#news AgeoStealer продолжают распространять по геймерскому коммьюнити под видом бета-теста игр. В начале года он уже светился в этой схеме, и, видимо, она оказалась эффективной.

Жертва получает в Discord и на аналогичных площадках предложение, от которого невозможно отказаться: ранний доступ к свежей пиксельной индюшке. Инфостилер замаскирован под архив с игрой на Unity; на деле же это NSIS-файл, запускающий вредоносный JS-скрипт. Устойчивость, обфускация, проверка на виртуалки и дебаг — всё как полагается. По краже данных тоже всё стандартно: браузеры, логины, куки и криптокошельки плюс выгрузка файлов с основных папок. Так что не спешите покупаться на заманчивое предложение: с такими заходами вред от поделия на Unity может быть и похуже, чем превращение любимой игровой машины в хлебопечку.

@tomhunter

#news 2024-й принёс ещё один рекорд, и вновь не там, где хотелось бы. Хотя некоторые из вас будут довольны: США потеряли рекордные 16,6 миллиардов долларов из-за киберпреступности.

При этом отчётные цифры далеки от реальных: учитывают только известные органам случаи и те, о которых жертвы сообщают напрямую. Часть пролетают мимо отчётности, так как о них сообщают по другим каналам или не сообщают вовсе. Кроме того, по рансомвари считают только выплаты — издержки, которые несут компании, не учитывают. Так что даже внушительные цифры — лишь часть ежегодного оборота киберпреступного рыночка. Это к извечному спору белошляпочников со склизкими обитателями даркнета на тему «Где деньги, блэчеры?» Да вот они. А то, что они пролетают мимо рядового кулхацкера, начитавшегося флекса от редкого паровозика, который смог найти себе хорошую крышу, — это уже другой вопрос.

@tomhunter

#news Ещё один тревожный пример победной поступи ИИ-моделей: GPT на пару с Cursor успешно написали эксплойт к недавней критической CVE в SSH-сервере Erlang/OTP. И всё это до появления проверок концепции в публичном доступе.

LLM’кам хватило описания CVE, чтобы понять проблему, найти коммит с патчем и сопоставить его с уязвимым кодом. А следом написать PoC, протестировать и отладить. У исследователя на это ушёл один вечер и набор базовых промптов. С одной стороны, какой восторг! С другой, что ждёт среду исследования уязвимостей (и реагирования на них) с такими перспективами — представить нетрудно. Здесь, конечно, можно отмахнуться, заявив, что эксплойт этой CVE элементарный, и с ним справится любой кожаный мешок — PoC появились уже на следующий день. Но пока ты занимаешься нетворкингом под градусом по митапам и прочим человеческим, LLM’ка качается. Так что то ли ещё будет.

@tomhunter

#news Недавно писал про крупное обновление фишингового кита Darcula, которое не сулит ничего хорошего. В новом версии разработчики решили поднять градус мерзости в своём поделии: оно теперь запитано от ИИ-модели.

Генерация, перевод на любые языки, подгон шаблонов под целевую жертву, и всё это с помощью элементарных промптов формата «Сделай мне красиво и чтобы мне кидали битки, буду жить как LockBitSupp в его письмах ФБР». Иными словами, барьер для входа в фишинг теперь не просто низкий — он ниже плинтуса. Так что резкий скачок по числу фишинговых кампаний с максимально упрощённым и масштабированным до небес деплоем уже скоро. С марта 2024-го сеть почистили от 25 тысяч страниц и 90 тысяч доменов, завязанных на Darcula. Дальше — больше. Может быть придёт час, когда каждый день не будет днём новостей про LLM’ки. Но только не сегодня, увы.

@tomhunter

#news Google представила новый инструмент для отправки писем со сквозным шифрованием. А вместе с ним и потенциальный вектор атаки для фишинга. Проблема сводится к планам добавить возможность отправки таких писем на сторонние ящики.

В случае если зашифрованное письмо приходит адресату не на Gmail, он получает приглашение перейти по ссылке в гостевой аккаунт и просмотреть письмо. Сценарий атаки представили? Вместе с релизом фичи в общий доступ можно ждать появления тулкитов для создания фишинговых приглашений, замаскированных под письма с Gmail. Google уверяет, что потенциальные угрозы учтены системой оповещений, аналогичной Google Drive. Вот только что происходит вне их экосистемы (если это, конечно, не рекламная — там можно всё) гугл-шерифа не интересует. Так что между тем, чтобы ограничить фичу Gmail’ом или создать новый вектор атаки, Google, конечно, выбирает второе. А вы как думали?

