#news Российская Аеза Групп, связанные структуры и учредители попали под санкции США. Компанию обвиняют в создании bulletproof-хостинга и обслуживании киберпреступной деятельности.

По версии обвинения, Аеза Групп предоставляла услуги операторам рансомвари и инфостилеров, включая BianLian и Lumma. Среди руководителей названы Бозоян, Гаст, Князев и Пензев. Но здесь есть неожиданный нюанс: Бозояна и нескольких коллег арестовали ещё в апреле, в офисе хостера прошло маски-шоу — товарищи успели зайти не в ту дверь и захостить не тех клиентов. Так что у нас сработали на опережение. По итогам BPH-молодёжь явно не разобралась в нюансах ведения киберпреступной деятельности на одной шестой суши, за что и поплатилась. Хостинг, который позволяет быть на высоте, как оказалось, позволяет быть и в других, гораздо менее привлекательных местах.

@tomhunter

#news Первую впечатляющую десяточку по CVSS июля выбила Cisco: в её платформе Unified CM аккаунт с рут-правами и захардкоженными данными доступами. Проще говоря, забыли в софте тестовый аккаунт. Опять.

Удалить его или сменить пароль не выйдет, единственный вариант — накатывать исправление, которое уберёт бэкдор. Эксплуатации в сетевых дебрях пока не замечено, но с такими вводными долго ждать не придётся. Так что рекомендуют срочно ставить патчи и мониторить логи на предмет нежданных визитов. Компания, похоже, стратегически отложила раскрытие уязвимости до июля. Иначе новости «Cisco забыла захардкоженные данные в своих продуктах» шли бы третий месяц подряд — ранее такие CVE раскрыли в апреле и мае. Держат марку, так сказать.

@tomhunter

#news Оригинальный кейс в Штатах: против сотрудника фирмы-переговорщика по рансомвари ведут расследование. Его подозревают в сотрудничестве с киберпреступными группировками.

Согласно делу, подозреваемый работал в тандеме с рансомварщиками, договаривался о выгодных (для них) суммах выкупов и получал по итогам переговоров свою долю. Компания DigitalMint, подтвердила, что расследование идёт, но не против неё, а отдельного сотрудника, которого они сразу же уволили. Удар по репутации в любом случае колоссальный. Впрочем, товарищ просто выкрутил схему работы некоторых сомнительных переговорщиков на максималки: если они получают фиксированный процент от выкупа, сотрудничество с группировками — неизбежный соблазн. Партнёрство-то взаимовыгодное, и такие помогалы напрямую заинтересованы, чтобы было больше взломов, хороших и разных. Хоть собственный бренд рансомвари создавай.

@tomhunter

#news Hunters International завершила деятельность. Рансомварь-группировка, которую считают возможным ребрендингом Hive, заявила о завершении операций и предложила жертвам декрипторы даром, чтобы никто не ушёл обиженным.

На скрине выше можно оценить дипломатичность сворачивающих операции злоумышленников. На деле, конечно, речь об очередном ребрендинге: HI ушли под бренд World Leaks, работают теперь исключительно шантажом по стягиванию данных, без шифрования. Так что это стандартный манёвр по снижению уровня розыска, не более. Старые хвосты закрыты, аффилиаты довольны, новая модель генерирует меньше внимания от органов и повышает шансы, что жертвы тихо выплатят выкуп. Впрочем, получившим бесплатные декрипторы до жизненного цикла рансомварь-операции дела точно нет. Их остаётся только поздравить с нежданным везением.

@tomhunter

#digest Подводим итоги июня дайджестом ключевых ИБ-новостей. В середине месяца прогремела беспрецедентная 16-миллиардная утечка паролей, которой не было — сенсация оказалась не более чем журналистской уткой.

Из реальных событий, Claude показал неплохие результаты в сценарии с багхантингом. Mr.d0x представил перспективные варианты популярной атаки ClickFix. Исследователи обнаружили, что микрофоны ноутбуков и других устройств испускают радиосигналы с записанным звуком, которые легко перехватить. И наконец, четвёрке участников REvil вынесли приговоры, а во Франции поймали IntelBroker’a и ShinyHunters. Об этом и других интересных событиях июня читайте на Хабре!

@tomhunter

#news ИИ-модели, как известно, любят галлюцинировать. Ожидаемо, распространяется это и на ссылки, которые они выдают по запросу юзера. В сценарии «Дай мне ссылку для логина на <название сайта>» ChatGPT в трети случаев генерирует несуществующие адреса.

