14508
Tom Hunter news | tomhunter.ru 📔 https://dzen.ru/tomhunter 🤳 https://vk.com/tomhunter 📱 +7 (812) 677-17-05 📧 contact@tomhunter.ru Хэштеги: #OSINT #news #cve #article #decoder #anon
#news Помните корейского крипто-Мавроди, До Квона, создателя Terra Luna и единоличного архитектора прошлогодней ядрёной криптозимы? Скоро по одобрению суда его ждёт экстрадиция из Черногории, где его задержали в марте. Но есть нюанс: власти пока не решили, выдать его в США или в Южную Корею. Обе страны прислали запрос на экстрадицию.
Сам До Квон согласился на выдачу в Южную Корею, но окончательное решение за самим министром юстиции Черногории. Так что чьи добрые руки будут выбивать из Ма Вроди признание, куда бесследно пропал резервный фонд Terra Luna на $3,5 миллиарда в битках, пока остаётся интригой. Что неожиданно роднит криптомагнатов-аферистов и наркобаронов Южной Америки, так это то, что наиболее эффективным средством против них остаётся экстрадиция в США. Иронично.
@tomhunter
#news У безопасников из ESET вышел подробный анализ скамеров из Gypsy Team — группировки, работающей по странам СНГ. Активность мошенников завязана на бот в Телеграме Telekopye, который предоставляет шаблоны под фишинговые сайты, электронные письма, SMS и многое другое. Среди них полные копии Авито, Юлы и СДЭК.
ESET разбирает исходный код бота, переписку в чатах скамеров, в которые они проникли в ходе расследования. А также их внутреннюю документацию с руководствами, сценариями и прочим, предназначенную как для новичков в сомнительном бизнесе, так и опытных онлайн-мошенников. Что забавно, группировку для удобства окрестили «Неандертальцами» по следам их охоты на «Мамонтов». Такие вот коллизии, порождённые русским мошенническим сленгом. Подробнее о Gypsy Team и их методах в отчёте.
@tomhunter
#news Осень богата на оригинальные ИБ-инициативы в России: так, Минюст предлагает дать судебным приставам доступ к геоданным мобильных телефонов должников. Это поможет в их розыске и создании единого долгового досье — облачного хранилища данных о должниках, которое упростит процесс идентификации и поиска их имущества. Заодно приставы должны получить доступ к геоданным детей должников в случаях исполнительных производств по передаче ребенка другому родителю.
Предложенные меры планируют поэтапно внедрять с 2024-го по 2030-й год. Концепция также предполагает проработку взыскания цифровых валют и финансовых активов. Чтобы бессовестный должник уж точно не запрятал цифровые рубли в какой-нибудь криптокубышке.
@tomhunter
#news У нас вновь скандал с криптоплатформой и отмыванием средств, но есть нюанс. Речь не об очередном криптомиксере с полулегальным фасадом. Под раздачу Минюста США попал Binance. По итогам разбирательств биржа выплатит $4,3 миллиарда штрафа, её основатель Чанпэн Чжао отделался штрафом в $50 миллионов. И отставкой с поста гендиректора.
Чем провинился Binance? Отсутствие на бирже контроля за оборотом средств с подсанкционными странами и борьбы с отмыванием денег. Больше миллиарда долларов ушли гражданам Ирана, в иске также упомянуты Сирия и Россия. Господин CZ сохранит за собой контрольный пакет акций, но руководящую должность в компании занимать больше не сможет. В общем, старые деньги вновь забороли новые. И ещё не отправленные за решётку проводники цифрового будущего из миксеров, обслуживающих крипту геополитических оппонентов США, напряглись ещё больше.
@tomhunter
#news Скандально известной российской хакерской группировке Killnet большие же скандалы: десятки хакеров и хактивистов публично выступили против Killnet и ее лидера, известного под ником Killmilk. А «Газета.ру» товарища под шумок деанонимизирует.
