявила сегодня, что расширила функции контроля конфиденциальности, добавив по умолчанию исчезающие сообщения для всех вновь инициированных чатов. Вы можете включить исчезновение сообщений по умолчанию для всех новых индивидуальных чатов на устройствах iOS и Android, перейдя в настройки WhatsApp, нажав «Учетная запись»> «Конфиденциальность»> «Таймер сообщений по умолчанию» и выбрав продолжительность.

А еще в октябре WhatsApp развернул сквозное зашифрованное резервное копирование чатов на iOS и Android, чтобы заблокировать доступ к чату для всех, независимо от того, где они хранятся.

Фейсбук? Конфиденциальность? Мыши против сыра... тем более, что включение исчезающих сообщений не защитит их от пересылки другим лицам, которым не доверяют, поскольку их все еще можно сохранить (сделать снимок экрана или скопировать) до того, как они будут удалены из чата.

@tomhunter

#news Хакерская группа Nobelium продолжает взламывать правительственные и корпоративные сети по всему миру, используя для этого новый вредонос «Ceeloader». Известно, что Nobelium взламывают облачных провайдеров и MSP, чтобы получить первоначальный доступ к сетевой среде своих клиентов.

«Ceeloader» написан на C и поддерживающий выполнение полезных нагрузок шеллкода непосредственно в памяти. программа сильно запутана и смешивает вызовы Windows API с большими блоками нежелательного кода, чтобы избежать обнаружения программным обеспечением безопасности. Ceeloader обменивается данными через HTTP, а ответ C2 расшифровывается с помощью AES-256 в режиме CBC. Пользовательский загрузчик Ceeloader устанавливается и запускается Cobalt Strike по мере необходимости.

@tomhunter

#news Роскомнадзор заблокировал основной сайт Tor в России по решению Саратовского районного суда. Россия является второй страной по количеству пользователей Tor. Ежедневно им пользуются более 300 тысяч россиян, что составляет 15% от всей аудитории Tor.

Остался только один вопрос... при чем тут Саратов? А насчет блокировки... stunnel/goodbye dpi+мосты в самом торе - решают проблему 😊

@tomhunter

#news Обновление от Телеграма. Администраторы каналов и чатов теперь смогут запрещать сохранять фото и видео из них, делать скриншоты сообщений и пересылать их куда-либо.

Ещё в личных чатах теперь можно удалять сообщения за конкретный период или настроить автоматическое удаление.

@tomhunter

#news Ботнет Moobot, созданный на основе Mirai распространяется за счет использования критической уязвимости CVE-2021-36260 в продуктовой линейке Hikvision. Hikvision - это государственный китайский производитель камер и оборудования для наблюдения. Hikvision исправила ошибку еще в сентябре 2021 года, выпустив обновление прошивки (v210628), но не все пользователи поспешили применить обновление безопасности. Цель Moobot - включить взломанное устройство в ботнет для совершения DDoS-атак. Между тем, услуги DDoS, с использованием Moobot, уже предлагаются в Telegram.

@tomhunter

#news К слову о ботнетах: тут Google подала в суд на двух граждан РФ, Дмитрия Старовикова и Александра Филиппова.

Компания называет их операторами ботнета Glupteba, который распространялся через бесплатный софт и заразил более миллиона устройств. С заражённых девайсов ботнет крадёт данные гугловских учёток, а также тайно майнит на них крипту.

Самая мякотка — это как они вычислили хакеров: по информации, найденной в их Gmail и Google Workspace. Такие вот грозные хакеры. Обсуждают серьёзные рабочие дела по персональным джимейлам и наверняка планируют награбленные финансы в Google Sheets-табличках. Загадочная история.

@tomhunter

#news Есть такое популярное приложение Life360, помогающее отслеживать местоположение членов семьи — можно через него следить за безопасностью маленьких детей, например.

Из интервью с бывшими сотрудниками выяснилось, что приложение продаёт все собранные данные сторонним брокерам. Кому их потом передают эти самые брокеры и как их используют, уже неизвестно. А речь, напомню, о геолокации детей.

@tomhunter

#news Свайперы кредитных карт внедряют вредонос в случайные плагины сайтов на WordPress, скрываясь от обнаружения во время кражи платежных данных клиентов.

Как защититься...?
1⃣ область wp-admin должна быть ограничена только определенными IP-адресами. 
2⃣ на веб-сайте должен быть реализован мониторинг целостности файлов с помощью активных серверных сканеров.

@tomhunter