#news Крестовый поход Минюста США против криптомиксеров продолжается: уже обыденная новость о закрытия очередной площадки. В этот раз под раздачу попал Samourai. Двое владельцев арестованы, домены перехвачены, а приложения из Play Store убрано Гуглом после получения ордера на арест.

Сервисы Samourai были активны с 2015-го года, за это время через них прошли больше $2 миллиардов в крипте: от наркомаркетов, киберпреступников и подсанкционных режимов — всё как полагается. Один из владельцев был арестован в США, другого экстрадируют из Португалии. Им светит привычные статьи по отмыванию денег и их незаконному переводу. Как и в случаях с другими криптовалютными ландроматами, отговорки «У нас приватный сервис и за тех, кто им пользуется, мы не отвечаем» операторам не помогли.

@tomhunter

#news Интересные новости по ботнету PlugX. Оставшийся без контроля операторов троян удалённого доступа продолжает распространяться по сети. Исследователи выкупили связанный с ним айпи, и за полгода по нему постучало 2,5 миллиона уникальных адресов. Так что червь потенциально активен на миллионах устройств.

С учётом того, что при желании управление ботнетом можно перехватить, а в случае его отключения на заражённых машинах он может заново распространиться с флешек и иных носителей, исследователи оказались перед непростым выбором. Один из вариантов — отправка нагрузки, которая почистит и подключённые флешки. В итоге остановились на концепции «суверенной дезинфекции»: решение по деактивации передано в национальные организации по кибербезопасности. Им предстоит определиться, что делать с бродящим по системам их стран призраком китайского кибершпионажа.

@tomhunter

#news Пятничные новости бытовых инфобез-коллизий от стремительно развивающегося мира ИИ-моделей. В США гендиректор школы чуть не лишился работы и свободы, после того как всплыли записи его голоса с расистскими высказываниями. Но анализ показал, что они были созданы с помощью ИИ.

Как выяснилось, голосовые подделал подчинённый из-за конфликта на работе. Судя по всему, находчивый товарищ на записях голоса жертвы натаскал ИИ язвить про евреев и прочие святыни первого мира. Если бы не тщательная проверка от ФБР, гендиректора отменили бы быстрее, чем он успел бы произнести «Многообразие — это наша сила». Злоумышленник отправлял записи с почты на айпи в доме своей бабушки, его арестовали при попытке сбежать, хэппи энд. Но перед нами в полный рост встаёт давно уже поднятый фантастами вопрос: что будет, когда никакой тщательный анализ уже не отличит такую подделку от реальности? Что ж, скоро узнаем.

@tomhunter

#news Сервис Spy Pet для скрапинга сообщений юзеров Discord получил вердикт от платформы: связанные с ним аккаунты были заблокированы. Кроме того, компания рассматривает вариант с судебным иском против владельцев.

Также предсказуемо выяснилось, что сервис работал на элементарных принципах. Боты Spy Pet присоединялись к открытым серверам, и через них скрапили сообщения пользователей. По следам чистки от Discord с 14 тысяч серверов, набитых ботами-шпионами, их число сократилось до нуля. Владельцы Spy Pet уже создали резервный домен и, очевидно, постараются восстановить сервис. В свете потенциального иска это чревато. Однако на фоне поднявшейся шумихи можно ожидать появления и более продвинутых услуг подобного рода. Как для желающих посталкерить интернет-подружку из Дискорда, так и для ловцов сетевых экстремистов.

@tomhunter

#news Интересная ИБ-инициатива от японской полиции. Для защиты пожилых людей от мошенников из техподдержки в магазинах одной из префектур появились специальные макеты платёжных карт. С говорящими названиями «Платёжная карта для удаления вируса-трояна» и «Карта для оплаты просроченных счетов».

Подразумевается, что пришедший за платёжной картой пенсионер возьмёт такую и отправится с ней на кассу. Где продавец сообщит ему, что тот стал жертвой обмана. Работникам магазинов положен бонус за участие в программе, так что на бумаге это должно помочь и находить жертв, и отслеживать скамеров. Как быстро к этому адаптируются злоумышленники, сказать сложно. Но результаты есть: пару пожилых людей уберечь уже удалось. Как выяснилось, с такой картой убедить упрямого японского пенсионера, что ему звонят совсем не из техподдержки, немного проще.

