🇧🇷Инсайдерская атака на финсистему Бразилии с ущербом $140 млн ценой предательства в $2760

Как сообщают бразильские СМИ [1,2], 👺кибератака на провайдера C&M Software 30 июня 2025 года стоила финансовой системе Бразилии около 140 миллионов долларов (по разным подсчетам). Злоумышленники получили доступ к резервным счетам шести финансовых учреждений и конвертировали фиатные средства в криптовалюты BTC, ETH и USDT через местные внебиржевые платформы.

❗️Вектором атаки послужил не технический эксплойт, а прямой подкуп инсайдера. ИТ-оператор в возрасте 48 лет Жуан Назарено Роке продал свои корпоративные учетные данные хакерам за 15 тысяч бразильских реалов (эквивалент $2760), получив оплату в два этапа. Злоумышленники использовали полученные учётные данные для доступа к интеграционному шлюзу C&M Software, подключённому к национальной инфраструктуре мгновенных расчётов PIX. Через него осуществлялась передача межбанковских платёжных поручений в систему реального времени STR, что позволило атакующим инициировать несанкционированные переводы .Удар был нанесен не по счетам клиентов, а по резервным счетам для межбанковских расчетов в Центральном банке. Сама компания C&M Software подтвердила факт использования социальной инженерии, но отрицает наличие системных уязвимостей в своей инфраструктуре.

Бывший электрик, переквалифицировавшийся в младшего бэкэнд-разработчика в 42 года описывал себя как специалиста с 🙂«блеском в глазах и готовностью выкладываться на полную». Преступники координировали его действия через платформу Notion, а сам Роке для конспирации менял мобильные телефоны каждые 15 дней.

Несмотря на скорость конвертации в криптовалюту,👮правоохранительным органам Бразилии удалось отследить и заморозить значительную часть похищенных средств, а именно 270 миллионов реалов (почти 50 миллионов долларов США). Для отмывания средств использовалась сеть внебиржевых (OTC) брокеров и локальных криптовалютных бирж по всей Латинской Америке. По оценкам ZachXBT, в криптовалюты (BTC, ETH, USDT) было конвертировано от 30 до 40 миллионов долларов из общей суммы хищения.

👆 Инцидент может стать катализатором для ужесточения государственного регулирования цифровых транзакций и внедрения более строгих протоколов кибербезопасности для всех финансовых платформ в Бразилии. Центральный банк Бразилии начал внеплановые аудиты всех подрядчиков, подключённых к системе PIX, включая Matera, Tecban и Sinqia.

✋ @Russian_OSINT

⚔️ Антикомарийное ПВО уничтожает до ❗️🦟30 комаров в секунду

Работает в радиусе до ~6 м. Использует LiDAR‑сканирование + лазер для идентификации и уничтожения. Цена около $500. Появится осенью 2025.

🧲 Обнаружение кровососа: 2 мс
📐 Идентификация (размер, угол, дистанция): +1 мс
⚠️ Верификация и принятие решения: ещё ~1 мс
🎖 Полный боевой цикл ≈ 3–4 мс

🤖 Киберпанк, который мы заслужили!

✋ @Russian_OSINT

Канал 🔨SecAtor — @true_secator пишет интересное:

Ресерчеры из Лаборатории Касперского сообщают о новом ранее недокументированном шпионском ПО Batavia, которое задействуется в атаках на российские компании.

Начиная с июля 2024 года реализуется кампания, связанная с использованием однотипных файлов с именами наподобие договор-2025-5.vbe, приложение.vbe, dogovor.vbe и др.

Сама целевая атака начинается с рассылки с вредоносными ссылками под предлогом подписания договора.

Жертвами кампании со шпионским ПО стали российские промышленные предприятия.

По данным телеметрии ЛК, вредоносные письма получили свыше 100 пользователей из нескольких десятков организаций.

Основная цель - заражение организаций ранее неизвестным шпионом Batavia с последующей кражей внутренних документов.

