На РБК прекрасное - исследователи компании Postuf нашли уязвимость в Android-приложении Госуслуги Москвы, позволяющую получить доступ к аккаунту, зная только мобильный номер пользователя.

В результате хакер, кроме доступа к персональным данным пользователя, мог внести новые сведения, о которых жертва могла узнать только случайно, поскольку механизма информирования пользователя о внесенных правках на Госулуги Москвы не предусмотрено.

Ситуация не до конца ясная, поскольку журналисты РБК утверждают, что непосредственно сами видели PoC, а вот представители ДИТ и некоторых других компаний заявили, что не смогли проэксплуатировать уязвимость. Возможно это связано с тем, что специалисты ДИТ оперативно ее закрыли.

И как всегда ответственности никто из руководителей не понесет. А значит все это будет продолжаться.

Это, пожалуй, кандидат на звание "Пентест года". Так сказать, фаззинг в дикой природе.

Дети случайно нашли уязвимость в экране блокировки Linux Mint

Согласно баг-репорту на GitHub, двое детей нажимали случайные клавиши как на физической, так и на экранной клавиатуре заблокированного устройства.

Это привело к сбою заставки Linux Mint, что в конечном итоге открыло им доступ к рабочему столу без пароля.

Пользователь отметил, что это не единичный случай: детям удалось обойти экран блокировки и во второй раз.

Выяснилось, что ошибка возникает при нажатии клавиши «ё» на экранной клавиатуре.

К счастью, на прошлой неделе разработчики Linux Mint исправили эту уязвимость.

Израильские исследователи из Check Point сообщают, что вскрыли крупную фишинговую кампанию, направленную на сбор учетных данных корпоративных сотрудников.

Киберкампания началась в августе 2020 года и была направлена, преимущественно, на строительный и энергетический сектора, хотя среди целей присутствовали и IT-компании, и производственные, и медицинские. В качестве приманки использовалось уведомление о сканировании копиром Xerox, которое при открытии просило ввести пароль Office 365. В некоторых случаях для рассылки фишинга использовались заранее скомпрометированные почтовые ящики реальных людей.

Всего хакеры увели более 1 тысячи учетных данных, что, на самом деле, совсем не головокружительное число. И наш интерес вызвала не столько сама фишинговая кампания, а тот факт, что злоумышленники криво настроили сервера, на которых хранили украденные данные, в силу чего их проиндексировал Google.

Кроме того, Check Point сообщил, что TTPs выявленной операции совпадают с другой фишинговой компанией, которая была обнаружена в мае 2020 и также была направлена на сбор учетных данных Office 365. Какая конкретно группа стоит за атакой - не сообщается.

Новость недельной давности, но как-то про нее особо не писали.

В июне и июле 2020 года из компании Ledger, производящей аппаратные криптокошельки, была похищена информация о более чем 1 млн. электронных почтовых ящиков подписчиков информационного бюллетеня, и, что намного хуже, данные больше 270 тысяч пользователей, делавших заказ на доставку Ledger Nano на дом. В базе содержались имена покупателей, их телефоны, электронная почта и адреса доставки.

Представители Ledger говорят, что были поставлены в известность об утечке одним из исследователей и устранили компрометацию. По их словам, хакер получил несанкционированный доступ к базе данных с помощью ключа API, принадлежащего третьей стороне, видимо, одному из партнеров.

20 декабря прошлого года украденная база данных была выкинута на одном из хакерских форумов, а неделю назад покупатели криптокошельков Ledger Nano стали получать угрозы от неизвестных злоумышленников с указанием полного имени и адреса проживания и угроз физической расправы в случае невыплаты выкупа в криптовалюте на сумму около 12 тыс. долларов.

С большой долей вероятности эти угрозы не несут реальной подоплеки, но никто не может дать гарантии, что особо продвинутые бандиты не достанут базу и не начнут отлавливать владельцев криптокошельков около их домов. Ведь как минимум у потенциальных терпил есть некая сумма в криптовалюте, для которой они покупали этот самый криптокошелек.

