#news Мобильное приложение для Android “Process Manager” может быть использовано для шпионажа. К такому выводу пришли исследователи Lab52. После установки Process Manager пытается скрыться на устройстве Android с помощью значка в виде шестеренки, притворяясь системным компонентом. После получения разрешений шпионское ПО удаляет свою иконку и работает в фоновом режиме с постоянным уведомлением, указывающим на его присутствие.

@tomhunter | атакующая безопасность

#news Все помнят, что это на самом деле канал об Apple? Мы возвращаемся к классике! К яблочными уязвимостям нулевого дня.

Вышел экстренный апдейт, закрывший путь ко взлому яблок всех сортов, исправлены две уязвимости. Как обычно, никаких технических подробностей нет кроме того, что первая связана с записью за границы буфера в графическом драйвере от Intel, а вторая — с его чтением в AppleAVD media decoder. Атаки на них, скорее всего, были только целевые, но это не делает патч менее актуальным.

Между тем это пока лишь пятая уязвимость нулевого дня, исправленная Apple в этом году. То ли ещё будет! С нетерпением жду.

@tomhunter

#news Как это по-русски... Хакеры все чаще используют скомпрометированные учетные записи электронной почты правительства и полиции для получения конфиденциальных данных клиентов от операторов мобильной связи, интернет-провайдеров и социальных сетей. Расследуя деятельность хакерской группы LAPSUS$, американские правоохранители "вышли на самих себя", а точнее на то, что злоумышленники давно и с большим успехом направляют операторам связи и ИТ-корпорациям запросы на получения пользовательских данных. Причем делают это от имени самих правоохранительных органов.

@tomhunter | атакующая безопасность

#news 9 мая в России должен быть запущен отечественный магазин приложений для Android — NashStore. Об этом пишет ТАСС со ссылкой на директора по проектам АНО «Цифровые платформы» Владимира Зыкова. С создателями магазина уже сотрудничают более 700 компаний - добавил гендиректор «Цифровых платформ» Арсений Щельцин. Также он отметил, что NashStore может стать единственным вариантом для загрузки приложений в случае ухода Google из России.

Хочу обратить внимание уважаемых коллег на существование таких альтернативных магазинов приложений, как Aptoide и F-Droid. Зачем выкидывать деньги?

@tomhunter | атакующая безопасность

#news Злоумышленники отправляют электронные письма на русском языке от лица Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации. Файл, имеющий формат RTF, содержит ссылку, эксплуатирующую уязвимость в движке MSHTML. Она позволяет удалённый запуск кода, когда пользователь разрешает редактирование файла — его требуют предоставить якобы для получения доступа к полному тексту документа.

@tomhunter | атакующая безопасность

#news Злоумышленники нашли новый способ доставки вредоносного ПО на компьютеры: используя электронную почту и форматы, которые пользователи обычно открывают без опасений. Жертва получает короткое письмо, которое предлагает посмотреть данные из прикреплённого DOC-файла (как правило, он имеет простое и релевантное название вроде request.doc). На самом деле под видом документа скрывается ISO-файл — образ диска, содержащий файл в формате HTMLHelp (формат контекстной поддержки, разработанный Microsoft) и EXE-приложение. Сами по себе HTMLHelp-файлы безвредны, но они способны запускать приложения, находящиеся в той же директории, без ведома пользователя.

@tomhunter | атакующая безопасность

#news На рынках даркнета появился новый троян удаленного доступа (RAT) под названием Borat, предлагающий простые в использовании функции для проведения DDoS-атак, обхода UAC и развертывания программ-вымогателей. Borat RAT поставляется в виде пакета, который включает в себя сборщик, модули вредоносного ПО и сертификат сервера.