Кроме того, Batavia выгружает также такие данные, как список установленных программ, драйверов и компонентов ОС.

Кликая на ссылки для скачивания якобы служебного документа, получатель загружает на устройство скрипт, который запускает трехэтапное заражение машины. Зловред состоит из VBA-скрипта и двух исполняемых файлов.

При переходе по ссылке на устройство пользователя загружается архив, в котором содержится лишь один файл: скрипт, зашифрованный проприетарным алгоритмом Microsoft.

Он представляет собой загрузчик, который получает по прописанному в коде URL-адресу специально сформированную строку из 12 параметров, разделенных запятыми. Это аргументы для различных вредоносных функций.

Обратившись к URL-адресу, скрипт скачивает WebView.exe, сохраняет его в директорию %TEMP% и а затем запускает. Если версию ОС получить не удалось или она не совпадает с версией, полученной с C2, загрузчик использует метод Navigate(), в противном случае — Run().

WebView.exe, в свою очередь, представляет собой исполняемый файл, написанный на Delphi, размером 3 235 328 байт. Он также по ссылке грузит файлы в директорию C:\Users\[username]\AppData\Local\Temp\WebView, после чего отображает скачанные данные в своем окне.

На момент исследования ссылка была уже неактивна, но в ЛК предполагают, что по этому адресу должен находиться текст поддельного договора, о котором шла речь в письме.

Одновременно с показом окна зловред начинает сбор информации с зараженного компьютера и отправляет ее на адрес с другим доменом, но с определенным идентификатором заражения.

Единственное отличие от идентификатора из VBS-скрипта - добавление цифры 1 в начало аргумента, что может говорить о следующем этапе заражения.

Зловред собирает несколько категорий файлов, включая различные системные журналы и офисные документы на компьютере и съемных носителях. Кроме того, вредоносный модуль с определенной периодичностью делает и отправляет снимки экрана.

Кроме того, webview.exe загружает исполняемый файл следующего этапа и сохраняет его в %programdata%\jre_22.3\javav.exe.

Для запуска этого файла зловред создает ярлык в автозагрузке, который запускается после первой перезагрузки, начиная следующий этап вредоносной активности.

Исполняемый файл javav.exe, в отличие от webview.exe, написан на С++. Вредоносная функциональность этих файлов достаточно схожа, однако в javav.exe были добавлены новые возможности.

Новые собранные данные отправляются по аналогичному адресу, но к идентификатору заражения была добавлена цифра 2.

Также в коде вредоносного компонента появились две команды: set для смены командного центра и exa/exb для загрузки и запуска дополнительных файлов.

Индикаторы компрометации - в отчете.

💻Госдума отклонила законопроект о ♋️легализации «белых» хакеров

Как пишет РБК, депутаты Госдумы отклонили проект о легализации «белых» хакеров, так как он не учитывает нормы о гостайне и безопасности критических систем.

Решение было принято после соответствующей рекомендации профильного комитета Госдумы по государственному строительству и законодательству.

Вопрос легализации этичных хакеров в России публично обсуждается с лета 2022 года, когда Минцифры занялось проработкой возможности ввести в правовое поле понятие bug bounty.

Комитет посчитал, что законопроект, внесенный группой депутатов в 2023 году, не учитывает особенности информационного обеспечения работы госорганов. Эта работа регулируется законодательством о гостайне, об информации, а также о безопасности критической информационной инфраструктуры (к ней относятся сети связи и информационные системы госорганов, транспортных, энергетических, финансовых и ряда др. компаний).

Еще одной причиной отказа стало отсутствие необходимых изменений в других законах. Как указало в своем отзыве на проект правительство, для легализации «белых» хакеров нужно комплексно менять законодательство, в том числе уголовное право. Эти изменения должны определить правила поиска уязвимостей и снизить связанные с этим риски, но такие поправки до сих пор не внесены, указано в отзыве комитета Госдумы по госстроительству. Законопроект также подразумевал, что о найденных уязвимостях можно будет сообщать разработчикам программ — правообладателям. Согласно отзыву, если такой правообладатель находится в недружественной юрисдикции, передача информации об уязвимостях может угрожать нацбезопасности России.