Издание представляет некого Серафимова Николая Николаевича 1993-го года рождения. Неоднозначная репутация, атаки на инфраструктуру РФ, мошенничество и нарушения хакерской этики — послужной список у товарища солидный. Соратники именуют его инфоцыганом от хакерского мира со слабыми технавыками. Всплывают скелеты в шкафу с обманом коллег по теневому бизнесу. Хактивисты и прочие сомнительные личности собирают альянс по разрушению репутации Killmilk. За океаном Брайан Кребс запасается попкорном — для разнообразия деаноном российских хакеров выпало заниматься не ему. В общем, скандалы, интриги, расследования. Под стать самой группировке.
@tomhunter
#news Бывший исполнительный директор инфобез-фирмы Securolytics Викас Сингла признал свою вину в судебном разбирательстве. А вменяют ему очень занятные дела: наш антигерой организовал две кибератаки по потенциальным клиентам, чтобы поднять доходы своей компании.
Securolytics оказывала услуги по безопасности сетей в сфере здравоохранения. В сентябре 2018-го смекалистый товарищ взломал две больницы, нарушил работу телефонов и принтеров, стянул часть данных пациентов и продвигал взломы в Твиттере, публикуя данные из утечки. Securolytics же по следам «громкого взлома» писала возможным клиентам, рекламируя свои услуги со ссылкой на эти инциденты. Такая вот чёрная ИБ-многоходовочка. Как говорится, ты должен был бороться со злом, а не примкнуть к нему. По совокупности обвинений Сингла получил штраф более $817 тысяч, а срок до 10 лет он, скорее всего, избежит по состоянию здоровья.
@tomhunter
#news NVIDIA оказалась в центре скандала с авторскими правами. В компании работал разработчик, бывший сотрудник немецкой Valeo. По стечению обстоятельств он оказался на видеозвонке с сотрудниками NVIDIA и своего бывшего работодателя. А по завершению своей презентации показ экрана не отключил. И к удивлению бывших же коллег у разработчика на экране обнаружились куски кода Valeo и файл с говорящим названием «ValeoDocs».
В общем, неловкий конфуз с элементами промышленного шпионажа. Valeo после аудита обнаружила, что разработчик перед увольнением стянул исходники ПО для парковки и вождения. Товарища осудили, многомиллионный иск ждёт и NVIDIA. Valeo утверждает, что NVIDIA использовала их исходный код в своём аналогичном ПО. Компания это, конечно, отрицает. Но решать это теперь будет суд. А виной всему расшаренный экран на созвоне. Неловко вышло.
@tomhunter
#news Минцифры продолжает размышлять, чего бы ещё такого добавить на «Госуслуги» инфобеза ради. Теперь предлагают позволить юзерам видеть на сайте, какие сим-карты оформлены на их имя. Всё это, как водится, для борьбы с телефонным мошенничеством.
Предполагается, что бдительный абонент обнаружит на «Госуслугах» номер, которым не пользуется, или зарегистрированный обманным путём. И сможет его заблокировать. Сейчас для такого необходимо обращаться напрямую к операторам. Затея, видимо, идёт бонусом к перспективной возможности пожаловаться на телефонных спамеров. Зачем следить за исполнением операторами закона «О связи», когда можно переложить это на абонентов, действительно.
@tomhunter
#news Тактика рансомварь-группировок достигла прежде невиданных высот сумрачного гения. С 15 декабря в Штатах компании будут обязаны сообщать о кибератаках в течение 4 дней. Злоумышленники из ALPHV/BlackCat решили заранее протестировать новые правила и… накатали на взломанную ими организацию жалобу в Комиссию по ценным бумагам и биржам. За не поданное вовремя уведомление.
Как утверждает BlackCat, они взломали MeridianLink 7 ноября и стянули данные без шифрования систем. В подтверждение отправки жалобы взломщики опубликовали её скриншот и автоматический ответ с сайта комиссии. Хакеры также угрожают слить данные в течение 24 часов, если не получат выкуп. Между тем в компании взлом подтвердили, но отрицают серьёзность утечки. Злоумышленники на страже ИБ-законов — это, конечно, неожиданный поворот. Но довольно забавный. Такими темпами, глядишь, и стандарты по индустрии поднимут.
