Группировка 8220 атакует Linux-серверы

Новейшая кампания хакеров направлена против Linux-систем (i686 и x86_64), и в ее рамках применяются эксплоиты для удаленного выполнения кода. В частности, хакеры используют для получения первоначального доступа недавно раскрытый баг в Atlassian Confluence (CVE-2022-26134), а также старую уязвимость в Oracle WebLogic (CVE-2019-2725).

После проникновения на сервер, происходит скачивание загрузчика малвари (майнера PwnRig и IRC-бота) с удаленного сервера, однако перед этим предпринимаются шаги, направленные на избежание обнаружения: стирание файлов журналов, а также отключение ПО, отвечающего за мониторинг и безопасность в облаке.

Чтобы закрепиться в системе группировка использует задания cron. Также исследователи отмечают, что загрузчик группы использует сканер IP-портов masscan для поиска других SSH-серверов в сети, а затем брутфорсит SSH при помощи инструмента spirit, написанного на Go, что позволяет малвари распространяться дальше в случае удачи.

​​В сеть утекла база пользователей портала tutu. ru

Эксперты DLBI рассказали, что в открытый доступ выложен файл с данными покупателей билетов на автобус сервиса Tutu. ru.

В файле TutuBusorders содержатся 2 627 166 строк с данными:
- фамилия и имя;
- номер телефона (2,29 млн уникальных номеров);
- адрес электронной почты (2,018 млн уникальных адресов).

Хакеры утверждают, что смогли получить доступ к трем таблицам. Одну он выложил в открытый доступ, другие включают в себя: таблицу зарегистрированных пользователей с их id в системе (23 млн строк, но там только 16 млн с указанной электронной почтой и 7 млн строк с хешами паролей) и таблицу на 32 млн строк с заказами билетов. В последней базе, якобы, есть ФИО, даты рожения, паспортные данные и id пользователей, которые можно сопоставить со второй таблицей.

Тот же самый источник ранее выкладывал базы данных пользователей GeekBrains и "Школы управления Сколково".

В Tutu. ru в курсе ситуации, там проводят расследование факта утечки. Они опубликовали пояснение на Хабре про утечку 👇🏻

Главные новости недели

💧 Утекли данные миллионов пользователей Bean VPN

🪲 В последней версии библиотеки OpenSSL обнаружена опасная уязвимость

🍓 Raspberry Pi Foundation представила Pico W

🌊 Произошла утечка данных OpenSea

🔒 В России готовятся ограничить работу ещё семи VPN-сервисов

​​1 сентября Ubisoft отключит онлайн серверы 15 игр

Компания отключит онлайн серверы устаревших 15 игровых проектов, включая Assassin's Creed II и Splinter Cell: Blacklist.

Пользователям игр с этой даты больше не будет доступен мультиплеер и онлайн-функции в проектах. Ubisoft пояснила, что в некоторых случаях пропадёт возможность получить DLC к игре, вероятно, компания ограничит по этим играм контент из сервиса Ubisoft Connect. Офлайн игры останутся работать, но уже без внутриигровой статистики.

Под вывод из эксплуатации попали тайтлы:
Anno 2070 (ПК);
Assassin's Creed II (ПК, PlayStation 3);
Assassin's Creed 3 2012 Release (ПК, PlayStation 3, Wii U, Xbox 360);
Assassin's Creed Liberation HD (ПК);
Assassin's Creed Revelations (PlayStation 3, Xbox 360);
Driver San Francisco (ПК, PlayStation 3, Xbox 360);
Far Cry 3 2012 Release (ПК, PlayStation 3, Xbox 360);
Ghost Recon Future Soldier (PlayStation 3, Xbox 360);
Prince of Persia: The Forgotten Sands (ПК);
Rayman Legends (PlayStation 3, Wii U, Xbox 360);
Silent Hunter 5 (ПК);
Space Junkies (ПК — HTC VIVE, Oculus);
Splinter Cell: Blacklist (ПК, PlayStation 3, Xbox 360);
ZombiU (Wii U).