— Минцифры считает целесообразным вносить комплексные изменения по легализации «белых» хакеров, сказал РБК представитель министерства.

👆Один из авторов отклоненного проекта, член IT-комитета Госдумы Антон Немкин рассказал РБК, что они планируют повторно внести инициативу в составе пакета законопроектов, касающихся правового статуса и правил деятельности пентестеров.

✋ @Russian_OSINT

📱📱Берём на заметку!

7 июля 2025 года Google выпустила обновление ❗️Gemini, которое дает AI-помощнику доступ к приложениям Phone, Messages, WhatsApp и Utilities на Android-устройствах...

https://www.kaspersky.ru/blog/how-to-disable-gemini-on-android/40042/

✋ @Russian_OSINT

🇷🇺Правительство планирует обязать операторов персональных данных использовать только российское ПО

Как сообщает «Коммерсант», Правительство РФ изучает возможность законодательного закрепления требования об обязательном использовании отечественного программного обеспечения, включая системы управления базами данных (СУБД), для операторов персональных данных.

Соответствующее поручение Минцифры, ФСБ и ФСТЭК дал премьер-министр Михаил Мишустин. Предложения по поправкам должны быть подготовлены до 1 декабря 2025 года, а переходный период завершится к 1 сентября 2027 года.

В Минцифры заявили «Ъ», что обсудят подходы к реализации с отраслью, а в аппарате вице-премьера Дмитрия Григоренко уточнили, что переход будет поэтапным. Операторы смогут выбирать решения из реестра российского ПО, где представлены тысячи разработок.

👆Эксперты сомневаются в реалистичности полного перехода к установленному сроку. По словам Сергея Бабкина из «Рексофт», многие компании десятилетиями используют западные СУБД, интегрированные в бизнес-процессы, и их замена потребует масштабной адаптации.

Ассоциация больших данных («Сбер», VK, «Яндекс») отмечает, что необходимо учитывать различия между операторами по объему данных и готовности инфраструктуры.

✋ @Russian_OSINT

🎖🇺🇸 Бывший киберофицер ✈️ВВС США: "ИИ-модель 👩‍💻 o3 способна создавать 👍цифровой портрет человека по URL-ccылкам"

Раз уж Mozilla 🫡8 июля закрыла свой сервис Pocket (R.I.P.), то пару слов о нём всё-таки упомянем напоследок...

Сервис 🧊 Pocket — инструмент для сохранения контента (ссылок) для прочтения позже, созданный как read-it-later платформа. В 2017 был приобретён Mozilla для интеграции в Firefox и развития экосистемы приватного контент-потребления.

На просторах интернета случайно наткнулся на заметку бывшего офицера 🇺🇸ВВС США, который ранее был связан с наступательными кибероперациями (👮offensive cyber operator). Человек, по идее, разбирается в том, что утверждает.

Пишет он о том, что, анализ 📖цифровых следов в 2025 году достиг совершенно новых масштабов, даже на обывательском уровне. Он обнаружил в своем 🧊Pocket-архиве 878 ссылок, сохраненных за последние 7 лет и решил провести наглядный эксперимент, насколько подробно языковая модель o3 сможет сделать цифровое досье на него, основываясь исключительно на этих данных.

Все содержимое CSV-файла с данными (включая поля noscript, url и time_added) было скопировано и вставлено непосредственно в окно чата o3. Автор подмечает, что такой подход оказался эффективнее, чем 📂прикрепление файла, так как LLM воспринимает весь массив данных целостно. LLM была поставлена чёткая задача на основе исключительно представленных данных составить 👀детальный профиль пользователя по всем возможным параметрам.

