#news Находчивые хакеры рассылают американцам и канадцам смски про ковид: рассказывают про «новые регуляции» в их регионе или приглашают получить ту или иную компоненту вакцины, прикладывая ссылку. По ссылке пользователю советуют обновить флеш-плеер и заботливо делятся соответствующим приложением. Там, конечно, троян, названный TangleBot, который запросит разрешения на всё на свете. В основном он нацелен на хищение персональных данных и создание фишинговых оверлеев в банковских приложениях.

@tomhunter

#OSINT #Email Всем удачной тяпницы. Сегодня поговорим с вами об отслеживании электронных почтовых отправлений. Т.е. о возможности примерно сказать где находится отправитель или получатель электронного письма:

├analyzeheader (Header)
├mailheader (Header)
├emailheaders (Header)
├traceemail (Header)
├emailheader (Header)
├azurewebsites (Header)
├suip (Header)
├domaintools (WHOIS)
├emailtracker (Tracking)
├emailtrackerpro (Tracking)
├getnotify (Tracking)
├readnotify (Tracking)
├didtheyreadit (Tracking)
├mailtracking (Tracking)
├canarytokens (Logging)
├grabify (Logging)
├iplogger (Logging)
├yandex (ADINT)
├google (ADINT)
└mytarget (ADINT)

З.Ы. аналогичная тема, но для мобильных телефонов.

@tomhunter

#news Недавно обнаруженная хакерская группа FamousSparrow нацелена на отели по всему миру по крайней мере с 2019 года, а также на высокопоставленные персоны и международные организации. Кибершпионы нацелены на жертв со всей Европы (Франция, Литва, Великобритания), Ближнего Востока (Израиль, Саудовская Аравия), Америки (Бразилия, Канада, Гватемала), Азии (Тайвань) и Африки (Буркина-Фасо) в атаки за последние два года.

Группа использует несколько векторов атак в веб-приложениях, доступных в Интернете, для взлома сетей своих целей, в том числе уязвимости удаленного выполнения кода в Microsoft SharePoint, программном обеспечении для управления отелями Oracle Opera и уязвимости безопасности Microsoft Exchange, известные как ProxyLogon.

@tomhunter

#news Продолжаем о супер-защищённых смартфонах от компании, которая заботится о вашей приватности. The Washington Post и компания-разработчик софта для приватности Lockdown провели совместное исследование о рекламодателях на платформах Apple. Исследование выяснило, что популярные iOS-приложения отправляют рекламодателям данные об устройстве, не спрашивая пользователя и постоянно находя новые лазейки в придуманной Apple App Tracking Transparency.

Персональные данные пользователя по яблочному Identifier for Advertisers (IDFA) пользователя не вывести, но разложить его на рекламную бигдату — это запросто. Например, приложение сможет увидеть, что ты тапнул по баннеру с рекламой Айфона, поэтому теперь будешь завален рекламой гаджетов. В The Washington Post пишут, что некоторые приложения — например, одно из включённых в исследование, игра Subway Surfers — передают прямо безумные объёмы данных. Там чего только нет: от страны и версии iOS до уровня зарядки батареи и названия устройства.

@tomhunter

Список данных, которые собирают для рекламы три игры под iOS, исследованные Lockdown и The Washington Post.

#news Продолжаем-с превращать этот канал в вестник яблочных разочарований — зачастили они как-то с поводами. Недавно Яблоко придумало iCloud Private Relay Service, сервис для сокрытия IP и локации. Тот самый, который решили не запускать на территории России и некоторых других стран.

По идее, они переизобрели и сильно упростили Тор, но реализация оставляет желать лучшего. Оказывается, в сервисе есть дыры, позволяющие перехватить через WebRTC реальный IP пользователя. STUN-запросы через iCloud Private Relay Service не проксируются, поэтому IP может быть перехвачен во время обмена ICE-кандидатов: остаётся его просто оттуда спарсить.

Уязвимость заметили и зарепортили Яблоку исследователи из FingerprintJS, в обзоре от них есть все детали.

@tomhunter

#news Google извинилась за волну электронных писем, предупреждающих клиентов Google Cloud Platform, Firebase или API о том, что их учетные записи могут быть приостановлены. Пользователи начали получать эти электронные письма 22 сентября, в которых содержалось предупреждение о том, что их учетная запись «просрочена или не имеет действительной платежной информации». Вопрос лишь в том, как скоро этим же предлогом воспользуются распространители фишинговых рассылок.

@tomhunter

#news В 2020 в Совкомбанке поймали сотрудника внешнего колл-центра, втихую копировавшего заявки на кредит: он получил два года условно. Пока шло следствие, сотрудник предложил собранную базу данных клиентов на продажу в своём Телеграм-канале. Совкомбанк снова обратился в полицию, и дело через ФСБ было передано в суд.

