#tools Всем любителям и профессионалам #OSINT напоминаю о том, что нашим отделом расследований сделана собственная версия браузера OPERA для Windows, предназначенная для проведения расследований по открытым источникам информации.

Браузер бесплатный и портативный, т.е. вы можете брать его с собой на флешке. На борту имеется тонна ссылок на полезный софт и онлайн-сервисы. Все разбито по направлениям исследований: Telegram, веб-ресурсы, криптовалюты, электронная почта, телефонные номера и т.п. Отдельная рубрика сделана специально для сотрудников служб безопасности.

@tomhunter

#news По следам взлома операторов связи США органы нацбезопасности подводят промежуточные итоги. Результаты удручающие: у китайцев был доступ к звонкам и сообщениям с телефонов ~150 ключевых политиков. Включая Трампа и его вице-президента. С учётом того, что они звонили и писали многим людям, охват операции впечатляющий.

В США уже успели окрестить произошедшее «самым крупным взломом телекоммуникационных сетей в истории». Его масштабы ещё только предстоить оценить. В общем, с цифровым суверенитетом и национальным инфобезом по ту сторону океана тоже как-то не складывается. И пока Штаты имеют очень смутное представление о внутренней кухне компартии Китая, его разведка прослушивает высших должностных лиц США. Так что инфобез уровня AT&T по сути изрядно портит репутацию всей американской ИБ-индустрии. Да и контрразведки как таковой — уважаемых партнёров по блоку НАТО вряд ли интересует вектор атаки. Главное, результат. А вот за него уже как-то стыдно.

@tomhunter

#news В США в порядке эксперимента отдали на аутсорс инфобез водной инфраструктуры: белошляпочники с DEF CON взялись за пентест традиционно не блещущих защищённостью систем. Коллаборация должна помочь защитить критические ресурсы от кибератак, которым те регулярно подвергаются в последние годы.

Между тем задача нетривиальная: у волонтёров доступ к системам шести компаний водоснабжения. Всего их в стране 50 тысяч. И все крутятся на разном софте, часть которого видела обновления, когда с конвейера сходили последние югославские холодильники. Кроме того, трудно назвать управленцев из этих компаний «открытыми новому» и «заинтересованными в ИБ. Так что если к делу не подключат регуляторов, благие намерения белошляпочников разобьются о «Сынок, я тридцать лет снабжаю Индиану водой, проклятые китайцы не остановят мои насосы». Но эксперимент любопытный. Наше богатое на таланты киберсообщество бы под такие цели запрячь. Вот только у них скиллсет и мотивации заточены в основном под другое.

@tomhunter

#news Любопытное выступление вице-президента Niantic, разработчика Pokemon Go, на конференции Bellingcat. Представляя проект по созданию трёхмерной модели физического пространства, МакКлендон мимоходом сообщил, что формируется карта на основе сканов игроков.

Модель учитывает особенности ландшафта, географию, архитектуру и прочие детали. Сотни изображений создают реалистичную цифровую копию пространства. И всё это за счёт игр компании и тысяч леммингов со смартфонами, выполнящих задания по скану. На вопрос о военном применении МакКлендон дипломатично ответил, что правительство может купить доступ к технологии только в гражданских целях. Но может ведь и не только, особенно за правильный прайс. В базе проекта 10 миллионов локаций, ежедневно в неё поступают ~миллион сканов. Где-то между строк скрывается захватывающий киберпанковый сюжет о любителях покемонов, собирающих данные для иностранной разведки. На деле же его раскрывают будничным тоном на тематической конференции.

@tomhunter

#news Blue Yonder, один из крупнейших поставщиков софта для управления цепочками поставок, попал под рансомварь-атаку 21 ноября. С учётом того, что у компании 3,000 клиентов, включая DHL, Renault, Nestle и прочих, последствия на себе многие прочувствовали глобально.

В Великобритании нарушена работу двух крупнейших сетей супермаркетов — отвалился софт для управления складами, что сказалось на поставках. В Штатах атака затронула 11 тысяч точек Starbucks: без ПО для менеджмента смен расчёты ведут на бумаге. Сроков восстановления нет, информации об утечках данных тоже, ответственность за атаку пока никто на себя не взял. В сухом остатке у нас очередной пример в копилку «До вепонизации рансомвари один шаг», пускай и не такой яркий, как взлом Colonial Pipeline и Change Healthcare. Отсутствие аромата переоценённого кофе по утру — это не так страшно, а вот последствия глобального нарушения поставок в супермаркеты представить нетрудно.

