​​От коронавируса скончался Джон Конвей, известнейший британский математик, автор знаменитой математической игры Жизнь.

Если кто-то не знает, что это такое - советуем ознакомиться.

Печально.

Кажется, стало понятным почему в США коронавирусная эпидемия развивается со столь впечатляющими темпами.

Исследователи из Центра здоровья Langone в Нью-Йорке провели анализ данных более 4100 госпитализированных с COVID-19 в городские больницы. Результаты статьи были размещены в субботу в виде предпринта на медицинском сервере medRxiv.

Как выяснили авторы, ожирение явилось основным признаком (кроме возраста > 65 лет), который присутствовал у большинства госпитализированных.

"Хроническим состоянием с самым сильным влиянием на критическое протекание заболевания, значительно более сильным чем любые сердечно-сосудистые или легочные заболеваниях, стало ожирение", - пишет один из авторов исследования Кристофер Петрилли.

По мнению врачей, ожирение, являясь провоспалительным состоянием, значительно усиливает протекающий при COVID-19 воспалительный процесс.

Всем худеть.

https://www.zdnet.com/article/nyu-scientists-largest-u-s-study-of-covid-19-finds-obesity-the-single-biggest-factor-in-new-york-critical-cases/

Нам подсказывают, что скрин о подготовке штабом Навального в Краснодаре DoS-атаки на телефон горячей линии по коронавирусу, который мы обсудили в своем посте, - это фейк.

По этому поводу наша позиция предельно конкретная.

Если так, то приносим свои извинения ребятам. Если нет - то пусть на ноль помножатся.

Dixi.

Лукацкий, как известно, шарит.

Сегодня он разместил хорошую статью, в которой дает рекомендации по приоритезации направлений ИБ в условиях удаленной работы по причине эпидемии коронавируса.

Не все бесспорно, скажем сразу. Но как одну из обоснованных точек зрения учитывать необходимо.

Голландская полиция арестовала 19-летнего молодого человека по обвинению в DDoS-атаке на правительственный ресурс Overheid.nl.

По данным правоохранительных органов, подозреваемый 19 марта с.г. устроил DDoS-атаку, в результате которой Overheid.nl и один из его поддоменов Mijn.Overheid.nl стали недоступны на несколько часов.

В связи с тем, что в ходе коронавирусной эпидемии граждане Нидерландов активно используют Overheid.nl, то арестованного официально подозревают в том, что "он подверг опасности жизненно важные процессы, которые могут поставить под угрозу национальную безопасность".

Ожидаем, что его закроют надолго. Желательно без медицинского обеспечения.

​​Немного юмора

ZDNet сообщает, что данные более чем 4 млн. пользователей оказались скомпрометированы в результате взлома онлайн-площадки предметами коллекционирования Quidd.

Судя по всему, взлом произошел в прошлом году, поскольку некоторые данные с Quidd появлялись в привате еще в октябре 2019 года. А в марте хакер ProTag стал продавать полную базу данных на одном из публичных хакерских форумов.

И хотя пароли в БД содержатся в хэше bcrypt, отдельные представители хакерской сцены уже приступили к их расшифровке. Так, в продаже уже появились более 135 тыс. взломанных паролей, а один из хакеров обещает в ближайшее время выставить более 1 млн.

Не знаем, есть ли среди подписчиков пользователи Quidd, но есть так - срочно меняйте пароли. И, на всякий случай, явки.

Хакеры уронили старейшую компанию Дании DESMI.

Как сообщил на официальном сайте компании ее CEO Хенрик Соренсен, на прошлой неделе, в ночь со среды на четверг, DESMI подверглась кибератаке, в результате чего все ее системы упали.

По словам Соренсена на восстановление деятельности компании потребуется до нескольких недель. Возможность потери данных уточняется. Судя по всему, компания попала на ransomware.

