#news ФБР отжало сайты Hive в дарквебе. В прошлом июле бюро проникло на их сервера у хостера в Калифорнии и полгода следило за операциями. За время операции агенты разослали 1,300 декрипторов жертвам группировки и сохранили им как минимум $130 миллионов. Помимо этого, в руках у ФБР оказались переписки злоумышленников, хэши малвари и информация по 250 сообщникам Хайва.

На этом проблемы Hive не заканчиваются. ФБР предлагает $10 миллионов за инфу о связях группировки с иностранными правительствами. Какими, догадаетесь сами. Ну а пока Hive отправляется в нокаут. Любители чертовски хорошего кофе разворошили улей на отличненько.

@tomhunter

На нашем Хабре новая статья. Сегодня мы поговорим про платформу Fragment, блокчейн-технологию TON и идентификацию пользователей. Интересно узнать, как эта связка позволяет деанонимизировать юзеров в Telegram? Тогда добро пожаловать на наш Хабр!

@tomhunter

#news Начинайте неделю с увлекательных утечек: в Штатах слили No Fly List – список людей, которым запрещено летать самолётами. В сливе два файла от 2019-го года: чуть больше 1,5 миллионов строк для тех, кому полёты не светят вовсе, и 250 тысяч счастливчиков, которые проходят дополнительный осмотр.

Утекли файлы с неверно настроенного AWS-сервера авиалинии CommuteAir; базы слил швейцарский хакер под ником maia arson crimew. В списках ФИО, возможные псевдонимы и дата рождения. Данные не засекречены, но для чужих глаз, естественно, не предназначены, и в публичном доступе всплыли впервые. Так, в No Fly List засветился небезызвестный товарищ Виктор Бут с 16 псевдонимами. Но так как файлы слегка устаревшие, увы, все пополнившие его за прошлый год имена мы не узнаем.

@tomhunter

#news В полку инфостилеров пополнение: в сети продвигают Titan Stealer на Golang. Впервые он был замечен в ноябре прошлого года, а сейчас пошёл в народ. Кража данных с браузеров, кошельков, Steam, Telegram, скриншоты, куки, логи, стянутые файлы – функционал стандартный. Вредонос инджектится в AppLaunch.exe через process hollowing.

Малварь идёт в виде билдера для сборки под запросы клиента, в комплекте веб-панель для доступа к стянутым данным. И судя по рекламирующему Titan Stealer русскоязычному каналу, разработка отечественная. Народные умельцы начали предлагать пожизненную подписку на своё поделие за скромные 800 баксов, так что можно порадоваться за предприимчивых соотечественников. Ну а хэши, домены, IoCs и прочие подробности по ссылке.

@tomhunter

#news Киберпреступные группировки всё больше перенимают черты обычного бизнеса. Так, в ход идут привлекательные месячные оклады: больше всех в этой среде получают разработчики, спецы по атакам и реверс-инжинирингу. Часть группировок (8% исследованных вакансий) даже предлагают оплачиваемые отпуска и больничные. И хотя риски тут очевидны, оклады до 20к долларов неизбежно манят в дарквеб безработных любителей больших денег и Shadowrun-романтики.

Рекрутинговые процессы не менее интересны. Некоторые внезапно ждут CV или портфолио, каждый четвёртый проводит собеседования. В одной вакансии нужно за 24 часа зашифровать DLL-ку, чтобы её не обнаруживали антивирусы. В другой за возню с тестовым обещают около 300 баксов в битках. С одной стороны, слать резюме на должность киберпреступника как-то странно. С другой, 300 баксов – это 300 баксов!

@tomhunter

#news У Гитхаба в начале декабря стянули несколько сертификатов со взломанных репозиториев, два под винду и один маковский. Злоумышленник клонировал репозитории приложений Atom и Desktop с помощью скомпрометированного токена. Помимо сертификатов ничего не пострадало, но для подстраховки Гитхаб их отзовёт.

