#news В мире рансомвари наметилась децентрализация: за прошедший год появился 41 новый бренд, и на пике в феврале MalwareBytes отслеживала 60 активных группировок — своеобразный рекорд.

К этому привели операции против Hive, Alphv и LockBit — в отсутствии арестов злоумышленники просто разбегаются под новые бренды. Работать на известные стало опасно, слитых билдеров полно, у старичков ощутимая паранойя — идеальные условия для перехода на вольные хлеба. Иными словами, на рансомварь-сцене всё как у взрослых дядь: вынеси один крупный бренд — он рассыпется на десяток мелких. Устрой слив внутренней кухни, и в группировках будут годами трястись, подозревая в каждом новом члене федерала. Не хватает только спровоцированных гастролёрами из трёхбуквенных агентств войн группировок, и будет полноценная экосистема на самоподдуве аля мексиканские картели. Так что рансомварь в киберпространстве — суть то же, что и картели в наркоторговле. Так и живём.

@tomhunter

#news Августовская кража auth-токенов у Salesloft, разраба корпоративного чат-бота, растёт и ширится. Google предупредила, что вместе с данными c Salesforce стянули токены сотен других интегрированных сервисов.

Salesloft раскрыла взлом 20 августа — были скомпрометированы токены от их чат-бота Drift, затронуты больше 700 компаний. А теперь выяснилось, что утекло и интегрированное с Salesloft — токены от Slack, Azure, Amazon S3, Google Workspace и далее по списку. Ответственность за взлом на себя взяли ShinyHunters в коллабе с Scattered Spider и Lapsus$. За цирком в их TG-канале наблюдают уже 40к спецагентов, исследователей и прочих зевак, но кто видел одно малолетнее дарование от сайберкрайма, видел их всех. “Мы не кибертеррористы, мы кибербоги” — вот это вот всё. От угроз в адрес Google детишки перешли на угрозы ФБР и явно решили устроить спидран до списка особо разыскиваемых, экстрадиции и посадки. Быть неуязвимым богом хакинга в 19, конечно, весело. Но только пока в дверь не постучали.

@tomhunter

#news Команда Cisco Talos нашла в сети ~1100 уязвимых инстансов Ollama — фреймворка для локального развёртывания LLM’ок. Всё это, как водится, дело пяти минут сканом через Shodan.

Публично доступный сервер Ollama — вещь в киберпреступном быту полезная. Это и стук по API, и отправка запросов к модели, а также джейлбрейк, внедрение бэкдоров и вредоносных моделей — вплоть до маппинга инфры и бокового перемещения. Из найденных инстансов активны только 20%, но атаки по оставшимся 80% без запущенных моделей никто не отменял. В общем, интеграция LLM’ок во все доступные процессы есть, а базовой ИБ при их развёртывании так и нет. Осталось отравить уязвимую модельку чем-нибудь этаким и удовлетворённо наблюдать за паникой в бухгалтерии, заставшей внеочередное восстание машин.

@tomhunter

#news Рансомварь-атака с сюжетным поворотом: злоумышленники взломали платформу Artists&Clients для художников. И вместе с привычными требованиями угрожают слить все работы с сайта ИИ-компаниям для датасетов.

Artists&Clients — не очень популярная платформа для фриланса в формате комишн-заказов за мелкий прайс. Её взломал очередной однодневный бренд, название которого можно не запоминать, и требует 50к долларов в крипте, чтобы не сливать данные. Здесь всё стандартно. Но угроза отправить базу арта ИИ-разработчикам для обучения моделей — это, конечно, в самое яблочко. Мало кто трясётся от одного упоминания LLM’ок так, как разного рода рисоваки, за которыми ИИ пришёл первым. Сайт Artists&Clients отключили, видимо, просто чтобы перепуганные клиенты не разорвали их на части требованиями немедленно выплатить выкуп. Так что у нас пример хорошей годной социнженерии на злобу дня.

