#news По следам истории с XZ Utils всплывают тревожные инциденты аналогичного содержания. Вчера OpenJS Foundation, мониторящая проекты на JavaScript, получила несколько подозрительных писем. Отправители писали о необходимости срочно обновить один популярный проект и исправить критические уязвимости. И запросили права мейнтейнера.

Кроме того, такую же активность отследили в паре других проектов на OpenJS. Во всех случаях подход напоминал перехват управления XZ Utils — в ход шла социнженерия, настойчивые попытки попасть в мейнтейнеры и фейки, с которых поддерживали запрос потенциального крота. В общем, инцидент с XZ Utils явно не разовый. В лучшем случае это имитаторы, стремящиеся повторить нашумевший сценарий. В худшем — опенсорс пестрит такими трудолюбивыми кротами, за персоной которых скрывается госгруппировка с далеко идущими планами.

@tomhunter

#news К уязвимости в файрволах от Palo Alto Networks на произвольное выполнение кода опубликовали рабочую проверку концепции. Плохие новости для 82 тысяч уязвимых устройств, из которых 40% в Штатах и их часть — в засекреченных и госсетях. CISA требует у госструктур поставить патчи до 19 апреля. Что довольно оптимистично — исправления пока ещё доступны не для всех сборок. Одна получит хотфикс аккурат девятнадцатого.

Более того, внезапно обнаружилось, что отключение телеметрии и функции GlobalProtect на митигацию не тянет — устройства по-прежнему уязвимы. Так что единственным вариантом остаётся накатывать хотфиксы. И не затягивать с этим: с учётом публично доступной PoC к эксплойту от госгруппировки теперь могут присоединиться все желающие. Между тем это уже четвёртая уязвимость в SSL VPN за 2024-й. По одной на каждый месяц. Так и живём.

@tomhunter

#news Неутешительные новости из ежегодного отчёта Imperva Bad Bot: в 2023-м почти половина (49,6%) трафика в сети вновь пришлась на боты. Годом ранее было на 2% меньше. Кроме того, вырос трафик вредоносных ботов: теперь это треть от всего объёма, рост пятый год подряд. Их источник предсказуемый: языковые ИИ-модели способствуют генерации простых ботов.

Однако растёт и число продвинутых ботов, имитирующих поведение реальных людей и обходящих защиту. Также выросло число атак на перехват аккаунта, почти половина идёт по API-интерфейсам. А вот доля реальных пользователей ожидаемо снижается. Так что вскоре боты могут уже существенно превзойти долю трафика, приходящуюся на людей. В общем, конспирологическая теория мёртвого интернета не существует, но продолжает активно воплощаться в реальность.

@tomhunter

#news UnitedHealth Group подсчитывает убытки после рансомварь-атаки Black Cat по своим системам. Суммы впечатляющие: на текущий момент это $872 миллиона, $593 миллиона на устранение последствий атаки и $279 миллионов из-за нарушения работы.

Ожидается, что общая сумма убытков превысит миллиард долларов, а её последствия будут сказываться на финансах компании вплоть до конца года. Потенциальный слив украденных данных медгиганта также вряд ли добавит веса его акциям. Как сообщает гендиректор, реагирование на атаку было быстрым и эффективным. Формулировка интересная: быстро и эффективно разве что весь финсектор здравоохранения целой страны впал в кому, и последствия атаки всё ещё устраняют два месяца спустя. Но что ещё может сказать CEO многомиллиардной компании. Не про вложения полпроцента от доходов в инфобез, чтобы инциденты таких космических пропорций не повторялись, ему говорить.

@tomhunter

#news В платформе OpenMetadata нашли пять уязвимостей, которые эксплойтят для обхода аутентификации и RCE. Конечной целью является доступ к Kubernetes и установка криптомайнеров с сервера в Китае. Атаки идут с начала апреля.

