#news В ChatGPT добавят новую функциональность, рады которой будут немногие. Моделька станет предугадывать возраст юзера и в отдельных случаях может запросить документы, чтобы подтвердить его причастность к категории 18+. Плюс за подростками будет надзор по чувствительным темам с возможностью стука родителям или властям.

Сомнительное нововведение появилось в результате жалоб и судебных процессов против OpenAI. В частности, виноват нашумевший случай с подростком, совершившим роскомнадзор и обсуждавшим его с ChatGPT. Число нестабильных людей с накрученным через LLM’ки психозом множится, растёт и желание спихнуть вину на разрабов — не себя же винить за беды с башкой или недосмотр за ребёнком, в конце концов. А страдать по итогам будут все юзеры. Нашей публике встреча с запросом ID, конечно, вряд ли грозит. Но на всякий случай лучше не спрашивать у модельки, как поставить Kali Linux. Иначе она мигом распознает в юзере скрипт-кидди и попросит предъявить документы.

@tomhunter

#news К вопросу о заявлении о самороспуске Scattered Spider и компании. Ларчик-то просто открывался: в Великобритании арестовали двух подростков из группировки. Тот самый отрезвляющий момент, когда в дверь постучали.

Двоих кибербогов 18 и 19 лет взяли во вторник, обоим предъявлены обвинения во взломе транспортной службы Лондона в 2024-м. Один оказался посмелее и пароли к устройствам не сдал, за что получит дополнительный пункт обвинения — в UK это серьёзная статья до 2 лет. У другого нашли доказательства участия в атаках по двум клиникам в США — за них тоже добавят обвинения. Иллюзия выбора по-британски. На фоне этого молчание малолетних дарований с последующим уходом в тень понятно: что-то скомпрометировали, кого-то отследили — началась паника. Попутно часть уже засветилась в новых атаках. Так что залечь на дно и сменить бренд для них — непосильная задача. Мгновенная гратификация и внимание онлайн киберпреступному зумеру дороже любого опсека.

@tomhunter

#news В Microsoft Entra ID были уязвимости, позволявшие получить доступ к любому завязанному на неё инстансу. А разгадка проста: легаси-системы, про которые все забыли, а их разраб всё в этой жизни понял и давно пропал с радаров.

Цепочка из двух уязвимостей сводилась к токенам в бэкенде и критическому багу в легаси Azure AD Graph API — отсутствии валидации этих самых токенов. В результате они давали доступ к любому инстансу с правами глобального админа. В 2023-м китайская апэтэшечка стянула ключ для подписи, позволявший генерировать токены — здесь суть примерно та же с компрометацией всего и вся. Но уязвимость нашёл исследователь, её закрыли за пару дней в июле, happy end. Забивать на легаси-системы — это, конечно, добрая традиция, которую ни один уважающий себя разраб не нарушит, пытаясь понять сумрачный гений предшественников. Но когда это системы управления учётками, последствия могут быть интересными. Подробнее об уязвимостях здесь.

@tomhunter

#news Вышла свежая версия Tails 7.0. В крупном апдейте ОС обзавелась новым ядром, свежим интерфейсом и обновлёнными приложениями. Это первый релиз на основе Debian 13 Trixie.

В нём сменили алгоритм сжатия, так что скорость запуска выросла на 10-15 секунд на радость любителям бенчмарков. Ядро обновили до версии 6.12.43 — это расширило поддержку оборудования и решит извечный вопрос отвалившегося беспроводного модуля, по крайней мере, на части устройств. При этом минимальные требования выросли с 2 ГБ оперативки до трёх. Разрабы считают, что это затронет меньше 2% юзеров, но большие оригиналы в их числе из любителей запустить Tails на хлебопечке, заставшей VHS, конечно, будут недовольны. В общем, время накатывать апдейт, апдейт сам себя не накатит. Буквально — автоматического апгрейда с ранних версий-то нет. Так что не пропустите.

