#news Спецы из ИБ-компаний Cyble и ASEC рапортуют о новых случаях, когда хакеры жрут своих же менее сообразительных подельников. На паре форумов под видом малвари для кражи крипты распространяют вредоносный код для слива данных из буфера обмена.

Пока начинающая кибернечисть довольно потирает руки, купленная малварь шерстит их устройства на предмет доступа к криптокошелькам. Что тут сказать маленьким любителям киберэкстремизма… Всегда найдётся рыба покрупнее!

@tomhunter

#news Open Source Initiative выпустила резолюцию в котором осуждает действия всех разработчиков, создающих «Протестное ПО» или внедряющих элементы «Протестного ПО» в свои открытые проекты.

Процитирую отрывок: "...ущерб от вандализм в проектах с открытым исходным кодом намного перевешивают любую возможную выгоду, а ответная реакция в конечном итоге нанесет ущерб всем проектам и ответственным участникам. Опасным могут начать считать все опенсорс-решения. Используйте свою силу, но используйте ее с умом".

@tomhunter | атакующая безопасность

#news Компания T.Hunter выступит генеральным партнером кубка Новосибирской области по кибербезопасности (соревнования школьников по компьютерным расследованиям и OSINT). Кубок пройдет 18 апреля 2022 года в рамках мероприятий Центра компетенции НТИ «Технологии доверенного взаимодействия» на базе НГТУ НЭТИ.

@tomhunter | атакующая безопасность

#news В популярной игрушке-продолжении симулятора жизни в российской глубинке Elden Ring на ПК выявили критический RCE-баг. Он позволял ушлым игрокам в мультиплеере корраптить сейвы, отправляя чужих персонажей в death loop. Патч уже выкатили, геймерам без него хода в сетевую игру нет. Так что скорее обновляйтесь, дорогие Погасшие эскаписты.

В январе я рассказывал о схожей истории с Dark Souls. Тогда всё было серьёзнее, и злоумышленники получали полный доступ к компам игроков. Лично я назвал бы всё это органичным дополнением хардкорного геймплея франшизы, хех.

@tomhunter | атакующая безопасность

#news А теперь к новостям, которые заставят покрепче вцепиться в дорогие сердцу цифровые монетки. Сотрудник маркетинговой компании HubSpot скомпрометировал данные клиентов трёх десятков криптобирж, включая BlockFi, Swan Bitcoin и NYDIG.

Компания, естественно, пытается делать вид, что на площадке HubSpot 18 марта 2022-го года ничего не произошло, но масштаб утечки серьёзен. Имена, почтовые ящики, типы аккаунта, номера телефонов, часть даже названия компаний и данные по долларам на счетах — всё это может стать основой для масштабных атак.

Так что если вы являетесь пользователем одной из попавших под удар бирж, помяните HubSpot недобрым словом и берегитесь фишинговых писем счастья.

@tomhunter | атакующая безопасность

#news Шикарный баг обнаружили в Хондах и Акурах. Уязвимость под атаки повторного воспроизведения позволяет удалённо открыть машины и даже завести.

Перехватив сигнал с ключа, злоумышленник может повторно отправить его позже. Из забавного, Honda официально заявила, что старые модели, даже если они уязвимы к атаке, обновлять не будут. Мол ничего страшного, как-нибудь обойдётся. Из оригинальных решений спецами предложено носить ключ от авто в кустарном мешочке Фарадея.

В общем, если ваша старенькая Хонда внезапно сама покатится в никуда, агрессивно мигая фарами — не бойтесь, ещё не началось.

@tomhunter | атакующая безопасность

#news Эстонец Максим Березан, ответственный за 13 рансомварных атак на $53 миллиона, сегодня отправился в США в тюрьму на 5 с лишним лет. Как сообщается, он был активным участником форума DirectConnection (закрылся в 2015).

Березан специализировался на дропах и выводе денег с украденных счетов. Специализировался весьма успешно, судя по тому, что у него конфисковали две Porsche и крипты с наличкой на почти $2 млн.

