#OSINT Еще одна публикация в нашем сообществе во ВКонтакте. Поговорим о методах сбора данных о владельце электронной почты, связанных с исследованием утечек паролей, а также PGP-ключа.

♾ https://vk.com/@tomhunter-identificiruem-vladelcev-email-po-ih-parolu-i-pgp-kluchu

@tomhunter | атакующая безопасность

#news Не так давно гремели новости об Life360 — приложении, помогающем отслеживать местоположение членов семьи. Которое, как выяснилось, прибыльно торгует данными десятков миллионов детей. Так вот, похоже, начались подвижки к расследованию их занятного отношения к инфобезопасности пользователей.

В опубликованном на днях отчёте компания сообщила инвесторам о полученных от регуляторов запросах. От кого, пока неясно — речь может идти и о Федеральной Торговой Комиссии, и о генеральных прокурорах Калифорнии и Нью-Йорка. В общем, в деле серьёзные игроки, и ушлых торговцев детской инфой могут ждать непростые дни. И поделом!

@tomhunter

#news Главный специалист департамента аудита ИБ компании T.Hunter Владимир Макаров в эфире Код ИБ. Речь пошла о доступном инструментарии для форензик-исследований.

▶️ https://youtu.be/FWhH4-JbwgE
@tomhunter

#news На днях масштабно прилёг American Express: пользователи по всему миру не могли ни получить доступ к приложению, ни совершать платежи, ни даже дозвониться до поддержки. Всё это затянулось на долгие часы, и у многих юзеров были проблемы с доступом и позже.

О причинах компания не сообщает. Речь может идти и о проблемах с сетью, и о серьёзной кибератаке. Спецы же спекулируют, что мог быть как косяк со стороны AmEx с недавно введёнными фичами, так и ищут связь со взломом пресловутыми Lapsus$ компаний Sitel и Globant, клиентами которых является AmEx. Но пока ничего не ясно. Слоган компании гласит «‎Не занимайтесь бизнесом без нас». Что сказать, для многих их клиентов он теперь засверкал новыми красками.

@tomhunter

#news В марте самыми загружаемыми мобильными приложениями в России стали различные инструменты VPN, Telegram и собственный «WARP / 1.1.1.1» Cloudflare, рекурсивный преобразователь DNS, ориентированный на конфиденциальность, который может направлять запросы пользователей через один из серверов фирмы. Cloudflare заметил рост использования в России, начиная с начала марта. Большинство запросов DNS, поступающих с этого рынка, касаются крупных французских, британских и американских газет.

@tomhunter | атакующая безопасность

#news Обнаружена новая фишинговая кампания в WhatsApp, которая выдает себя за функцию голосовых сообщений WhatsApp и пытается распространить вредоносное ПО для кражи информации. Фишинговая атака выдает себя за уведомление от WhatsApp о том, что они получили новое личное сообщение. В этом электронном письме есть встроенная кнопка «Воспроизвести», а также сведения о продолжительности аудиоклипа и времени его создания. Если получатель нажимает кнопку «Воспроизвести» в теле сообщения, он перенаправляется на веб-сайт, который предлагает разрешить/запретить установку трояна JS/Kryptic .

@tomhunter | атакующая безопасность

⚡️ #news Немецкие СМИ подтвердили арест серверов, которые могут принадлежать наркоторговому маркетплейсу Hydra. Сообщается, что на платформе зарегистрировано 17 миллионов клиентов. По данным Федерального управления уголовной полиции, только в 2020 году через торговую площадку даркнет было продано не менее 1,23 миллиарда евро. Также было конфисковано 543 биткойна. На сайте платформы был размещен баннер, сообщающий об официальном закрытии. Администрация площадки (или уже оперативники) отвечает, что идут технические работы...

Официальное сообщение германских властей...

@tomhunter | атакующая безопасность

#news На Wired вышел хороший материал о том, почему анонимность публичных блокчейнов — анонимность очень условная.