Остается только риторический вопрос - какого ляда сам производитель Ledger хранил столь чувствительные данные в единой базе, если он распространяет весьма конфиденциальные гаджеты, да еще и давал к ней доступ сторонним фирмам. Ответ ожидаемый - бабло побеждает разум, маркетинг превыше всего.

Теперь будут кушать полной ложкой последствия своей жадности. Потому что авторитета как конфиденциального производителя, думается, у них не осталось.

​​В целом согласны.

​​Как мы помним, в сентябре прошлого года сеть Университетской больницы в Дюссельдорфе (UKD) подверглась атаке со стороны ransomware, в результате чего ИТ-системы больницы вышли из строя и оказание плановой и неотложной медицинской помощи стало невозможным. Из-за этого погибла пациентка, которую не успели довести до соседней больницы при экстренной госпитализации.

Кейс, конечно из ряда вон. Другое дело, что ходили слухи, согласно которым доступ в сеть больницы продали оператору ransomware под видом доступа в сеть самого Дюссельдорфского университета. По крайней мере, сразу после уведомления со стороны немецкой полиции о принадлежности зашифрованных ресурсов медицинскому учреждению хакеры прислали дешифровщик.

И вот снова атака на больничную сеть. В этот раз пострадала бельгийская больница CHwapi, в ходе которой 40 серверов были зашифрованы.

Атака произошла в воскресенье, в ее результате больница прекратила оказание хирургической помощи и перенаправила пациентов, нуждающихся в неотложной медицинской помощи, в другие больницы.

Во вторник с журналистами BleepingComputer связались стоящие за атакой злоумышленники и сообщили, что они осуществили шифрование не каким-либо вымогателем, а штатным инструментом Windows BitLocker. Они оставили записку о выкупе, но IT-менеджеры не передали информацию о ней руководству больницы.

Хакеры сообщили, что вместо традиционных ransomware они используют Windows BitLocker и DiskCryptor. При этом никаких угрызений совести по поводу нападения на больницу они, похоже, не испытывают.

Инфосек компания Netscout сообщила, что обнаружила новый вектор усиления DDoS-атак через сервера Microsoft Windows RDP, работающих через порт UDP 3389.

При получении специальным образом сформированных пакетов UDP сервер RDP начинает отвечать с коэффициентом усиления 85,9 (более чем приличное значение). Исследователи выявили более 14 тыс. серверов RDP, которые могут быть использованы для проведения DDoS.

Эксперты Netscout утверждают, что наблюдают использование этого вектора атаки в дикой природе, мощность DDoS варьируется от 20 до 750 Гбит/c. Последствием фильтрации же трафика может повлечь нарушение легитимной работы RDP серверов.

В качестве мер защиты Netscout рекомендует использовать TCP порт 3389 вместо UDP, а также ставить сервера RDP за VPN.

​​В конце декабря оператор ransomware взломал сеть Шотландского агентства охраны окружающей среды (SEPA). Мы эту новость видели, но не стали ее освещать - взломали и взломали, не в первый раз государственные агентства подвергаются атакам вымогателей.

Однако, в этот раз все зашло немного дальше. Во-первых, SEPA так и не смогло восстановить работоспособность своих сервисов. А во-вторых, владелец ransomware, которым оказалась группа Conti, последовал своим угрозам и опубликовал на своем DLS порядка 1,2 Гб украденной информации.

Судя по реакции SEPA, в опубликованных сведениях хватает персональных данных и конфиденциальной информации.

КНК, это первая утечка информации государственного агентства после атаки ransomware, разве нет?

The New York Times продолжает жечь напалмом.

В своей новой статье про противостояние администрации Байдена русским хакерам в киберпространстве журналисты пишут, что "сотрудники американской разведки пришли к выводу, что более тысячи российских программистов были most likely вовлечены во взлом SolarWinds".

Русские хакеры, тысячи их.

Коммерсант пишет, что мамкины хакеры рассылают владельцам ТГ-каналов трояны под видом рекламных материалов, чтобы эти самые каналы увести.

Никита Могутин, руководитель Baza, говорит, что злоумышленники могут представляться рекламными менеджерами платформы GeekBrains.