Разработан ИИ, способный предсказывать преступления на неделю вперед

Алгоритм с точностью до 300 метров позволяет предсказывать, где будет совершено нападение или кража за неделю до того, как это произойдет c точностью 90%. Алгоритм протестировали в Чикаго, Атланте, Остине, Лос-Анджелесе и других крупных городах США.

К сожалению использовать эту разработку для профилактической возможности – бесперспективно. Дело в том, что при усилении полицейской работы в определенном районе города, там снизится уровень преступности. Следовательно – закладываемые в программу данные изменятся, что отразится на точности прогнозов.

Алгоритм планируется использовать при определении стратегии борьбы с преступниками. Он поможет полиции видеть слабые места в системах контроля за потенциальными злоумышленниками.

Сотрудник HackerOne продавал отчеты белых хакеров об ошибках и уязвимостях компаниям-разработчикам ПО

Сотрудник HackerOne украл отчеты об уязвимостях, отправленные через платформу Bug Bounty, и получил денежное вознаграждение у клиентов платформы. HackerOne — это bug bounty платформа, соединяющая бизнес и исследователей безопасности.

Как дело было раскрыто: HackerOne ответила на запрос клиента о расследовании уязвимости через канал связи вне платформы от пользователя под ником «rzlr». Клиент заметил, что такая же проблема безопасности ранее была отправлена через HackerOne.

Расследование HackerOne установило, что один из ее сотрудников имел доступ к платформе с 4 апреля по 23 июня, и связался с семью компаниями, чтобы сообщить об уязвимостях, уже обнаруженных в системе.

В России возник дефицит запчастей для смартфонов Samsung и Huawei

В авторизованных сервисных центрах (АСЦ), обслуживающих электронику компаний Samsung и Huawei, отмечается дефицит комплектующих

Наиболее остро проблема стоит с дисплеями и аккумуляторами — если в случае с Huawei в АСЦ наблюдается нехватка того и другого, то в центрах, работающих с электроникой Samsung, ситуация может отличаться от локации к локации, а сроки ожидания комплектующих могут превышать неделю. При этом в Samsung заверили, что сами центры работают в штатном режиме. По некоторым сведениям, ввоз комплектующих в Россию осуществляется, но осложнился из-за проблем с логистикой.

0-day уязвимости 2022 года повторяют ошибки 2021 года

Исследователь Google Project Zero Мэдди Стоун сообщает, что 9 из 18 эксплуатируемых уязвимостей нулевого дня являются вариантами ранее исправленных уязвимостей.

«Половину 0-day недостатков можно было бы предотвратить с помощью более комплексных исправлений и регрессионных тестов. Кроме того, четыре уязвимости 2022 года являются вариантами 0-day ошибок 2021 года», - написал Стоун в блоге.

Во многих случаях атаки не были изощренными, и злоумышленник мог воспользоваться уязвимостью другим способом. Например, недавно обнаруженная уязвимость Follina для Windows (CVE-2022-30190) является вариантом CVE-2021-40444 MSHTML.

Google исправила 0-day уязвимость в Chrome, которая используется в реальных атаках

Уязвимость CVE-2022-2294 связана с переполнением кучи в компоненте WebRTC (Web Real-Time Communications). Google не стала раскрывать технические подробности, касающиеся уязвимости, чтобы предотвратить ее дальнейшее использование. Эксперты рекомендуют пользователям обновить браузер до версии 103.0.5060.114.

В Минпромторге заявили, что уход Microsoft из России — это «безусловно позитивный шаг» для отечественных разработчиков. Потому что они смогут занять освобождённые ниши на рынке.

Особенно для win-разработчиков 🤣

40 миллионов японцев остались без связи и мобильного интернета

Японская телекоммуникационная компания KDDI Corp. столкнулась с крупнейшим на сегодняшний день отключением связи. Оно затронуло обычные звонки и мобильный интернет.

Перебои длились с субботы по понедельник. Они нарушили работу метеорологического агентства, банковских касс, платежных автоматов, почтовых служб и множества других организаций.