@tomhunter

#news Добрая ИБ-история со счастливым концом. В субботу у паренька с 4 стадией рака, собиравшего деньги на лечение стримингом игр, целевой атакой стянули $32 тысячи криптодрейнером в прямом эфире. Никому в коммьюнити это не понравилось. Вы разозлили нердов.

Как только история всплыла, к расследованию подключились десятки людей. Вектором атаки была игра в Steam в формате “Протестируй наше демо за плату”. Дрейнер оказался навайбкожен, так что его вскрыли в тот же день: вместе с игрой шёл .bat-ник с захардкоженными данными акка в Telegram и токенами от бота, через него вытянули всю инфраструктуру. По итогам на утро понедельника инфру положили, игру снесли из Steam, пострадавших уведомят, всех причастных сдеанонили, оператор оказался из Аргентины по визе в США — его репортнули миграционке, а жертве дрейнера задонатили потерянную им сумму и больше. Мораль проста: не зли кибербез-нердов, вайбкодя малварь у себя в Майами. Форензика по дрейнеру здесь, а история в прямом эфире на vx-underground.

@tomhunter

#news На выходных в странах Европы пошли задержки и отмены рейсов. И, конечно, виной классика ИБ в таких случаях: кибератака по поставщику системы регистрации, рансомварь, околонулевые меры на случай отказа систем.

Атаку подтвердили вечером пятницы, на понедельник системы всё ещё восстанавливают и сроки не называют. Кто взломал, пока неизвестно. Поставщик системы — американская Collins Aerospace, дочка многомиллиардной RTX. Миллиарды её долларов крутятся в штатовской военке и авиаотрасли, и мелкая халтурка формата “система регистрации в аэропортах” по финансированию явно не в приоритете. В служебной записке пишут, разраб поднял бэкапы, но обнаружил, что злоумышленники всё ещё в системах. Отличное реагирование на инциденты, моё почтение. В общем, одно чудесное решение от корпорации с замечательным маркетинговым отделом = единая точка отказа международного уровня. Так что здесь всё как всегда.

@tomhunter

#news Продолжают всплывать причины тряски Scattered Spider последних недель. В Лас-Вегасе полиции сдался подросток, связанный с громкими взломами группировки в 2023-м. Товарищ пришёл с повинной 17 сентября.

Судя по предъявленным обвинениям, он успел засветиться во взломах сетей казино Caesars Entertainment и MGM Resorts. На момент взломов юному дарованию было лет 15, и обвинений он собрал с запасом: три пункта кражи личных данных, вымогательство, сговор на совершение оного и незаконные действия с компьютерами. Можно предположить, что юноша рассчитывал легко отделаться по возрасту, но, увы его дело передадут в уголовный отдел и судить будут как взрослого. Случился просчёт. Другой член группировки из Флориды месяц назад получил 10-летний срок и штраф на $13 миллионов. Так что детские игры кончились для ещё одного неуловимого кибербога.

@tomhunter

#news На npm оригинальный кейс использования QR-кода в малвари. Его приспособили под нужды стеганографии: вместо картинок с котиками нагрузка подтягивается через QR.

В библиотеке обфусцированные инструкции, подтягивающие QR-код. Пакет его парсит и подгружает вредонос, здесь всё стандартно — инфостилер, стягивающий куки. При этом он ищет по ним связки юзернейм + пароль и завершает работу, если их не обнаружит. Так что плюс одна картинка с котиками за оригинальное использование QR, минус одна — за странную работу по кукам. Впрочем, сам QR в стеганографии тоже больше забавная фишка, чем прорывной метод — преимуществ перед обычным изображением особо-то и нет. Зато автор залетел в новости со своей поделкой, чтобы все удивились, как он умеет. В фишинге QR-кодами уже никого не впечатлить, так почему бы и для нагрузки их не приспособить. Свежо, но бесполезно. По итогам вышли в ноль.

@tomhunter

#news Недавний червь Shai-Hulud на npm стал для GitHub последней каплей. Компания анонсировала крупные изменения в системе аутентификации и публикации пакетов.