Теперь список людей, оставлявших заявку на кредит в Совкомбанке, лежит в открытом доступе в даркнете. Слито всё — от ФИО, паспортных данных и номера телефона до размера дохода, места работы и контактов родственников. Надеюсь, хотя бы моих читателей это не задело.

@tomhunter

#news На этой неделе киберпреступники захватили управление сайтом Bitcoin.org. С его помощью они смогли запустить мошенническую кампанию якобы с раздачей криптовалюты. Взлом продлился около суток, но за это время мошенники сумели получить не менее 17 000$. Предположительный криптокошелек преступников 1NgoFwgsfZ19RrCUhTmmuLpmdek45nRd5N. Сейчас Bitcoin.org восстановлен. Но основная причина взлома веб-сайта пока остается невыясненной. Хотя и имеется предположение, что это был взлом DNS.

@tomhunter

#news Федеральные спецслужбы США, такие как Агентство национальной безопасности (АНБ) и Центральное разведывательное управление (ЦРУ), опасаются рекламы в Интернете так же сильно, как и все остальные, и используют блокировщики рекламы для смягчения этой потенциальной угрозы. По их мнению, баннер может собирать конфиденциальную информацию о пользователе или даже рассылать вредоносные программы.

Мнение, на самом деле, вполне справедливое. Еще в конце 2017 года американские ученые изучили вопрос использования рекламных идентификаторов пользователей для слежки за ними (ADINT). Через 3 года в Израиле сумели автоматизировать подобную слежку, создав специальный продукт. Он позволяет выявлять рекламные идентификаторы, связанные с электронной почтой или номером телефона, а затем следить за их владельцем, используя для этого данные мобильных приложений. Вы же помните, сколько разрешений даёте таким приложениям.

@tomhunter

#news Команда BBC сняла отличный фильм о жизни кибермошенников. В оригинале фильм называется «Hunting the Social Media Fraudsters». Через короткое время, OSINT-исследователи смогли деанонимизировать одного из предполагаемых преступников, о которых шла речь в фильме. Это было весьма интересно с точки зрения практики.

▶️ https://youtu.be/H0Mzdswq8M0

@tomhunter

#news Вот так умирает свобода... под град аплодисментов. Начиная с версии 7.8, Telegram внедрил функцию регулярной проверки актуальности привязанного номера телефона, а также пароля двухфакторной авторизации. С этим уже столкнулись многие пользователи. Если нажмете на «Нет», мессенджер не замедлит предложить привязать к аккаунту новый телефон.

Как Telegram раньше идентифицировал своих пользователей? В начале года мессенджер предложил функцию переноса всей WhatsApp переписки в Telegram. Многие пользователи столкнулись при этом с блокировкой телефонов... которую Telegram предложил решить.

При попытке сделать это открывалось приложение электронной почты, которое формировало автоматическое письмо в поддержку. Т.е. на входе у мессенджера оставались: IMEI устройства, e-mail и номер телефона.

▶️ https://youtu.be/Kh9nFcatHQw

@tomhunter

#OSINT #Photo Всех с началом трудовой недели. Сегодня я поговорю с вами об источниках исследования фотографий:

├Open Metadata (EXIF)
├search4faces (Find Face)
├findclone (Find Face)
├yandex (Find Face)
├@findfacerobot (Find Face)
├@Quick_OSINT_bot (Find Face)
├@ssb_russian_probiv_bot (Find Face)
├eyeofgod (Find Face)
├azure (Find Face)
├betaface (Find Face)
├pictriev (Find Face)
├quiz (Find Face)
├allaboutbirds (Object Ident.)
├plantnet (Object Ident.)
├peakfinder (Object Ident.)
├forensics (Photo Forensic)
├sherloq (Photo Forensic)
├ballistics (Photo Forensic)
├descarteslabs (Factchecking)
├mapchecking (Factchecking)
├suncalc (Factchecking)
├fotorobot (Modelling)
├3Dface (Modelling)
├cameratrace (Camera Trace)
├stolencamerafinder (Camera Trace)
├fotoshop (Enhancer)
├upscaler (Enhancer)
├waifu2x (Enhancer)
└myheritage (Enhancer)

@tomhunter

#news Firefox от Mozilla оказался не таким уж и безопасным браузером, как малевали. Более семи месяцев подряд браузерное дополнение Safepal Wallet воровало криптовалюту из кошельков пользователей. Кстати, у Safepal есть официальные приложения для смартфонов, доступные как в Apple AppStore, так и в Google Play. Но вот расширений для браузеров Safepal не выпускала.

Mozilla, ожидаемо, проводит расследование. Подскажем им, что дополнение использовало для своей работы фишинговый домен https://safeuslife(.)com/tool/, зарегистрированный в начале года через Namecheap.

