#news Желание стать хакером выразила пятая часть участников опроса ESET, проведенного среди российских пользователей в сентябре 2021 года. Больше всего в этой роли хотят попробовать себя молодые люди в возрасте от 18 до 24 лет, в т.ч. 23% мужчин и 16% женщин. По мнению 47% россиян, хакеры могут приносить пользу обществу, быть хорошими и честными, но 53% не согласны - по их мнению, хакеры - обманщики и мошенники.

@tomhunter

#news С бодрым началом трудовой недели! Твой любимый канал про Apple и криптофейлы снова на связи. Сегодня в программе у нас полная анонимность и независимость от государственных институтов, но со звёздочкой. На днях платформа Compound в результате ошибки в смарт-контракте раздала пользователям своих токенов на $90 миллионов. Невольным получателям предложили замечательный выбор: или они возвращают деньги, оставив себе 10% на булавки, или владельцы платформы репортят это в налоговую как доход и попутно сливают им персональные данные получателей.

Сами по себе полученные из-за этого бага токены на балансе не отобразятся, нужно нажать на кнопочку. Судя по всему, увещевания вышли не очень убедительными: кто-то уже успел забрать себе на адрес $29 миллионов.

@tomhunter

#news Как выяснилось в опубликованном сегодня исследовании от Intezer, множество популярных платформ пользуются неудачно настроенными Apache Airflow. Грозит это многими неприятностями — в первую очередь, конечно, сливами данных. Потенциальные цели для таких атак оч-чень внушительные.

В статье по ссылке выше можно почитать о самых распространённых уязвимостях и о том, как закрыть всевозможные дыры в своих Airflow. Начать стоит хотя бы с обновления.

@tomhunter

#news Вчера вечером Фейсбук, Инстаграм и Вотсап лежали около 6 часов. Думаю, почти все заметили. Причиной тому стало свежее косячное обновление на маршрутизатор, которое уронило DNS всех фейсбучных серверов. Пока всё это дело лежало, недовольные пользователи грузили и без того уроненную инфраструктуру кучей запросов. Почему кучей — потому что когда в ответ на запрос приходит ошибка, все сердито пробуют ещё раз и ещё. Касается как людей, так и всяких сервисных ботов, разве что последние это делают быстрее и немного агрессивнее.

Как бонус, внутри компании поднялся хаос: поскольку внутри всё донельзя продвинутое, модное и IoTное, сотрудники даже в офис и в переговорки внутри офиса не могли попасть — пропуска не работали. Удалённый доступ к серверам тоже упал, поэтому могущим исправить ситуацию сотрудникам приходилось с горем пополам пробираться в офис и добираться до лежащей инфраструктуры руками.

Подробности хорошо разобрали в своём блоге Cloudflare.

@tomhunter

#news Только вот написал вчера про Apache Airflow, а сегодня выяснилось кое-что похуже: в свежей Apache HTTP server есть активно эксплуатируемая критическая уязвимость, создающая риск атаки обратного пути.

Патч уже есть, советую обновиться прямо сейчас.

Уязвимость касается фикса нормализации путей, сделанного в недавно вышедшей версии 2.4.49. Атаки с «../» ловятся, а вот с %2E и %2e (закодированная точка) — уже нет. Новый фикс как раз это и закрывает.

Уязвимость затрагивает только сервера на v.2.4.49. Ещё нужно, чтобы в контроле доступа не было require all denied — увы, кажется, это стандартная конфигурация.

@tomhunter

#news Сегодня день работы над ошибками какой-то. Вслед за Apache, Google выпустила октябрьские обновления безопасности Android, в которых устранена 41 уязвимость. Их степень серьезности варьируются от высокой до критической. Из критических уязвимостей, обновление закроет следующие: CVE-2021-0870, CVE-2020-11264 и CVE-2020-11301.

@tomhunter

#news Правительство США продолжает требовать у Google передавать ему данные пользователей, ищущих «определённые ключевые слова», которые могут помочь следствию по различным делам.

В 2019 в Висконсине пропала девочка. Через какое-то время нашлась и сообщила, что её похитили и насиловали. В попытках найти виновных правительство отправило в Google запрос: просили информацию обо всех, кто в течение определённых 16 дней в том году искал имя-фамилию жертвы или её матери, а также её адрес. В середине 2020 компания на запрос ответила, предоставив нужные данные. Документы умалчивают о том, данные скольких пользователей они в итоге передали.