DESMI - старейшая компания в Дании, основанная аж в 1834 году. Занимается производством и поставкой насосов и насосного оборудования. Оборот в 2018 году - более 120 млн. евро.

https://www.desmi.com/pumps.aspx

В связи с бушующей в мире эпидемией коронавируса отрасль инфосек новостей несколько скукожилась. Все сидят дома, обсуждают COVID-19, интересных кейсов все меньше.

Инсайдов – кот наплакал, источники самоизолируются и на конспиративные встречи у тополя ходить отказываются.

Как могли заметить наши подписчики, нас всегда интересовал вопрос APT и их активности, особенно с привязкой к реальной геополитике. Иногда, анализируя деятельность той или иной хакерской группы, можно прийти к неожиданным выводам о реальной заинтересованности государств и крупных корпораций.

Примером, на наш взгляд, может служить история с атакой DarkHotel на китайские правительственные ресуры.

Для тех подписчиков, которые могут не знать все тонкости инфосек определений немного раскроем термин APT. Advanced Persistent Threat – целевая кибер операция, изначально этим термином назывались сложные комплексные кибератаки, ориентированные на государственные ресурсы той или иной страны.

Самый известный пример такой APT – операция Stuxnet по выведению из строя иранских центрифуг по обогащению урана, работавших в рамках иранской ядерной программы, проведенная спецслужбами Израиля и США.

Со временем термином APT стали называть мощные хакерские группы, как правило, ассоциированные с государственными спецслужбами разных стран.

К сожалению, признанные эксперты в области APT зачастую политизированы и склонны делать отмодерированные в соответствии со своими интересами заключения. Мы сейчас, конечно, говорим про FireEye, CrowdStrike, Microsoft, Касперского, Group IB, NSO Group, Cisco Talos и ряд других.

Поэтому мы решили начать делать свои собственные обзоры активности APT, основываясь на OSINT и собственном понимании этой сферы хакерской деятельности. Тема эта сложная, поэтому писать будем размеренно и вдумчиво.

Само собой, ресурсно наша редакция не может сравниться с вышеперечисленными командами, поэтому мы тоже можем ошибаться. Зато и модерировать нас некому.

Все посты, посвященные этой теме, мы будем помечать хэштегом #APT.

Надеемся, что вам это будет также интересно, как и нам.

Как только мы заговорили об APT, тут же всплывают новости на эту тему.

ESET заявили, что за недавним взломом ресурсов аэропорта Сан-Франциско стоит APT Energetic Bear (она же Dragonfly), якобы являющаяся российской хакерской прокси.

Атаки были направлены на сайты SFOConnect .com, используемый сотрудниками аэропорта, и SFOConstruction .com, используемый его строительными подрядчиками. По данным представителей аэропорта Сан-Франциско, хакеры сайты были взломаны и в них был внедрен код, использовавший уязвимость Internet Explorer для кражи учетных данных.

Сегодня ESET объявили, что целью хакеров являлись учетные данные Windows, принадлежащие посетителям сайта. С помощью инъекции вредоносной ссылки пользователь перенаправлялся на подконтрольный сайт по SMB и передавал на него логин и NTLM-хэш пароля. Последний в наше время достаточно легко вскрывается.

Про потенциальное использование подобной уязвимости в ZOOM мы писали две недели назад.

А дальше на основании того, что в данной атаке использовался SMB relay, а подобную же тактику в 2018 году использовали Energetic Bear, словаки на голубом глазу утверждают, что аэропорт взламывала русская хакерская группа.

О спорности данного заявления говорят и комментаторы новости в Твиттере. На что ESET тут же отвечает, что вообще-то это могли быть и другие хакеры.

Но часть журналистов это не смутило и Каталин Чимпану, неровно дышащий к русским APT (румын, что с него взять), тут же написал материал "Русские правительственные хакеры взломали аэропорт Сан-Франциско".