Разбор увлекательной истории со слезами ностальгии по ссылочке выше.

@tomhunter | атакующая безопасность

#news Ещё на днях писал про впечатляющие успехи Lapsus$ на киберпреступных фронтах. А теперь в Лондоне арестовали семерых её предположительных членов, включая лидера группировки.

Так вот… Фильм «‎Хакеры» все помнят? Лидеру группировки 16 лет. У мальчика аутизм. И 300 биткоинов в загашнике ака 14 миллионов долларов. Остальным от 16 до 21 года. Юного преступного гения якобы сдали обиженные на него подельники, слив все явки и пароли. Может, ещё и ехидный дисс на него в ТикТоке записали или чем там сейчас подростки промышляют.

Впрочем, выслеживавшие Lapsus$ спецы утверждают, что вышли на след пацана уже давно, и пока не ясно, действительно ли его компания юных и находчивых ответственна за все взятые на себя взломы. Так что, глядишь, айти-колоссам на глиняных ногах пока расслабляться рано. Хотя история уже огонь. Жизнь имитирует искусство!

@tomhunter | атакующая безопасность

#news В ближайшее время нам, вероятно, будет преподнесена новость о взломе/утечке 100 с лишним миллионов данных пользователей российской соцсети ВКонтакте. По крайней мере, именно с таким посылом, в Telegram-каналах распространяется некие базы данных... По моей оценке, актуальность этих баз - где-то 2009-2010 год... псссс, знаю где свежее лежит))). Странное время... фейковые новости, фейковые хакеры...

@tomhunter | атакующая безопасность

#news Всего пару недель назад в канале был пост о проникновении малвари Racoon Stealer в Телеграм. И если помните, спецы считали, что создатели енота-воришки базируются на территории СНГ. Ну, всё так. Вчера они сообщили о том, что сворачивают работу. Главный разработчик погиб. Сами догадаетесь где.

Racoon Stealer распространялся по схеме MaaS (Вредоносное ПО как услуга) и был крайне популярен в силу своей универсальности. Создатели трояна планируют позже вернуться на рынок, а пока их клиенты массово переходят на аналог, Mars Stealer. Так что теперь о нём будете слышать гораздо чаще. Здесь можно глянуть подробный техразбор малвари.

@tomhunter | атакующая безопасность

#news Метод рендеринга более 3-х лет позволял злоумышленникам создавать фишинговые сообщения в Instagram, iMessage, WhatsApp, Signal и Facebook Messenger, выглядящие вполне легальными. Уязвимости представляла собой ошибки рендеринга, в результате чего интерфейс приложений неправильно отображает URL-адреса с внедренными управляющими символами Unicode RTLO.

@tomhunter | атакующая безопасность

#OSINT Решил немного отойти от правил и разместил новость на Телеграфе. Расскажу все о том же, об идентификации пользователей сети интернет при помощи общедоступного ПО и сервисов.

@tomhunter | атакующая безопасность

#news Свежий патч для Sophos Firewall исправляет критическую уязвимость с заходом на RCE. Баг позволял обойти аутентификацию в интерфейсах User Portal и Webadmin и выполнить вредоносный код.

Уязвимость серьёзная, так что устройства нуждаются в срочном обновлении. Старым версиям повезло меньше, в отношении них предложено вручную убедиться, что к этим интерфейсам нет доступа извне. Это уже третья крупная уязвимость, исправленная Sophos за неделю, чьи продукты злоумышленники постоянно тестируют на прочность.

@tomhunter | атакующая безопасность

#news Идёт массовая рассылка банковского трояна IceID через угнанные цепочки писем в Microsoft Exchange. Хакеры маскируют письма с малварьной нагрузкой под продолжение дискуссии, чтобы ввести жертв атаки в заблуждение.

Между тем прошёл уже почти год с тех пор как мелкософт выпустил патчи для Proxylogon/ProxyShell уязвимостей, используемых в атаке. И идёт она через общедоступные, непропатченные сервера. Казалось бы, при чём здесь информационная безопасность?