Microsoft рекомендует проверить кластеры с OpenMetadata на предмет подозрительной активности и накатить свежую версию. Анализ атаки здесь. Между тем злоумышленник оставляет записку интересного содержания. В ней он доверительно сообщает, что не хочет никому вредить, но ничего не может поделать — жильё в Китае ему не по карману, да и машину хочется купить. Проникшимся его бедой кубовладельцам предлагает прислать Monero в помощь бедному китайскому хакеру. Заманчиво, не правда ли?

@tomhunter

#news К оригинальным новинкам инфоброкерства: сервис Spy Pet скрапит сообщения пользователей Discord на серверах, собирает их в файл и предоставляет всем желающим. В базе 3 миллиарда сообщений от 600 миллионов пользователей с 14 тысяч серверов. Цены более чем демократичные: поиск по одному юзеру обойдётся всего в 10 центов.

Запрос в базу отображает сервера, в которых состоит пользователь, привязанные аккаунты с других сайтов и таблицу с сообщениями. Инструмент несовершенный, так как он охватывает лишь часть серверов. Разработчики же с маркетингом совсем не стесняются: «федеральные агенты в поисках новых источников информации, пишите». И ведь напишут. Discord уже сообщил, что ведёт расследование в отношении Spy Pet. С одной стороны, идут жалобы на грубое нарушение приватности. С другой, находчивые инфоцыгане в сущности просто прикрутили к Дискорду рабочий поиск.

@tomhunter

#news У российских архитекторов добавилось седых волос: AutoCAD перестал запускаться в России. Причём, похоже, и пиратские версии — пользователи видят плашку «Используемая лицензия недействительна». Так что кто-то плохо читал на Рутрекере, какие айпишники нужно блокировать, чтобы AutoCAD не стучал по серверам. А кто-то надеялся, что «бессрочную» лицензию не отзовут по айпи.

Напомню, Autodesk ушла из России в конце 2022-го, а в марте этого года разослала письма бывшим клиентам с требованием прекратить пользоваться софтом. Ну а теперь его массово отключили даже тем, кто с ехидным подхихиком качал пиратские версии, приговаривая что-то там про санкции. Как обычно, западные компании на острие импортозамещения. Увы, юзеры переходить на отечественное не спешат и мгновенно нашли несколько костылей, чтобы продолжать пользоваться недружественным софтом.

@tomhunter

#news В отсутствие прежних антигероев рансомварь-сцены время обратить внимание на потенциальных кандидатов в топ. ФБР и компания обновили информацию о группировке Akira и сообщают, что уже на 1 января 2024-го связанные с ней злоумышленники взломали больше 250 организаций и получили около $42 миллионов выкупа.

Akira всплыла в марте 2023-го и быстро обрела известность. Ранние версии энкриптора были на C++, но уже с прошлого августа у них код на Rust. В арсенале группировки также версия под VMware ESXi. А запрашиваемые выкупы разнятся от $200 тысяч до нескольких миллионов. С учётом образовавшегося в рансомварь-мире вакуума после приключений LockBit и BlackCat, у Akira есть все шансы переманить разбежавшихся партнёров последних и пробиться на вершину. Подробнее об активности группировки в отчёте от безопасников в погонах.

@tomhunter

#news По сети гуляет новый вариант Redline Stealer под видом читкодов для популярных игрушек. Он использует LuaJIT-байткод для обхода обнаружения — в ZIP-архиве MSI-установочник и компилятор под байткод в текстовом файле. А лежит всё это по ссылкам, связанным с репозиторием Microsoft «vcpkg» на GitHub — видимо, для придания легитимности.

В комплекте идёт и интересная социнженерия. «Поделись программой с другом, чтобы разблокировать полную версию». Иными словами, поучаствуй в распространении вредоноса. Как сообщают злоумышленники, его распространение помогает им развивать софт, и они за это будут очень благодарны. Благодарим за поддержку, извините за неудобства. В сущности даже ведь и не врут. Но друзья спасибо за такое письмо счастья, конечно, не скажут.

@tomhunter

#news К вопросу о том, как Redline Stealer обзавёлся ссылками с репозиториев Microsoft. Прикреплённые в комментариях на GitHub файлы грузятся в CDN платформы и получают связанную с проектом ссылку с указанием репозитория и её владельца.