В итоге это затронет версии Desktop 3.0.2-3.1.2 под Макось и Atom 1.63.0-1.63.1. Desktop нужно обновить до свежей версии от 4 января, а вот Atom потребует даунгрейда. Так что если пользуетесь чем-то из этого, обратите внимание – уже второго февраля сертификаты, которыми они подписаны, отвалятся вместе с самими приложениями.

@tomhunter

#news Майкрософт делится подробностями своей работы по рансомвари. Так, на конец 2022-го их специалисты остлеживают больше ста группировок и пятидесяти засылаемого ими вредоноса. Из интересного, злоумышленники понемногу отходят от фишинга и переключаются на другие методы компрометации систем.

Активнее всего группировки используют вредоносную рекламу, включая абьюз Google Ads. Другие засылают малварь под видом обновлений через FakeUpdates. Третьи и вовсе работают по свежим уязвимостям: к примеру, у Cuba и Play в качестве вектора атак эксплойты под Exchange Server. Между тем больше 60,000 серверов всё ещё не патчены под ProxyNotShell, а тысячи – под саму ProxyShell и ProxyLogon. Ну, действительно, зачем накатывать патчи, когда можно просто заплатить пару миллионов выкупа.

@tomhunter

#news Исследователи обнаружили малварь под Redis-сервера, которая прописывается в памяти и майнит Monero. Скрытный вредонос оставался незамеченным с 2021-го и заразил не меньше 1,200 серверов, а на его сэмплы ноль реакции на VirusTotal.

Малварь работает через процессы Redis, ничего не пишет на диск и стучит только по легитимным серверам, в основном тем же заражённым. Что занятно, во вредоносе нашлась записка, в которой злоумышленник называет его Headcrab’ом, добывающим базовый безусловный доход для людей с инвалидностью. А также ведёт в ней миниблог, где оставил заметку с критикой предыдущего поста этих же исследователей о другой Redis-малвари. И благодаря комменту они поняли, что накосячили с её принципами работы. Что сказать, хедкраб познавательный. И Монеро добудет, и разбор полётов устроит.

@tomhunter

#news Продолжается сезон новинок из мира малвари в рекламе от Гугла. Так, в ней обнаружили относительно старый инфостилер Formbook, в котором использована KoiVM-виртуализация для обхода обнаружения. Для обфускации вредоноса фреймворк используют редко, и, видимо, новые трюки – побочный эффект отключения макросов в офисных приложениях.

Помимо вороха фич для обхода статического обнаружения и девиртуализации, малварь также ловко прячет свою инфраструктуру. Чтобы сбить с толку анализ трафика, инфостилер случайным образом стучится на 17 доменов из захардкоженного списка, из которых только один – её С2-сервер. И всей этой радостью юзер может обзавестись, просто загуглив Blender 3D. Доставка малвари до адресатов ещё никогда не была настолько удобной.

@tomhunter

#news На выходных по ESXi-серверам ударила мощная рансомварь-атака. Злоумышленники использовали RCE-уязвимость двухлетней давности на переполнение памяти кучи. Уязвимы версии до 7.0 U3i, для блокировки атак на непатченных серверах нужно отключать SLP.

Между тем скомпрометированы уже оказались не менее 3,200 серверов по всему миру. Рансомварь шифрует .vmxf, .vmx, .vmdk, .vmsd, и .nvram-файлы и якобы стягивает зашифрованные данные, но по этому до конца не ясно. Судя по энкриптору, шифрование толковое, и на баги в нём надежды нет. Основан зловред на утёкших в 2021-м исходниках Babuk. Техдетали и подробности по ссылкам. Берегите свои виртуалки!

@tomhunter

#news Из Франции подоспела новость об аресте небезызвестного финского товарища Юлиуса Кивимяки. Он скрывался с октября 2022-го, после того как его объявили в розыск в связи со взломом онлайн-сервиса психотерапии Vastaamo, наделавшим немало шума в Финляндии.