@tomhunter | атакующая безопасность

#news Хакеры вставляют в сайты WordPress вредоносный скрипт, который использует браузеры посетителей для выполнения DDOS-атак. Атаки DDoS происходят в фоновом режиме, и пользователь не узнает об этом, за исключением замедления работы браузера. При исследовании скрипта для поиска других зараженных сайтов было обнаружено, что тот же скрипт используется проукраинским сайтом https://stop-russian-desinformation.near.page, который используется для координации атак на российские сайты. При посещении этого сайта браузеры пользователей используются для проведения DDoS-атак на 67 российских сайтов.

@tomhunter | атакующая безопасность

Санкции-санкциями... делать нечего, будем развивать сообщество в отечественной социальной сети. В общем, присоединяйтесь к нам во ВКонтакте. Будет интересно, познавательно и стильно-модно.

▪️ https://vk.com/tomhunter

#news К новостям о рансомварь-пионерах так называемого тройного вымогательства. Спецы сообщают, что авторы SunCrypt, ребята совсем без чести и совести, отличившиеся взломом школьных систем, всё ещё в деле. Под лупой новый вариант их вредоносного кода.

SunCrypt версии 2022-го года может похвастаться разве что способностью вырубать процессы и сервисы да подтирать за собой логи. Он всё также шифрует и локальные, и сетевые папки, не трогая винду и прочее сопутствующее для работы системы.

Стоящие за Suncrypt люди предпочитают не светиться, и ещё только предстоит увидеть, насколько серьёзную угрозу они способны представлять в будущем.

@tomhunter

#news Symantec рапортует об относительно новом загрузчике малвари Verblecon. Его используют для установки криптомайнеров.

Verblecon написан на джаве и наиболее примечателен полиморфизмом своего кода, что позволяет обходить многие антивирусные проверки. Кроме того, его пока использовали для малоприбыльных атак, так что пристального внимания удавалось избегать. Такой вот неуловимый джава-ковбой.

Спецы предполагают, что автор загрузчика не осознаёт вредоносный потенциал своего творения. Так что если Verblecon попадёт в более квалифицированные руки, проблем он сможет доставить гораздо больше.

@tomhunter

#news Некий хакер украл почти $620 миллионов в криптовалюте с моста Ronin, принадлежащего игре Axie Infinity. Кажется, теперь это рекордная кража крипты, побившая прошлый рекорд с $611 млн в августе 2021.

Украли 173,600 ETH и 2,5 млн USDC-токенов двумя транзакциями — первая, вторая.

Хакер смог установить контроль над 5 из 9 валидаторов, подтверждавших транзакции в сети, что и позволило ему вывести крипту. Большая часть пока так и остаётся на его балансе, хоть и есть небольшие подвижки с выводом денег в обменники и на другие адреса.

Атака случилась ещё 23 февраля, но узнали о ней только сейчас: пользователь безуспешно пытался вывести 5000 ETH. Неловко вышло.

@tomhunter

#OSINT Вчера начал обновлять наше новое сообщество во ВКонтакте. Запилил статью о простых методах и приемах идентификации криптовалютных кошельков. Напоминаю, что все источники, предназначенные для исследования криптовалют я собрал по этой ссылке.

@tomhunter | атакующая безопасность

#news Не успела отгреметь панихида по еноту-воришке, как пошли первые новости по его аналогу Mars Stealer. Хакеры используют рекламу в гугле для продвижения подставных сайтов Open Office, на которых сидит шоколадная малварь. Почувствовали вкус к жизни, так сказать. И крипте.

Из забавного, стоящий за атакой умудрился заразить свою машину во время дебага, это позволило спецам отследить неудачливого воришку, найти его аккаунт на гитлабе и многое другое. Что-то мне подсказывает, у такого криворукого умельца вряд ли всё будет в шоколаде. Но за ним валом последуют и другие. В общем, берегите свои устройства, в этот раз шоколад к успеху идёт.

@tomhunter