#announcement 11-12 сентября в Москве пройдёт «Moscow Forensics Day’25». Конференция не нуждается в представлении — это одно из самых актуальных и масштабных мероприятий в сфере цифровой криминалистики и информационной безопасности.

Доклады и мастер-классы, новинки индустрии и возможность пообщаться с их разработчиками, актуальная информация от ключевых экспертов и полезные знакомства — всё это ждёт гостей на «MFD». От T.Hunter в конференции примет участие директор нашего департамента киберрасследований Игорь Бедеров и расскажет об определении владельцев, админов и разработчиков веб-ресурсов. Подробнее о событии и регистрация здесь. Участие бесплатное, так что регистрируйтесь, добавляйте в календари, и встретимся в сентябре на «Moscow Forensics Day’25»!

@tomhunter

#news В наших краях оригинальный кейс: взлом сети алкомаркетов «Винлаб». 14 июля часть IT-инфраструктуры сети отвалилась, к 16 июля скрывать произошедшее уже не было возможности — компания сообщила о масштабной атаке.

Пострадал весь холдинг Novabev Group, которой принадлежит сеть — у него проблемы с отгрузкой продукции и заказами, а магазины простаивают. Судя по всему, по инфраструктуре либо прошлись вайпером, либо закинули им рансомварь. Сообщают, злоумышленники вышли на связь — просят выкуп за декриптор или бонусом за то, чтобы не сливать стянутые данные. По нашим оценкам, в худшем случае простой может продлиться до недели-двух с убытками более миллиарда одной только «Винлаб», а потенциально и оборотным штрафом за утечку данных для холдинга. По итогам в атаке ищут украинский след, борцы за трезвенность вместе с «Красное&Белое» ликуют, а остальным остаётся подивиться на редкого зверя. Алкомаркеты в СНГ зашифровали, представляете? Можно даже сказать, закодировали.

@tomhunter

#news Сумма криптокраж за полгода 2025-го достигла $2,17 миллиардов. Не хватает скромных $30 миллионов, чтобы побить украденное за весь прошлый год. По промежуточным итогам 2025-й уже на 17% хуже рекордного 2022-го.

Всё это, конечно, интересно, но есть маленький нюанс. Или не маленький: 1,5 миллиарда криптобаксов, стянутых с Bybit — сами по себе беспрецедентные. Chainanalysis в свежем отчёте экстраполирует сумму на весь год и прогнозирует, что он преодолеет планку в $4 миллиарда. Где бы только северокорейским криптостахановцам найти столько бирж, чтобы их все обнести? Из интересного, взломы персональных кошельков составляют уже почти четверть от атак. А нападения на криптобро коррелируют с ценой битка — стоит в новости залелеть очередному заголовку про побитый рекорд, как тут же появляются желающие потрясти какого-нибудь криптоблоггера. Бывают, впрочем, в этой среде и истории со счастливым концом.

@tomhunter

#news Один из основных поставщиков десяточек по CVSS отметился новой. Кто? Конечно же, Cisco, широко известно чья контора. Причём снова в Cisco ISE и ISE-PIC — в прошлом месяце в них также исправили две уязвимости с максимальным рейтингом.

Проблема в недостаточной проверке данных в одном из API. А вместе с этим идут RCE с рут-доступом без авторизации — достаточно специально созданного запроса по публичному API. Если где-то это уже слышали, вам не кажется: уязвимость идентична исправленной в конце июня, и нашли её те же исследователи. Помогите Даше оценить качество кода этого их API после вскрытия в нём двух десяточек на досуге. А пару недель назад Cisco залетела в новости с очередным забытым тестовым аккаунтом. Так что у этих всё стабильно.

@tomhunter

#news Пятничные новости от мира криптокраж. В 2017-м c кошелька Томаса Уайта, арестованного создателя Silk Road 2.0, пропали 50 битков. Уже под следствием, Уайт убеждал следователей, что ключи были только у агентов NCA, но по итогам дело замяли.