@tomhunter | атакующая безопасность

#news Владельцы аппаратных кошельков Trezor начали получать уведомления об утечке данных, предлагающие получателям загрузить поддельное программное обеспечение Trezor Suite. Эти электронные письма были фишинговой атакой, отправленной через одну из подписных рассылок Trezor, размещенных на MailChimp. Напоминаю читателям, что легальным веб-сайтом Trezor является trezor.io и никакой другой. Будьте внимательны, не переходите по подозрительным ссылка и скачивайте обновления только из доверенных источников. Ранее, аналогичной атаке подверглись владельцы аппаратных криптокошельков Ledger.

@tomhunter | атакующая безопасность

#OSINT Еще одна публикация в нашем сообществе во ВКонтакте. Поговорим о методах сбора данных о владельце электронной почты, связанных с исследованием утечек паролей, а также PGP-ключа.

♾ https://vk.com/@tomhunter-identificiruem-vladelcev-email-po-ih-parolu-i-pgp-kluchu

@tomhunter | атакующая безопасность

#news Не так давно гремели новости об Life360 — приложении, помогающем отслеживать местоположение членов семьи. Которое, как выяснилось, прибыльно торгует данными десятков миллионов детей. Так вот, похоже, начались подвижки к расследованию их занятного отношения к инфобезопасности пользователей.

В опубликованном на днях отчёте компания сообщила инвесторам о полученных от регуляторов запросах. От кого, пока неясно — речь может идти и о Федеральной Торговой Комиссии, и о генеральных прокурорах Калифорнии и Нью-Йорка. В общем, в деле серьёзные игроки, и ушлых торговцев детской инфой могут ждать непростые дни. И поделом!

@tomhunter

#news Главный специалист департамента аудита ИБ компании T.Hunter Владимир Макаров в эфире Код ИБ. Речь пошла о доступном инструментарии для форензик-исследований.

▶️ https://youtu.be/FWhH4-JbwgE
@tomhunter

#news На днях масштабно прилёг American Express: пользователи по всему миру не могли ни получить доступ к приложению, ни совершать платежи, ни даже дозвониться до поддержки. Всё это затянулось на долгие часы, и у многих юзеров были проблемы с доступом и позже.

О причинах компания не сообщает. Речь может идти и о проблемах с сетью, и о серьёзной кибератаке. Спецы же спекулируют, что мог быть как косяк со стороны AmEx с недавно введёнными фичами, так и ищут связь со взломом пресловутыми Lapsus$ компаний Sitel и Globant, клиентами которых является AmEx. Но пока ничего не ясно. Слоган компании гласит «‎Не занимайтесь бизнесом без нас». Что сказать, для многих их клиентов он теперь засверкал новыми красками.

@tomhunter

#news В марте самыми загружаемыми мобильными приложениями в России стали различные инструменты VPN, Telegram и собственный «WARP / 1.1.1.1» Cloudflare, рекурсивный преобразователь DNS, ориентированный на конфиденциальность, который может направлять запросы пользователей через один из серверов фирмы. Cloudflare заметил рост использования в России, начиная с начала марта. Большинство запросов DNS, поступающих с этого рынка, касаются крупных французских, британских и американских газет.

@tomhunter | атакующая безопасность

#news Обнаружена новая фишинговая кампания в WhatsApp, которая выдает себя за функцию голосовых сообщений WhatsApp и пытается распространить вредоносное ПО для кражи информации. Фишинговая атака выдает себя за уведомление от WhatsApp о том, что они получили новое личное сообщение. В этом электронном письме есть встроенная кнопка «Воспроизвести», а также сведения о продолжительности аудиоклипа и времени его создания. Если получатель нажимает кнопку «Воспроизвести» в теле сообщения, он перенаправляется на веб-сайт, который предлагает разрешить/запретить установку трояна JS/Kryptic .