@tomhunter
#news Чудеса инфобеза от одного из крупнейших онлайн-казино Мексики, Strendus. У компании был открытый доступ к журналам аутентификации юзеров. Логины, имена, телефоны, почты, домашние адреса, персональные ID (аналог паспорта), айпишники. Вплоть до потраченных сумм и комментариев админов о клиентах. И судя по всему, данные были скомпрометированы. 85 гигов базы с сотнями тысяч записей.
В общем доступе всё это удовольствие висело с начала марта этого года по октябрь. При этом владельцу платформы белошляпочники сообщили о проблеме ещё 7 апреля — то есть исправили её спустя полгода. Компания по такому поводу комментариев не даёт. Оно и понятно: здесь что ни скажи, сделаешь только хуже. За слитые домашние адреса и суммы на счетах казино полагается отдельное спасибо от клиентов.
@tomhunter
#news Россия вылетела из международной доменной зоны aero: швейцарский провайдер SITA отказался продлевать домены для российских клиентов. С 10 ноября услуги в РФ они больше не оказывают.
В России на этом домене хостят больше 200 сайтов, в том числе около 30 аэропортов и 15 авиакомпаний. Между тем неожиданностью это не стало — SITA ещё в прошлом году начала сворачивать деятельность в РФ. Теперь сайтам наших авиакомпаний предстоит переходить на другие домены. А юзерам — привыкать к новым ссылкам и заваливать техподдержку жалобами на подозрительные адреса в случае особо бдительных.
@tomhunter
#news Новый Outlook от Майкрософта оказался совсем не бесплатным: юзеры расплачиваются своей конфиденциальностью. Так, оно пересылает данные IMAP и SMTP на серверы компании. А также все письма.
Если добавить в этот Outlook сторонний аккаунт, он синхронизируется с облаком Майкрософта. И всё содержимое также уходит не по адресу. При создании учётки IMAP почтовый шпион передаёт компании данные сервера, имя юзера и пароль. Причём в открытом виде. Иными словами, чем больше на это смотришь, тем хуже становится. При этом дивный новый Outlook должен стать дефолтной почтовой программой под Винду в 2024-м, заменив классический. В общем, «Все ваши письма принадлежат нам» как бы сообщает нам Мелкософт.
@tomhunter
#news Вслед за OpenAI от Anonymous Sudan досталось и Cloudflare: вчера пламенные интернет-борцы с американским империализмом устроили стресс-тест сайту Cloudflare с помощью ботнетов Godzilla и SkyNet. Чем его ненадолго и положили.
Cloudflare подтвердила, что стала жертвой DDoS-атаки, вызвавшей проблемы с подключением аж на несколько минут. Группировка грозно потрясает ботнетами в своём Телеграме со словами «Если они не могут защитить свой сайт от дудоса, то как защитят вас?» Между тем сервисы компании оказались не затронуты – инфраструктуру сайта хостят отдельно от продуктовой. В течение часа был выкачен фикс, ну а наши анонимные «суданцы» получили свою очередную минуту сомнительной славы. Что тут скажешь, чем бы кибердитя не тешилось.
@tomhunter
#news Вчера прилегли сервера ChatGPT, ИИ-модель была недоступна для пользователей со всего мира и продолжает периодически выдавать ошибки. Как сообщает OpenAI, причиной стала DDoS-атака, с которой они пытаются справиться. А ответственность за неё взяла на себя Anonymous Sudan.
Группировка использовала в атаках ботнет SkyNet, на днях добавивший атаки на 7 уровень в список услуг. Это объясняет эффективность атаки. Пока расчётного времени фикса нет, а Anonymous Sudan продолжают оправдывать наличие Anonymous в своём нике, занимаясь сомнительными вещами, больше смахивающими на громкие пиар-акции. Так, в списке причин атак по OpenAI указано её отношение к Израилю, злой еврейский ИИ на службе Моссада и то, что OpenAI – это американская компания. А анонимные «суданцы» атакуют любые американские компании. Что ж, это многое объясняет.