@tomhunter

#news Из Великобритании обычно приходят курьёзные ИБ-новости, но в этот раз для разнообразия подоспело что-то конструктивное. Хоть и опять про запреты. Согласно новому закону, на умных устройствах запрещены простые дефолтные пароли. Как минимум, они должны быть уникальными.

От производителей требуют не только перестать поставлять готовые звенья ботнетов. Также они должны предоставить контакты, по которым можно сообщить об уязвимостях, и юзеров нужно уведомить, как долго их устройства будут получать обновления. Телевизоры, колонки, смартфоны, вплоть до умных холодильников и термостатов — всё это должно обзавестись минимальным стандартом безопасности. Ну а нежелающих следовать новому закону ждёт штраф до $12,5 миллионов или 4% годовых. Своеобразный налог на ИБ. Точнее, её отсутствие.

@tomhunter

#news UnitedHealth в США отчитывается перед комиссией за взлом своих систем. Подробности интересные. По всей стране падает платёжная система здравоохранения, несколько месяцев лежит в ступоре, дважды выплаченный выкуп, под миллиард долларов убытков… Кто виноват? Украденная учётка от Citrix, на которой не было MFA.

Именно через неё злоумышленники получили доступ к системам. Как сообщают, по следам атаки IT-отдел компании заменил тысячи устройств и пересобрал всю сетевую инфраструктуру дата-центра. В общем, титанических масштабов взлом, отозвавшийся по всей стране. А виной тому слабое звено в виде отсутствовавшей на одном украденном аккаунте двухфакторки. Новость в копилку «Как объяснить обывателю, зачем нужен инфобез».

@tomhunter

#news Docker Hub ставит рекорды по числу репозиториев с вредоносом: исследователи насчитали 2,8 миллиона — в них спам, малварь, фишингововые сайты. Суммарно это составляет почти 20% от всех репов на платформе.

Вредоносные репозитории связаны с тремя крупными кампаниями. Одна смахивает на стресс-тест, в двух других приманки в виде пиратского контента и софта, читов для игр и электронных книг. Жертв ждёт вредонос, предположительно, адварь. Любители бесплатных книг попадают на сайты, предлагающие поделиться данными кредитных карт. По следам отчёта исследователей Docker Hub вредоносные репозитории удалил. Вот только одна кампания шла в 2021-м, вторая — в 2023-м году. Иными словами, 3 миллиона вредоносных репов провисели на платформе больше трёх лет. С модерацией у Docker Hub явно не очень.

@tomhunter

#news Приключения печально известного финского хакера Юлиуса Кивимяки получили ожидаемую главу: тюремный срок. По следам нашумевшего взлома онлайн-сервиса психотерапии Vastaamo. 9,200 случаев распространения информации, около 22 тысячи попыток шантажа, 20 вымогательств и 5 тысяч исков о компенсации ущерба. Цена вопроса? Шесть лет тюрьмы.

Более того, Кивимяки отсидит лишь около половины срока. Товарища судили как нарушившего в первый раз, так как за прошлые пять лет в тюрьму он не попадал. Правонарушения несовершеннолетних — которых у Кивимяки с запасом — в Финляндии как первые не засчитываются. В общем, несмотря на то, что взлом изрядно встряхнул всю страну, герой истории и так получил почти максимальный по закону срок. Вполне вероятно, лет через пять неисправимый финский киберпреступник вновь всплывёт в новостях.

@tomhunter

#news Второй криптомиллиардер получил тюремный срок: Чанпэн Чжао, он же CZ, был признан виновным судом в Штатах по делу об отмывании денег. В сравнении с Сэмом Банкмэном, срок совсем небольшой — четыре месяца. Прокурор запрашивал три года, обычно по этой статье дают полтора.

По версии обвинения, руководству Binance было известно, что через платформу идут грязные деньги рансомварщиков, производителей ЦП и подсанкционных режимов. Однако ж, криптомагнаты имели наглость поставить приоритетом прибыль и рост, а не следование законам США — с такой формулировкой судья зачитал приговор. CZ также ждёт копеечный по его меркам штраф — ещё $50 миллионов. На фоне мягкого приговора звучат и недовольные голоса: «Преступность — это прибыльно, постановил суд», сообщает одно из заинтересованных лиц. Что ж, $33 миллиарда состояния Чжао, не тронутых судом, склонны с этим согласиться.

@tomhunter

#news Мартовские обновления Windows Server 2016 и 2022 сломали контроллёры домена, апрельские патчи от Microsoft решили не отставать. И поломали VPN-соединения на клиентских и серверных решениях. Пока подробностей нет, компания только признала сам факт проблемы. Затронуты Windows 10-11, Windows Server 2008 и старше.