Про битки вспомнили снова после освобождения Уайта в 2022-м. Ушедшую в Bitcoin Fog крипту отследили и вышли на одного из агентов NCA, участвовавшего в расследовании и имевшего доступ к устройствам Уйта. У товарища нашли айфон с аккаунтом, на который ушли битки, да и они сами нашлись: на момент ареста в 2022-м изъяли 30 биткоинов — $3,5 миллиона по нынешнему курсу. На днях криптовор в погонах получил 5,5 лет тюремного заключения. План явно был долгоиграющим, и у него были все шансы на успех, если бы не надоедливые исследователи из ChainAnalysis и их глупый анализ блокчейна. Тщательнее замешивать надо было — транзакции-то все вот они.

@tomhunter

#news У фитнес-приложения Fitify обнаружили пользовательские данные в в открытом доступе, включая личные фото для отслеживания прогресса в тренировках. Всё это в открытом гугловедре без пароля. Классика.

Приложение популярное — ~25 миллионов установок, соответственно, и фото было с запасом: ~140 тысяч. А это явно не те фото, которые юзер хочет видеть в сети или в кликбейтной статье со стыдливо прикрытым чёрной полоской прогрессом. Бонусом в приложении нашли захардкоженные ID и пару ключей, а вот обещанного шифрования нет — в ведре всё в открытом виде. По итогам с разработчиком связались, облако прикрыли, инфоповод есть. Было бы хуже, если бы на ведро наткнулись какие-нибудь шутники и слили архив на очередной Breached, попутно шантажируя юзеров. А так в сухом остатке у нас напоминание, что не все мобильные приложения одинаково полезны. Миллионы фитнес-энтузиастов, конечно, не могут ошибаться. А вот разраб вполне может.

@tomhunter

#news К оригинальным стартапам. В США находчивый юноша додумался перепродавать данные с инфостилеров под видом легального бизнеса. Его компания предлагает доступ к данным якобы с 50 миллионов устройств.

Один из продуктов с полным доступом к стянутым паролям формально требует описать юзкейс для сотрудничества, но список широкий: от полиции и детективов до журналистов и ИБ. Второй публично доступен за 50 баксов, пароли не выдаст, но доступ к части чувствительной инфы есть. «Зумер изобрёл бот для пробива, тоже мне новость» — скажете вы. Но суть в том, что всё это под фасадом легитимной OSINT-фирмы, с сайтами в верхнем интернете, фото стартапера с пёсиком и трогательной историей про взлом библиотеки в детстве и дружеский визит из ФБР. Это вам не мутные каналы-однодневки в Telegram. В общем, товарищ понял, что для выхода на штатовский рынок OSINT нужно своё ноу-хау. Этика серошляпочника встретилась с американской бизнес-смекалочкой, и вот результат.

@tomhunter

#news Раскрытая на днях критическая уязвимость CVE-2025-53770 в Microsoft SharePoint Server продолжает обрастать подробностями. Её эксплойтят минимум с 7 июля, и уже взломаны не меньше ста организаций по всему миру, включая госучреждения и крупные корпорации.

Нулевой день с заявкой на главную CVE сезона лето’25: небезопасная десериализация, внедрение кода и RCE без авторизации. Более того, в идущей кампании стягивают криптографические ключи для закрепления, так что накатывание патчей не поможет, если системы уже вскрыли. Охват по атакам огромный: от США до Южной Африки и азиатских стран. Первые эксплойты шли от китайских апэтэшечек (кому кроме них), но на текущий момент к банкету явно подтянулись и прочие желающие. Потенциально же уязвимы до 9000 серверов. Иными словами, конец июля для ИБ-отделов и им сочувствующих выдался жарким: с учётом закрепления в системах, в идеале им нужен полный аудит на компрометацию. Подробнее о грозе летних отпусков здесь.

@tomhunter

#news ИИ модели покорили все индустрии, кроме одной: согласно опросу ИБ-специалистов, лишь 30% используют LLM’ки в своих рабочих процессах. 42% в раздумьях, и 10% нео-неолуддитов доверять искусственному болванчику не планируют вовсе.