@tomhunter

#news Среди пострадавших от кражи токенов чат-бота Salesloft Drift нашлась и ИБ-компания: утечку клиентских данных раскрыла Zscaler. Затронут только сам инстанс, остальная инфраструктура не пострадала.

По итогам утекла информация на клиентов из техподдержки: имена, рабочие почты, должности, телефоны, информация о продуктах, детали кейсов. Клиентам рекомендуют опасаться фишинговых звонков и писем от малолетних дарований и прочих причастных. Так как утекло из ИБ, спрос с них побольше: доступ с Drift отключили, все подручные токены сменили, протоколы укрепили, расследование ведут, аудит сторонних сервисов запросили — всё как полагается. Но осадочек всё равно останется. Не спрашивай у ИБ-фирмы, насколько защищены её продукты. Спрашивай, насколько защищены её SaaS. (Спойлер: не очень.)

@tomhunter

#news В сетевых дебрях инфостилер с пикантным поворотом: малварь снабжена функциональностью под скриншоты экрана и фото с вебки. И делает их, если обнаруживает NSFW-контент на экране.

Вредонос собран на основе опенсорсного Stealerium — в последние месяцы вспыли несколько образцов из его исходников. Стягивают они всё подряд — от банковских данных и крипты до имейлов, буфера обмена, токенов от игровых платформ и далее по списку. И бонусом задел под сексторшн: простенький скрипт активируется на ключевые слова в адресной строке и делает фото и скрины. Серьёзные люди подобным заниматься не станут — за кампанией стоят что на исследовательском вежливо называется “примитивные” злоумышленники. Кретины, проще говоря. Потому как более неэффективную, рискованную и генерирующую внимание органов функциональность под свою первую детскую малварь сложно придумать.

@tomhunter

#news Новость “LLM’ка как поверхность атаки” номер 783. В запретном ex-Твиттере нашли способ обходить запрет на постинг ссылок. И бонусом используют Grok для их продвижения.

Вредоносную ссылку закидывают в поле “From” в метаданных, которую фильтры игнорируют. Затем под рекламным видео с сомнительным контентом достаточно спросить у Grok’a, откуда оно. Моделька вытаскивает ссылку из метаданных, а заодно и бустит ей надёжность, охват и SEO за счёт того, что аккаунт Grok’a на платформе доверенный. При этом охват солидный — миллионы просмотров на постах, ведущих на разный скам, инфостилеры и прочие радости. В сухом остатке санитизации нет ни в полях метаданных, ни на контексте в LLM’ке. Можно отмахнуться, сославшись на шиттификацию платформы, известную качеством своего кода. Но пример говорящий: если в экосистеме есть ИИ-ассистент, найдётся и способ его эксплойтнуть. И не один.

@tomhunter

#news “Лаборатория Касперского” опубликовала масштабный анализ группировок, атакующих российские организации. Больше 300 страниц, 14 группировок во всех технических подробностях.

Исследователи выделили три кластера атакующих: апэтэшечки, хактивисты и гибридные, они же апэтэшечки под прикрытием хактивизма. “После 2022-го года” число атак резко возросло, только за 2025-й появились семь новых групп, заявивших об атаках на компании в России. Плюс техническая подкованность атакующих растёт — ширится арсенал инструментов, собранные на коленке хактивистские подразделения осваивают краснокомандные утилиты и прочие удовольствия. Из всего этого в "Лаборатории" делают вывод, что Россия является самой атакуемой страной в киберпространстве. Очень сомнительно, но окей — новые контракты сами себя не подпишут. Отчёт доступен здесь (PDF).

@tomhunter

#digest Закрываем август дайджестом самых интересных ИБ-новостей месяца. Сегодня у нас фантомные краши жёстких дисков от Microsoft, сотни тысяч чатов с LLM’ками в открытом доступе и первая запитанная от ИИ рансомварь.

