#news Американцы перенимают знакомые политтехнологии: сторонники Трампа подняли сайт с информацией о голосовавших на выборах. Официально эти данные являются публичными, но на деле получить их можно только индивидуально по запросу в госорганы штата. А на сайте они в одном клике.

Поиск по имени позволяет найти адрес, предоставленный при регистрации на выборы, возраст и партийную принадлежность человека. Создатели сайта утверждают, что их целью является «Побудить людей участвовать в выборах» — каким образом публикация данных служит этой цели, не уточняется. На деле же с учётом поляризованности американского общества сайт может стать удобным инструментом для доксинга и преследования людей по политической принадлежности. Да и в сущности это очередной инфоброкер с данными десятков миллионов людей в открытом доступе, и воспользоваться этим могут далеко не только одержимые выборным психозом персонажи. Иными словами, хорошего мало.

@tomhunter

#news К вопросу о взломе сторонних подрядчиков и ценности таких утечек. Nokia поделилась результатами внутреннего расследования инцидента. Масштабы и последствия взлома сложно назвать впечатляющими.

Как утверждает компания, опасности для их систем и данных нет, исходники самой Nokia не затронуты, клиентам также опасаться нечего. Утечка затронула исходники стороннего приложения, разработанного подрядчиком. Более того, оно написано под нужды сети одного конкретного клиента Nokia и вне её ценности не представляет. Компонентов самой Nokia в слитом коде нет. Иными словами, всё как мы и писали про инциденты такого рода. Между тем IntelBroker выложил стянутые данные в открытый доступ. Так что особо любознательные безопасники могут сами проверить заявления Nokia на правдивость. Исключительно в рамках здорового исследовательского интереса, само собой.

@tomhunter

#news Пятнично добиваем остатки ещё не слитых данных россиян и не только вместе с одной известной букмекерской конторкой 1WIN. На даркнет-форуме вчера всплыли актуальные SQL-дампы части пользователей. 29 GB на ~100 миллионов человек. Бонусом инфа по админам и разработчикам.

Имена, почты, телефоны, даты рождения, страны, айпишники, хеши паролей и прочее. При этом заявление по взлому от основателя — как отдельное слово в жанре реакций на утечки такого масштаба. Вкратце, «Ну вот мы наш отдел ИБ усиляли, молились, чтобы взломы нас обошли стороной, но не сложилось. IT-отдел мы, конечно, не виним, ребята — молодцы, а вот взломщики — шантажисты и нехорошие люди. Ошибки случаются, всем спасибо». Не то чтобы от шарашки такого плана ждёшь многого, но читается всё равно с лёгким удивлением на лице. Впрочем, казино всегда в выигрыше, так что чего им стесняться. Ну слили и слили, дальше-то что? Вы нам деньги заносить перестанете, что ли?

@tomhunter

#news В конце октября по сети Tor прошла интересная атака. С помощью IP-спуфинга злоумышленники начали под видом узлов сети массово сканировать порты по ханипотам и другим сетям с обнаружением атак. В результате провайдерам полетели жалобы на айпишники, часть попали в чёрные списки или под блок.

При этом целью атаки были критические выходные узлы, так что направлена она была на нарушение работы сети. По итогам ущерб минимальный: оффлайн временно ушли несколько мостов, заблокированных провайдерами, вопрос решают. Подробностей админы не приводят, только упоминают, что 7 ноября источник подменённых пакетов нашли и положили. Хотя здесь вопрос скорее не в том, кто устроил атаку — желающих хватает, а почему в 2024-м IP-спуфинг всё ещё проблема. Подробнее о произошедшем здесь.

@tomhunter

#news Закономерный финал долгоиграющего криптомиксера 2010-х, старичка Bitcoin Fog: проходящий по его делу как владелец Роман Стерлингов получил 12,5 лет тюрьмы. Суд также постановил выплатить $400 миллионов ущерба и лишил осуждённого кошелька с 1345 биткоинами.

Согласно приговору, Стерлингов помог отмыть те самые $400 миллионов наркомаркетам, киберпреступникам и прочим обитателям даркнета. Его адвокаты настаивали на том, что обвиняемый — простой честный пользователь Bitcoin Fog и при его создании просто рядом постоял, доказательств, что он был создателем миксера, недостаточно, а анализ блокчейна ненадёжен. Так или иначе, появления более надёжных технологий, как было с анализом ДНК, способных доказать его предполагаемую невиновность против 3 TB доказательств в деле, Стерлингов будет дожидаться за решёткой.

@tomhunter

#news Однажды американец с говорящим именем Уилл Фриман начал что-то замечать. И не засилье фамилий с подозрительными окончаниями, а камеры на дорогах. Фриману не понравилось их количество, и он решил создать карту считывателей номерных знаков. Из этого вырос проект DeFlock.

