​☑️ Проверка на наличие учетных записей сотрудников различных компаний через OneDrive.

🖖🏻 Приветствую тебя, user_name.

• После прочтения темы сегодняшнего материала, ты вероятно задаешься вопросом: Для чего это нужно? Ну... может быть для таргет атак с использованием фишинга и методов социальной инженерии? А может для понимания, что такая дыра в безопасности существует и какие риски несет за собой данный метод? Каждый размышляет по своему...

• Изучая зарубежные ресурсы по информационной безопасности, я наткнулся на очень интересую статью, в которой описан метода перебора сотрудников различных компаний через OneDrive. На что я больше всего обратил внимание, так это возможности данного метода:

- Метод абсолютно тихий, т.к. компании-жертвы не видят наши запросы;
- Для перебора не требуется аутентификация;
- Нет никаких ограничений по скорости.

• OneDrive является частью SharePoint. Он предназначен для хранения личных файлов и напрямую связан с учетной записью Azure/M365. Всякий раз, когда пользователь входит в различные службы Microsoft, такие как Excel или Word, OneDrive активируется и создается личный URL-адрес, содержащий адрес электронной почты пользователя. Этот личный URL-адрес на самом деле является UPN учетной записи пользователя или основным именем пользователя (User Principal Name).

• Поскольку личный URL-адрес напрямую связан с учетной записью пользователя, с помощью него возможно проверить наличие сотрудников через перебор директорий в ссылке по определенному формату. Данный метод невозможно обнаружить, так как это простой HTTP-запрос HEAD к серверу Microsoft. Аутентификация при этом не осуществляется.

• Итого: интеграция корпоративных решений с использованием OneDrive находится на рекордно высоком уровне. Множество действий с приложениями, такими как Excel, Word и т.д., непреднамеренно создают URL-адрес OneDrive, независимо от того, используют ли его реально пользователи или нет. Прибавьте к этому относительную неосведомленность большинства компаний о варианте подобной атаки и неспособности ее обнаружить, и мы получим идеальный вариант перебора сотрудников компании под нашу потребность.

• Полное описание метода и полезный инструмент автоматизации перебора доступны по ссылке: https://www.trustedsec.com/blog/onedrive-to-enum-them-all/

S.E. ▪️ infosec.work

🪝 Целевой фишинг и социальная инженерия. Методы известных групп.

🖖🏻 Приветствую тебя, user_name.

• Человеческий фактор всегда будет лазейкой для хакеров в системе безопасности даже самой крупной компании. Если предположить, что незначительный процент сотрудников запустит вредоносное ПО в сети организации (особенно это касается привилегированных сотрудников), то это будет означать компрометацию всей компании.

• Как правило, успеху фишинг-атак способствует низкий уровень осведомленности пользователей о правилах работы с почтой в компании. Основной защитой от массового фишинга остаются спам-фильтры, но это не спасает от spear phishing (таргетированного фишинга). Давайте приведу самый простейший пример:

- Заходим на LinkedIn, определяем ключевых сотрудников для организации атаки spear-phishing, их имена, фамилии, контактные данные (электронную почту). Используя эти данные, несложно найти аккаунты этих сотрудников в других социальных сетях, например в Facebook. При помощи различных инструментов и сервисов, мы можем собрать интересную статистику своих жертв, например где и в каких отелях они отдыхали или останавливались. Далее от имени отеля мы можем отправить сообщение с напоминанием об оплате некоторых услуг и прикрепленным инвойсом в виде PDF-документа. Profit!

• Простой пример разобрали, теперь самое время поделиться очень полезным материалом, в котором собраны актуальные тактики, техники и методы известных хакерских групп. Материал является актуальным и будет крайне полезен социальным инженерам и специалистам в области информационной безопасности: https://raw.githubusercontent.com/

S.E. ▪️ infosec.work

🧺 ИТ-Пикник года.

🖖🏻 Приветствую тебя, user_name.

• На днях появилась информация, что в Москве пройдет главный ИТ-Пикник года - крупнейший семейный it-фестиваль. Главные it-компании России и более 30 тысяч разработчиков, аналитиков и других айтишников со своими семьями соберутся в одном месте , чтобы знакомиться, узнавать интересное про технологии и науку и просто отдыхать.

• Посетителей ждет большое количество лекций, мастер-классов и познавательных секций.