Август также отметился взломом чат-бота Drift от Salesloft и кражей всевозможных токенов — затронуты более 700 компаний. Ответственность за взлом на себя взяли Scattered Spider в коллабе с другими юными дарованиями на пути к посадке и экстрадиции. А наследница криптобиржи Garantex оперативно попала под санкции США. Обо всём этом и других интересных ИБ-событиях последнего летнего месяца читайте на Хабре!

@tomhunter

#news Исследователи изучили накрутку звёзд на GitHub, и выводы неутешительные: масштабы у неё серьёзные. На пике до 16% репозиториев засветились в кампаниях по накрутке.

Рост сервисов по накрутке пошёл в 2022-м и застал резкий бум в 2024-м. В основном фейковыми звёздами бомбят репы с вредоносом, включая дрейнеры и инфостилеры, для придания им солидности. Эффективность, казалось бы, сомнительная: нормальный разраб смотрит не на звёзды, случайный юзер качает что попало. Но экосистема под это дело есть, так что есть и фейковые аккаунты — отслеживали пустые акки и те, которые участвовали в одновременной накрутке. Для решения проблемы предлагают оставить выдачу звёзд только проверенным, долгоживущим аккаунтам. Можно и градацию ввести: апвоут от джуна — одна звезда, от миддла — две, от сеньора — пять. В конце концов, не все разработчики созданы равными!

@tomhunter

#news Подоспел анализ недавней атаки на цепочку поставок по Nx. Как и следовало ожидать, сменить токены успели не только лишь все. Так что одной их утечкой дело не ограничилось.

В постинцидентном отчёте выделили три фазы. Первая — уже известные утёкшие ~2,000 секретов и 20,000 файлов у 1,700 юзеров. Следов токены использовали, чтобы сделать приватные репы публичными — это затронуло ещё 480 аккаунтов и вскрыло 6,700 репозиториев. И наконец, одна компания вытянула несчастливый лотерейный: по ней была таргетированная атака, со скомпрометированных аккаунтов опубликовали ещё 500 репозиториев. Из интересного, в атаке использовали промпты для LLM’ок на целевых машинах, но в целом эффективность экспериментов с модельками от традиционных методов пока отстаёт. Ключевое слово — пока. Через год-два в каждом утюге будет по LLM’ке, а там уже найдётся и поверхность атаки под любой каприз.

@tomhunter

#news В сетевых дебрях новый ботнет NightShadeC2 с занятной функциональностью под обход защиты. Он спамит пользователя UAC-запросами на добавление в список исключений Windows Defender. Метод получил название UAC Prompt Bombing.

Начинка у ботнета широкая — от загрузчика до полноценного трояна удалённого доступа. Но основная изюминка, конечно, в бомбардировке юзера запросами. Вредонос запускает PowerShell-скрипт, который гоняет луп из запросов, пока юзер не сдастся и не кликнет. Метод в теории эффективный — по аналогии с проверенным временем спамом сообщениями на MFA-аутентификацию. Мало-мальски обученный сотрудник может и настучать на странное поведение системы админу. Но обычный юзер, привыкший ко всегда своевременным обновлениям винды, скорее, примет назойливый спам за норму жизни в эпоху шиттификации богатой на интересные дизайнерские и интерфейсные решения Windows 11.

@tomhunter

#news На npm произошёл масштабный угон популярных JavaScript-библиотек. 18 пакетов с ~2 миллиардами скачиваний в неделю обзавелись кодом под стягивание крипты из браузера. И всё это одним фишинговым письмом по одному же мейнтейнеру.

Атаку быстро заметили и порешали вопрос за пару часов. Плюс злоумышленники были, так сказать, не очень амбициозные — угнать 18 пакетов с миллиардами скачиваний, на которых держится полсети, просто чтобы закинуть в них перехватчик крипты. Большая удача для мирового сообщества, в общем. И напоминание обо всём, что не так с современной сетевой инфраструктурой. Последние 15 лет каждый разраб подтягивает пару сотен связанных библиотек, которые мейтейнят пара десятков человек в избушке в глуши. Хочешь доступ к мировым компаниям? Отправь фишинговое письмо уставшему разрабу, на чьих библиотеках выстроена вся сеть. И закинь в них криптодрейнер. Вы, без сомнения, самый жалкий злоумышленник из всех, о которых я слышал. Но теперь благодаря пикрилейтеду мы все о нём слышали.