Причиной отключения связи стало неисправное оборудование.

​​В даркнете продают данные миллиарда граждан Китая

Хакер под ником ChinaDan выставил на продажу несколько баз данных, которые якобы содержат более 22 Тб информации о миллиарде китайских граждан. Злоумышленник оценил этот дамп в 10 биткоинов.

Хакер утверждает, что данные были похищены у Шанхайской национальной полиции из локального частного облака Aliyun (Alibaba Cloud). БД содержит имена, адреса, номера национальных удостоверений личности, контактные телефоны и информацию о нескольких миллиардах судимостей.

В доказательство хакер опубликовал в открытом доступе образец данных, содержащий 750 000 записей. В нем можно найти даже данные о перевозке задержанных и инструкции для водителей.

Журналисты Wall Street Journal решили убедиться в подлинности данных и попытались связаться с людьми, информацию о которых можно найти в этой базе. «Пять человек подтвердили всю информацию, включая детали судебных дел. Еще четыре человека подтвердили основную информацию, такую ​​как их имена», — сообщает издание.

На утечку обратил внимание даже глава криптовалютной биржи Binance Чанпэн Чжао. Эксперты его компании полагают, что причиной утечки стала база ElasticSearch, которую китайское правительство случайно оставило незащищенной. Атака произошла из-за того, что некий правительственный разработчик написал технический пост в блоге на CSDN и случайно забыл скрыть в посте учетные данные.

В Django справлен баг, допускающий SQL-инъекции

Баг CVE-2022-34265 позволял осуществлять SQL-инъекции в основной ветке Django, а также в версиях 4.1 (в настоящее время в бета-версии), 4.0 и 3.2. Чтобы устранить проблему, команда Django выпустила версии Django 4.0.6 и Django 3.2.14.

Уязвимость позволяла злоумышленниками атаковать веб-приложения Django через аргументы, переданные Trunc(kind) и Extract(lookup_name).

«Функции Trunc() и Extract() были подвержены SQL-инъекциям, если в качестве значения kind/lookup_name использовались ненадежные данные, — пишут разработчики. — Приложения, которые ограничивают lookup name и kind известным безопасным списком, проблеме не подвержены».

Хакеры взломали криптоигру Axie Infinity и украли 625 миллионов долларов с помощью фейковой вакансии на LinkedIn. Инженер поверил в предложение от конкурентов с огромной зарплатой. По данным издания, в PDF-файле с оффером оказалось вредоносное ПО. Через компьютер сотрудника оно проникло в системы сайдчейна Ronin, который используется в игре. После этого хакеры и вывели средства.

​​Разработчику ботов и читов для WoT и WoWS дали 2,5 года условно

Разработчик ботов и читов Cyber Tank и Cyber Ship для World of Tanks и World of Warships Андрей Кирсанов выступил на суде с последним словом. Суд озвучил ему приговор — ограничение свободы на срок два с половиной года. Он не сможет выезжать из Екатеринбурга и менять место жительства без согласия госоргана, осуществляющего надзор. Каждый месяц он должен являться к инспектору.

В ходе судебного заседания выяснилось, что в 2014 году дипломированный программист Андрей Кирсанов остался без работы. Он стал подрабатывать ремонтом компьютеров на дому, а в свободное время играл в World of Tanks. Игра его так затянула, что он написал к ней чит, особенностью которого была возможность автоприцеливания в наиболее слабое место брони противника. Ранее Кирсанов создал первую версию бота для игры.

Через некоторое время Кирсанов создал сайт Cyber Tank, через который он продавал доступ к читам и ботам от 25 рублей за 150 боев до 2125 рублей за 15 тыс. боев. На сайте было зарегистрировано более 100 тыс. пользователей.

Кирсанов стал первым в РФ обвиняемым в совершении киберпреступления в области игровой индустрии и продаже собственно созданных вредоносных программных инструментов.