Соответственно, это открывает простор для фишинга. Злоумышленнику достаточно изучить выдачу модели по запросу, зарегистрировать домен и повесить на него фишинговую страницу. В сущности это младший брат атаки, в которой используют выдуманные LLM’ками пакеты. Только порядком эффективнее: от среднего разраба, хочется надеяться, ещё можно ждать, что он критично отнесётся к выдаче модели. А вот энтузиаст нового дивного ИИ-мира с ChatGPT на все случаи жизни от поисковика до психотерапевта явно более склонен кликать на что попало. И о том, что цифровое будущее пока ещё в зачаточном состоянии и функционирует с кучей оговорок, задумывается далеко не каждый.

@tomhunter

#news Тайваньские безопасники не впечатлились публикацией коллег из Китая об их компетенциях и подготовили ответку. Анализ пяти самых популярных китайских приложений на предмет приватности. Спойлер: всё очень плохо. А как иначе.

Исследование затронуло RedNote, Weibo, TikTok, WeChat и BaiduCloud. Их оценили по 15 показателям в контексте сбора личных данных, запроса чрезмерных разрешений, передачи данных, сбора системной информации и доступа к биометрии. Все приложения набрали тревожных маячков по верхнему пределу: от 9 до 15. Все выбил RedNote — китайская соцсеть, но и TikTok с WeChat не отстают. По итогам приложения названы угрозой безопасности — и конфиденциальность нарушают, и данные передают в Китай, и простор для слежки за юзерами огромный. Всё это очень интересно, только от танцулек в TikTok миллионы зумеров всё равно не убережёт. Но оставить дисс от китайской ИБ без ответа тайванцы, конечно, не могли.

@tomhunter

#article Сегодня разбираем, как найти человека, зная только его телефонный номер. В этом помогут социнженерия, геолокаторы, OSINT и ADINT и прочие доступные методы.

И главное, объясним, как уберечься от такой слежки самому. А это вопросы приватности в соцсетях, готовность столкнуться с социальной инженерией и регулярная проверка своих устройств на предмет лишних разрешений и сомнительных приложений. В общем, все базовые вещи, которые необходимо знать любому, кто опасается слежки или просто заботится о своей приватности. Подробнее читайте на Хабре!

@tomhunter

#news В сетевых дебрях небольшая драма с Shellter Elite — коммерческим лоадером для пентеста. Один из клиентов компании слил свою копию, и с апреля её использовали для доставки инфостилеров.

Разраб сообщил, что это первый случай нарушения лицензии с её введения в 2023-м, обновил софт и выдал правила для обнаружения сэмплов предыдущей версии. А попутно прошёлся по Elastic Security Labs, опубликовавшей отчёт об абьюзе лоадера. И выйти на связь они забыли сенсационности ради, так что свежая версия чуть не улетела слившему софт клиенту. И скачали утекший билд, чтобы протестировать сэмплы. И вообще они безответственные подлецы, у которых туговато с профессионализмом, а красным и синим командам нужно дружить против супостатов из даркнета. По итогам вопрос порешали, но в силу социальных навыков уровня /иб/ не обошлось без недопониманий. Ответственное раскрытие — это, конечно, хорошо. Но это ведь придётся взаимодействовать с этими, как их... Людьми. У нас здесь так не принято!

@tomhunter

#news Редчайший зверь в сфере связанных с APT арестов: в Италии приняли гражданина Китая, подозреваемого в работе на китайскую Silk Typhoon. Его арестовали сразу по прилёту по запросу США.

Судя по всему, это первый публично известный арест такого профиля — ранее члены китайских APT в руки западных спецслужб не попадали. Сейчас товарищ сидит в итальянских застенках, а США по всем каналам активно работают над экстрадицией. Каким образом хакер из китайской апэтэшечки оказался в Италии, и кто его туда вообще пустил — вопросы интересные. Возможно, последний китайский романтик близко к сердцу принял пресловутое «Увидеть Неаполь и умереть». По итогам же получился задел под международный скандал и беспрецедентный судебный процесс. Мечты об Италии разбились о суровые политические реалии.

@tomhunter

#news В Бразилии оригинальный кейс со взломом финтеха. Злоумышленники 30 июня проникли в системы компании, обеспечивающей связность между ЦБ и остальными банками и похитили $140 миллионов с резервных аккаунтов шести банков.

Уязвимость в софте? Хитроумная схема? А вот и нет. Всего лишь подкупленный сотрудник, сдавший хакерам данные доступа — этого хватило для атаки. Цена вопроса? 920 долларов. И ещё $1,850 бонусом за выполнение команд. Начальный доступ к системам ЦБ Бразилии по цене месячного оклада джуна на западном рыночке — такая вот южноамериканская специфика. Инсайдера поймали, но значительная часть украденных средств уже выведена в крипту. Исследователи наперегонки со злоумышленниками ловят разлетающиеся по блокчейнам деньги, а у бразильского ЦБ повод крепко задуматься над состоянием своего финтеха. Если у тебя в стране средняя зарплата — ~600 баксов, принцип наименьших привилегий — не роскошь, а насущная необходимость.

