#digest Подводим итоги ушедшего месяца дайджестом самых интересных ИБ-новостей. В мае прогремела история со взломом мессенджера, стоявшего на устройствах топовых чиновников США. Взломали также и инфраструктуру LockBit, добавив минусов в репутацию группировки.

Кроме того, в мае масштабная операция Endgame по перехвату киберпреступной инфраструктуры принесла неплохие результаты и всё ещё продолжается. Общедоступная ИИ-модель впервые нашла критический нулевой день. WhatsApp выиграла беспрецедентное дело против разработчика спайвари Pegasus. А исследователь публично раскрыл старую сетку сайтов для связи ЦРУ с агентурой, среди которых порталы про Star Wars и онлайн-игры в России нулевых. Об этом и других ключевых новостях последнего весеннего месяца читайте на Хабре!

@tomhunter

#news Не так давно либертарианское сообщество шумно отмечало освобождение Росса Ульбрихта, создателя Silk Road. Подоспела вишенка на торте к празднеству: герой получил перевод на 300 битков, они же ~$31 миллион. От кого? Крупного игрока с AlphaBay.

Анализ блокчейна показал, что автор перевода активно пытался скрыть происхождение средств, но в итоге следы привели к кластеру адресов, связанных с AlphaBay. Предположительно, один из ключевых торговцев с площадки или админ. В общем, небольшой подарочек к освобождению от одной ни в чём не виноватой легенды даркнета другой. О назначении перевода можно спекулировать сколько угодно: от возвращения долгов до благодарности первопроходцу. Но как это выглядит не через розовые очки любителей цифрового будущего, сами понимаете. Как можно догадаться, фан-клуб Ульбрихта давать комментарии не спешит — в красивую сказочку о жертве судейского произвола золотой криптопарашют от коллег по бизнесу вписывается не очень.

@tomhunter

#news Кандидат на ключевую уязвимость месяца — RCE в почтовом софте Roundcube, CVE-2025-49113, 9.9 по CVSS — обзавёлся эксплойтом. Небезопасная десериализация в PHP, вызванная отсутствием санитизации на одном из параметров. Причём остававшаяся незамеченной 10 лет.

Патч вышел 1 июня, эксплойт на продажу появился в даркнете через пару дней. А за 1-day в Roundcube, как водится, в очередь мигом выстроятся все апэтэшечки, если это не какие-нибудь известные бездарности. Раскрывший уязвимость исследователь в выражениях не стесняется, называя её «Почтовым армагеддоном», а у поверхности атаки промышленные масштабы. Как обычно, вооружённые эксплойтом злоумышленники до систем доберутся гораздо раньше, чем исправления, так что можно ждать новостей от национальных кибербез-агентств, у которых организации в стране накатыванием патча озаботятся только постфактум. Видео с проверкой концепции здесь.

@tomhunter

#news На npm отметилась очередная потенциально крупная атака на цепочку поставок. Она затронула Gluestack UI: 17 из 20 пакетов @react-native-aria с >1 миллиона еженедельных загрузок обзавелись RAT 6 июня.

Атака на вечер пятницы выпала неслучайно: расчёт был на то, что стук по мейнтейнерам утром субботы будет не очень результативным. Но обошлось — троянизированные пакеты оперативно порезали. По вектору атаки всё как обычно: скомпрометированный токен одного из мейнтейнеров. По итогам инцидента разрабы обзавелись такими чудесами инфобезной мысли как двухфакторка для доступа к GitHub и пуша изменений. Но то, что у опенсорса есть живые и активные мейнтейнеры, способные на шевеление по выходным и репорт по следам инцидента к понедельнику — это уже большой успех.

@tomhunter

#news Исследователь забрутфорсил номера телефонов юзеров Google. Сделать это удалось через форму восстановления аккаунта. Отключённый JS, подтянутый botguard-токен, и форму можно было брутфорсить до получения отклика по существующей связке «Имя пользователя — телефон».

Помимо этого, в процессе исследователь обнаружил оригинальный метод утечки не только номера, но и имени пользователя для брутфорса по нему. Из незакрытых Google утечек остались документы Looker Studio, при переводе владения которыми на аккаунт отображалось его имя. По итогам в связке с ним и скрытым номером с двумя известными цифрами из формы восстановления скрипт возвращал номер, к которому привязана почта, за секунды, максимум, 20 минут. Уязвимость закрыли, багхантер добился пересмотра серьёзности уязвимости и выбил бонусные 3,5к баксов к изначальным 13 соткам, всё ответственно раскрыто, счастливый конец. Подробнее о брутфорсе в отчёте, проверка концепции здесь.

@tomhunter

#news Linux Foundation запустил проект по поддержке WordPress. FAIR Package Manager станет новой независимой системой для распространения доверенных плагинов и тем.