Результаты эксперимента автор характеризует как ❗️"поразительно точные", близкие к ошеломительным. Модель o3 с высокой степенью достоверности определила:

🖥 Личные данные
🔻 Возраст: примерно от 35 до 42 лет
🔻 Пол: Мужской.
🔻 Местоположение: Прибрежный регион штата Вирджиния, США.
🔻 Семья: Женат, имеет 3-4 маленьких детей, один из которых ясельного возраста.
🔻 Образование: Высшее техническое в сфере компьютерных наук (BS/MS).
🔻 Религия: Активно практикующий христианин (католик/консерватор).

🖥 Профессиональная сфера:
🔻 Должность: Старший или ведущий инженер-программист.
🔻 Специализация: Кибербезопасность и IT-инфраструктура.
🔻 Ориентировочный доход: $150,000 - $220,000 в год на семью.
🔻 Карьерный путь: Переходит от роли чистого технического специалиста к роли технического лидера.
🔻 Стиль обучения: Самостоятельный, предпочитает длинные текстовые статьи, PDF и подкасты.

🖥 Убеждения и образ жизни:
🔻 Политические взгляды: Финансово-консервативные, либертарианские.
🔻 Финансы: Стремится к финансовой независимости.
🔻 Хобби: DIY-проекты, работа с деревом, электроникой (E-ink).
🔻 Здоровье: Активно изучает биохакинг) и не гонится за модой.

🤔Как отмечает автор эксперимента, если ранее подобный уровень корреляционного анализа разрозненных данных был прерогативой лишь технологических гигантов масштаба вроде 🌐Google или специализированных 🎩государственных ведомств, то теперь он стал "доступен практически каждому".

Любой массив персональных данных, даже кажущийся безобидным, или обычные ссылки, раскрывающие интересы пользователя, могут быть использованы для профилирования, в связи с чем — нам ещё только предстоит осознать реальный масштаб изменений в контексте 🤖🛡персональной цифровой гигиены на ближайшие 5-10 лет по мере развития ИИ-технологий.

👆Впрочем, ничего нового. Один из подписчиков недавно спрашивал про различные приёмчики в ТГ для анализа данных.

💻 Простой фокус: заходим на любой канал в 📲Telegram, где есть много постов (большая выборка), нажимаем в настройках ◀️"экспорт истории чата", выбираем условно 3000 постов и пробрасываем их в HTML. Копируем посты для анализа и прогоняем через любимую ИИ-модель (можно локальную с кастомными инструкциями), чтобы выявить уникальные паттерны или необычные детали, которые упускает человеческий 🧠мозг.

Далее формулируем запрос вроде "на основании 10 000 постов проанализируй архетип автора опираясь на труды 👨‍🔬Карла Густава Юнга ..." и пишем чёткие критерии для анализа (можно скормить узкоспециализированную библиотеку знаний из PDF-файлов для ИИ-модели).

😌И не забываем👌регулировать температуру ответов.

✋ @Russian_OSINT

И снова Strava. Утверждается, что провал с OPSEC в шведской службе безопасности Säpo привел к масштабной утечке критически важных данных, компрометирующих первое лицо государства. Телохранители премьер министра Ульфа Кристерссона, используя фитнес приложение Strava, непреднамеренно опубликовали более 1400 треков своих тренировок, раскрыв тем самым маршруты передвижений, локации и паттерны поведения охраняемого лица.

Анализ газеты Dagens Nyheter выявил как минимум 35 случаев прямой привязки к секретным объектам, включая частную резиденцию премьера, правительственные офисы и загородное поместье Харпсунд, причем последняя активность была зафиксирована всего несколько недель назад.

✋ @Russian_OSINT

💳Еженедельный объем хищений у россиян по мошеннической схеме с использованием технологии NFC Gate удалось снизить почти в 7 раз за месяц, с 3,3 млрд рублей до 0,5 млрд рублей, сообщил Сбербанк.

✋ @Russian_OSINT