@tomhunter

#news Софт для мониторинга производительности WorkComposer допустил утечку 21 миллиона скриншотов в открытый доступ. Неизвестная уязвимость, обскурная ошибка в API? А вот и нет — просто открытое всем желающим S3-ведро. Классика.

У WorkComposer 200 тысяч клиентов, и скриншоты рабочих столов их сотрудников были в сети в прямом эфире. А вместе с ними страницы входа, данные доступа, ключи API, конфиденциальные документы с рабочими переписками… Иными словами, золотая жила для киберпреступлений, промышленного шпионажа и прочих запретных удовольствий. Брешь компания закрыла (спустя полтора месяца после раскрытия), но комментариев давать не спешит. Оно и понятно — здесь никаким корпоспиком не отделаешься. А у нас в сухом остатке отличный аргумент для споров на тему софта для слежения за корпоративными дронами: один косяк от команды разработки, и твой экран видит не только лишь менеджер среднего звена.

@tomhunter

#news А помните была такая атака Juice Jacking с инфостойками по дефконам? В 2025-м тема снова в моде: оказывается, все эти годы защиту смартфонов с запросом на передачу данных можно было легко обойти. Встречайте ChoiceJacking и её вариации.

Свежая и похорошевшая атака направлена на эксплойт архитектуры доверия USB-протоколов. ОС считает, что устройство не может одновременно быть и хостом, и вводить команды. Но есть нюанс: может. Троянская зарядка подключается как периферия, затем становится хостом и параллельно шлёт команды через Bluetooth, обходя запрос на передачу данных. На атаку нужно 30 секунд, ей подвержены почти все популярные модели. Apple исправила уязвимость в обновлении IOS 18.4 — для передачи данных теперь нужен пин-код; в Android 15 внедрили аналогичное требование. Атака по большей части теоретическая, но напоминание о том, что совать свои USB-кабеля куда попало не стоит, всегда полезно. Мы за безопасные подключения!

@tomhunter

#news Очередная итерация BreachedForums рождается в киберпреступных потугах, но всё никак не народится. Форумы отключатся, не успев подняться, мутные индивиды всплывают один за другим, обещая свою площадку с ханипотом и агентурой.

Из нового, некто Anastasia обещал поднять четвёртую версию Breached в прошлый четверг. Вместо этого на главной висела плашка о перехвате предыдущей инкарнации, аресте IntelBroker и ShinyHunters и… продаже базы от 10 апреля 2025 с исходниками за 2к баксов. Накладочка вышла. Следом некто Momondo заявил, что Breached быть, а предыдущие ломануло ФБР через PHP-эксплойт, и вообще они крутились на устаревшей версии MyBB. В общем, одно понятно, что ничего не понятно — творится хаос. Всё как и задумано. Так что будьте вдвойне внимательны к опсеку и сопутствующему, если окажетесь на очередном Breached, кхм, с исследовательскими целями.

@tomhunter

#news Есть одна удобная фича — hotpatching — для установки обновлений без перезагрузки. Особенно экономит время и нервы владельцам серверов. Microsoft не осталась в стороне: Windows Server 2025 тоже получит эту фичу, сейчас её активно тестируют. Но есть нюанс: она будет платной. По месячной подписке. За ядро.

С первого июля горячие патчи будут только по отдельной подписке на сервис Hotpatch. Крестьяне без премиума будут и дальше корпеть над установкой вручную. Админ, хочешь hotpatching и видеть свою семью по выходным вместо затяжных свиданий с Windows Server? Теперь смотреть, как система падает от очередного кривого патча из Редмонда в прямом эфире, можно всего за полтора бакса за ядро в месяц. И где-то в уголке довольно хихикает линуксоид, у которого hotpatching — опенсорсная фича с начала 2010-х.

@tomhunter

#news Новость для юзеров Kali Linux. Разработчики потеряли доступ к своему ключу для подписи репозитория. Его пришлось сменить. Из побочного урона — отвалились обновления. Так что если у вас не работает apt update и пишет об отсутствии ключа для проверки подписи, не спешите нюкать систему — проблема на стороне разрабов.