Кстати, Energetic Bear стали в своей время именно правительственной хакерской группой с подачи US-CERT и британского Национального центра кибербезопасности (NCSC). При том, что часть их целей была вполне себе на территории России. Что, вообще говоря, свойственно коммерческим группам, но никак не хакерским прокси.

ESET же, как и любое ласковое теля, двух маток сосет. Прописанная в Калифорнии компания, со штаб-квартирой в Словакии и русскими ресерчерами в штате. Которая пыталась попасть в реестр российского обеспечения, но ей отказали.

Мелко, Хоботов.

#APT #EnergeticBear #ESET

Согласно эксклюзивному материалу ZDNet, на прошлой неделе Google удалили из своего Интернет-магазина несколько десятков расширений для Chrome, которые крали криптоключи пользователей.

Гарри Денли, директор по безопасности платформы MyCrypto, сообщил, что его подразделением выявлены 49 расширений, разработанных предположительно одним актором и мимикрирующих под криптоприложения Ledger, Trezor, Jaxx, Electrum, MyEtherWallet, MetaMask, Exodus и KeepKey.

Все расширения содержали код, отсылающий пользовательские криптоключи и мнемонические фразы на сервер, принадлежащий злоумышленникам.

Остается вопрос, почему Google допускает такие массовые вбросы malware в свой Интернет-магазин.

Полный список Extension ID указанных вредоносов приведен в статье ZDNet. Можно использовать для проверки.

Microsoft выпустила большой апдейт, устраняющий в общей сложности 113 уязвимостей, среди которых три 0-day.

Первая 0-day, CVE-2020-1020 (мы о ней писали), была выявлена в прошлом месяце, связана с библиотекой Windows Adobe Type Manager и позволяет удаленно исполнять код в целевой системе. Как сообщалось ранее, уязвимость использовалась в дикой природе. Но закрыть ее Microsoft удосужились только сейчас.

Вторая уязвимость нулевого дня - CVE-2020-0938 - также связана с библиотекой Windows Adobe Type Manager и также позволяет удаленное исполнение кода . В дикой природе, по заявлению экспертов Tenable, пока не встречалась.

И третья 0-day уязвимость - CVE-2020-1027- является ошибкой в ядре Windows, позволяющей злоумышленнику повысить локальные привилегии.

Всем апдейтить Windows.

@blackorbird, который(е), судя по наличию учетки в Weibo, относится к Китаю, приводит фрагмент отчета на английском языке, посвященного атакам зарубежных APT на китайские ресурсы в 2019 году.

Согласно документу, в прошлом году на Китай было совершено более 4 тыс. целевых кибератак, в которые были вовлечены около 100 APT групп.

Информация для понимания масштаба деятельности APT.

#APT

https://twitter.com/blackorbird/status/1249995232743051264

Here comes another big fish.

Операторы ransomware RagnarLocker удачно зашифровали данные португальского энергетического гиганта Energias de Portugal (EDP) и теперь требуют выкуп в 10,9 млн долларов (!).

EDP Group - одна из крупнейших европейских энергетических компаний, работающая в 19 странах мира. Оборот в 2017 году - более 15 млрд. долларов.

Хакеры утверждают, что получили доступ к 10 Тб данных, включающих информацию о выставленных счетах, контрактах, транзакциях, клиентах и партнерах. Они обещают разметить данные на всеобщее обозрение в сеть если EDP не заплатит выкуп.

В качестве доказательства серьезности своих намерений владельцы RagnarLocker разместили на своем сайте украденную базу данных менеджера паролей KeePass.

Наше мнение - EDP заплатит.

Кстати, нам пришла в голову интересная мысль - новая тактика операторов ransomware по принуждению к выплате под угрозой публикации конфиденциальных сведений может послужить отличным поводом для многих больших руководителей уделять более серьезное внимание вопросам информационной безопасности. Потому что когда перед глазами в качестве примера стоят реальные миллионы долларов, заплаченные пострадавшими в качестве выкупа, инфосек стразу становится близким и понятным.

https://www.bleepingcomputer.com/news/security/ragnarlocker-ransomware-hits-edp-energy-giant-asks-for-10m/

​​В последнем сэмпле ransomware Nemty обнаружилось послание от создателей Виталию Кремезу (CEO SentinelLabs), Майклу Гилеспи (создатель ID Ransomware) и команде MalwareHunterTeam.