@tomhunter
#news В новом отчёте от Касперского затронута животрепещущая тема для любителей компьютерных игр: кибербезопасность в мире гейминга. Результаты исследования интересные: так, софт фирмы за год зафиксировал более 4 миллионов попыток атак в этой среде, затронувших 200 тысяч геймеров. Причём по-прежнему единолично правит бал Minecraft: на ПК это вектор атаки в 70% случаев, а на мобилках – в более чем 90%.
Ключевой же малварью идут загрузчики – они встречаются под видом читов, модов и инсталляторов также в 70% случаев. Остальное – единичные проценты адвари и троянов. Отдельный вид мошенничества – кража учёток для стягивания игровой валюты и предметов. Здесь в ход часто идут фишинговые сайты с фейковыми раздачами бонусов. В общем, семейный инфобез начинается с объяснения детишкам, что не все моды под их любимый Майнкрафт одинаково полезны, и прочих не всегда очевидных вещей.
@tomhunter
#news CISA в компании с ИБ-министерствами других стран опубликовали руководство по инфобезу в бурно развивающейся отрасли — ИИ-моделях. Помимо таких приоритетных направлений, как кастрирование языковых моделей борьбой с «дискриминацией» и «предубеждениями», в нём рассмотрены и более насущные темы. А именно вопросы безопасного проектирования, разработки, деплоя и поддержки ИИ, охватывая весь жизненный цикл разработки.
Главной амбицией руководства выступает насаждение в отрасли инфобез-единорога «Secure by design». Оно также затрагивает вопрос новинок от мира атак в сфере языковых моделей — внедрение промтов и отравление данных для обучения нейронок. Подробнее о перспективных стандартах в мире ИИ-разработки в документе.
@tomhunter
#news Классика инфобеза: на Гитхабе в публичных репозиториях лежат данные доступа от Kubernetes, и не простые, а от организаций из списка Fortune 500. В том числе пары топовых блокчейн-компаний. Они подтягивают с API Гитхаба .dockerconfigjson и .dockercfg от кубов, а в них, собственно, и данные доступа.
Часть истёкшие, зашифрованные, с двухфакторкой или с минимальными привилегиями. Тем не менее, из 438 изученных записей почти в половине содержались валидные ключи. Более того, исследователи прошлись и по найденным паролям: половина же из них оказались слабыми. Среди них и золотые стандарты: password и test123456. По понятным причинам владельцы репозиториев не названы. Но ситуация для них всё равно довольно неловкая. Подробнее читайте в отчёте.
@tomhunter
#news Reuters раскрывает подробности очередной северокорейской схемы по пополнению бюджета КНДР. Используя фальшивые имена и профили на LinkedIn северокорейцы… устраиваются разработчиками в компании по всему миру. И работают в них. Всё, в этом вся схема.
При этом такой удалённый сотрудник обязан зарабатывать не менее $100 тысяч в год, из которых засланцу достаётся процентов 10-30, а остальное уходит в бюджет КНДР и на накладные расходы. В ход идут всевозможные ухищрения, поддельные документы, сценарии для собеседований, отговорки для удалёнки, чтобы обеспечить северокорейцев работой. А через какое-то время, от 6 месяцев до нескольких лет, они просто уходят с деньгами. Идеальное преступление! Но иметь в штате потенциальных шпионов и брокеров доступа для их соотечественников вряд ли кому захочется, конечно.
@tomhunter
#news Инфостилер LummaC2 продвигает любопытную новую фичу: восстановление истёкших сессионных куки от Гугл-аккаунтов. Восстанавливают их по ключам из файла Restore, и сделать это можно один раз. Но и этого достаточно для серьёзных атак.
Подтверждения работы функционала пока нет, кроме косвенных. Так, идентичную фичу добавили в инфостилер Rhadamanthys — разработчик LummaC2 утверждает, что конкуренты скопировали их код. Google комментариев не давал, но в последнем обновлении LummaC2 указано, что компания ввела ограничения на обновление токенов. Которые, собственно, новый апдейт и обходит. Так что за кулисами Гугл, видимо, работает над исправлением потенциально катастрофической проблемы с угоном аккаунтов. Главное, чтобы от фикса было больше толку, чем от упомянутого выше.