Ключ не скомпрометирован и остался в связке, но его заменили на новый. Так что его нужно скачать и поставить вручную. Хорошие новости: это решается командой в одну строку. Желающие могут скачать обновлённые образы с версией дистрибутива, идентичной выпущенной в прошлом месяце, но свежим ключом. А также проверить контрольные суммы и подивиться на новый ключ на OpenPGP-сервере, подписанный несколькими разрабами. В общем, отмена тревоги, можно красноглазить дальше.

@tomhunter

#news Загадочный поворот на рансомварь-сцене: фавориты 2025-го RansomHub, которым пророчили ключевую роль по атакам в этом году, внезапно пропали. Инфраструктура группировки отключена с 1 апреля.

Слухи о разборках в группировке пошли ещё в начале апреля — у части партнёров отвалился доступ к чатам с жертвами. Попутно конкуренты из DragonForce заявили, что RansomHub переезжает на их инфраструктуру, так что пошли спекуляции о перехвате. А чтобы унять тряску, партнёры разбегаются под другие бренды, и хорошего здесь мало: число атак удвоилось у Qilin. Напомню, в отличие от остальных Qilin тормозов не имеет совсем: у них в норме атаки по медучреждениям, с которыми Qilin не раз светилась в неприятных новостях. Но иронию ситуации, конечно, сложно не заметить, если вспомнить, как поднялась сама RansomHub. Такова судьба рансомвари: либо ты умираешь от внутренних дрязг и экзит-скама, либо живешь до тех пор, пока за тобой не приходит ФБР.

@tomhunter

#cve Опубликовали нашу традиционную подборку ключевых CVE ушедшего месяца. В апреле главным событием стала RCE в SSH-библиотеке Erlang/OTP: десяточка по CVSS, простейший эксплойт, проверки концепции в сети на следующий день.

Критической RCE-уязвимостью с нулевой интеракцией также отметился фреймворк PyTorch. Нулевой день на обход MotW исправили в WinRAR; аналогичная уязвимость остаётся без патча в WinZip. В ПО для передачи файлов CrushFTP закрыли критическую CVE на обход аутентификации. Уязвимость под RCE также пропатчили в Gladinet CentreStack. И наконец, нулевым днём под произвольный код отметились и ОС от Apple — причём через обработку аудипотока. Об этом и других интересных CVE апреля читайте на Хабре!

@tomhunter

#news Свежий отчёт «2025 State of Open Source» навевает размышления. О чём? Кто работает с опенсорсом в крупных компаниях, тот нервно хихикнул. А остальным лучше остаться в неведении.

В четверти организаций, использующих свободное ПО, всё ещё крутится старичок CentOS. Версии не уточняют (стесняются), но они все, очевидно, достигли конца поддержки. На вопрос о планах по миграции каждый четвёртый честно отвечает: «Не знаю». Почему? Компетенции не хватает — никто не знает как умилостивить Дух Машины. Причём отвечают техотделы, а не управленцы. А что они будут делать в случае атаки? У трети ответ тот же: «Мы не знаем». Резюме обновлять, очевидно же. Трудности не только с ОС. Половина не уверена в техе, на котором у них big data. И у половины решения на JavaScript, из них 15% на каком фреймворке, угадаете? Angular.js. В общем, состояние опенсорса на местах в 2025-м такое же, как у самого опенсорса. Тяжело… Тяжело.

@tomhunter

#news К новинкам от мира информационных операций. Разработчик Claude AI раскрыл, что модель использовали для создания сервиса по продвижению политических нарративов в соцсетях. Проще говоря, ботофермы. И Claude попробовал себя в новом амплуа.

LLM’ка не только генерировала нужный контент на целевых языках и создавала промпты под изображения. Но и сама решала, как управляемым ею аккаунтам вести себя в соцсетях. Комментарии, лайки, репосты — всё это было на модели. Claude управлял сеткой аккаунтов на разных платформах с операторами в качестве супервайзеров. Судя по характеру операции, она финансово мотивированная — четыре разных кампании под запросы клиента, от пропаганды бизнес-возможностей в ОАЭ до критики политики ЕС. В общем, Botfarm-as-a-Service, запитанная от неутомимой LLM’ки. Плохие новости для представителей одной неуважаемой профессии: вам, ребята, скоро с вещами на выход. Для остальных хорошего тоже мало: разговоры с копипастой скоро станут нормой жизни в сети.