Подобные дела по «ключевым словам», конечно, тщательно скрывают, поэтому на публике они оказываются единично. Выглядят, мягко говоря, тревожно. В сущности, правительство получает некий гугл-аккаунт — у многих с реальными данными — и «доказательство» того, что тот может быть связан с неким преступлением.

А картинка случайная.

@tomhunter

#news Facebook выпустил отчет о причинах глобального сбоя в понедельник, 4 октября, когда около 3 млрд пользователей не могли получить доступ к соцсети, Instagram, WhatsApp и другим сервисам. Причиной сбоя стала не вредоносная деятельность, а  «наша собственная ошибка», написал в блоге вице-президент компании по инфраструктуре Сантош Джанардхан. 

@tomhunter

#news Тут, кажется, слили весь Твич. «Весь» — это исходный код с комментариями и всей историей коммитов, полная история выплат создателям контента за 3 года, внутренние инструменты по обеспечению безопасности (ироничненько) и прочая, прочая, прочая. Всего набралось 125 ГБ, которые выложил деятельный форчановец.

Слив назвали «часть 1», что мягко намекает на грядущее продолжение. Пользовательских данных в этой части слива нет, но не факт, что они не достались настолько успешным взломщикам. Неприятненько вышло.

На всякий пожарный советую поменять на Твиче пароль и включить двухфакторку, если ещё не.

@tomhunter

#news Хакеры используют скрытое вредоносное ПО ShellClient в атаках на аэрокосмические и телекоммуникационные компании. ПО представляет собой ранее недокументированный троян удаленного доступа (RAT), созданный с акцентом на скрытность и «узконаправленные операции кибершпионажа». Вредоносная программа управляется хакерской группой MalKamak, которая, вероятно, связана с иранскими хакерами, на что указывает совпадение стилей кода, именование условности и методы.

@tomhunter

#news Тут выяснилось, что свежая уязвимость в Apache, создающая возможность path traversal-атаки, на самом деле может допускать ещё и RCE.

Работает это только на Linux-машинах, в которых через mod_cgi включена поддержка CGI. Здесь хакер сможет по цепочке через path traversal-атаку перейти к выполнению произвольного кода с теми же правами, что у Apache-процесса. Обнаружили это случайно, пока воспроизводили опубликованный Apache PoC по уязвимости.

@tomhunter

#news Да, это произошло! Ти Хантер подписал соглашение о сотрудничестве с Концерном "Автоматика" ГК "Ростех" и АО "Национальная Инжиниринговая Корпорация". В рамках этого соглашения планируется разработка и внедрение ПАКа (программно-аппаратного комплекса), предназначенного для автоматизации и стандартизации OSINT-исследований, проводимых в рамках расследования информационно-телекоммуникационных правонарушений.

@tomhunter

#news Google предупреждает более 14 тыс своих пользователей о том, что они могут стать мишенью для фишинговой атаки хакерской группы APT28. Пока компании удается успешно выявлять и блокировать фишинг. Т.е., для непонятливых, Google отлично шарится в ваших почтовых ящиках и читает сообщения... чтобы предупреждать риски утечки ваших данных (фактически принадлежащих им). Очень напоминает крепостное право в киберпространстве, не находите?

@tomhunter

#OSINT #Instagram Сегодня я разберу основные источники данных, которые я применяю при проведении OSINT-исследований в соцсети Instagram. Чаще всего, меня интересует возможность идентификации пользователей или наблюдения за ними:

├login (Restore Access)
├private_api (API)
├osi.ig (Analysis)
├gramhir (Analysis)
├osintgram (Analysis)
├minter (Analysis)
├nativeflow (Analysis)
├sterra (Analysis)
├picuki (Analysis)
├greatfon (Analysis)
├?__a=1 in URL (Metadata)
├byratino (Framework)
├maigret (Find Nickname)
├whatsmyname (Find Nickname)
├instadp (Load Avatar)
├search4faces (Find Photo)
├findclone (Find Photo)
├yandex (Find Photo)
├archive (Archive Page)
├isphere (Find Phone)
├eyeofgod (Find Phone)
├instaloader (Content Loader)
├canarytokens (Check IP)
└iplogger (Check IP)

@tomhunter

#news Оказывается, проблемы Твича с безопасностью начались задолго до недавнего масштабного взлома. Напомню, из-за ошибки в конфигурации сервера было слито всё, кроме разве что пользовательских данных, но это ещё не точно. Взломщик действовал из лучших побуждений — чтобы разжечь огонь внутри стримерского сообщества и повысить конкуренцию, потому что презирает «это токсичное болото».