@tomhunter
#news Подоспели промежуточные итоги эксплойта уязвимости в софте MOVEit группировкой Cl0p. Исследователи насчитали 2,620 взломанных организаций и более 77 миллионов человек, чьи данные были затронуты утечками.
Среди жертв пользователи Avast: данные трёх миллионов человек слили на хакерском форуме, включая имена, ящики и телефоны. В качестве утешительного приза юзеры получили 6 месяцев мониторинга дарк-веба от компании. И маркетинговые письма с предложением подписаться на продвинутую защиту данных — маркетинг уровня Avast. Среди взломов также поставщик платформы для работы с пациентами в Штатах Welltok — у 3,5 миллиона человек утекли их медицинские данные. В целом, большая часть жертв из Америки: 78% в Штатах, 14% в Канаде. Ну а Cl0p получает приз за самую масштабную кампанию взломов в уходящем году.
@tomhunter
#news Биткоин-кошельки, сгенерированные в период с 2011-го по 2015-й год, уязвимы для взлома. Проблема в низком качестве генерации случайных чисел в браузерах в те годы. И эксплойт Randstorm в этом случае полагается банально на брутфорс ключей к кошелькам.
Корнями же проблема уходит в BitcoinJS, опенсорсный пакет Javascript, используемый в разработке браузерных криптокошельков. Слабая криптография в одной из браузерных функций на тот момент вместе с особенностями архитектуры пакета привели к слабой же псевдослучайной генерации чисел. Отсюда и брутфорс кошельков, созданных на основе BitcoinJS. При этом, по подсчётам, на них лежат 1,4 миллиона битков. В общем, перед нами очередной блестящий пример индустрии, держащейся на опенсорсных разработках. И последствий багов в них (привет, Log4j). Уязвимые же кошельки теперь только менять.
@tomhunter
#news Дочерняя фирма Тойоты Toyota Financial Services, занимающаяся финансами компании, подтвердила взлом. Злоумышленники из рансомварь-группировки Medusa стянули данные с их серверов в Германии. В сэмпле разные финансовые документы, учётки пользователей, сканы паспортов и прочее.
А причиной утечки могла стать пресловутая Citrix Bleed: в немецком офисе компании безопасники обнаружили уязвимый шлюз, который не обновляли с августа этого года. Потенциальная цена забытого обновления — $8 миллионов, которые группировка потребовала, угрожая слить данные. Между тем к Citrix Bleed уязвимы тысячи решений, так что о взломах и утечках через неё, скорее всего, мы ещё услышим не раз.
@tomhunter
#news У NordPass вышел ежегодный отчёт о самых распространённых паролях. Некоторые вещи вечны: в топе по-прежнему вариации комбинаций от 1 до 10 и неизменные admin и password. В топ-200 всё так же пароли, взлом которых перебором занимает в основном меньше секунды.
Пароли также часто зависят от платформы: так, на Amazon четвёртый по популярности пароль… amazon. На стриминговых платформах, ожидаемо, популярен netflix. NordPass год за годом привычно призывает использовать сложные комбинации на 20 символов. И для особо продвинутых — не использовать один пароль на разных ресурсах. И год за годом ничего не меняется: 123456 по-прежнему правит бал и не собирается сходить с пьедестала. Какой уж там инфобез.
@tomhunter
#news Минтранс собирает с 381 транспортной организации данные о VPN и протоколах защищённого и удалённого доступа, которые они используют. Эти данные отправятся в Роскомндзор. Зачем? А разгадка проста: ведомство планирует блокировать неугодные протоколы прямиком через ТСПУ.
Судя по всему, в планах РКН блокировать 49 сервисов и протоколов. И вновь речь зашла про Shadowsocks: его попытаются блокировать на трансграничных узлах связи. В расстрельный список также попал ItHelper от «Софт Программ» — сервис для ускорения работы устройств со встроенным VPN. В общем, РКН активно собирает белые списки сервисов, чтобы веерные блокировки ненароком не поломали корпоративные сети и прочее глобальное. А с результатами мы рискуем ознакомиться уже в ближайшем будущем.