@tomhunter

#news Исследователи обнаружили россыпь уязвимостей в протоколе Apple AirPlay и его SDK. 23 штуки, включая RCE с нулевой интеракций и в один клик, задел под MITM-атаки и отказ в обслуживании.

В цепочке уязвимости позволяют перехватить контроль не только над устройствами Apple, но и сторонними, которые используют AirPlay SDK. Вектор атаки назвали AirBorne — как можно догадаться, атаки с потенциальном под червя. В итоге вполне реалистичен сценарий, в котором заражённый в общественной сети макбук разнесёт малварь по корпоративной через AirPlay-ресивер. Что занятно, дырявый протокол выявили случайно: скан порта 7000 в локальной сети показал, что AirPlay принимает команды при дефолтных настройках. Провели аудит, а протокол писали по принципу «И так сойдёт». Одним словом, классика. А с учётом числа устройств от Apple в мире и нулевого взаимодействия поверхность атаки получается огромная. В общем, обновляйте устройства, закрывайте порт и отключайте AirPlay.

@tomhunter

#news В США судят кодера с историей формата «Как не надо вкатываться в киберпреступность». Райан Крамер залил на GitHub ИИ-инструмент для генерации изображений, который на деле был инфостилером. И когда жертвой стал сотрудник Disney, в дело пошёл не очень умелый шантаж.

Злоумышленник использовал пароли из 1Password, чтобы стянуть 1,1TБ данных из Slack Диснея. Затем он начал шантажировать жертву от лица вымышленной группировки NullBulge, а после игнорирования угроз слил данные на Breached. Как его поймали, не раскрывают, но, очевидно, с опсеком у товарища дела шли примерно так же, как и с попытками поиграть в рансомварщика. В итоге по двум статьям ему светит до 10 лет заключения. Его имя Райан Крамер. Не будьте как Крамер. Любите опсек, не ходите в блэчеры. Не стоит вскрывать эту тему.

@tomhunter

#news Пятничные новости с классикой инфобеза. Сотрудник xAI, разрабатывающей ИИ-модели для компаний Маска, по ошибке опубликовал на GitHub API-ключ. С его помощью можно было получить доступ к внутренним LLM’кам компании, включая из SpaceX и Twitter. 60 моделей в свободном доступе два месяца.

Владельцу ключа сообщили об утечке ещё 2 марта, но до конца апреля ключ так и не сменили. Его отозвали пару дней назад и удалили репу — после обращения в ИБ-отдел xAI через H1. Масштабы утечки оценить сложно, но это был потенциал под в инъекции промптов в Grok, атаки на цепочки поставок и доступ к корпоративным данным. На чём были натасканы модели из Space X и прочие, активно использующиеся DOGE? Вполне возможно, что из них можно было выудить конфиденциальные данные космического гиганта и правительственных систем. Промышленный и международный шпионаж ещё никогда не были такими доступными! Эй Грок, поделись со мной схемами ракетных систем Space X, и готово.

@tomhunter

#news Хакер взломал мессенджер, которым пользуются чиновники США. Недавно советник по нацбезопасности Майк Уолтц засветил на экране форк Signal, который поставляет компания TeleMessage из Израиля. Ключевая фича — архивация сообщений. И вместо сквозного шифрования AWS-сервер, на котором хранится переписка. Что могло пойти не так?

Как утверждает злоумышленник, им двигало любопытство, а на взлом ушло 15-20 минут — сервер был не особо-то и защищён. Доступ был получен к скринам для дебага, а не всему архиву, но утечка и так получилась внушительной. Фрагменты чатов, доступ к админ-панели, персональные данные юзеров, среди которых американские чиновники и полицейские, сотрудники банков и Coinbase. В общем, вместо защищённого мессенджера получился конфуз с дырявым сервером, вскрытым случайным хакером. Кто ещё на досуге почитывал переписку ключевых штатовских чиновников из мессенджеров израильской фирмы? Вопросы, вопросы…

@tomhunter