Среди причин медленной интеграции называют опасения насчёт приватности, недочёты в разработке и непредусмотренные риски. Более того, треть руководителей забанили часть моделей в своих организациях, тот же DeepSeek. Здесь без неожиданностей: любой безопасник понимает, что ИИ — это огромная и неизученная поверхность атаки. Впрочем, 70% принявших своего нового ИИ-повелителя рапортуют о положительных результатах, так что рано или поздно все там будем. Ну и за бедных джунов замолвите слово: больше половины ИБшников уверены, что ИИ-долгоносик пожрет их рабочие места, но треть предполагают, что LLM’ки создадут для джунов новые возможности и переориентируют скиллсеты (на обслуживание кремниевого господина). Подробнее о результатах опроса в отчёте.

@tomhunter

#news Британия снова впереди планеты всей по экспериментам с ИБ-законами: госструктурам и критической инфраструктуре запретят выплату выкупов после взломов. Вообще. Вы ждали этого, вы годами говорили об этом, и британцы доставляют.

Предполагается, что запрет нарушит бизнес-модель рансомварь-группировок — нет надежды на выкуп, нет и мотивации для атак по секторам, получившим бан. Для частников послабления: им в принудительном порядке уведомлять о выплатах и сверяться с санкционными списками на случай, если вскрывший их системы бренд уже попал в списки счастья от NCA и коллег. Бонусом разрабатывают систему отчётности для жертв вымогателей — она должна повысить координацию между ведомствами. Эффективность мер у многих вызывает сомнения, да и у апэтэшечек бизнес-модель совсем иная. Но у британского loicense-самурая нет цели, есть только путь. И на этом пути он примет по драконовскому закону на каждого члена Палаты общин, а о последствиях будет думать позже.

@tomhunter

#news Горячие новости из наших широт: арестован админ XSS. Его приняли вчера, 22 июля. И не абы где, а на Украине, прямиком в Киеве. Европол утверждает, что взял ключевого персонажа, ответственного за форум. А заодно перехвачен и домен. Ушла эпоха.

XSS — площадка долгоиграющая, активная с далёкого 2013-го. Это вам не разные итерации Breached, уходящие офлайн раньше, чем о них узнает широкая публика, а порядочный русскоязычный киберпреступный форум. Подробностей расследования пока нет, известно лишь, что французы вели его с 2021-го, а в сентябре 2024-го выдвинулись на оперативно-розыскные. Арестованный также обозначен как оператор мессенджера thesecure[.]biz. Какие перспективы у XSS после ареста? Одним словом туманные. Европол также вскользь упоминает сотрудничество по маппингу инфраструктуры и выявлению связей админа с коллегами по бизнесу. Так что тикайте с городу, хлопцы, если можете. Иначе и за вами придут.

@tomhunter

#article В сегодняшней статье мы рассмотрим три неочевидных инструмента слежки и прослушки, в роли которых могут выступать повседневные устройства.

Первым у нас идёт ностальгический взгляд в прошлое: как всего 15-20 лет назад обычные кирпичи от Nokia и Siemens умельцы превращали в неприметный жучок? Также рассмотрим эволюцию перепрофилирования привычных гаджетов: как обычные детские GPS-часы становятся средством слежки. И бонусом расскажем о том, как любые Bluetooth-наушники в паре со смартфоном можно превратить в импровизированное прослушивающее устройство. За подробностями добро пожаловать на Хабр!

@tomhunter

#news Учёные представили новый вариант технологии, позволяющей определять человека по изменению сигнала Wi-Fi. Метод распознаёт одного и того же человека с точностью до 95,5% — ранее удавалось добиться точности лишь в 75%.

Метод сводится к анализу изменения сигнала при прохождении через пространство. Тело человека влияет на его параметры, создавая уникальные искажения, и с помощью нейросети эти искажения можно превратить в уникальные отпечатки. Технология может найти применение в системах безопасности и вылиться в уникальный метод сбора биометрии. Если нейросетка способна точно распознать твоё грациозно плывующее в пространстве туловище по одним только искажениям сигнала, возможные последствия для приватности получатся, мягко говоря, интересными. Ни умных камер, ни смартфона-шпиона в кармане — прошёл мимо роутера и идентифицирован. Спасибо, киберпанковское будущее, очень круто. Подробнее здесь.