@tomhunter

#news В Штатах предъявили обвинения безопаснику за чересчур творческий подход к рекламе своих услуг. Николас Клостер проник в здания нескольких организаций, взломал сети и немного пошалил.

В одной товарищ сменил пароли на учётках, в фитнес-клубе выписал себе абонемент за доллар и украл бейдж сотрудника. Попутно он писал письма владельцу, рекламируя свои услуги, и делал это с почты компании, ранее уволившей Клостера за растрату средств с корпоративной кредитки. Позже он также выложил в соцсети снимок экрана с системами видеонаблюдения клуба и подписью «Как продвинуть свои ИБ-услуги». На деле, конечно, это пример того, как их продвигать не надо — агрессивный пентест вышел креативщику боком. Теперь его будут судить минимум по трём инцидентам, включая несанкционированный доступ и причинение ущерба. И вместо головокружительной инфобез-карьеры есть неплохие шансы оказаться за решёткой.

@tomhunter

#news Великобритания сообщила о создании новой программы реагирования на кибератаки, Cyber Incident Response Capability. По задумке она будет доступна союзникам через цифровую платформу. К реагированию на инциденты привлекут подрядчика из частного сектора.

Подробностей программы нет, но бюджет в миллион фунтов не особо впечатляет — госхакерские атаки по критической инфраструктуре самые затратные в плане ликвидации и расследования. Между тем программу представили на фоне речи британского министра на конференции НАТО по киберобороне: в понедельник он заявил, что «Россия может оставить миллионы людей без света». Выступление раскритиковали как паникёрское, но логика понятная: если русские хакеры являются столь серьёзной угрозой, скромным миллионом фунтов здесь явно не отделаешься. Традиционные политические игрища в выбивание бюджетов за счёт российской угрозы, в общем. Люди работают.

@tomhunter

#news Google обвинила бывшего сотрудника в разглашении коммерческих тайн. Инженер из Индии был пойман за фотографированием конфиденциальных данных, удалил всё под честное слово и проработал в техгиганте ещё несколько месяцев. Затем он уволился, но корпоративный ноутбук не вернул.

Паджит под вопросом участвовал в разработке устройств Pixel, с ними связана и утечка. В начале ноября он опубликовал 158 фотографий с детальной информацией о чипах и уязвимостях, многостраничные документы со схемами и об обработке видео, руководство по архитектуре и её дорожной карте... Бунтарь отказался идти на мировое и сопроводил слив глубокомысленными изречениями в духе «Империи пали, падёшь и ты» и «Дело без защиты не считается победой. Увидимся в суде». Такая вот рабочая этика уровня индусский кодер. Закладывают ли её издержки в бюджеты компании, выводящие целые процессы на аутсорс в Индию? Вопрос на миллион[ы долларов] к Google, CrowdStrike и многим другим.

@tomhunter

#news Чего у киберпреступников не отнять, так это неиссякаемой фантазии в отношении векторов атаки. На этот раз под доставку малвари приспособили игровой движок. Вредоносный код выполняет GDScript на Godot Gaming Engine.

Опенсорс, гибкость, широкий набор инструментов — всё при нём. В том числе фреймворк под атаки. На языке движка написали мультиплатформенный загрузчик GodLoader, за три месяца заражены 17 тысяч устройств геймеров и разрабов. Потенциальный охват — 1,2 миллиона игроков. Вредонос встроен в файлы с игровыми ресурсами .pck, за счёт этого идёт обход обнаружения. Распространяют GodLoader под видом легитимных GitHub-репозиториев. Разработчики движка отметили, что их язык — просто инструмент, как и любой другой. В общем-то, справедливо. Особенно с учётом того, что вредонос пакуют вместе со средой, и юзер запускает его ручками. Подробнее об атаке в отчёте.

@tomhunter

#news Исследователи обнаружили первый UEFI-буткит под Линукс. Названный Bootkitty, он всплыл в ноябре на VT. Сырой, забагованный, на самоподписанном сертификате и работающий на отдельных версиях GRUB и ядра. Но он есть, и звоночек тревожный.