DeFlock — это опенсорс-карта на основе OSM. Юзеры начали охотно собирать на ней камеры слежения со всех США, а затем проект вышел и на международный уровень. Цель начинающего борца за приватность Фримана — привлечь внимание к идее, что не вся слежка одинаково полезна и, возможно, надо бы поставить её под контроль. Заодно по расположению камер и их направлению можно изучать стратегии вешающих их компаний и их клиентов. Полистать карту проекта можно здесь. В основном в деле Америка и Европа, но есть и одинокие пометки с наших необъятных просторов.

@tomhunter

#news В сетевых дебрях замечена новая рансомварь, получившая название Ymir. Операция активна с июля. Из интересного, злоумышленники используют функции управления памятью, такие как malloc, memmove и memcmp, для выполнения кода непосредственно в памяти. Что в свою очередь помогает обходить обнаружение.

Помимо этого, есть предположение, что операторы сами же закинули в сети одной из жертв RustyStealer, а позже зашли на доставку рансомвари с украденных данных доступа. Иными словами, традиционная связка «брокер — рансомварь-группировка» слегка нарушена. У нас криминал, возможно, новый тренд на оптимизацию киберпреступной деятельности с инфостилерами в качестве начального доступа. Подробнее о Ymir читайте в отчёте.

@tomhunter

#news В Штатах получил суровый приговор Джек Тейшейра, безопасник ВВС Нацгвардии США. По нарушению закона о шпионаже он получил 15 лет тюрьмы. Тейшейра был ответственен за утечки секретных документов НАТО в прошлом году, которые он публиковал на своём игровом сервере в Discord.

В свободное от работы время Тейшейра ковырялся в документах выше его уровня доступа. Сначала он выписывал их от руки и выносил с базы, а позже печатал на принтере, которым редко пользовались. Пикантности делу добавило то, что малолетний безопасник 2001-го года выпуска крал данные просто для хвастовства перед друзяшками по серверу с говорящим названием Thug Shaker Central. На скольких уровнях здесь провалился военный инфобез, сосчитать трудно. Позор международного уровня разведка США ему не простила, отсюда и приговор, отдельно товарища ждёт военный суд.

@tomhunter

#news Китайские умельцы из Volt Typhoon начали пересобирать ботнет, который ФБР положило в начале года. Госхакеры использовали KV-Botnet для обхода обнаружения для атак, а с сентября возвращают его в дело. И всего за 37 дней они скомпрометировали треть доступных в сети роутеров Cisco RV320/325. Снова.

Какие уязвимости используют в свежей атаке, неизвестно, но устройства устаревшие, так что вариантов хватает. В основном взломанные устройства стоят в Азии, и на фоне этого забавно звучит новость от D-Link: компания как обычно не будет исправлять полдюжины CVE, включая критические, в одном из роутеров, который больше не обслуживается. Сюжетный поворот: модель была в основном для внутреннего рынка, и почти все ~60 тысяч уязвимых устройств стоят дома. На Тайване. Но политика D-Link тверда как всегда: сдавайте EoS-устройства в утиль и покупайте новые. А пока трудолюбивым тайфунам есть с чем работать.

@tomhunter

#news ФСТЭК решила вести рейтинг объектов критической информационной инфраструктуры по уровню ИБ. В него попадут компании с низким уровнем защиты и утечками данных. В тестовом формате служба провела анализ ~100 объектов КИИ. Как у них обстоят дела? Спойлер: не очень. Минимальному уровню защищённости соответствуют 10% компаний.

Что в это входит, не раскрывают. Наличие ИБ-отдела и EDR-решений? Неизвестная технология резервного копирования? Отсутствие ломаного софта и облаков без пароля с единственной копией базы? Вопросы, вопросы... Рейтинг будет иметь рекомендательный характер: без давления, аудитов и прочих мер. Как развивалась ИБ без внешнего давления последних лет, мы знаем: в основном цвело направление несанкционированного пентеста на западный рынок. Так что для повышения низкой культуры информационной безопасности в Восточной Европе нужны предельно креативные решения. Допустим, вложения в те самые внешние воздействия. Как показывает пример СДЭК, работает на отлично.

@tomhunter

#news Судя по утечкам данных инфоброкеров и агрегаторов, 2024-й — это новый 2018-й: циркулирующую с февраля базу бизнес-контактов на 122 миллиона записей стянули у брокера DemandScience. В августе утечка шла на продажу за символические 8 кредитов.