• Программа ИТ-пикника построена вокруг интересов ИТ-специалистов и включает мероприятия для взрослых и детей:

🔵 Свыше 15 интерактивных зон для взрослых и детей любого возраста;
🔵 Музыкальная программа с участием известных артистов;
🔵 Секретный музыкальный хэдлайнер.

• Мероприятие состоится 2 сентября в музее-заповеднике «Коломенское». Обязательно приходите всей семьей и принимайте участие.

• Билеты на «ИТ-Пикник» можно получить за благотворительный взнос. Для этого нужно зарегистрироваться на сайте. Каждый участник с билетом может бесплатно привести с собой одного взрослого и/или до двух детей. Все деньги, собранные на мероприятии, получат благотворительные фонды, перечисленные на официальном сайте фестиваля.

• Регистрируйтесь и не упустите такую уникальную возможность: https://it-picnic.ru

S.E. ▪️ infosec.work

Наверняка вы слышали про «Операцию Триангуляция» – APT-атаку на iPhone, мишенью которой стали и сотрудники «Лаборатории Касперского».

Немного контекста: используя уязвимости в ядре системы, неизвестные хакеры разворачивали в памяти устройства шпионский имплант, получивший название TriangleDB. Этот имплант не оставляет следов в системе и имеет доступы к файлам устройства, процессам, эксфильтрации элементов связки ключей iOS и передачи данных геопозиционирования, включая координаты, высоту, скорость и направление движения.

В свежем выпуске подкаста «Смени пароль!» эксперты GReAT (Global Research and Analysis Team) «Лаборатории Касперского» рассказали о разоблачении шпионской операции, а ещё поделились инсайтами о работе аналитиков из команды GReAT.

Послушать можно на любых подкаст-платформах, включая Apple Podcast, Yandex.Музыка и YouTube.

АО Лаборатория Касперского LjN8K5Qin

​🧠 Социальная Инженерия. Slowpoke News.

🖖🏻 Приветствую тебя, user_name.

• Тут пишут, что Lapsus$ вывели атаки с подменой SIM-карт на новый уровень. А именно, помимо атак с использованием методов социальной инженерии, ребята компрометируют учетные записи мобильных операторов с помощью инструментов управления клиентами. Такой подход позволил атакующим воздействовать на учетные записи, связанные с работниками Министерства обороны США и ФБР.

• Ну, что тут сказать. Lapsus$ атаковали мобильных операторов еще год назад, когда T-Mobile подтвердила слив исходных кодов и доступ атакующих к их инструментам. А SIM-swap это классический метод #СИ, который является максимально профитным (с точки зрения атакующего) если получается обвести вокруг пальца сотрудника компании сотовой связи.

• Соответственно, я не совсем понимаю, какие "новации" привносит Lapsus$ в данную схему. Хотя, вероятно мы просто не знаем всех деталей и подробностей. Но будем наблюдать, так как схема весьма интересна в своей реализации.

🧷 Новость на RU: https://cisoclub.ru/Lapsus$

• Идём дальше. Вторая новость наиболее изощренная, хотя и является классикой. Цитирую источник: "Эксперты «Лаборатории Касперского» рассказали о новой многоступенчатой схеме телефонного мошенничества. Атаки стали более целевыми, и теперь злоумышленники ссылаются на сферу деятельности жертвы, используют как звонки, так и сообщения в мессенджере. Обычно в начале атак мошенники представляются сотрудниками той сферы, в которой работает потенциальная жертва."

• Проще говоря, жертве поступает сообщение в мессенджере, которое содержит уведомление о "важном" звонке из правоохранительных или контролирующих органов. Для большего доверия, атакующие притворяются коллегами своей цели или рассылают сообщения из ранее угнанных аккаунтов.

• Спустя определенное время, жертве поступает звонок, начинается психологическое давление и цель готовят к следующему звонку от финансовой организации, которые завершают эту цепочку и разводят жертву на деньги.

• В некоторых случаях злоумышленники могут даже убедить человека купить отдельный телефон и SIM-карту и выключить личное устройство (якобы для помощи). Таким образом они прилагают максимум усилий, чтобы жертва не общалась с близкими и не «сорвалась с крючка».

• Как по мне, так очень как то всё сложно. Схема требуется огромное кол-во ресурса, времени и сил для атакующих. А профит может оказаться минимальным.

🧷 Новость: https://xakep.ru/fake-coworkers/

• Тем не менее, всегда думайте на холодную голову и старайтесь проверять информацию, особенно когда дело касается ваших кровно заработанных.

S.E. ▪️ infosec.work ▪️ #СИ