@tomhunter

#news У известных экстремистов, ответственных за WhatsApp, наметился скандальчик. На компанию подал в суд бывший глава отдела безопасности Аттаулла Баиг — он обвиняет Meta в сокрытии масштабных проблем с безопасностью и нарушении конфиденциальности пользователей.

Список претензий внушительный. В их числе отсутствие мониторинга доступа к юзерским данным, неограниченный доступ к ним же у 1,500 инженеров, неспособность обнаруживать утечки данных и защитить аккаунты от перехвата, коих за день якобы по сто тысяч. По легенде, Баиг в 2021-м заметил, что с безопасностью WhatsApp что-то не так, и начал шуметь на совещаниях и писать жалобы, в связи с чем его и выдавили из компании. Та в ответ завела стандартную корпоративную пластинку про недовольного сотрудника, уволенного за плохую работу. Но что можно скормить прессе, суд во внимание вряд ли примет. Господин Баиг-то знает толк в жалобах — здесь задел под очередной штраф на сотни миллионов долларов.

@tomhunter

#news США раскрыли обвинения в адрес админа рансомвари LockerGoga, MegaCortex и Nefilim. А это у нас украинец Владимир Викторович Тимощук, он же deadforz, Boba и farnetwork.

Тимощук на рансомварь-сцене персонаж известный и весьма активный. Под ником farnetwork он успел также засветиться также в связи с RaaS-операциям JSWORM, Karma и Nemty — товарищ с 2019-го занимался рекрутингом в них на русскоязычных форумах. А также разрабатывал рансомварь, админил её и ботнеты. Везде поспел, в общем. Тимощук уже давно в особо разыскиваемых ЕС и ФБР, а в апреле его коллегу по Nefilim Артема Стрижака экстрадировали в США из Испании. Так что очередной герой киберпреступного подполья выходит на финишную прямую с билетом в один конец за океан. Как показывают громкие аресты последних лет, время, чтобы быть украинским киберпреступником, не самое подходящее.

@tomhunter

#news Взломы охватом на всю страну — всегда интересное событие. На этот раз попал Вьетнам. ShinyHunters заявили о взломе национального кредитного бюро и краже базы на 160 миллионов записей.

Во Вьетнаме при этом проживает всего ~100 миллионов человек, так что предположительно охвачено всё население страны с хвостиком плюс юрлица. Бюро работает под Центробанком и обрабатывает кредитную информацию со всего Вьетнама. Отдельно, конечно, сказывается специфика региона. Так, группировка заявила, что выкуп даже не запрашивала — реакция от бюро всё равно вряд ли будет. Плюс системы были вскрыты мимоходом через нулевой день, но есть нюанс. Утверждают, что крутились они на ПО, давно снятом с поддержки. Уровень инфобеза в госухе условного и не очень Вьетнама представить нетрудно. Снятым с поддержки ПО вполне могут оказаться и непатченные пиратские копии Windows Server 2003 и XP.

@tomhunter

#news Apple вместе с очередной погремушкой для любителей яблочной продукции посвежее представила и кое-что поинтереснее. А именно Memory Integrity Enforcement — механизм защиты памяти, который должен порезать часть популярных уязвимостей.