Более того, ссылка генерируется сразу после прикрепления. То есть злоумышленнику даже не нужно оставлять комментарий. Спуфинг здесь ограничен только фантазией. А вот с митигацией не очень: нет ни возможности проверить, какие файлы прикреплены к проекту, ни убрать их. Максимум, владелец репы может временно закрыть комментарии, что на жизни проекта скажется не в лучшую сторону. В общем, интересный нишевый баг в ожидании фикса. Ну или не менее занятная фича, столкнувшаяся с абьюзом. Кому какой вариант больше нравится. Пока в виде костыля, судя по сообщениям юзеров, на GitHub поставили удаление файлов из CDN из неотправленных комментов через пять минут.

@tomhunter

#news Ещё одно громкое имя с рансомварь-сцены уходит в прошлое. А точнее, в ребрендинг: операторы HelloKitty сменили название и теперь будут известны как HelloGookie. В честь предполагаемого разработчика под ником Gookee/kapuchin0.

В честь запуска новой операции злоумышленники слили несколько ключей, стянутые у Cisco в 2022-м внутренние данные, а также пароли к исходникам Gwent, Witcher 3 и Red Engine. Энтузиасты уже скомпилировали Ведьмака из 450 GB утёкших данных и получили девелоперский билд симулятора восточноевропейской глубинки. Атака по CD Project в феврале 2021-го стала первым крупным взломом группировки и на его релизе история бренда и заканчивается. Добьются ли злоумышленники тех же успехов под новым именем, покажет время. Пока новых жертв на свежем сайте группировки нет.

@tomhunter

#news В январе этого года госгруппировка скомпрометировала 1,700 компаний с помощью двух нулевых дней в Ivanti VPN. И среди них оказалась, предположительно, самая подготовленная к атакам: MITRE. Происшествие из ряда вон выходящее, так что от MITRE поступило видеопослание.

В нём представитель компании сообщает, что они приняли все предложенные поставщиком меры по митигации, а также следовали всем указаниям от госрегуляторов. Но этого оказалось недостаточно. По итогам MITRE призывает налегать на принцип «secure by design», повышать безопасность цепочек поставок и переходить на архитектуру нулевого доверия, особенно на микросегментацию сетей. Также активное противостояние атакам, оно же adversary engagement, должно стать рутинной частью ИБ. В общем, повод, конечно, неприятный, но месседж более чем уместный. Кто бы ещё его на практике начал применять.

@tomhunter

#article Опубликовали подборку лучших бесплатных OSINT-инструментов по версии T.Hunter в 2024-м году. В ней и уже знакомые сервисы и софт, сохранившие свои позиции с прошлых лет, и новые инструменты, которые будут полезны любому специалисту по OSINT.

Кроме того, в статье нашлось место и альтернативам софту, доступ к которому россиянам теперь закрыт. От старого-доброго Архивариус 3000 до Arkham Intelligence, перспективных отечественных разработок и наших собственных решений. За подробностями добро пожаловать на Хабр!

@tomhunter

#news Хранилищем ссылок на малварь в чужих проектах может послужить не только GitHub: на GitLab предсказуемо обнаружили ровно ту же проблему. Файлы из комментариев грузятся в CDN и предоставляют ссылки с названием проекта и его владельца.

Иными словами, злоумышленник может получить убедительно выглядящую ссылку со своей малварью и от GitLab. Например, под видом установщика драйвера от NVIDIA с их репозитория. Комментариев платформы пока не дают, Microsoft тоже залитый в свои репозитории вредонос никак не комментируют. Между тем один безопасник рассказывал про активный абьюз фичи на GitHub на своём стриме ещё месяц назад. Но пока об этом не раструбят журналисты по всей ИБ-индустрии, конечно же, шевелиться никто не начнёт.