Бывшие сотрудники считают, что утечка была неизбежна, потому что Твич давно на первое место ставит скорость и прибыль, пренебрегая безопасностью сервиса и пользователей. Внутри компании это было заметно: сотрудники постоянно обращались к руководству с комментариями по поводу безопасности, на которые реагировали крайне медленно и неохотно. Любые проблемы в этой области Твич предпочитал просто замалчивать и украдкой смахивать под стол, чтобы никто не заметил.

А учитывая, что взломщики получили доступ к API-ключам, это может породить всё новые и новые атаки на амазоновские сервисы в ближайшем будущем.

@tomhunter

#news Лучший канал про Apple временно переквалифицировался в канал про Твич и Apache. Но что ж поделать: к тому патчу нашумевшей недавно уязвимости вышел патч. Патч на патч. DLC к патчу?

В любом случае, Apache говорит, что тот фикс был неполным, и нужно обновиться ещё раз до версии 2.4.51. Это обновление закроет RCE-аспект уязвимости.

@tomhunter

#news И снова о "великих и ужасных" российских (?) хакерах. Экспертным мнением со зрителями канала Россия 24 поделился специалист компании T.Hunter Владимир Макаров.

▶️ https://youtu.be/PaX6ZmK06EU
@tomhunter

#news Американцы любят рассказывать про локерские группировки "из России". А я расскажу о наиболее заметных программах-вымогателях, развернутых в этом году против российских целей (количество атак в месяц отражено в графике):

BigBobRoss
Crysis/Dharma
Phobos/Eking
Cryakl/CryLock
CryptConsole
Fonix/XINOF
Limbozar/VoidCrypt
Thanos/Hakbit
XMRLocker

К слову... российские компании могут предотвратить многие из этих угроз, просто заблокировав доступ по протоколу RDP, используя надежные пароли для учетных записей домена, которые регулярно меняются, и получая доступ к корпоративным сетям через VPN.

@tomhunter

#OSINT #Security Разберу с вами совершенно отличную от предыдущих тему. Поговорим о бесплатных приложениях (не попавших в иные категории), которые точно стоит поставить на смартфон и компьютер корпоративному безопаснику:

├briar (Security Messenger)
├tinycammonitor (Cameras App)
├netanalyzer (Network Analyzer)
├haven (Snowden Security App)
├ripple (Panic Button)
├metal_detector (Metal Sniffer)
├sherloq (Image Forensic)
├videocleaner (Video Enhancer)
├smartdeblur (Video Enhancer)
├mobile_revelator (Smartphone Forensic)
├passware (Encryption Analyzer)
├bulk_extractor (Info Extractor)
├routerscan (Router Scanner)
├canary (IP Logger)
├exiftool (Photo Metadata)
├belkasoft (Capture RAM)
├networkminer (Network Forensic)
├lastactivityview (Windows Activity)
├usb_historian (Parse USB)
├faw (Forensic Webpages)
├foxtonforensics (Browser History)
├lazagne (Credentials Recovery)
├autopsy (Forensics Platform)
└ipvm (CCTV Calculator)

@tomhunter

#news Правитель Дубая, шейх Мохаммед бин Рашид Аль Мактум, воспользовался Пегасусом для взлома телефонов своей бывшей жены, у которой отвоёвывает общих детей. В том числе взломаны и её британские номера.

Когда это вскрылось в британском публичном поле, израильской NSO Group досталось в суде, поэтому в свою спайварь они быстренько захардкодили невозможность взлома британских номеров. Ну и поделом — удумали тоже, конечно, номера из метрополии ломать.

Получается, теперь Пегасус нельзя использовать против жертв из Израиля, США, Новой Зеландии, Канады, Австралии и Великобритании.

@tomhunter

#news Лавры Пегасуса на дают покоя кибербезникам Индии. Так, шпионское ПО для Android оказалось связано с индийской компанией Innefu Labs, занимающейся кибербезопасностью, после того, как IP-адрес, принадлежащий компании, неоднократно использовался для распространения полезной нагрузки шпионского ПО. Однако фактическое развертывание может быть результатом работы «Donot Team» (APT-C-35), коллектива индийских хакеров, которые атакуют правительства в Юго-Восточной Азии как минимум с 2018 года. Атака нначиналась с незапрашиваемого сообщения в WhatsApp или на электронную почту, в котором предлагалось установить якобы защищенное приложение для чата под названием ChatLite. Сам ChatLite представляет собой специально разработанное приложение для Android, которое позволяло злоумышленнику собирать конфиденциальные данные с устройства и получать дополнительные вредоносные инструменты.

@tomhunter