@tomhunter

#news Новый троян BloodyStealer, продаваемый в даркнете, уже активно используется злоумышленниками для кражи учетных записей на таких платформах, как Steam, Epic Games Store и EA Origin. Он способен собирать и красть широкий спектр конфиденциальной информации, включая файлы cookie, пароли, банковские карты, а также сеансы из различных приложений.

@tomhunter

#news MIT Technology Review пишет, что 2021 год уже поставил рекорд по количеству выявленных уязвимостей нулевого дня. Возможная причина — влиятельные хакерские группировки, вливающие всё больше денег в поиск и использование таких уязвимостей. Да что уж там хакеры, достаточно тех же NSO Group с их Пегасусом вспомнить. Впрочем, не факт, что это такая уж страшная новость: может, радоваться надо, что мы научились лучше такие уязвимости ловить. И не может не радовать, конечно, что эксплойтить их хакерам становится всё сложнее и дороже, с задействованием целых цепочек уязвимостей нулевого дня вместо одной-единственной. Стараемся-с.

@tomhunter

#OSINT #Logger Логирование или установление сведений об устройстве и соединении пользователя сети интернет - это важная часть процесса деанонимизации.

├canarytokens (Logger Files/Link + mask)
├@FakeSMI_bot (Logger News + mask)
├iplogger (Logger Link + mask)
├webresolver (Logger Link + mask)
├locklizard (Logger Pdf)
├pmdoctrack (Logger Pdf)
├grabify (Logger Link)
├ip-trap (Logger Link)
├iknowwhatyoudownload (Logger Link)
└spy (Logger Link)

Маскировка логеров:
├clck, bit, bitly, lnnkin, cli (Link Shorter)
├telegra.ph, medium, teletype, start.me (Logger in Page)
├@LivegramBot, @Manybot, @FleepBot, @BotFather (Logger in Bot)
├https://vk.com/away.php?to=LOGER_LINK (Logger Redirect)
└https://telegraph.com%story%LOGER_LINK/2Fdp94 (Logger Redirect)

Логирование геолокации (GPS, LBS, WiFi, IP):
├seeker (github)
├trape (github)
├TrackUrl (github)
├Bigbro (github)
├r4ven (github)
└iplogger (geologger)

Получение социального профиля:
├socfishing (socphishing)
├dmp (socphishing)
└soceffect (socphishing)

@tomhunter

#news Хакерская группа Nobelium разработала новое вредоносное ПО FoggyWeb (работает с апреля 2021г.), которое представляет собой «пассивный и узконаправленный» бэкдор, злоупотребляющий токеном языка разметки утверждений безопасности (SAML). Microsoft продолжает собирать информацию об уязвимостях, использующихся Nobelium.

@tomhunter

#news У нас всё под контролем. Радионяни, видеоняни, умные часы с трекером - всё для того, чтобы наши дети были в безопасности. Благодаря современным гаджетам мы можем каждую минуту следить за ними. Но кроме нас за нашими детьми также может следить кто-то ещё. Взломы радионянь и смартчасов. Где же дырка в системе безопасности? Узнаем у специалиста компании T.Hunter Владимира Макарова.

▶️ https://youtu.be/SVv5qw0J7F0

@tomhunter

#OSINT #Nickname Разберем сегодня еще одну маленькую тему проверки никнеймов в процессе OSINT-исследований. А ты знал, что у среднестатистического человека обычно имеется 7,6 учетных записей в социальных сетях?

├@maigret_osint_bot (Nickname Checker)
├whatsmyname (Nickname Checker)
├sherlock (Nickname Checker)
├namecheckup (Nickname Checker)
├namechk (Nickname Checker)
├instantusername (Nickname Checker)
└usersearch (Nickname Checker)

Пермутация (подбор) адреса электронной почты по имени и домену:

├NAMINT (Email/SN Permutator)
├polished (Email Permutator)
├metricsparrow (Email Permutator)
├@mailcat_s_bot (Email Permutator)
└google (Email Permutator)

А для поиска социальных профилей просто по фамилии и имени воспользуйся следующим ресурсом:

├NAMINT (Name Checker)
├Google Dork (Name Checker)
└social-searcher (Name Checker)

@tomhunter

#news Служба безопасности Украины (СБУ) отключила сеть из шести колл-центров во Львове, которые используются мошенниками. Мошенники, стоящие за этими незаконными центрами обработки вызовов, использовали телефонные номера VoIP (передача голоса по Интернет-протоколу), чтобы скрыть свое местонахождение и обмануть тысячи иностранных граждан. Операторы предлагали иностранцам вкладывать деньги в акции и криптовалюту.

@tomhunter