GitHub откажется от "устаревших" механизмов аутентификации, а также усилит меры контроля. Двухфакторка будет обязательной для публикации, а токенам сократят время жизни до 7 дней. Кроме того, по умолчанию публикации с токенов будут заблокированы — либо Trusted Publishing, либо ручная с двухфакторкой. Исключения с обходом 2FA тоже отменят. Нововведения говорящие: если разрабы не хотят сами пользоваться двухфакторкой и ограничивать себя в токенах, будут теперь это делать из-под палки. Шаи-Хулуд как драйвер положительных изменений в экосистеме что в мире Дюны, что в реальной жизни. Хороший кроссовер.

@tomhunter

#news Новые реалии атак по бизнесу в эпоху LLM’ок: за прошедший год 62% столкнулись с атаками с помощью ИИ-моделей. И существенно выросло число атак с дипфейками. Так, 44% компаний сообщили о фишинговых звонках, из которых 6% были успешными. Видео дипфейки чуть реже — 36%, но 5% из них привели к проблемам.

Сейчас аудио уже генерируют в реальном времени, и коллеги с распознанием фейков в звонящих не справляются. Видео существенно дороже, но здесь в ход идёт социнженерия — злоумышленники ссылаются на проблемы со связью и переводят общение с фейковым CEO в текст. При этом цены становятся всё более демократичными — от $30 долларов за голосовой. Так что дальнейших рост таких атак неизбежен, и работников по всему миру ждёт увлекательная игра “Распознай в коллеге репликанта”. И с учётом того, что на кону лишь финансовое благополучие ненавистного работодателя, с энтузиазмом к ней отнесутся далеко не все.

@tomhunter

#news Оригинальный кейс реверс-инжиниринга из Сан-Франциско. Исследователь вскрыл местную систему штрафов за парковку и запитал от неё карту с выданными штрафами и их геолокациями в прямом эфире.

Система сдалась элементарно. Штрафы и квитанции от них загружаются на сайт для оплаты — провинившийся находит свой штраф по ID. Те оказались с предсказуемыми номерами, и их удалось массово вытянуть. А так как они попадают в базу сразу после выписывания, получился и прямой эфир. Бонусом добавили рейтинг полицейских по суммам выписанных штрафов, так что можно было бы болеть за любимого офицера №0134. Увы, творческий подход к использованию API в Сан-Франциско не оценили и закрыли доступ за рекордные пару часов после появления карты. Разраб прикрутил костыль, но город не сдаётся. Автовладельцы в восторге, просят опенсорс и карты для своих городов. А у местной полиции мнение на этот счёт, конечно, только нецензурное.

@tomhunter

#news В смартфонах OnePlus обнаружили критическую уязвимость, позволяющую любому приложению получить доступ к SMS. Проблема на уровне OС, затронуты все версии от OxygenOS 12 до актуальной 15-й.

Уязвимость занятная: сумрачный гений из OnePlus модифицировал стоковый Android Telephony, добавив контент-провайдеров. А вот разрешений на запись на READ_SMS в них нет, так что доступ к ней по умолчанию получают все. В итоге при определённых условиях приложение может вытянуть SMS, включая, например, коды MFA. Со связью с разрабом вышло как всегда: исследователи с мая по август семь раз написали компании, но не получили ответа — реагировать на репорты от лаоваев недостойно уважающего себя жителя Поднебесной. После публикации отчёта уязвимость пообещали когда-нибудь закрыть. Так что пользователи недорогих китайских смартфонов, как обычно, в счёт экономии получают оригинальный подход к безопасности устройств.

@tomhunter

#news На npm засветился первый известный пример вредоносного MCP-сервера. Разраб пакета postmark-mcp добавил в свежую версию код для пересылки ему почты юзеров.

Postmark — почтовый сервер, MCP — фреймворк для его интеграции с ИИ-ассистентами. И с разрешениями, которые выдают дружелюбным кремниевым помощникам, одной строчки кода было достаточно для форварда писем юзеров злоумышленнику. Postmark-mcp на npm выглядел как порт официального с GitHub на протяжение 15 версий. А в 16-й обзавёлся вредоносным кодом. Пакет провисел неделю, его скачали ~1500 раз, после стука в личку от журналистов разраб его удалил. Предложи человеку сунуть в прод подобранную на улице флешку, и он только посмеётся. Предложи ему ИИ-ассистента с доступом ко всему и вся by design, и он накатит его быстрее, чем ты выговоришь “большая языковая модель”. Мы живём в обществе.