Проект появился по следам конфликта между коммерческими хостерами Automattic и WP Engine прошлой осенью. Стороны обменялись взаимными обвинениями, и WP Engine закрыли доступ к WordPress[.]org. А это, мягко говоря, не лучшим образом сказалось на стабильности и защищённости экосистемы WP, которая и без того пестрит критическими уязвимостями каждый месяц. В итоге было принято решение сделать свой хостинг со справедливостью и проверенными плагинами. Пока большие игроки обзывают друг друга «Раком Wordpress» и судятся из-за так называемого копирайта, приходят линуксоиды и безвозмездно делают хорошее дело. Много таких случаев!

@tomhunter

#news LLM’ки уже повсюду, но их защищённость в плане ИБ пошла по пути облаков и API — внедряют повсеместно, а вот задумываются об их уязвимости гораздо реже. Так, согласно свежему отчёту о защите данных от Varonis, 99% из 1,000 изученных компаний дали ИИ-инструментам ненужный им доступ к чувствительным данным.

То же касается и облачной инфраструктуры, включая данные для обучения моделей. У 98% в сетях не одобренные ИБ-отделами приложения, в том числе всё те же LLM’ки. Помимо этого, у 88% в среде фантомные юзеры, а одна из семи компаний обходятся без мультифакторки на SaaS-решениях и облаках. Проще говоря, ИИ-модели оказались уязвимы у всех. Пристрастие к облегчению своей работы через услужливую LLM’ку есть, а понимания разрешений на них и поверхности атаки в целом — нет. Ещё не все бедолаги приучились двухфакторку на SaaS’ах подключать, а теперь уже и об ИИ-агентах в своих сетях нужно переживать. Помилуйте!

@tomhunter

#news Недавно был перехвачен DanaBot, теперь появились подробности операции. И какие! В коде С2-протокола малвари была уязвимость: исследователи назвали её DanaBleed. Импакт был соответствующий.

Более того, уязвимость появилась ещё в июне 2022-го, и за операторами следили на протяжение трёх лет. Тысячи ответов от С2, включая логины и IP операторов, данные о жертвах, домены и айпишники серверов, криптографические ключи… вплоть до changelog’ов вредоноса. В итоге всю инфраструктуру детально замапили и успешно разобрали. Плюс теперь сам факт раскрытия нанесёт разработчикам такой удар по репутации, что под старым именем вообще не стоит рисковать работать. У вас три года С2-серверы протекали, господа нехорошие. С аналогом HeartBleed в послужном списке далеко не уедешь даже в нетребовательном к содержимому резюме мире киберпреступности.

@tomhunter

#news Интерпол не отстаёт от коллег с их операцией Endgame и также нанёс удар по инфраструктуре инфостилеров в Юго-Восточной Азии. В ходе операции Secure перехвачены 41 сервер и больше 20 тысяч доменов, арестованы 32 человека во Вьетнаме и Шри-Ланке, включая лидера некой группировки.

Подробностей об арестованных и брендах малвари мало, вскользь упомянуты RisePro, META Stealer и Lumma. Так что последнему досталось второй раз с майской операции. У META также второй перехват инфраструктуры за короткий срок — в прошлый раз её разнесли в октябре. В общем, покой операторам только снится — время поднимать серверы заново. А кому-то и осваиваться во вьетнамских застенках.

@tomhunter

#news Новая атака SmartAttack от специалиста по взлому изолированных от сети систем Мордекая Гюри. На этот раз в ход идут умные часы, служащие в качестве приёмника ультразвуковых волн с целевой машины.

Для передачи сигнала используется малварь, подающая его через встроенный динамик компьютера с помощью двоичной частотной модуляции. Часы улавливают ультразвук, встроенное приложение их дешифрует и пересылает дальше. При этом владелец часов может и не подозревать об этом в сценарии, где они были взломаны злоумышленником. Атака эффективна на расстоянии до 6-9 метров со скоростью 5-50 бит в секунду — для стягивания логинов, паролей и ключей хватит. Из решений запрет на умные часы и удаление встроенных динамиков. В общем, неугомонный Гюри продолжает служить источником головной боли для ИБ-отделов режимных объектов, вскрывая всё новые возможные векторы атаки. Ранее в шпионском сериале SATA-кабели, индикаторы, блоки питания и оперативная память.

@tomhunter

#news Исследователи обнаружили, что микрофоны в ноутбуках, телефонах и умных колонках испускают радиосигналы с записанной информацией при обработке звука. Их можно перехватить на расстоянии до двух метров и через 25-сантиметровую стену.