@tomhunter
#news Функцию Create2 в блокчейне Ethereum используют для кражи крипты. Злоумышленники эксплойтят предварительный расчёт адресов смарт-контрактов либо для создания адресов без истории подозрительных транзакций, либо для подмены адреса кошелька на похожий жертвы.
За полгода юзеры лишились $60 миллионов, отдельные счастливчики потеряли суммы до 1,6 миллионов долларов. В одном случае даже оператор Binance отправил мошенникам $20 миллионов. От наёмного киллера за битки от господина Чжао оператора спасло только то, что он оперативно заметил ошибку и заморозил счёт получателя. Подробнее об эксплойте в отчёте.
@tomhunter
#news У Bitfender вышел анализ энкриптора от Hunters International, группировки с исходниками от Hive. Что интересно, исследователи считают заявление злоумышленников об отсутствии связи с Hive и покупкой их исходников «правдоподобным».
Энкриптор написан на Rust, который Hive уже использовала раньше. Сам код упрощён и сокращён, с меньшим числом параметров. Кроме того, в отличие от Хайва группировка делает акцент на стягивании данных, а не их шифровании. В остальном же Hunters International ещё предстоит показать себя и бонусом получить повышенное внимание от Интерпола. Подробнее о группировке в отчёте.
@tomhunter
#news LockBit слила данные, стянутые у Boeing, больше 43GB данных. Видимо, переговоры пошли не по плану — платить выкуп компания в итоге отказалась. В утечке в основном бэкапы для разных систем. Сначала злоумышленники угрожали сэмплом в 4GB, но затем выложили всё стянутое.
В сливе есть бэкап под Citrix, что намекает на возможный вектор атаки — проверка концепции к Citrix Bleed, CVE-2023-4966, была опубликована 24 октября, и атаки по ней носят массовый характер. Между тем, судя по тому, что это весь слив, особо глубоко в сети Боинга группировка не попала. И разговоры про огромное количество чувствительных данных были привычным рансомварь-блефом. Что ж, с гигантом уровня Boeing можно и поблефовать. Увы, в этот раз безуспешно.
@tomhunter
#news Сегодня с утра были взломаны три сайта российских банков, ВБРР, Фора-Банка и БЖФ Банка. Некие злоумышленники выложили на них сообщения, что банки приостанавливают выплаты по вкладам и счетам физических лиц. А физлиц с суммами на счетах выше 1 миллиона 400 рублей якобы ждёт превращение лишних средств в облигации федерального займа. Сообщения ссылались на несуществующий указ президента от 2 ноября 2023-го года.
Сообщения провисели недолго, а банки сообщили о взломе сайтов. Информация, очевидно, не соответствовала действительности и была топорно слепленным фейком. Так выглядит информационная атака и попытка посеять панику. Впрочем, не особо успешная – фейк раскусили ещё до того, как проснулись банки.
@tomhunter
#cve Опубликовали на Хабре топ самых интересных CVE за октябрь 2023 года. Сегодня у нас нулевые дни в протоколе HTTP/2 и Confluence – последний с десяточкой по CVSS. Хранение токенов OAuth2 в открытом виде в Nextcloud, а также уязвимость в ядре Linux, ряд уязвимостей в Acronis Agent и многое другое. За подробностями добро пожаловать на наш Хабр!
@tomhunter
#news T.Hunter совместно с проектом Код ИБ провёл конференцию по теме «Полезные приложения в смартфоне сотрудника ИБ и СБ». В дискуссии затронули такие вопросы, как задачи, которые безопасники решают при помощи смартфона. Какую роль смартфон играет для осинтера и какими приложениями можно использовать в работе. А также вопросы безопасности смартфона, альтернативные и анонимные операционные системы и многое другое.
Запись эфира доступна на Youtube, а также на нашем Хабре есть большая обзорная статья по теме, «Смартфон как инструмент ИБ-специалиста». Так что если вам интересно превратить ваш смартфон в полезный инфобез-инструмент, приятного просмотра и чтения!
@tomhunter