Основная функция буткита — порезать проверку подписи и предзагрузить два неизвестных ELF-бинарника. Хорошие новости: буткит — ранняя проверка концепции, а не замеченный в сетевых дебрях инструмент для атак, и он заточен только под несколько версий Ubuntu, а не под ядро в целом. Плохие новости: эксклюзивность буткитов под Windows теперь под большим вопросом, пускай и от PoC до условного BlackLotus путь неблизкий. Подробнее о Bootkitty в отчёте.

@tomhunter

#news Австралия вновь впереди планеты всей по драконовским законам с сомнительным для приватности душком: в стране запретили пользоваться соцсетями до 16 лет. К концу 2025-го платформы должны внедрить систему проверки возраста.

Как это будет работать, пока неизвестно, внятных критериев по реализации в законе нет. Оно и понятно: задача чиновника — создавать проблемы, а как их решать — думайте сами. В последний момент в закон внесли поправки об альтернативной верификации без документов. Сегодня без цифровых паспортов, но завтра — кто знает. Особенно когда это всё под предлогом заботы о детях. В текущем виде формата «Блокировай давай» помимо издержек для сервисов основным достижением закона будет разве что рост технической грамотности у австралийской молодёжи, которой придётся подключать VPN до соседнего материка, чтобы запостить танцульки в Тик Ток. Что тоже в какой-то мере плюс.

@tomhunter

#news МВД Калининграда сообщило о передаче в суд дела «программиста, обвиняемого в создании вредоносной программы». Обыденная, казалось бы, ситуация, но пикантности ей добавляет личность обвиняемого. Согласно источникам, зовут его Михаил Павлович Матвеев. Он же Wazawaka.

Обвиняют его по части 1 статьи 273 УК РФ, подлец разработал некое вредоносное ПО, предназначенное для шифрования, собрана достаточная доказательственная база — всё как полагается. Пока по сути происходящего информации мало, но можно занести в копилку симптоматичных арестов вместе с Cryptex. Как бы то ни было, развитие событий интересное несмотря на то, что пока Wazawaka, судя по всему, отделался лёгким испугом. Все прочие неуловимые Джо крепко задумаются о своих перспективах на фоне пощипывания собратьев по киберпреступной сцене за неприлично жирные по меркам текущей геополитической обстановочки криптобока.

@tomhunter

#news К новинкам фишинга. Злоумышленники используют повреждённые документы Word в качестве вложений для обхода обнаружения. В результате файл проходит через фильтры, но успешно запускается у жертвы за счёт средств восстановления.

Файлы повреждены таким образом, что их легко восстанавливают встроенные механизмы Word. При этом по результатам скана файлов на VirusTotal почти у всех нулевое обнаружение, и идущая с августа кампания в целом довольно успешная. В файлах QR-коды на страницы для стягивания данных. В фишинге здесь ничего оригинального, но сам по себе метод тянет на нулевой день. Подробнее об атаке с примерами файлов здесь.

@tomhunter

#news Хакеры из MASSGRAVE заявили о масштабном прорыве в деле взлома продуктов Microsoft. Они утверждают, что разработали новый метод обхода лицензирования, который позволяет навсегда активировать почти любую версию Windows и Office, включая те, с которыми у взломщиков традиционно были сложности.

От Vista до свежей версии Windows 11 и Server 2025, включая CSVLK и лицензии ESU. При этом всё это без сторонних инсталляторов, модификации системных файлов и вмешательства в систему. Из подтверждений пока скриншоты активированных версий Windows c ESU и обещания выпустить инструмент через пару месяцев. Если заявления группировки подтвердятся, намечается праздник для всего восточно-европейского пространства и серьёзная головная боль для Microsoft, которой в таком случае придётся переписывать DRM и систему активации, чего компания все эти годы избегала с оглядкой на издержки. С учётом репутации MASSGRAVE, новость любопытная.

@tomhunter

#news В Южной Корее арестовали CEO и пятерых сотрудников компании, производящей спутниковые ресиверы. Обвинения занятные: в приёмники была встроена функциональность под DDoS-атаки.