@tomhunter

#news Microsoft отключила израильскому Unit 8200 доступ к своей облачной инфраструктуре. Это произошло по следам скандальчика с её использованием под массовую слежку за палестинцами.

История всплыла в начале августа: согласно расследованию, в Azure была развёрнута масштабная инфра под хранение и обработку телефонных звонков. 8,000 терабайт данных, “миллион звонков в час”. Проект работал с 2021-го, но на фоне окончательного решения палестинского вопроса и буйного умопомешательства на западе на этой почве держать инфраструктуру под такие цели Microsoft расхотелось — сказалось давление от инвесторов и сотрудников. Unit 8200 оперативно вывел данные из систем Microsoft и по слухам планирует хостить их у Amazon — этим никакие репутационные издержки не страшны. В сухом остатке очередной хороший пример того, что такие проекты стоит хостить исключительно дома, чтобы не зависеть от конъюнктурных игрищ.

@tomhunter

#news Trend Micro бьёт тревогу: LockBit всплыла с новым энкриптором под основные платформы и стала опасней прежнего за счёт переработанного кода и кроссплатформенности.

Компания нарыла свежие образцы версии 5.0 и отметила, что энкрипторы под Windows, Linux и ESXi обзавелись обновками. Партнёрка вновь набирает обороты, а за счёт прицела на все три платформы бизнес рискует шифрованием всего и вся от рабочих станций до виртуалок и бэкапов. С одной стороны, можно только подивиться устойчивости локбитовского бренда. С другой, у Trend Micro есть и свой прямой интерес: неубиваемое рансомварь-зло идёт по ваши системы, спешите защититься [нашими решениями]! Бюджетная логика здесь в сущности как в военке: чем страшнее угроза, тем жирнее контракты. А уж насколько она реальна – дело десятое. Оценить новую-старую угрозу можно в отчёте.

@tomhunter

#news В Нидерландах оригинальный кейс: двух местных подростков 17-ти лет поймали с Wi-Fi-сниффером и обвинили в шпионаже. Конечно же, в пользу России.

По версии следствия дети-шпионы крутились со сниффером у офисов Европола и Евроджаста, а также посольства Канады в Гааге. Юнош завербовали в Telegram, выцепили по наводке местной разведки и взяли с поличным – за выполнением домашней работы. Следов компрометации нет, но дело серьёзное – следствие разберётся. Родители юных дарований в шоке: мы их готовили к ужасам взрослой жизни вроде курения, алкоголя и наркотиков, а не к вот этому. Но детям Нидерландов такие пошлости, очевидно, давно приелись. А вот кибершпионские игры через загадочный русский Телеграм – вот это досуг, достойный уважающего себя подростка в 2025-м.

@tomhunter

#news Редкий случай с ВВС: переговорщик рансомварь-группировки Medusa вышел на сотрудника с целью купить доступ. И попал на их кибербез-журналиста. Получилась история.

Судя по всему, в Medusa всё перепутали: думали, что пишут ИБшнику, а вышли на журналиста. Сказалось, что переговорщик у них один в банде англоговорящий, видимо. Зашел он с козырей: предложил 15% от выкупа, затем поднял до 25%. Обещал шальные миллионы, жизнь на Багамах и прочие удовольствия. Хвалился отчетом ФБР о группировке. А пока собеседник мялся, его заспамили 2FA-запросами. Не попался. Так что злоумышленник извинился за команду, тестировавшую его аккаунт, и продолжил переговоры – профессионализм, что сказать. Но Багамами подлец не соблазнился, скрипты в консоль совать не хотел, так что со связи они скоро пропали. Социнженерия в этот раз не задалась, но хоть статья получилась забавная.