Юристы Wargaming настаивают, что Кирсанов, продавая ботов и читерское ПО пользователям, нанес белорусскому издателю и разработчику компьютерных игр ущерб в 670 млн рублей. Представитель Wargaming заявил, что компания считает создание и продажу программ, нарушающих правила игр и их внутреннюю экономику, таким же преступлением, как кража или мошенничество. Он уточнил, что Wargaming будет противодействовать продавцам читов и разработчикам ботов в правовом поле РФ.

​​NIST утвердил алгоритмы шифрования, устойчивые к квантовым вычислениям

Национальный институт стандартов и технологий США (NIST) объявил победителей конкурса криптоалгоритмов, стойких к подбору на квантовом компьютере.

Победителем среди универсальных алгоритмов, которые можно использовать для защиты передачи информации в компьютерных сетях, выбран CRYSTALS-Kyber, сильными сторонами которого являются относительно небольшой размер ключей и высокая скорость работы. CRYSTALS-Kyber рекомендован для перевода в разряд стандартов.

Из алгоритмов, нацеленных на работу с цифровыми подписями, выделены CRYSTALS-Dilithium, FALCON и SPHINCS+. Алгоритмы CRYSTALS-Dilithium и FALCON отличаются высокой эффективностью. В качестве первичного алгоритма для цифровых подписей рекомендован CRYSTALS-Dilithium, а FALCON ориентирован на решения, в которых требуется минимальный размер подписи. SPHINCS+ отстаёт от первых двух алгоритмов по размеру подписей и скорости работы, но он оставлен в числе финалистов в качестве запасного варианта, так как базируется на принципиально иных математических принципах.

На текущем этапе развития возможностей квантовых компьютеров пока недостаточно для взлома актуальных классических алгоритмов шифрования и цифровых подписей на базе открытых ключей, но предполагается, что ситуация может измениться в течение 10 лет. Необходимо подготовить базу для перевода криптосистем на новые стандарты.

Некоторые исследователи говорят, что вполне вероятно преступники и шпионы национальных государств записывают огромное количество зашифрованных сообщений и копят их на тот день, когда их можно будет расшифровать.

Вредонос AstraLocker прекратил работу

Операторы вымогателя AstraLocker объявили, что вредонос прекращает свою работу и загрузили на VirusTotal инструменты для дешифровки данных. Издание Bleeping Computer подтверждает, что дешифраторы настоящие и в самом деле помогают расшифровать пострадавшие файлы. Также журналистам удалось получить комментарий от одного из операторов вредоноса:

«Было весело, но веселье всегда заканчивается. Я закрываю все операции, дешифраторы в ZIP-файлах, чистые. Я вернусь. На данный момент я завязал с программами-вымогателями и собираюсь заняться криптоджекингом, лол».

Неожиданное прекращение работы AstraLocker может быть связано с опубликованными отчетами ИБ-экспертов, которые изучили вредонос. Это могло привлечь к AstraLocker внимание правоохранительных органов.

Xiaomi могут запретить продавать технику в России

В московский Арбитражный суд обратилась гонконгская компания Smart International Distribution Limited, утверждающая, что права на бренд принадлежат ей. Она требует прекратить продажи устройств Xiaomi.

Компания SIDL требует отдать ей все права на бренд Xiaomi в России. В качестве обоснования такой позиции гонконгская компания заявила, что именно ей принадлежит общемировой товарный знак Xiaomi, под которым SIDL выпускает разную продукцию, которая никак не связана с техникой популярного в России китайского бренда. SIDL специализируется на производстве бижутерии, масок для сна, посуды и др.

Заседание должно состояться 8 августа. Московский Арбитражный суд запросил помощи у властей Китая, чтобы разобраться в сложившейся ситуации.

Шифровальщик Hive окончательно перешел на Rust и стал опаснее

Специалисты Microsoft Threat Intelligence Center назвали Hive одним из самых быстро развивающихся семейств вымогательского ПО. Перейдя на Rust, вредонос получил несколько преимуществ:
- Безопасность по памяти, типам данных и потокам;
- Многопоточность;
- Устойчивость к реверс-инжинирингу;
- Полный контроль над низкоуровневыми ресурсами;
- Широкий выбор криптографических библиотек.