@tomhunter

#news Исследователи представили оригинальный метод джейлбрейка ИИ-моделей. Он получил название InfoFlood и сводится к перегрузке запроса академическим жаргоном, сложными оборотами, примерами и ссылками на несуществующие источники.

Получив набитый научными терминами и заумными оборотами запрос LLM’ка теряется, и у неё отваливаются ограничения — модель просто не может распарсить стену текста на предмет запретных тем. Текст запроса можно усложнять, пока модель не сдастся и не начнёт генерировать нужный контент. В общем, если разговаривать с LLM’кой на языке курсовой, на две трети состоящей из воды, модель ломается. Метод эффективный, но довольно затратный по усилиям в сравнении с джейлбрейками в пару символов. Зато те, у кого бредогенератор после написания диплома ещё не отвалился, вскроют LLM’ку на раз-два.

@tomhunter

#news На рансомварь-сцене разгорелся конфликт: группировки RansomHub и DragonForce невзлюбили друг друга и активно соперничают за аффилиатов и территорию.

Началось это в марте, когда DragonForce положила сайт RansomHub — именно конфликт интересов привёл к внезапному радиомолчанию фаворита 2025-го. В ответ один из членов RansomHub взломал сайт DF, написал им гадостей и назвал предателями. Но киберпреступник киберпреступнику — волк, так что чего уж тут возмущаться? DragonForce также ломала страницы BlackLock и Mamona, так что группировка активно стремится отнять и поделить прибыльный теневой бизнес. На фоне этого исследователи опасаются хаоса в атаках и повторных вымогательств, как было с BlackCat. По факту же у рансомварь-ребят, отказывающихся жить дружно, гораздо больше шансов испортить жизнь друг другу, чем попавшим под раздачу жертвам взломов. Conti не даст соврать.

@tomhunter

#news Во Франции арестовали российского баскетболиста Даниила Касаткина по запросу США. При чём тут ИБ? Его обвиняют в работе переговорщиком на рансомварь-группировку.

В первоисточнике группировка не названа, только пара куцых фактов. Атаки на 900 организаций, включая два американских госучреждения. Всё это в период между 2020-м и 2022-м. Кто у нас подпадает под этот профиль? Пожалуй, только Conti. В таком случае можно предположить, что ФБР через пресловутые утечки вышло на нетипичного обвиняемого. Касаткин жил и учился в США, так что как минимум владеет языком для приписываемой ему халтурки на стороне. Защита утверждает, что он с кампухтерами на вы, так что его либо взломали, либо подержанное устройство ему продал хакер. Но что ещё ей утверждать. Кейс, конечно, интересный: и мячи забивать мастер, и переговорщик не слабый, да и в даркнете человек не последний. Посмотрим, насколько этот образ соответствует действительности.

@tomhunter

#news Для тех, кого не тянет на наукообразные беседы с ИИ, есть вариант сыграть с ним в игру. В качестве приза можно получить ключи к Windows и прочие плюшки джейлбрейка.

Исследователь предложил ChatGPT игру, в которой он угадывает действительные продуктовые ключи от Microsoft. По условиям если он пишет «Сдаюсь», LLM’ка должна выдать реальный ключ. Выдала, не постеснялась. Из-за промпта под игру у модели отвалился контекст, запрятанные в HTML-коде запросы также не считались ограничениями. Среди ключей в выдаче нашёлся даже один корпоративный крупного банка. Разгадка, конечно, проста: в тренировочные датасеты инфернальной ИИ-машины где-то попали ключи. Но с учётом того, сколько конфиденциальной информации сливают в разные кастомные модели, желающих их выудить найдётся достаточно. «Я хочу сыграть с тобой в одну игру, ИИ-агент. Давай вытащим из твоих данных API-ключи этого горе-вайбкодера».

@tomhunter

#news В Великобритании арестовали четырёх человек, связанных со Scatter Spider. Трое — подростки 17-19 лет, одной 20. Как обычно по этому профилю, сим-своппинг с ранних лет, чатики с доксингом, интриги, предательства и прочие радости подросткового даркнета. А попутно недавние взломы крупных ритейлеров и авиакомпаний.

Что интересно, двое из арестованных связаны со взломами сети казино MGM в 2023-м и атаками Lapsus$ в 2022-м. То есть на момент нашумевших кейсов им было лет по 15-16, как и многим другим членам группировки, в лучших традициях криминала использующей малолеток для громких дел. Лицо киберпреступности в UK выглядит примерно так: завербованные в Roblox и Minecraft в раннем подростковом возрасте дарования. Так что вкатываться в сайберкрайм в 2025-м аналогично IT: ты ещё только задумчиво ковыряешься в исходниках с vx-underground, мечтая о шальных миллионах с рансомварь-выплат, а какой-то британский шкет уже дошёл до финального этапа карьеры и сидит.