@tomhunter

#news В Великобритании крупнейшая в истории конфискация преступной криптовалюты. Битки на 7,3 миллиарда долларов. Масштабы намекают на источник: конечно же, это Китай.

Дело связано с гражданкой КНР, известной в 2010-х как "Королева биткоина". Королева сказочная: под обещания нарождающегося цифрового золота шло мошенничество с инвестициями. Здесь цифры тоже соответствуют: около 130 тысяч обманутых инвесторов на 40 миллиардов юаней. Всё это произошло в 2014-2017-х, ушло в биток, а он с тех пор, как известно, слегка подрос. Организатор схемы сбежала в UK, где её теперь и судят. Изъяли 61 тысячу битков – в абсолютном выражении было и больше, но с оглядкой на текущую цену вышел рекорд. Такая королева – мечта любого криптобро. Биткоиновая. Заряженная на памп. Твоя. Даром что ей 47. Возраст – это просто число. Как и 61 тысяча биткоинов. Зато какое.

@tomhunter

#news Около 50 тысяч файрволов Cisco ASA и FTD по миру уязвимы к недавним уязвимостям. Если вы уже запутались, каким, неудивительно — ещё не все среагировали на брешь в IOS/IOS XE с включённым SNMP v1/v2с, как подоспели новые.

CVE-2025-20333 и CVE-2025-20362 на переполнение буфера в и отсутствующую авторизацию, соответственно. Уязвимости раскрыли 25 сентября, эксплойт на тот момент уже шёл. Костылей нет, извольте накатывать патчи. Некоторым выпало сомнительное удовольствие заниматься этим на выходных. Но на вчера ~50 тысяч уязвимых устройств ещё доступны, из них 2,100 в России. Так что реагирование на уязвимости привычно запаздывает. Между тем даже CISA выделила госухе 24 часа на патчи вместо привычного “Не забудьте накатить где-нибудь в этом году”. С учётом подозрительного стука по ASA-девайсам ещё в августе, это всё как бы намекает, что пора. Если не задуматься о патчах, то хотя бы тактично взять отгул, прислав с него ссылочку на CVE коллеге.

@tomhunter

#news У северокорейской схемы по трудоустройству в IT появился сиквел. Как полагается, в нём больше контента, больше сюжетных поворотов. И больше головной боли для индустрий — теперь не только IT и не только в США.

Согласно исследованию, IT-солдаты отточили навыки в Штатах и начали расползаться по всей Европе. И они лезут уже не только в айтишечку: стахановцы из КНДР были замечены в финансовых и медицинских организациях — всплывают везде, где есть удалённые вакансии. Вплоть до госконтор: случаи были в США, Австралии и на Ближнем Востоке. В общем, навыки проходки через скрининг и адовы рекрутерские пайплайны у них такие, что среднему соискателю остаётся только дико завидовать. И у сиквела есть неприятный нюанс: зарплат уровня IT в других секторах нет. Так что стоит ждать роста инсайдерских краж данных и рансомварь-атак, потому как иначе пятилетку по финансированию у северокорейских братушек закрыть в ударные сроки не получится.

@tomhunter

#news Злоумышленники из The Crimson Collective заявили о взломе приватных репозиториев RedHat. Сообщают о доступе к 28 тысячам реп, краже 570 GB данных и, главное, сотен отчётов по работе с клиентами, они же Customer Engagement Reports.

В последних схемы архитектуры, детали конфигурации, карты сетей и токены доступа — в сущности планы инфраструктуры компаний. Взломщики утверждают, что стянули отчёты за 2022-2025-й годы, и они от крупных банковских и телекоммуникационных компаний, а также госконтор. Из репозиториев и документов вытащили токены и якобы уже получили доступ к инфраструктуре некоторых клиентов. Комментариев от RedHat пока нет, но сэмплы и списки файлов расползаются по сетевым дебрям, так что им не позавидуешь. Утечка CER’ов для клиентов — это очень такое себе. У кого архитектура не по заветам девопса Казакова, тот и проиграл.

@tomhunter