Напомню Юлиуса, он же zeekill, отличился тем, что в 2015-м году был признан виновным в 50 тысячах киберпреступлений в составе Lizard Squad, но тогда он отделался двумя годами условно в силу несовершеннолетия. Сватинг, ложные сообщения о бомбах, взломы, вымогательство — с тех пор послужной список Кивимяки только рос. Ну и приняли его во Франции тоже симптоматично: полиция прибыла на вызов о домашнем насилии по следам знакомства нашего антигероя с дамой в клубе. В 2015-м он окрестил себя «‎хакерским богом, которого нельзя посадить». Ну а теперь наивного финского мальчика ждёт довольно суровое возвращение в реальность.

@tomhunter

#news Группировка Clop уже светилась в курьёзных историях. И вот ещё одна: их ранняя версия рансомвари под Линукс оказалась забагованной. Это позволило жертвам последние пару месяцев расшифровывать свои данные бесплатно благодаря спецам из SentinelLabs.

Как выяснили исследователи, рансомварь не шифрует свои RC4-ключи, как в варианте под Винду. Главный ключ просто захардкожен в зловреде, генерирует ключ шифрования, им же дешифрует и хранит его локально в зашифрованных файлах. Валидацию для дешифровки он тоже не проходит. Помимо этого, малварь пишет в файл данные о его размере и дате шифрования, что тоже облегчает дешифровку. Обфускации и обхода обнаружения пока тоже не завезли. В итоге для работы по клоповьему поделию достаточно простенького скрипта на Питоне. С такими безумными умениями лавры уровня LockBit ребятам явно не светят.

@tomhunter

#news Агентство CISA выложило скрипт для восстановления ESXi-серверов, пострадавших в рансомварь-атаке на прошлых выходных. Несмотря на то, что вредонос ESXiArgs затронул тысячи машин, атака была не особо успешной – рансомварь не шифровала flat-файлы.

Это и позволяет пересобрать виртуальные сервера из незашифрованных файлов. Скрипт для автоматизации процесса выпустили по следам метода, предложенного спецами из YoreGroup Tech Team. Скрипт подчищает зашифрованные данные и восстанавливает vmdk-файлы из незашифрованных flat-файлов. Так что владельцы затронутых атакой машин получают редкую возможность выдохнуть и избежать танцев с бубном вокруг своих виртуалок. Если вы вдруг в их числе, скрипт на Гитхабе.

@tomhunter

#news Наш соотечественник, Денис Дубников, находящийся под судом в США, признал себя виновным в отмывании денег для операторов рансомвари Ryuk, позже известных под брендом Conti. На протяжение трёх лет с 2018-го по 2021-й участники схемы отмыли не меньше $70 миллионов. Cооснователь обменников криптовалют Coyote Crypto и Egg Change, Дубников перегонял полученные биткоины в Tether и другую криптовалюту, которые затем выводили в юани. В одном из случаев в 2019-м битки отследили до выплаченного американской компанией выкупа, на том он и погорел.

Дубников был экстрадирован в Штаты в августе прошлого года из Нидерландов, где его арестовали в ноябре 2021-го. Приговор вынесут 11 апреля, и по совокупности обвинений ему грозит до 20 лет тюрьмы и полумиллиона долларов штрафа. И Ryuk, и Conti уже ушли с рансомварь-сцены, а их сообщникам ещё только предстоит платить по счетам. И поделом.

@tomhunter

#news В США и Великобритании под санкции попали семеро россиян за участие в работе группировки TrickBot. Их малварь, в частности, использовалась в рансомварь-операциях Ryuk и Conti, авторы которых позже перехватили управление их зловредом.

Семеро счастливчиков лишатся всей собственности и финансов в Штатах и Великобритании. Им предъявлены обвинения в разработке малвари, мошенничестве, отмывании денег и далее по списку. Более того, гражданам и компаниям теперь запрещено переводить им средства, включая выкупы по рансомвари, и за это грозит ответственность. А это в свою очередь может серьёзно сказаться на выплатах группировкам, в которых осели члены Conti после распада. С именами и достижениями омерзительной семёрки в составе TrickBot’a можно ознакомиться по ссылке выше.

@tomhunter

#news Реддит сообщает, что подвергся серьёзному взлому в прошлое воскресенье. Он стал результатом фишинговой атаки: через подставной сайт под видом одного из корпоративных Реддита украли данные сотрудника и токены двухфакторки.