Это, в общем-то, и так всем было понятно, но появление NFT эту условность разрушило окончательно. Купив картиночку и поставив её себе на аватарку в Твиттере (а это теперь можно сделать, только подключив кошелёк и подтвердив свои права на картиночку), человек автоматически сливает адрес своего кошелька и историю транзакций всем интересующимся, связывая их со своим профилем.

Казалось бы, не такая уж и беда. Но некоторые энтузиасты нынче так и рвутся перенести на блокчейн вообще всю свою жизнь и все свои данные, включая права на владение домом, соцсети и историю болезней. Получается огромный склад публично доступных данных, которые, конечно, ещё и никак нельзя удалить. Такого киберпанка мы пока не заслужили.

@tomhunter

#news Не опять, а снова: атаки с использованием Spring4Shell уже добираются до каждой шестой уязвимой организации. За минувшие выходные насчитали почти 40 тысяч атак.

Spring4Shell, напомню, это критическая RCE-уязвимость в джава-фреймворке Spring, которую можно эксплойтнуть одной элементарной строчкой. В том числе за это её заранее успели назвать второй Log4j. Патч уже есть, так что обновиться до 5.3.18 или 5.2.2 однозначно стоит.

@tomhunter

#news А вот ещё забавная деталь про ныне обезглавленную Гидру.

Помимо торговли наркотиками, она предоставляла криптомиксеры — сервисы, усложняющие отслеживание денег по адресам — и помогала киберпреступникам из России обналичивать крипту. Самыми разными методами: от простого перевода на Киви до клада налички где-нибудь в лесу. Блокчейновые аналитики из Elliptic считают, что через эти сервисы Гидры с её запуска в 2015 году прошло более $5 миллиардов.

Что ж, спасибо немецким властям — теперь любителям пообналичивать чёрный кэш придётся искать альтернативные методы.

@tomhunter

Как обычно, публикуем дайджест запомнившихся событий за ушедший месяц. Сегодня отложим в сторону набившие оскомину новости с фронтов кибервойны и заглянем в киберпреступное закулисье. В сегодняшнем выпуске новые рекорды по краже криптовалют, взлёты и падения противоречивой группировки Lapsus$, громкие аресты злоумышленников по всему миру и другое. Добро пожаловать под кат.

#news Cash App рапортует о крупной утечке данных пользователей. Больше восьми миллионов юзеров в США получили соответствующие уведомления, после того как бывший сотрудник скачал внутренние отчёты компании.

Среди скомпрометированных данных имена и номера счетов пользователей, у некоторых утекла и информация по содержимому счетов и портфолио, а также инфа по операциям за день. Cash App утверждает, что более серьёзных утечек нет — то есть пароли, адреса, банковские данные юзеров не затронуты.

Полицию и прочие инстанции уже уведомили о произошедшем, так что ответственному за утечку персонажу предстоит сыграть в увлекательную игру «‎Поймай меня, если сможешь».

@tomhunter

#news Появился новый похититель информации под названием FFDroider, который крадет учетные данные и файлы cookie, хранящиеся в браузерах, для взлома учетных записей жертв в социальных сетях. FFDroider распространяется через кряки программного обеспечения, бесплатные программы, игры и другие файлы, загружаемые с торрент-сайтов. При установке этих файлов также будет установлен и FFDroider, замаскированный под приложение Telegram, чтобы избежать обнаружения.

@tomhunter | атакующая безопасность

#news Неутешительные новости для тех, кто надеялся укрыться от бдительного ока Большого Российского Брата в складках криптореальности. LocalBitcoins слила налоговой РФ данные более 100 тысяч своих юзеров из России.

Платформа зарегистрирована в Финляндии и работает с местными налоговыми службами. А те, в свою очередь, сотрудничают с российскими. Наше же законодательство в последнее время активно прорабатывают для того, чтобы прижать владельцев крипты.