Костылей не предусмотрено, кроме как удалить соответствующие обновления безопасности. Что забавно, год назад Microsoft также чинила проблемы с VPN в Windows 11 после апрельских патчей. Такими темпами выпускаемые Редмондом обновления можно будет считать вредоносными, пока не будет доказано обратное. Пока получается только опытным путём. Со всей пользовательской базой в качестве подневольных бета-тестеров.

@tomhunter

#news В сетевых дебрях замечена новая малварь, получившая название Cuttlefish. Примечательна она тем, что заражает домашние и корпоративные роутеры, а затем слушает трафик на предмет данных доступа, особенно облачных токенов. Под их выгрузку идут прокси или VPN-туннель для обхода обнаружения.

Cuttlefish также может угонять DNS и HTTP и потенциально доставлять дополнительную вредоносную нагрузку. Код местами пересекается с HiatusRat от китайских госхакеров, но точно его приписать кому-либо пока не могут. Вредонос активен как минимум с июля 2023-го, и свежая кампания шла эксклюзивно по Турции с отдельными заражениями в других странах. Подробнее о новом инструменте, вероятно, китайских народных умельцев в отчёте.

@tomhunter

#news Давненько ничего не было слышно о REvil. А процессы над ними идут. Ярослав Васинский, он же Работник, получил солидный срок: 13 лет и 7 месяцев заключения и $16 миллионов штрафа.

Васинского экстрадировали в США из Польши после ареста в октябре 2021-го, он признал вину по 11 пунктам обвинения. Среди них участие в более чем 2,500 атаках REvil. В том числе взлом поставщика ПО Kaseya из Майами, у которых группировка запросила $70 миллионов в битках. Именно после этой атаки Байден пообещал разобраться с рансомварь-группировками и затруднить им роскошную жизнь с яхтами и соблазнительными женщинами. Пока рансомварщики кидают друг друга на деньги с выкупов, дедушка Байден медленно, но верно выполняет обещания. Работник это на себе уже прочувствовал: по совокупности ему грозил максимальный срок до 115 лет и конфискация всего нажитого.

@tomhunter

23-24 апреля прошёл онлайн-форум «AiSEC-2024». Участники обсудили развитие ИИ-моделей, риски их внедрения в организации, роль нейросетей в системах безопасности и другие актуальные темы.

От T.Hunter участие в форуме принял Игорь Бедеров, руководитель нашего департамента информационно-аналитических исследований. Обсудили роль ИИ-моделей в работе безопасника, её автоматизацию, ограничения искусственного болванчика в его текущем виде и примеры наших собственных разработок на основе ИИ, Око и Threathunter. Запись второго дня конференции доступна по ссылке, а здесь можно полистать презентацию из доклада.

@tomhunter

#news Пятничная новость об Остапе Бендере от мира инфобеза. В 2010-х Онур Аксой, CEO Pro Network Entities из США, промышлял тем, что поставлял поддельное сетевое оборудование от Cisco, заказанное из Китая. БУ-устройства закупали с существенной скидкой: до 98% в сравнении со стоимостью оригинальных изделий.

Всё это затем продавалось на Amazon и eBay покупателям в США и за рубежом и шло в штатовские больницы, школы, госструктуры и прочие организации. Контрафакт с Алиэкспресса ожидаемо барахлил, что сказывалось на работе сетей. После ареста в 2022-м Аксой на днях получил 6 лет и 6 месяцев тюрьмы и $100 миллионов штрафа в пользу Cisco. Возможно, бизнес-схема прогорела бы чуть позже. Но был нюанс. На фото лицо человека, додумавшегося поставлять китайские контрафактные роутеры Пентагону.

@tomhunter

#news Новые высоты инфобеза от немецкой военки: данные онлайн-совещаний Бундесвера с платформы WebEx месяцами были в открытом доступе. Они элементарно находились по поиску онлайн-комнат, которые шли в последовательном числовом порядке. Некоторые были без паролей.

Журналисты изучили 6 тысяч записей, но их было значительно больше. Они содержали название и время встреч и данные о хосте, многие шли под грифом «Секретно». Старые записи в архиве WebEx от 2 ноября 2023-го года. В Бундесвере же узнали об уязвимости из запроса журналистов и отключили свою систему видеоконференций от интернета. Также не исключают, что утекли конфиденциальные сведения. Опять. На конец мая у немецких военных была запланирован созвон по теме «Цифровое поле боя». Может, там прозвучала бы пара слов про ИБ, чтобы журналистам не приходилось докладывать их Минобороны об утечках. Увы, чуток не успели.