@tomhunter

#news Начало года для рансомварь-группировок не задалось: выплаты выкупов в первом квартале упали до рекордных 28% от взломанных компаний. Тренд на уменьшение медленно, но верно продолжается с 2019-го года. Кроме того, средние суммы выкупа снизились на треть, но при этом на четверть выросли медианные — меньше джекпотов для злоумышленников.

В топе прошлого квартала ожидаемо Akira, также засветилась Black Basta. Удар по LockBit от ФБР и экзит-скам BlackCat ощутимо сказались на всей рансомварь-сцене: от LockBit остались жалкие 9% рынка, а многие партнёры группировок разбежались на фоне разборок вокруг выплат. Вслед же за утратой доверия RaaS-операциями растёт число рансомварщиков на вольных хлебах — было замечено больше атак от форков Babuk и Dharma/Phobos. Подробнее о трендах прошлого квартала в отчёте.

@tomhunter

#news Новости от группировки Scaly Wolf, охотящейся за корпоративными и госданными в РФ. На этот раз курьёзные. Свежая фишинговая кампания злоумышленников не сложилась. Начало хорошее: вместо простого ZIP-файла с малварью у них шёл загрузчик, который должен был дропнуть инфостилер White Snake в «Проводник». Увы, товарищи просчитались. Но где?

А разгадка проста: как утверждают исследователи, в Scaly Wolf всё перепутали, и вместо вредоноса в систему копировался просто легитимный explorer.exe. Иными словами, даже в случае успеха фишинга компрометация систем бы не задалась. Куда в процессе сборки малвари делся инфостилер, неизвестно. Может, трудолюбиво собирает данные с машины горе-злоумышленника.

@tomhunter

#news Блокчейн от Telegram и его токен обзавёлся собственным Мавроди на минималках. Мошенники продвигают заработок крипты на «суперсекретном бустер-боте» через видео на русском и английском языках. Мечтающим о криптобарышах предлагают купить от 5 до 500 TON (~30-3000 долларов), а затем завести их в бота с комиссиями до 70%. Но на этом приключения юзера не заканчиваются — дальше его ждут реферальные ссылки.

Скамеры призывают создать группу в Telegram, пригласить в неё минимум пять друзей и поделиться схемой. За каждого приглашённого манят выплатами в 25 TON и процентами с тарифов. В общем, классика финансовой пирамиды, только в этот раз не платится ничего и никому — всё уходит мошенникам. Так что если давно пропавший друг внезапно начнёт названивать и зазывать в чудесную криптосхему, не ведитесь. Лучше дайте ему ссылку на статью.

@tomhunter

#news Сальвадор отметился инновациями в плане признания биткоина платёжным средством, но вот с достижениями в ИБ у них не очень. На BreachForums в открытый доступ выложена часть исходников госкошелька Chivo от правительства страны. Плюс данные VPN для доступа к банкоматам.

Всё это идёт по следам утечки данных из кошелька на 5,1 миллиона сальвадорцев в начале апреля — почти всё взрослое население страны. Которое активно зазывали на платформу, продвигая государственные криптомечты и заманивая граждан выплатами в 30 баксов в битках. Правительство Сальвадора в итоге не придумало ничего лучше, кроме как запоздало назвать утечки фейковыми новостями. То, что в сливе ввиду KYC-политики оказалось фото каждого жителя страны с криптокошельком, их никак не смутило.

@tomhunter

#news Крестовый поход Минюста США против криптомиксеров продолжается: уже обыденная новость о закрытия очередной площадки. В этот раз под раздачу попал Samourai. Двое владельцев арестованы, домены перехвачены, а приложения из Play Store убрано Гуглом после получения ордера на арест.

Сервисы Samourai были активны с 2015-го года, за это время через них прошли больше $2 миллиардов в крипте: от наркомаркетов, киберпреступников и подсанкционных режимов — всё как полагается. Один из владельцев был арестован в США, другого экстрадируют из Португалии. Им светит привычные статьи по отмыванию денег и их незаконному переводу. Как и в случаях с другими криптовалютными ландроматами, отговорки «У нас приватный сервис и за тех, кто им пользуется, мы не отвечаем» операторам не помогли.

@tomhunter