@tomhunter

#news Оригинальный кейс взаимодействия человека и LLM’ки. ChatGPT нагаллюцинировал фичу в софте для скана и редактуры нот Soundslice и активно продвигал её пользователям. Те приходили на сайт и сталкивались с тем, что фича не работает. Разработчики заметили это в логах. И добавили фичу.

Речь про скан ASCII табов для гитары. Судя по логам ошибок, юзеры генерировали табы с помощью ChatGPT, и тот отправлял их на Soundslice, чтобы отсканировать их. Фичу ИИ-модель выдумала. Разрабы же посовещались и решили, что у них есть три варианта: забить на это и оставить юзеров с их галлюцинирующим другом, повесить плашку на сайт «У нас нет этой выдуманной ChatGPT фичи» или просто её накодить. Последнее было делом пары часов, так что выбор был очевиден. По итогам у нас, похоже, первый случай воплощения галлюцинаций LLM’ки в реальность, не считая slopsquat-атак. Добро пожаловать в новую эпоху ИИ-инфлюенсеров! Лично я приветствую наших новых кремниевых повелителей.

@tomhunter

#news Европол и компания вчера перехватили сайт рансомварь-группировки BlackSuit — за этим брендом скрывалась часть прежнего состава Conti. Работали не по RaaS-схеме, а узким кругом любителей рансомвари для своих.

BlackSuit была активна с апреля 2023-го, группировка успела отметиться взломом штатовской Octapharma — сети клиник по сбору плазмы, что привело к остановке 200 отделений компании. На август 2024-го BlackSuit успела потребовать с жертв больше $500 миллионов, запросы доходили до $60 миллионов со взлома. Что занятно, пока Европол разбирает инфраструктуру, часть BlackSuit уже работает под брендом Chaos — свежий отчёт о старых лицах под новым именем здесь. С одноимённым билдером не связаны — либо создают путаницу, либо просто фантазия закончилась. Так что порочный круг из перехватов и ребрендинга продолжается. Выгорают ли безопасники в погонах, занимаясь этим сизифовым трудом? Скорее да, чем нет.

@tomhunter

#news Пятничные новости инфобеза. В США Чапман приговорили к 8,5 годам тюрьмы. Но уже другую: Кристину Мари Чапман, ответственную за ферму ноутбуков, с которых северокорейцы работали в штатовских компаниях.

Чапман предъявили обвинения в прошлом году вместе с коллегой по бизнесу, украинцем Александром Диденко. Чапман держала ноутбуки у себя дома на протяжение трёх лет, она также занималась финансами трудолюбивых IT-солдат, проводя их платёжки через свои счета. Схема принесла больше 17$ миллионов, пока её не накрыли октябре 2023-го. На фото домашняя ферма трудолюбивых северокорейских пчёлок — такие вот невзрачные сетапы годами пополняют бюджет КНДР. Их продолжают накрывать, но сколько ещё таких стоит по углам уютных домиков в Штатах — вопрос на десятки миллионов долларов выплаченных зарплат. Партия сказала — надо, IT-солдат ответил — есть. И пошёл во все тяжкие по всем этапам собеседований.

@tomhunter

#news Хактивисты из Silent Crow взяли на себя ответственность за сбой в работе систем Аэрофлота. Это произошло на фоне отмены десятков рейсов авиаперевозчика с утра. Ранее они заявляли о взломе Ростелекома и сотни крупных компаний. Ключевое слово — заявляли.

Группировка и здесь отметилась россыпью громких заявлений: и год находились в инфраструктуре, имея максимальный доступ, и скомпрометировали все критические системы, и стянули 22 ТБ данных, включая весь массив о перелётах. А наигравшись, уничтожили аж всю инфраструктуру компании, насчитывающую 7000 физических и виртуальных серверов. Их послушать, так настоящий авиа-апокалипсис, спасайте свои акции и путёвки. На деле же бравада удалых взломщиков, скорее всего, сильно расходится с реальностью того, что они там напартизанили. Так что дальше обеденного инфоповода дело не факт что пойдёт. Это импортозамещённый Anonymous, проще говоря. Изрядная доля скептицизма приветствуется.