@tomhunter | атакующая безопасность

⚡️ #news Немецкие СМИ подтвердили арест серверов, которые могут принадлежать наркоторговому маркетплейсу Hydra. Сообщается, что на платформе зарегистрировано 17 миллионов клиентов. По данным Федерального управления уголовной полиции, только в 2020 году через торговую площадку даркнет было продано не менее 1,23 миллиарда евро. Также было конфисковано 543 биткойна. На сайте платформы был размещен баннер, сообщающий об официальном закрытии. Администрация площадки (или уже оперативники) отвечает, что идут технические работы...

Официальное сообщение германских властей...

@tomhunter | атакующая безопасность

#news На Wired вышел хороший материал о том, почему анонимность публичных блокчейнов — анонимность очень условная.

Это, в общем-то, и так всем было понятно, но появление NFT эту условность разрушило окончательно. Купив картиночку и поставив её себе на аватарку в Твиттере (а это теперь можно сделать, только подключив кошелёк и подтвердив свои права на картиночку), человек автоматически сливает адрес своего кошелька и историю транзакций всем интересующимся, связывая их со своим профилем.

Казалось бы, не такая уж и беда. Но некоторые энтузиасты нынче так и рвутся перенести на блокчейн вообще всю свою жизнь и все свои данные, включая права на владение домом, соцсети и историю болезней. Получается огромный склад публично доступных данных, которые, конечно, ещё и никак нельзя удалить. Такого киберпанка мы пока не заслужили.

@tomhunter

#news Не опять, а снова: атаки с использованием Spring4Shell уже добираются до каждой шестой уязвимой организации. За минувшие выходные насчитали почти 40 тысяч атак.

Spring4Shell, напомню, это критическая RCE-уязвимость в джава-фреймворке Spring, которую можно эксплойтнуть одной элементарной строчкой. В том числе за это её заранее успели назвать второй Log4j. Патч уже есть, так что обновиться до 5.3.18 или 5.2.2 однозначно стоит.

@tomhunter

#news А вот ещё забавная деталь про ныне обезглавленную Гидру.

Помимо торговли наркотиками, она предоставляла криптомиксеры — сервисы, усложняющие отслеживание денег по адресам — и помогала киберпреступникам из России обналичивать крипту. Самыми разными методами: от простого перевода на Киви до клада налички где-нибудь в лесу. Блокчейновые аналитики из Elliptic считают, что через эти сервисы Гидры с её запуска в 2015 году прошло более $5 миллиардов.

Что ж, спасибо немецким властям — теперь любителям пообналичивать чёрный кэш придётся искать альтернативные методы.

@tomhunter

Как обычно, публикуем дайджест запомнившихся событий за ушедший месяц. Сегодня отложим в сторону набившие оскомину новости с фронтов кибервойны и заглянем в киберпреступное закулисье. В сегодняшнем выпуске новые рекорды по краже криптовалют, взлёты и падения противоречивой группировки Lapsus$, громкие аресты злоумышленников по всему миру и другое. Добро пожаловать под кат.

#news Cash App рапортует о крупной утечке данных пользователей. Больше восьми миллионов юзеров в США получили соответствующие уведомления, после того как бывший сотрудник скачал внутренние отчёты компании.

Среди скомпрометированных данных имена и номера счетов пользователей, у некоторых утекла и информация по содержимому счетов и портфолио, а также инфа по операциям за день. Cash App утверждает, что более серьёзных утечек нет — то есть пароли, адреса, банковские данные юзеров не затронуты.

Полицию и прочие инстанции уже уведомили о произошедшем, так что ответственному за утечку персонажу предстоит сыграть в увлекательную игру «‎Поймай меня, если сможешь».

@tomhunter

#news Появился новый похититель информации под названием FFDroider, который крадет учетные данные и файлы cookie, хранящиеся в браузерах, для взлома учетных записей жертв в социальных сетях. FFDroider распространяется через кряки программного обеспечения, бесплатные программы, игры и другие файлы, загружаемые с торрент-сайтов. При установке этих файлов также будет установлен и FFDroider, замаскированный под приложение Telegram, чтобы избежать обнаружения.

@tomhunter | атакующая безопасность