Кроме того, авторы транслитером написали "Москва любит экстази" и строчку из песни Скриптонита "Привычка".

Шутники, однако.

​​2

Motherboard выяснили, что у брокеров, специализирующихся на продаже 0-day уязвимостей, появилось предложение двух уязвимостей нулевого дня для ZOOM.

Одна из 0-day уязвимостей относится к клиенту ZOOM под Windows и позволяет осуществить удаленное исполнение кода в атакуемой системе, однако может быть использована только в комплексе с другими имеющимися ошибками.

За данные об этой дырке хакеры просят 500 тыс. долларов, но, по мнению экспертов, эта цена завышена вдвое.

Вторая 0-day уязвимость присутствует в ZOOM под Мак, но не приводит к удаленному исполнению кода. Соответственно, ценность ее гораздо меньше.

Похоже, что два совета CISO, сформированные ZOOM для консультаций по вопросам информационной безопасности, пока что не очень помогают.

Евгений Валентинович Маск в условиях коронавирусной самоизоляции на острове Тристан-да-Кунья с голодухи сожрал всех своих ресерчеров.

И теперь вынужден ретвитить спецов из Cisco Talos.

Конец императора тайги.

Хулиганы-зумбомберы добрались до Конгресса США.

Как сообщает ZDNet, 3 апреля Комитет по надзору и реформам Палаты представителей Конгресса США (по логике Палата - это аналог нашей Думы, в реале - аналог нашего Совета Федерации) проводил совещание в ZOOM, в процессе которого его зазумбомбили 3 раза.

Подробностей о том, что конкретно это было - порно, оскорбление или угрозы, - ZDNet не дает.

Мы сначала огорчились за американских законодателей. Но потом увидели, что видеоконференция представляла собой брифинг для членов Совета по правам женщин в Афганистане со Специальным генеральным инспектором по восстановлению Афганистана.

И поняли, что некоторые американские политики оторваны от текущей жизни еще сильнее наших. По крайней мере, бордюр можно потрогать руками. В отличие от прав афганских женщин.

Американское правительство объявило награду в 5 млн. долларов за информацию о северокорейских хакерах.

Госдеп, ФБР, Министерство финансов и Министерство национальной безопасности США выпустили руководство, посвященное деятельности северокорейских APT.

Американцы заявляют, что в рамках операции Hidden Cobra северокорейские хакеры в 2019 году заработали для КНДР более 2 млрд. долларов в результате серии атак, направленных на банки и криптообменники.

Госдеп США сообщает, что готов заплатить до 5 млн. долларов за любую информацию о киберактивности северокорейских APT, включая прошлые или текущие операции, которая приведет к идентификации или обнаружению конкретных лиц, а также к срыву такой активности.

Основным сторонним экспертом, как всегда, выступила FireEye.

Кстати, мы про северокорейские APT тоже обязательно поговорим. Их там есть - APT37 (aka Konni, Ricochet Chollima), Kimsuki (aka Velvet Chollima) и другие.

#APT

После последнего обновления Windows в ряде случаев встроенный антивирус Microsoft Windows Defender стал крашиться, сообщает Bleeping Computer.

В ходе проведения полного сканирования системы после проверки определенного количества файлов Windows Defender зависает. При этом в процессе быстрой проверки никаких проблем не возникает.

Обновление Windows Defender не помогает. Но, что интересно, зависание антивируса происходит не на всех компьютерах.

Microsoft пока ситуацию не комментирует. Да и не удивительно, для мелкомягких подобные последствия апдейтов уже вошли в привычку - две уязвимости закрыли, три новых появилось.