Злоумышленники получили доступ к корпоративным системам, стянули внутренние документы и исходники. В компании говорят, что основная девелоперская среда, которая крутит шестерни инфернальной Реддит-машины, не пострадала. Так что любители набрать жирных апвоутов на свои остроумные комменты могут выдыхать. Подробностей фишинговой атаки Реддит не приводит, но ссылается на недавний похожий взлом Riot Games. Так или иначе, как обычно, хватило одного слабого звена в команде.

@tomhunter

Опубликовал наш традиционный дайджест инфобез-новостей за ушедший месяц. Январь выдался богатым на яркие события в мире информационной безопасности: сегодня у нас об утечке из «‎Яндекса», перехвате ФБР сайтов группировки Hive, взлом Налоговой службы США пророссийской Killnet, запоздалое рождественское раскаяние от LockBit и прочее увлекательное. За подробностями добро пожаловать на наш Хабр!

@tomhunter

#news У регистратора доменов NameCheap взломали почту и устроили через неё рассылку подписанных DKIM фишинговых писем от лица DHL и MetaMask. Целью атаки были личные данные и криптокошельки, и письма просочились через спам-фильтры. В итоге после потока жалоб от юзеров в Твиттере NameCheap экстренно отключила доставку всех имейлов, пока разбиралась со взломом.

В компании утверждают, что их системы не взламывали и винят почтового провайдера, Twilio SendGrid, связывая инцидент с декабрьским отчётом об утечке API-ключей из мобильных приложения. Те в свою очередь тоже отрицают взлом. Пока обе компании заняты переводом стрелок и от дальнейших комментариев отказываются.

@tomhunter

#news В Испании арестовали девять участников киберпреступной группировки, укравших более $5 миллионов у жертв в в американских компаниях всего за год. Злоумышленники специализировались на фишинговых письмах и смс для кражи банковских данных. Со счетов жертв покупали предметы роскоши и выводили деньги на подставные счета.

Что забавно, для прикрытия операций злоумышленники хранили купленную роскошь под видом бутика по её продаже. Такое вот киберпреступное логово с награбленным. Между тем полиция Испании сообщает любопытный факт: каждое пятое правонарушение в стране совершают онлайн, и с 2019-го число киберпреступлений выросло на 72 процента. Так что за время пандемии не только порядочные сотрудники массово перешли на удалёнку.

@tomhunter

#news К новинкам малвари: исследователям попался находящийся в активной разработке инфостилер Beep. Что выделяет зловред на фоне остальных, так это работа, проделанная по обходу обнаружения: в нём набралось два десятка фич для избегания анализа.

Так, малварь может похвастаться динамичной деобфускацией строк, многочисленными проверками на дебаг и сэндбокс, отслеживанием процессорного времени и ключей реестра для обхода виртуалок и многим другим. Причем половина фич самого инфостилера ещё не дописана, что как бы намекает на приоритеты разработчика. Малварь также проверяет язык системы и отключается, обнаружив полдюжины СНГшных языков, включая русский и украинский, так что разработка, видимо, отечественная. Что сказать, талантами не оскудеваем. Подробнее о скрытном вредоносном новичке по ссылке.

@tomhunter

#news Ответственные за инфобез из железнодорожной компании Eurostar серьёзно относятся к своей работе. Так что для улучшения безопасности они разослали пользователям письма с требованием сбросить пароли к аккаунтам. При заходе в них юзеры также видят плашку о смене пароля. Вот только при попытке сбросить пароль получают «‎У нас технические проблемы, попробуйте позже», и в сущности лишились доступа к аккаунтам. И так уже несколько дней.

Компания винит в проблемах с сайтом техработы и советует чистить куки. Не помогает никому. Ну а пароли якобы сбросить не могут, потому что от потока желающих это сделать сервера немного приболели. Между тем в прошлый раз сброс паролей Eurostar запрашивала в 2018-м после взлома. Положить свой сайт самостоятельно или прикрывать очередной возможный взлом фиговым листком техработ? Даже не знаю, что из этого звучит более неловко.

@tomhunter