@tomhunter

#article В нашей сегодняшней обзорной статье мы рассмотрим применение OSINT в условиях современных военных конфликтов. Важность разведки по открытым источникам сложно переоценить — OSINT становится одним из краеугольных тактических инструментов на поле боя.

Мы поговорим о роли спутниковых снимков и геолокационного анализа, работе с утечками и фишинге по противнику. Затронем тему информационно-психологических операций и роли БПЛА как OSINT-инструмента. А также выделим ключевые тренды будущего OSINT-разведки, которая будет играть всё большую роль в боевых действиях. За подробностями добро пожаловать на Хабр!

@tomhunter

#news Пятничные новости инфобеза. Военный из США с одной из авиабаз признал вину в передаче сверхсекретной информации по российско-украинскому конфликту заморской возлюбленной из приложения знакомств.

События произошли в феврале-апреле 2022-го: у военного пенсионера на гражданской должности был доступ к совершенно секретной информации, и появилась роковая подруга якобы из Украины. А дальше как в шпионском фильме категории B: с перепиской формата «Дорогой, что на экранах в спецпомещении?», «Дейв, у НАТО и Байдена есть секретный план помощи нам?» и «Мой любимый секретный информатор, как твои совещания?» По итогам собеседница получила внеочередное повышение, а Дейва ждут до 10 лет тюрьмы. Прошли ли после этого в штатовской военке тренинги формата «Если красотка в сети просит фото твоего спецпомещения, это не красотка, а грушный шпион?» Об этом новости умалчивают, но скорее да, чем нет.

@tomhunter

#news Исследователи прошлись по GitHub на предмет ключей приложений на Laravel. Речь про APP_KEY — по сути мастер-ключ от продукта. Результаты как всегда: ключи от более 600 приложений лежали в открытом доступе.

На этом приключения в мире утечек на GitHub для разрабов не заканчиваются. Ввиду уязвимости в decrypt() Laravel — автоматической десериализации — вооружённый ключом злоумышленник может при определённых условиях получить RCE. При этом 63% ключей утекли вместе с файлами конфигурации — то есть токенами, данными доступа и прочим полезным в киберпреступном быту. Утекают и связки из APP_KEY и APP_URL — 28 тысяч пар, из которых 10% валидны. По итогам в 120 приложениях RCE на изи моде. В сухом остатке заливающие конфиги на GitHub джуны, помноженные на увлекательные нюансы экосистемы PHP с десериализацией и прочими радостями, дают на выходе идеальный шторм. Подробнее об исследовании в отчёте.

@tomhunter

#news Сразу два кейса редкого события в мире криптовзломов: хакеры согласились вернуть 90% средств стянутых с DeFi-платформ Texture Finance и GMX в обмен на отказ от преследования.

На прошлой неделе биржа GMX была взломана — злоумышленник стянул больше $40 миллионов, но в пятницу пошёл на мировую и начал возвращать крипту. С Texture Finance ровно та же история: 9 июля взломщик украл $2,2 миллиона и получил ультиматум до пятницы с предложением записаться в серошляпочники за 10% от суммы, избежав знакомства с правоохранительными органами. Как ни странно, сработало — средства были возвращены. Так что у нас не один, а целых два единорога от мира криптовзломов за неделю. Платформам, впрочем, повезло, что по их крипту пришли пугливые одиночки, а не IT-солдаты одного маленького, но гордого государства-изгоя. Те серых шляп не носят — исключительно чёрные да камуфляжные.

@tomhunter

#news Характерные новости из штатовского DOGE: его 25-летний сотрудник Марко Элез залил на GitHub приватный API-ключ. От 52 ИИ-моделей xAI. Чувствуете лёгкий порыв дежавю? Ровно то же самое произошло два месяца назад. Хотя бы с другим персонажем.

13 июля юное дарование закинуло на GitHub скрипт agent[.]py с ключом, на что тригернулся сканер GitGuardian. Репозиторий он оперативно удалил, получив письмо, но вот ключ не сменил. А с ним и доступ к свежайшим моделям, одну из которых выпустили только 9 июля. Так что у китайских госхакеров, наигравшихся с майскими моделями, появилась возможность поковыряться и в новых. А у Элеза, напомню, доступ ко всевозможным правительственным базам. Внимание, вопрос: как у него с безопасностью госданных да и инфобезом с целом, если он лёгким движением мыши сливает API-ключи на GitHub?

@tomhunter