В течение 5 лет компания поставила по заказу другой неназванной из-за рубежа 240 тысяч устройств; ~100 тысяч из них шли с DDoS-модулем из коробки, остальные получили его с обновлением прошивки. Схему раскрыли с подачи Интерпола, в неё вовлечён некий подозреваемый из списка международно разыскиваемых преступников. Конкретики в пресс-релизе мало, но схема интересная: зачем собирать ботнеты, которые регулярно сносят назойливые федералы, если можно получить сетку устройств под атаки прямиком с конвейера. Впрочем, ещё интереснее, что ресиверы отгружали пять лет, а покупатели всё ещё на свободе.

@tomhunter

4-5 декабря уже в пятый раз проходит онлайн-форум «КОНТРАГЕНТЫ-2024: Требования. Сервисы. Аналитика». Он посвящён теме сервисов по проверке контрагентов и других инструментов для автоматизации работы с данными для обеспечения безопасности компании.

В первый день с докладом выступил директор департамента информационно-аналитических исследований T.Hunter Игорь Бедеров. Тема актуальная: как классическим службам безопасности защищаться от рисков цифрового мира, при этом работая в рамках правового поля с оглядкой на новый закон о персональных данных. Подробнее в записи выступления с форума!

@tomhunter

#news Знали ли вы, что несмотря на то, что они составляют всего 11% рынка, новые домены верхнего уровня ответственны за 37% процентов киберпреступлений? И это не вредные стереотипы об этих доменах, а вполне себе бьющаяся с данными статистика.

В топе за 2024-й домены .top, .xyz и .shop. Ключевой момент для мошенников — щадящая KYS-политика и низкая цена: у самых проблемных доменов ценник на регистрацию всего 1$; для сравнения на .com она обойдётся почти в 6$. Несмотря на проблему, регулятор ICANN планирует одобрить ещё пачку новых доменов — регистрация на их ввод в 2026-м уже открыта. Так что голоса безопасников, скептически настроенных к идее «Мультидоменность — это наша сила», остаются неуслышанными. При этом бизнес по продаже доменов киберпреступникам не особо выгоден: подписки-то они не продлевают. Но число фишинговых атак за прошедший год выросло на 40% — и инфраструктуру им в значительной степени обеспечивают новые TLDs.

@tomhunter

#news Европол положил ещё одну платформу защищённой связи для преступников: в этот раз досталось Matrix. Только по инвайтам, с качественным шифрованием. Но, видимо, недостаточно качественным. Сервера перехвачены, трое подозреваемых задержаны, включая предполагаемого владельца, гражданина Литвы.

Деталей не раскрывают, но утверждают, что есть доступ к перепискам. А это 2,3 миллиона сообщений на 33 языках от ~8 тысяч клиентов по всему миру. Перехват EncroChat в 2020-м привёл к задержанию почти семи тысяч человек и изъятию ~$800 миллионов. Так что задел под аресты хороший. А вместе с недавним перехватом Ghost рынок защищённой связи изрядно поредел и окончательно рассыплется на местечковые сервисы. Между тем заглушку для Matrix оформили в соответствующем стиле, но без тематических шуточек. Это, конечно, недоработка интерна: легла целая платформа под наркотрафик, а в заглушке ни одной подколки про красные таблетки и поимевший всех Европол.

@tomhunter

#news Сюжет вокруг взлома операторов в Штатах продолжает закручиваться. В свежем брифинге сообщили о восьми взломанных компаниях против четырёх ранее озвученных. Более того, представитель Белого дома утверждает, что китайские тайфуны провернули то же самое в «десятках других стран». При этом операция идёт уже минимум год-два.

По следам атаки администрация США планирует потребовать у операторов ввода хотя бы минимальной ИБ, как то отсутствие небезопасных конфигураций и слабого управления ключами. А пока американцам предлагают переходить на мессенджеры с шифрованием, чтобы ушлые китайцы не читали их переписки. Подробностей по десяткам взломанных стран нет, как и уверенности в том, что тайфуны не бродят ещё по каким-то штатовским системам. Отсюда, в общем-то, и взялись десятки других стран: внимание от своих опсосов, вскрытых словно почта провинциального бухгалтера скучающим сисадмином, нужно всеми силами отвести.

@tomhunter