@tomhunter

#news Безопасники в погонах из ФБР и Европола подняли сайт, отжатый у LockBit в феврале. И нагнетают интригу, обещая новую информацию о группировке. Семь блог-постов будут опубликованы во вторник в пять вечера по Москве.

Ожидаются пресс-релизы, занятные факты из бэкэнда инфраструктуры, деанон новых злоумышленников из LockBit, апдейт по работе ведомств и прочее. Отдельный интригующий тизер — вопрос на миллион долларов «Кто такой LockbitSupp». В общем, можно делать ставки, подготовили ли безопасники в погонах контрольный выстрел в потрёпанное тельце группировки или же в очередной раз просто развлекаются, щекоча нервы немногочисленным оставшимся желающим сотрудничать с LockBit. Каких-то шокирующих откровений особо ждать не стоит, но кто знает. Будем следить за обновлениями.

@tomhunter

#news В прокси-инструменте Tinyproxy обнаружили уязвимость Use-After-Free на 9.8 по CVSS. По оценкам исследователей, уязвимы больше 50% от ~90 тысяч серверов, на которых стоит софт.

Что интересно, у разработчиков и исследователей произошло недопонимание. Последние сообщили об уязвимости в декабре 2023-го и предоставили проверку концепции, но им никто не ответил. В результате 1 мая публикация ушла с позорной пометкой «Нет ответа, нет патча». Разработчик же сообщил, что в Cisco Talos, видимо, писали на неактуальную почту, и если бы они постучали на GitHub или IRC, баг исправили бы в течение суток. Из-за проблем со связью же сервера были уязвимы полгода. В итоге патч выпущен, вопрос решён, но как заставить высокофункциональных аутистов от мира айти наладить нормальную коммуникацию по-прежнему остаётся загадкой.

@tomhunter

#news Новость про очередного падшего безопасника, пытавшегося нажиться на бывшем работодателе. 57-летний Винсент Кеннади работал в неназванной компании в Нью-Йорке и был уволен за некачественное выполнение обязанностей. Двухнедельный выходной оклад его не устроил, так что товарищ подошел к проблеме творчески и с ИБ-позиций.

А именно выкачал с рабочего ноута конфиденциальные данные компании и прочее под копирайтом в личное хранилище. И потребовал сумму, эквивалентную окладу за 5 лет. Затем ему это показалось мало, и выкуп вырос до 10-летнего оклада. Увы, шалость не удалась, Кеннади был арестован, и по встречному иску о вымогательстве $1,5 миллионов ему грозит до 20 лет тюрьмы. Угрозы слить все данные в случае возбуждения уголовного дела, очевидно, на компанию особого впечатления не произвели.

@tomhunter

#news После анонса от ФБР на сайте LockBit подоспели новости горячее, чем ожидалось: предполагаемый деанон админа группировки, товарища LockBitSupp. По документам он проходит как Хорошев Дмитрий Юрьевич, 31-летний уроженец Воронежа.

По следам деанона Хорошеву выписаны санкции от Великобритании, США и Австралии, запреты на въезд и блокировка активов. В свете санкций дальнейшая работа LockBit под большим вопросом — компании ждут штрафы за выплату выкупов и отказы от переговорщиков. Помимо LockBitSupp ещё пятерым членам группировки предъявлены обвинения, включая небезызвестных Bassterlord’а и Wazawaka. Вместе с заявлением опубликованы фото Хорошева. В принципе, горделивая поза оператора рансомвари с бредовыми идеями величия на месте, так что выглядит убедительно. Как думаете, в этот раз пафосные письма американскому шайтану стоит ждать?

@tomhunter

#digest Подводим итоги новостей от мира инфобеза за апрель. В прошлом месяце комментарии на GitHub и GitLab засветились в качестве хостинга малвари. С рансомварь-сцены ушло ещё одно громкое имя: группировка HelloKitty отметилась ребрендингом.

Компания Change Healthcare познакомилась с двойным вымогательством на качественно новом уровне и подсчитывает убытки от отсутствовавшей на одном аккаунте MFA. А в Польше началось масштабное расследование использования спайвари Pegasus прошлым правительством. Об этом и других интересных ИБ-новостях апреля читайте на Хабре!

@tomhunter