Изначально DemandScience отрицала слив, но когда с ней связался один из счастливчиков с данными в базе, компания разродилась довольно прозрачным ответом. Но отдел коммуникаций продолжает отрабатывать бонусы топ-менеджменту и доверительно сообщает, что собирают данные они только из открытых источников, ничего приватного там нет. И вообще утечка из систем, которые списали два года назад. Проще говоря, забыли про старый уязвимый сервер. В базе ФИО и связанная с B2B информация — адрес, почта, телефон, должность и соцсети. Ковыряясь в базе, Трой Хант вышел на самого себя, обнаружив контакты со старой работы. И по итогам ещё одна крупная утечка пополнила нижний интернет и Have I Been Pwned.

@tomhunter

#news Рансомварь и просроченные бэкапы, фишинг и стажёры, Кребс и русские хакеры… У последнего интервью с Михаилом Шефелем, он же Rescator. Тот внезапно вышел на связь с формулировками «Я разорён, мне нужна публичность для новых денежных схемок». И понеслось.

Rescator подтвердил личность и причастность к кардинг-шопам. И утверждает, что за нашумевшими взломами Target и Home Depot стоял не кто иной, как Дмитрий Голубов, для которого Шефель писал вредонос. Но в 2014-м Голубов порвал связи с русскими хакерами, набрав местных. Он якобы всё ещё активен в киберпреступной среде и был связан с разработкой первых энкрипторов, включая CryptoLocker. Сам же Шефель — простой кодер на мели, и его сейчас судят за рансомварь Sugar. По наводке сына Павла Врублевского… В общем, чтиво занимательное. Rescator же закончил интервью на мажорной ноте: он предложил Кребсу открыть совместный бизнес. Пароли от крипты восстанавливать или там барахло с Али в США перепродавать. Настоящий кабанчик везде видит возможности.

@tomhunter

#news Редкий случай архаичных векторов атаки из Швейцарии: злоумышленники рассылают бумажные письма от лица местной метеорологической компании. Письмо предлагает скачать новое погодное приложение по QR-коду. По ссылке же малварь.

В качестве вредоноса под видом кривой копии официального Alertswiss выступает инфостилер под андроид Coper/Octo2. Он стягивает данные доступа от ~400 приложений, включая банковские. Эффективными такие рассылки назвать сложно: здесь и бонусные расходы, и малый охват, и элементарное отслеживание отправителя, если авторы не озаботились минимальным опсеком хотя бы формата «подставной иммигрант с Бундесплаца». С другой стороны, к малвари в письме или QR-коде на парковке мало кто готов. Иными словами, «Не сканируй что попало» вполне заслуженно входит в основы бытового инфобеза.

@tomhunter

22-24 ноября в Санкт-Петербурге при поддержке T.Hunter пройдёт чемпионат по спортивному программированию 2024. Помимо продуктового кодинга и робототехники будет и наше всё — программирование систем информационной безопасности. На чемпионате есть место и для взрослых, и для подростков, интересующихся ИБ.

Помимо соревновательной части участников ждут деловые встречи, лекции, турниры и развлечения. Киберспорт, промт-инжиниринг, битсабер с джастдэнсом, тренды ИИ и многое другое. С программой чемпионата можно ознакомиться здесь, а зарегистрироваться на сайте. Присоединяйтесь, будет интересно!

@tomhunter

#news К инновационным методам борьбы с телефонным мошенничеством. Пока Google подключает к звонкам анализ в реальном времени через LLM, британский оператор создал модель под общение с мошенниками. От лица пожилой бабушки.

Daisy натаскали на видео о скамбейтинге, и теперь она успешно уводит разговоры в истории о семье и вязании. Якобы модель настолько удачная, что злоумышленники висят на линии по 40 минут, пытаясь выбить банковские данные. Которые та выдумывает на ходу. Впрочем, сказывается и языковой барьер: разрабы хорошо понимают целевую аудиторию — ролик о Daisy открывают записи звонков из индийских скам-центров. Дальнейшее развитие истории предугадать нетрудно: ИИ-модели скамеров будут общаться с ИИ-моделями скамбейтеров. И через пару лет теория мёртвого интернета, погребённого под ИИ-слопом, достигнет своего апогея. Будущее безжалостно!

@tomhunter

#news Злоумышленники всё чаще используют SVG-вложения для фишинга. При этом растёт креативность: их используют для отображения HTML через <foreignObject> и для выполнения JS. В других случаях под видом кнопки скачивания PDF вложение подтягивает малварь, также в них встраивают редирект на фишинговые сайты. На скрине пример с собранной в SVG таблицей Excel и формой для стягивания данных доступа.