Самое смешное, что нам перед НГ тоже писали "менеджеры, ищущие площадки под рекламу GeekBrains". Но ничего не прислали и ушли в закат. Прямо как особист-контрразведчик из фильма ДМБ - "Денег предлагал, но не дал".

Жалко. Такой кейс прикольный мог бы получиться...

ZDNet сообщает, что на одном из хакерских форумов актором под псевдонимом ShinyHunters была выброшена в паблик база данных сайта знакомств MeetMindful.

База размером в 1,2 Гб содержит регистрационные данные пользователей, включая место проживания, информацию о предпочтениях при свидании, ID и токены аутентификации Facebook, а также хэшированные в bcrypt пароли. Внутренней переписки нет. Всего были выложены данные 2,28 млн. пользователей.

Утечка, конечно, приличная, но не самая большая и не первая. Кратенько только за 2020 год:
- в мае были украдены данные 3,6 млн. пользователей мобильного приложения для знакомств MobiFriends;
- в июне найдена незакрытая корзина Amazon S3, в которой лежали 845 Гб данных специализированных приложений для знакомств (3somes, Cougary, Xpal, BBW Dating, Casualx, SugarD, Herpes Dating, GHunt и др.), в том числе приватные фотографии, включая обнаженку и распознаваемые лица, скриншоты переписок, аудиозаписи,финансовая информация, а также личные данные, включавшие указанные при регистрации имена, даты рождения и адреса электронной почты;
- в сентябре найден открытый Elasticsearch сервер, содержащий базу данных 66 млн. push-уведомлений, которые сайты знакомств отправляли своим пользователям с помощью маркетинговой платформы Mailfire. Кроме копий сообщений, на база содержала "отладочную" информацию, в которую включались личные данные пользователей - имя, возраст, адрес электронной почты, местоположение и даже IP-адреса, а также ссылка на профиль пользователя и ключ аутентификации.

Так что сервисами знакомств надо пользоваться аккуратно. Лучшее решение по защите конфиденциальности - противогаз. Морду лица не видно, а душу - да.

Голландский исследователь (или исследовательница, их там хрен поймешь с этим дайверсити) VriesHd выложил результаты своего анализа более 200 тыс. поддоменов avsvmcloud .com, использовавшегося в ходе атаки Sunburst на американского IT-разработчика SolarWinds.

Напомним, что бэкдор Sunburst шифровал собранные сведения о зараженной сети и передавал их управляющему центру в виде DNS-запросов. Таким образом, расшифровав эти данные можно попробовать получить информацию о предполагаемой жертве.

VriesHd отбросил "белый шум", расшифровал данные, в том числе с использованием ранее созданных для этих целей инструментов инфосек вендоров FireEye, QiAnXin и NETRESEC, и получил информацию в отношении порядка 35 тыс. жертв, которые были заражены Sunburst. Несколько российских доменов мы в нем нашли - к примеру detmir-group .ru или bristolcapital .ru.

Конечно, этот список не окончательный и если домена компании, использующей SolarWinds Orion, в нем нет, то из этого автоматически не следует, что она не была заражена.

​​Нестареющая классика

Южноафриканские СМИ рассказывают как просто и незатейливо можно свиснуть IP-адресов на 80 миллионов долларов.

Соучредитель и по совместительству инженер Африканского сетевого информационного центра (AFRINIC) Эрнест Бьяруханга в течение нескольких лет переписал на своих подельников более 4,1 млн. IP-адресов, распределением которых и занимается AFRINIC.

Первым на это обратил внимание интернет-активист Рон Гильметт, который еще в ноябре 2016 года обнаружил, что большие блоки африканских IP-адресов захвачены спамерами. Только через два с половиной года правоохранительные органы (в первую очередь ФБР) обратили на это внимание, а год назад AFRINIC стал возвращать в свое ведение украденные IP-адреса. При этом спамеры и подельники Бьяруханги стали с ним судиться. Правда в суде отказались предоставить какие-либо документы, подтверждающие покупку этих IP-адресов.

А сейчас AFRINIC опубликовал официальный отчет внутренней ревизии, в котором подтвердил факт кражи Бьярухангой этих самых 4,1 млн. IP-адресов.

Киберпреступность по-южноафрикански.