Во избежание проблем юристы рекомендуют попавшимся счастливчикам готовить налоговую отчётность. А я бы посоветовал держателям заветных цифровых монеток учиться прятать их получше…

@tomhunter

#news Спецы из Salt Security обнаружили SSRF-уязвимость в API неназванной финтех-платформы, которая ставит под угрозу миллионы банковских аккаунтов.

Атака с подделкой запроса на стороне сервера позволяет подменить url, по которому банк отправляет запрос. С помощью этого эксплойта спецам удалось получить на свой домен инфу от банка вплоть до JWT-токенов, списка всех пользователей платформы, всех их транзакций и прочего.

Неназванному финтеху повезло, что эту критическую уязвимость обнаружили белошляпочники, так как она позволила бы скомпрометировать абсолютно всех пользователей платформы.

@tomhunter

#news 4 апреля НАТО через Министерство торговли США опубликовало RFI-запрос о заинтересованности в приобретении услуг разведки по открытым источникам OSINT. Предложения принимаются до 17:00 27 мая. Отмечу, что OSINT в системе НАТО являются одним из компонентов "Программы функциональных услуг разведки и ISR", включающей широкий спектр видов негосударственной разведки.

@tomhunter | атакующая безопасность

#news Бородатые барби-хакеры наносят удар по Израилю! Нет, это не название фильма категории В. Так окрестили хакерскую операцию палестинцев, нацеленную на израильских госслужащих высокого ранга, особенно связанных с обороной.

Ушлые бородачи, скрывающиеся за страницами очаровательных еврейских женщин, вступают в переписку с жертвами на фейсбуке. Затем их заманивают в WhatsApp, где под видом откровенных материалов засылают бэкдор BarbWire и малварь VolatileVenom. Поселившись на устройстве доверчивого чиновника, малварь начинает собирать всевозможные данные — от СМС и паролей от соцсетей до записи звуков с микрофона. Всё это, конечно, в итоге оказывается на серверах взломщиков.

Такие вот занятные сводки с современной кибервойны.

@tomhunter

#news Спецы обнаружили первую в своём роде малварь, заточенную под облачные сервисы Амазона (AWS Lambda).

В качестве нагрузки в названной Denonia приблуде идёт майнер XMRig для добычи Monero. Доступ к облаку злоумышленники, скорее всего, получили с помощью украденных ключей доступа AWS. Малварь также уверенно чувствует себя в Linux-системах — видимо, ввиду того, что на линуксе работают скомпрометированные AWS-сервисы.

Специалисты из Cado Security отмечают, что пока это довольно безобидные атаки, но в дальнейшем эксплойт облачной инфраструктуры можно привести к гораздо более серьёзным угрозам.

@tomhunter

#OSINT Новая статья у меня в ВК на тему поиска людей. Искать будем по времени и месту, подменяя открытыми источниками СОРМ и спутники-шпионы.

♾ https://vk.com/@tomhunter-poisk-ludei-po-vremeni-i-mestu
@tomhunter | атакующая безопасность

#news История с Conti получила ироничное продолжение. Хакеры из NB65 используют слитые исходники группировки для атак на российские компании.

Атакам NB65 за прошлый месяц подверглись Тензор, Роскосмос и ВГТРК. У последних стянули без малого 800гб данных, включая почти миллион писем. А теперь в ход пошла модифицированная рансомварь от Conti. Из свежего в твиттере группировки совет компании "ССК "ГАЗРЕГИОН" проверить свои машины.

NB65 открыто заявляет, что их атаки являются ответом на происходящие известно где события и ограничены российскими компаниями. В свете используемого шифровальщика можно считать сливы рансомварь-Штирлица из Conti достигшими цели. Какой, должно быть, удар по самолюбию!

@tomhunter

#news Иностранные ИТ-специалисты взломали более 500 IP-камер видеонаблюдения на территории Украины. Они объяснили это необходимостью слежки за русскими... какой-то бред. Но факт остается фактом.

@tomhunter | атакующая безопасность