Эксперименты показали, что хуже всего с утечкой у ноутбуков — длинные провода в них усиливают сигнал. Микрофоны часто включаются многими приложениями в фоне, а очистить радиопомехи можно с помощью LLM’ок. При этом оборудование для перехвата копеечное — хватит простенького FМ-приёмника и медной антенны. В качестве митигации предлагают изменить расположение микрофонов в ноутах и скорректировать протоколы обработки звука, чтобы снизить разборчивость сигнала. А пока радиолюбители со склонностью к шалостям могут поиграть в шпионов с соседями. Мы такое, конечно, не одобряем, но и запретить ведь не можем. Подробнее об оригинальном методе прослушки в исследовании, а по ссылке выше есть видео с проверкой концепции.

@tomhunter

#news Вчера вечером прилегли многие сервисы, включая экосистему Google, AWS, Discord и многие другие. Проблема была на стороне Cloudflare: отвалился их ключевой сервис Workers KV, вслед за ним посыпалось всё остальное.

Так как на сервис завязана значительная часть инфраструктуры, поломался внушительный список компонентов. А вместе с ними начались проблемы и у всех сторонних сервисов. Перебои продлились несколько часов. Хорошие новости: это был не кибербез-инцидент и не очередные перебитые кабели на морском дне — у подрядчика Cloudflare, который держит часть их инфраструктуры, произошёл сбой. Плохие новости, парни: никакого «облака» не существует, это просто чей-то компьютер. И он немного приболел. По следам сбоя Cloudflare обещает поработать над устойчивостью и устранить единую точку отказа в лице подрядчика, на котором висит бэкенд Workers KV. В общем, можно выдыхать — сегодня без сетевого апокалипсиса.

@tomhunter

#news Исследователи представили новый метод джейлбрейка ИИ-моделей. На этот раз совсем элементарный: достаточно одного символа, чтобы поломать токенизацию LLM’ки и обойти ограничения.

Атака сводится к искажению ввода: добавив лишнюю букву или изменив слово с сохранением смысла, можно обойти фильтры. Исковерканные слова модели по-прежнему понятны, а вот распознание вредоносного контента отваливается. Например, instructions заменяют на finstructions, и модель, обученная распознавать атаку по instruction, её пропускает. LLM’ка при этом сам запрос выполняет нормально, так что потенциал под инъекцию промптов есть. Из токенизаторов атаке не подвержен только Unigram. В общем, головная боль для разработчиков моделей и развлечение на выходные для любителей джейлбрейкнуть LLM’ку на досуге. Подробнее о TokenBreak в отчёте.

@tomhunter

#news Ещё один прорыв в деле использования LLM’ок под нужды багхантинга. На этот раз отличился Claude: модель успешно приспособили под обнаружение уязвимостей, а также их эксплуатацию и создание проверок концепции.

Для этого Claude обучили анализировать .NET-сборки и подняли сервер, который дал модели доступ к их полной структуре. В итоге вместо ручного анализа LLM’ка прошла за специалиста полный путь от обнаружения уязвимости на небезопасную десереализацию до цепочки эксплойта под неё. Всё это с детальным анализом и пониманием структуры бинарников. В общем, пока начинающие багхантеры портят жизнь разработчикам липовыми ИИ-репортами, на уровне повыше идут процессы, которые уже скоро изменят BB-индустрию как таковую. Подробнее о приключениях Клода в мире багханта в отчёте.

@tomhunter

#news Archetyp Market, один из ключевых европейских наркомаркетов даркнета, перехвачен. В Барселоне арестовали 30-летнего немца, оператора платформы, в Германии и Швеции приняли модератора и шестерых крупнейших торговцев с площадки.

За пять лет работы Archetyp набрал больше 600 тысяч юзеров и через него прошли почти $300 миллионов транзакций. На май 2023-го это был самый посещаемый сайт в Tor, какое-то время Archetyp был крупнейшим наркомаркетом и пережил нескольких конкурентов. Между тем основатель был идейным продолжателем дела ни в чём не виноватого либертарианца Росса Ульбрихта, и создал платформу для борьбы с коммерциализацией наркорыночка и продвижения либерализации законодательства. Но вслед за арестом его благородным порывам пришёл конец, а глобальная экосистема наркотрафика по итогам перехвата существенно пострадала.

@tomhunter

#news К новинкам рансомвари. Группировка Anubis, всплывшая на форумах в начале года, отметилась любопытным нововведением в энкрипторе: в него встроена функциональность вайпера.

Вайпер опциональный: рансомварь идёт с параметром /WIPEMODE, который удаляет содержимое файлов, оставляя названия и расширения файлов нетронутыми. В сущности это социнженерия с угрозами удалить файлы, получившая реальное воплощение — жертва видит, что часть файлов превратилась в тыкву без шанса на восстановление, и начинает паниковать. В общем, подход относительно оригинальный. Помимо этого, у Anubis гибкая и заманчивая партнёрка 80/20, как в лучших RaaS-домах даркнета, так что перспективы у нового бренда есть. Впрочем, вайпер — это, конечно, оригинально, но успехов не гарантирует. Пока у группировки на сайте висят семь взломов. Подробнее о новичке в отчёте.