На Hackmaggedon стали публиковать интерактивные карты кибератак. Ранее исследователи представляли данные в виде таблиц.

Безусловно, на сайте отражены не все кибератаки, но если вы интересуетесь темой, то это весьма удобный формат для первичного ознакомления.

Иран решил не отставать от США в части применения передовых демократических практик и во славу народовластия и свободы слова заблокировал Signal.

Google Threat Analysis Group (TAG) выпустили отчет, в котором рассказали, что северокорейские хакеры создали своеобразную "медовую ловушку" для инфосек исследовтелей.

Если в обычном случае "медовой ловушки" в качестве приманки используется образ прекрасной незнакомки, одиноко грустящей где-то в недрах Tinder или Facebook, то в случае с инфосек экспертами это вряд ли бы прокатило. Ведь единственное, что может затмить им глаза - это информация о новой, свежей уязвимости. Этим хонгильдоновы сыны и воспользовались.

Северокорейцы создали фейковый блог, посвященный информационной безопасности, а также множество вымышленных аккаунтов в Twitter, в которых постили ссылки на материалы блога, видео с использованием эксплойтов и т.д. Далее они устанавливали контакт с настоящими инфосек исследователями и предлагали совместное взаимодействие.

В одном случае они, кстати, запостили фейковое видео про якобы работающий эксплойт свежей уязвимости CVE-2021-1647 в Windows Defender, но их быстро раскусили, после чего они стали дефендить себя же с других своих аккаунтов.

После установления контакта и использования приемов социальной инженерии хакеры из КНДР предлагали работать над совместным проектом Visual Studio, в котором, естественно, сидела вредоносная библиотека.

Само собой, что этот прием срабатывал, как мы полагаем, нечасто, в силу чего северокорейцы развернули цепочку эксплойтов 0-day уязвимостей для Chrome и Windows 10 на своем инфосек-блоге, посредством которых заражали посещающих его экспертов.

Северокорейский фейковый инфосек блог находится здесь - blog .br0vvnn .io. Ни в коем случае не заходите! Информация чисто для сведения!

Остается добавить, что один из наших редакторов около года назад чуть не поймал два трояна, посещая исключительно инфосек ресурсы. Мы бы погрешили на то, что он тайком смотрит порно, но он абсолютный гик и асексуал. Думаем на китайцев.

Что-то мы в последнее время редко пишем про атаки ransomware. Исправляемся.

Австрийская компания Palfinger AG, которая является ведущими в мире производителем кранов и подъемников и имеет доход за 2019 год в размере 1,75 млрд. евро, подверглась атаке неназванного вымогателя.

Как сообщается на сайте фирмы, Palfinger находится под продолжающейся кибератакой, в результате которой отключена электронная почта и не работает ERP. Затронута значительная часть офисов по всему миру.

Исходя из заданных параметров можно откинуть DDoS и считать доказанным, что австрийцы попали под каток ransomware. Осталось только узнать какого и дождаться информации о сумме выкупа.

Ну а мы, как всегда в таких случаях, напоминаем прекрасную поговорку "Кроилово приводит к попадалову", которая в вопросах информационной безопасности особенно актуальна. Особенно в компаниях с доходом в 1,75 млрд. евро.

​​В продолжение этого поста. Народ во всю стебется над "близкими контактами" с северокорейскими хакерами.

—Партнерский материал—

DevSecOps Wine

В 2017 году происходит масштабная утечка данных Equifax в следствие отсутствии проверки SCA в процессе разработки.

В 2019 году уязвимость, связанная с runC, подвергает опасности тысячи кластеров Kubernetes.

В 2020 осуществляется серия атак на API Docker со стороны группировки TeamTNT с помощью легитимных образов Ubuntu и Weave Scope.

Все это является следствием упущений в обеспечении DevSecOps.

DevSecOps Wine - канал про выстраивание безопасной разработки и AppSec. Автор поднимает темы безопасности Kubernetes, Docker, облаков (AWS, GCP, Azure), а тажке того, что касается современных SAST, DAST, SCA и других средств, встраиваемых в CI/CD. Все это разбавляется техниками тестирования на проникновение и защитой веба.