MIE заявлена как улучшенная версия MTE, с полным тегированием памяти, включая те области, на которых в MTE нет тегов. Утверждают, что это полностью режет переполнение буфера и Use-After-Free — попытки выйти за пределы буфера или использовать освобождённый участок блокируются. По легенде, рэдтимеры Apple пять лет долбили старые и новые эксплойты через MIE, и они больше не работают — где-то по цепочке эксплойт неизбежно ломается. 25 лет коррапта памяти на свалку истории, спайварь в пролёте, спешите купить свежий айфон! Или нет. Осталось дождаться пентеста от NSO Group и компании — стоимость разработки спайвари, может, и вырастет, но и деньги им за неё платят более чем солидные.

@tomhunter

#news По следам атаки на цепочку поставок по библиотекам товарища Qix обнаружили, что попутно ещё один мейнтейнер попался на аналогичное фишинговое письмо. Duckdb_admin, на котором висят связанные с DuckDB пакеты.

“Обновите 2FA или через пару дней залочим ваш аккаунт”. Казалось бы, очевидный фишинг, но нет — мейнтейнер счёл его “правдоподобным”. В пакетах тот же криптокрад, а охват сильно скромнее основной атаки — вместо миллиардов скачиваний несколько сотен тысяч. Но корень проблемы тот же: опенсорс и человеческий фактор единичных человеков, его обслуживающих. Между тем оцените прибыльность от атак: суммарно стянули около тысячи баксов. Суммы, которые компании по миру потратят на аудит и проверку инфраструктуры, будут на порядки выше. Вот тебе и шальные киберпреступные денежки: в мечтах у тебя яхты и красотки, а в реальности несколько центов в эфире и 20 баксов какого-то щиткоина. Се ля ви!

@tomhunter

#news Увлекательная история из мира EDR-решений. Неизвестный злоумышленник накатил на свою машину демо EDR от Huntress с неясной целью, но не учёл, какой доступ даёт разрабу. Получился нечаянный инсайд в жизнь среднестатистического киберпреступника.

Команда Huntress засекла подозрительную активность на хосте, устройство было флагнуто в предыдущих инцидентах. И промониторила его за 3 месяца в формате весёлой муравьиной фермы со злоумышленником в главной роли. Фишинговые киты, эксплойты, малварь, автоматизация через LLM’ки, стянутые куки. Красноглазие по 8-14 часов неделями напролёт. В общем, киберпреступные будни в прямом эфире. По итогам опубликован анализ, но мнения в сообществе разделились. Одни жалуются на грубое нарушение приватности, впервые узнав, как работают EDR. Другие недовольны, что злоумышленника сразу не сдали властям. А у нас в сухом остатке “Шоу Трумана” с окном в киберпреступную повседневность. Подробнее читайте в их отчёте.

@tomhunter

#article В нашей сегодняшней статье мы рассмотрим, как использовать архивные копии сайтов в OSINT. В этом нам поможет мощный, но часто недооцененный CDX API Wayback Machine.

С его помощью можно получить доступ к индексу всех сохраненных копий сайта в архиве, что даёт возможность изучить его гораздо более полно, чем через веб-интерфейс. А Google-таблицы становятся удобным инструментом для анализа выгруженной с Wayback Machine информации. За подробностями добро пожаловать на Хабр!

@tomhunter

#news Пятничные новости инфобеза. Британский ИБ-регулятор на фоне ловли малолетних хакеров озаботился подрастающим поколением. И обнаружил, что больше половины кибератак в школах — дело учеников.

Из 215 изученных случаев взлома школ за два года 57% были делом рук юных дарований. Причём треть вызвана крадеными данными доступа, и лишь в 5% случаев в ход шли взрослые методы с обходом защиты и прочим. В общем, всё как в реальном кибербезе — здесь школа готовит к жизни на отлично. Пойманные подростки признаются в интересе к ИБ и посещении хакерских форумов, каждый пятый совершает незаконные действия в сети (а с законом о верификации возраста это будет каждый второй). Регулятор из этого делает вывод, что молодёжь надо спасать, иначе она пополнит ряды Scattered Spider и компании. А агитматериалы по теме на скрине. Ребёнок с Дискордом и Кали на пека — горе в семье!

@tomhunter