И за счёт того, что SVG изображениями сами по себе не являются, EDR-решения их по большей части пропускают. На VT имеющиеся образцы обнаруживают один-два движка. С другой стороны, SVG во вложениях — редкость. И всё вновь упирается в то, насколько хорошо сотрудников натаскали не кликать на что попало. Так что у нас фишинговые тренинги с SVG как тренд ИБ-сезона осень-зима 2024.

@tomhunter

#news В США предстал перед судом предполагаемый администратор рансомвари Phobos, россиянин Евгений Птицын, он же derxan и zimmermanx. Его недавно экстрадировали из Южной Кореи в Штаты, где ему предъявлен стандартный набор обвинений по таким делам.

Phobos — операция рангом пониже, чем условные Cl0p или Black Basta. Партнёры у операции соответствующие: вместо громких целевых атак идут массовые безадресные. Выкупы также просят небольшие — чаще всего, меньше $2000. Так что сумма ущерба в сравнении с крупными игроками рансомварь-сцены относительно невысокая: в деле фигурируют $16 миллионов, полученных Птицыным в качестве выплат от партнёров. Между тем число атак от Phobos за последнее время резко сократилось, а 8Base, сотрудничавшая с операцией, активность с её энкриптором свернула. Так что птичка в клетку по следам ареста, видимо, попала та самая.

@tomhunter

#news Если в сети есть ресурс, рано или поздно его приспособят под распространение вредоноса. На очередь Spotify: злоумышленники используют плейлисты и подкасты на платформе для продвижения ссылок на пиратский софт, читы и спам.

В название и описание плейлиста загоняют ключевые слова и ссылки на сайты. За счёт этого на последние идёт трафик — ссылки из веб-плеера Spotify индексируют поисковики, загоняя их в топ выдачи. Подкасты же продвигают сомнительные ресурсы с помощью синтезированной речи. В лучшем случае по ссылкам спам, в худшем — к нему быстро добавятся малварь и фишинговые сайты. При этом вредоносные плейлисты и подкасты загоняют на Spotify через сторонний сервис для их публикации — это позволяет обходить автоматические блокировки платформы. Сервис с фильтрацией пока не справляется, сам Spotify выдаёт дежурные отписки со ссылкой на ToS. Так что скорого решения проблемы ждать не приходится.

@tomhunter

Директор департамента информационно-аналитических исследований T.Hunter Игорь Бедеров принял участие в конференции Profi to Profi. Темой доклада стал поиск и нейтрализация угроз в сетях, связанных с утечками информации.

Тренды последних лет, смешение компетенций ИБ-отдела и службы безопасности, основы инфобеза для бизнеса в условиях восьмидесятикратного роста технологических преступлений за последние десять лет и многое другое. Когда мы получим итоговую концепцию уголовной ответственности за незаконную обработку персональных данных? Обо всём этом в записи выступления с конференции.

@tomhunter

#news В новостях гремит очередная история с повреждёнными подводными кабелями. На этот раз досталось Балтийскому морю: 17-18 ноября два кабеля вышли из строя, линии Финляндия-Германия и Литва-Готланд. Ремонт займёт до нескольких недель.

Между тем вблизи кабелей в момент их поломки заметили китайское грузовое судно; как утверждают, с отключённым за пару часов до аварии передатчиком. Германия заявляет о возможном саботаже, Швеция, Финляндия и Литва тревожатся и требуют решительных мер. Пропускная способность в последней просела на 20%, финны пустили трафик в обход. Увы, такие новости в ближайшие годы, скорее всего, мы застанем ещё неоднократно. И с учётом зависимости мирового трафика от морских кабелей, и мировой экономики — от триллионов идущих по ним платежей, последствия могут быть, мягко говоря, катастрофическими. А пока у нас относительно безобидный пролог перед возможной бурей.

@tomhunter

#news Вместе с релизами новых версий мобильных ОС продолжается закулисная борьба производителей с условно легальным софтом для цифровой экспертизы. Пока полиция скрипит зубами на фичу с ребутом iOS 18 формата «GrapheneOS на минималках», подоспел слив документов из Magnet Forensics — конкурента Cellebrite.

Судя по документации, цикл у их софта GrayKey тот же, что и у Cellebrite: разработка методов взлома идёт с небольшим лагом от выхода свежих версий iOS. Так, у компании уже есть частичный доступ — то есть к мета- и незашифрованным данным — к вышедшей 3 октября iOS 18.0.1. А вот бета-версии 18.1 для взлома пока недоступны. Так что либо компания не спешит реверсить бета-релизы, либо Apple успешно поработала над защитой свежей iOS. Так или иначе, пока есть рынок под цифровую экспертизу, статус-кво сохранится: одни ломают, вторые закрывают эксплойты на опережение. Утёкшие таблицы GrayKey по устройствам на iOS здесь, на Android — здесь.

@tomhunter