@tomhunter

#news Telegram обзавёлся ботом для верификации возраста по скану лица. Но фича (пока) эксклюзивно для британцев — 25 июля в стране вступил закон о проверке возраста для доступа к контенту для взрослых.

Как обычно, всё это под соусом заботы о детях — им должен быть закрыт доступ к порно, а также информации о способах роскомнадзора, РПП, экстремизме и прочих повседневных ужасах взрослой жизни. Игнор требований грозит штрафом до £18 миллионов или 10% годового дохода. Так что по всем крупным платформам можно заметить разные хрипы и всхлипы разрабов в попытках удовлетворить фантазии законодателей. Внезапно это затронуло и российских юзеров: если вы пользовались сервисами, которые нельзя называть, для регистрации аккаунтов с британских айпи, рискуете обнаружить, что в контексте нового закона вы теперь виртуальный британский подданный со всем из этого вытекающим. Такие вот чудные коллизии жизни в глобальной деревне.

@tomhunter

#news В США мини-скандальчик вокруг приложения для женских сплетен Tea. Сначала на 4Chan (куда же ещё) слили содержимое открытой базы на Firebase — 72 тысячи фото, включая 13 тысяч селфи и водительских прав. Следом нашлась вторая уязвимая база, с 1,1 миллиона личных сообщений за пару лет.

Tea — модное приложение на ~1,6 миллиона юзер_ниц. Формально сейфспейс для женщин, где можно обсудить проклятых мужиков. Как это выглядит на деле можно оценить по одному недавно прогремевшему канальчику в Telegram. В сухом остатке новость про очередное приложение с ИБ уровня /b/, на котором разоблачают этих их женщин. Но огоньку, конечно, добавляет чувствительная тематика. Если вы думали, что истории из мира животных от, кхм, нехороших людей русской эмиграции и их спутниц — это что-то новенькое, в США это уже давно поставлено на поток и монетизировано. Только в процессе разработки очередного мобильного бэнгера, как обычно, весь бюджет ушёл на промо и дизайн, а кодили его два индуса в сеньорском пальто.

@tomhunter

#news По следам закона о верификации возраста в Великобритании наметились интересные тенденции. Юзеры не горят желанием грузить свои паспорта и прочие ID на сайты. За пару дней у Proton, предоставляющего известно какие услуги, скакнуло число регистраций. На 1,800 процентов.

При этом использование сервисов, также известных в наших краях как порталы в ад, в UK попало в серую зону: инструкции по обходу верификации публиковать не положено. Но наличие порталов сильно размывает эффективность мер — ещё чуть-чуть унижений от трёхбуквенных приложений, и британский законодательный гений надумает их воспрещать. Веру в здравый смысл людей в высоких кабинетах шатают и правовые коллизии: так, Википедия подпадает под закон — значит, должна верифицировать и удалять крамольное. Сейчас с Wiki-ресурсами идут судебные тяжбы, и их работа в стране под угрозой. Министры очень важных дел при этом не сдаются — защита детей компромиссам не подлежит. Бывает в мире и такое, в общем. Любые совпадения, как водится, случайны.

@tomhunter

#news Новости в духе времени из Кремниевой Долины: известные экстремисты из Meta готовят новый формат приёма на работу. Кандидатам разрешат пользоваться ИИ-моделями в процессе прохождения всех кругов ада, также известных как этапы собеседования.

Продвинутый андроид с кодовым именем Цукерберг, чувствуя родство с LLM’ками, сообщает, что не просто хочет, чтобы разрабы сблизились со своим кремниевым господином, но готовит будущее, в котором человеку будет отведена роль обслуги ИИ-агентов. Формат сейчас обкатывают на добровольцах, а вскоре можно ожидать подобного и во многих других компаниях. Так что за шуточками про вайбкодеров остаётся не упустить момент, когда умение задобрить Дух Машины удачным промптом войдёт в список обязательных навыков каждого уверенного пользователя ПК и не только. Время людей закончилось, товарищи кожаные мешки. Готовьте свои промпты к осмотру и осваивайтесь на новом месте в иерархии сущностей.

@tomhunter