@tomhunter

#news Ещё один мессенджер «У нас никогда не будет рекламы» сдался. Рекламную экосистему добавили в WhatsApp, она будет отображаться во вкладке Обновления. Также появится реклама в статусах, платные подписки и бусты к видимости каналов в каталоге.

В рамках экосистемы WhatsApp будет собирать возраст юзера, информацию об устройстве, местоположение до города, подписки на каналы и взаимодействие с ними. Плюс активность в других приложениях компании. Добавившие WhatsApp в Центр аккаунтов получат сомнительный бонус в виде интеграции рекламы со всех платформ. Как утверждают, продавать номера аккаунтов рекламщикам не будут, как и не станут лезть в сообщения, звонки и группы, чтобы собрать больше инфы под таргетированную рекламу. В общем, в борьбе между пиаром на защищённости и монетизацией победила последняя. Из плюсов, ещё надо посмотреть, что из функциональности экосистемы доберётся до России. Обстоятельства-то не располагают.

@tomhunter

#news Голливуд продолжает активно делать хуже не только кинематограф, но и сеть. Ассоциация киностудий продавливает преследование VPN-сервисов за пособничество в пиратстве.

По логике голливудских воротил и ЕС в придачу, VPN-сервисы должны либо блокировать доступ к пиратскому контенту, либо вести логи активности. Иначе говоря, сервисы могут поставить перед выбором стать инструментами контроля или лишиться возможности обеспечивать свою основную функциональность. Зачем пользователю VPN, который мониторит его трафик — вопрос на миллион нидерландских серверов. Зачем при таких раскладах держать VPN-сервисы в Европе — вопрос не хуже. В перспективе мы можем застать исход VPN-поставщиков из ЕС, а следом и из Швейцарии с её схожими инициативами. А юзер по итогам получит увлекательную возможность обзавестись китайским VPN с бэкдором от партии. Это всё точно поможем победить пиратство.

@tomhunter

#news В Linux обнаружили LPE-уязвимость, причём в udisks. С учётом того, что демон повсюду, затронуты все основные дистрибутивы. Уязвимость позволяет получить рут-доступ при наличии флага allow_active.

Хуже всего openSUSE: в нём цепочка из CVE в udisks и ещё одной в конфиге PAM, дающей локальному юзеру allow_active под эксплойт. В остальных дистрибутивах злоумышленнику придётся быть креативнее. Между тем исследователи создали PoCs под эксплойт на Ubuntu, Debian и Fedora, так что уязвимость улетает в категорию универсальных, критических и немедленно требующих патча. Обнаружили её те же ребята, что нашли Looney Tunables и другие нашумевшие CVE, так что кейс серьёзный. Параллельно CISA предупредила об активном эксплойте исправленной в 2023-м CVE в ядре Linux, тайминг — моё почтение. Не будьте как жертвы этих атак, накатывайте патчи вовремя.

@tomhunter

#news ИИ-боты всё чаще ломают сайты открытых библиотек, архивов и музеев. Согласно свежему исследованию, рост трафика отметили 39 из 43 опрошенных, и примеров, когда их ресурсы не выдерживают массового стука от ботов, всё больше.

Проще говоря, собирающие датасеты для обучения скраперы набегают на сайты, не готовые к такому наплыву, и кладут их. Часть скрывает своё искусственное происхождение, боты также игнорируют robots.txt, так что эффективность от него нулевая. Университет в США описал аналогичный кейс: боты нагнали столько трафика, что студенты и персонал вуза лишились доступа к своим ресурсам, пока их IT-отдел неделю разбирался, что с этим делать. 2025-й год, рой ИИ-ботов дудосит один сайт за другим в нескончаемой жатве информации для обучения своих инфернальных моделей. Будущее безжалостно!

@tomhunter

#news Произральские хактивисты взломали Nobitex, крупнейшую криптобиржу Ирана, и стянули больше $90 миллионов. Хакеры получили доступ к горячему кошельку биржи, а также обещают слить исходники и внутренние данные.

Украденными средствами распорядились оригинально: их отправили на vanity-адреса с нецензурными посланиями в адрес КСИР в названии. Сгенерировать их с рабочими приватными ключами нереально, и $90 миллионов в сущности просто сожгли. Так что дело не в деньгах — главное, чтобы дошёл смысл послания. В принципе, взломом биржи в 2025-м мало кого удивишь, а вот инфоповод от красиво горящих криптомонеток разлетится по сети погромче — логика прослеживается. Кроме того, как и полагается порядочной бирже в подсанкционной стране, через Nobitex шли шальные деньги с рансомвари и сопутствующего. Так что помимо политического месседжа получился и удар по иранской киберпреступности. В общем, борьба с гидрой сионизма не задалась по всем фронтам.

@tomhunter