​​Словаки из ESET показали статистику атак на открытые сервера Microsoft Exchange. Естественно с целью эксплуатации уязвимостей из набора ProxyLogon.

На пике 5 марта - 6,5 тысяч попыток. Масштаб внушает.

​​Что-то опять операторы ransomware разбушевались.

Cl0p поломали университеты Колорадо и Майями через дырку в Accellion FTA. Одна из крупнейших американских страховых компаний CNA Financial, имеющая годовой доход в 10 млрд. долларов, пострадала от атаки вымогателя, в результате которой были приостановлены ее бизнес-операции. И даже производитель отказоустойчивых серверов Stratus Technologies словил ransomware и был вынужден отключить часть систем, чтобы предотвратить распространение вредоноса.

Кстати, интересный факт, в своем заявлении Stratus сообщили, что после изолирования зараженного сегмента сети они "приступили к выполнению мероприятий плана по обеспечению непрерывности бизнеса". Это как раз то, про что мы говорили еще в прошлом году - назрела необходимость создания в крупных компаниях отдельного направления в рамках функционала подразделений Business Continuity Management (BCM), которое будет предусматривать отработку процедур восстановления бизнеса в случае атаки вымогателя.

Но круче всех выступил крупный канадский производитель IoT Sierra Wireless (нет, это не те богоспасаемые Sierra Entertainment, которые авторы The Incredible Machine и Phantasmagoria), который ухитрился запустить ransomware в технологический сегмент своей сети, в результате чего встало производство на всех его площадках. При этом еще не понятно, получили ли хакеры доступ к чувствительным данным.

Концепция "ИБ за мелкий прайс" победно шагает по планете с подачи эффективных менеджеров. А то, что потом финансовые прогнозы приходится пересматривать, - так то ерунда. Главное успеть бонус за срезание костов освоить.

Мы как-то нелиепа (сборная КВН Санкт-Петербурга рулит, да) пропустили знаковый отчет швейцарской инфосек компании PRODAFT, в котором исследователи описали инфраструктуру новой APT, названную ими SilverFish.

Если вкратце, то они сумели распотрошить один из управляющих центров атаки Sunburst на компанию SolarWinds, в которой американские власти обвиняют APT, работающие на российские спецслужбы. А после этого обнаружили часть большой вредоносной инфраструктуры, которая, судя по IoC, была задействована на некоторых этапах атаки Sunburst.

А потом установили, что вредоносная инфраструктура SilverFish пересекается с вредоносной инфраструктурой Evil Corp и даже нашли связь между участвовавшими в атаке на SolarWinds серверами и ransomware WastedLocker, принадлежащем тем же Evil Corp.

Конечно, швейцарцы говорят об этой связи очень осторожно, чтобы не противоречить официальной версии о причастности к атаке Sunburst хакерских групп с "Bear" в названии.

А мы вспомним, что как только началась движуха с атакой на FireEye, которая потом оказалась частью компрометации SolarWinds, уважаемый датский инфосек исследователь Петер Крузе заявил, что FireEye стали жертвой Evil Corp и у в отношении этого есть определенные доказательства. Правда потом Крузе почему-то притих.

Связаны ли эти два факта? Действительно ли автором Sunburst является Evil Corp или аффилированная с ней группа? Мы не знаем. По крайней мере, пока.

Но если из-за проделок кибермошенников разразится новая холодная (а может и потеплее) война, то это будет ярчайшей насмешкой над тем миром, в котором мы живем сегодня.

​​Команда сайта обзоров WizCase рассказала о крупномасштабной утечке информации онлайн-брокера FBS, которую они обнаружили в октябре 2020 года.

FBS - это один из крупнейших онлайн-брокеров на Forex, который работает с 16 млн. трейдеров.

Осенью WizCase нашли криво настроенный Elasticsearch-сервер, принадлежащий FBS, который содержал в общей сложности 20 Тб данных в виде 16 миллиардов записей о клиентах брокера. Среди них - полные ФИО, электронная почта, физические адреса, номера телефонов, IP-адреса, фотографии паспортов и банковские карты и пр.

Плюс там были идентификаторы клиентов FBS, незашифрованные пароли в base64, логи входов и ссылки для сброса пароля. Соответственно все сведения были открыты для публики.

Сколько точно по времени это происходило - непонятно. WizCase нашли сервер 1 октября, сообщили в FBS, а 5 октября брокер все исправил.

Протекло так протекло.

Очень странную историю мы нашли на просторах сети. Может быть, что фейк, но не похоже.

Итак, в течение двух ночей 14 и 15 июля 2019 года группа американских эсминцев - USS Kid, USS Rafael Peralta, USS Russel, USS John Finn и USS Paul Hamilton, находясь в районе островов Чаннел недалеко от побережья Калифорнии, столкнулась с группой неопознанных дронов (БПЛА), которые летали вокруг кораблей. При этом расстояние до берега составляло около 100 морских миль.

Всего американские моряки насчитали до 6 дронов, которые маневрировали со скоростью, достигавшей 45 миль в час (более 72 км/ч), в течение нескольких часов. Как мы уже писали, 14 июля 2019 года эсминцы находились на расстоянии около 100 километров от берега, 15 июля они были ближе. При этом видимость в ночное время составляла не более одной морской мили, а в одном из эпизодов дрон завис над палубой корабля, двигавшегося со скоростью 16 узлов (около 30 км/ч), что логично позволяло бы предположить нахождение оператора в пределах прямой видимости. Однако, такового не наблюдалось.

Спустя несколько дней, ночью 25 и 30 июля, инциденты с БПЛА повторились.

Проведенным расследованием было установлено, что находящиеся в этом районе гражданские корабли не были причастны к инциденту. Представители самого американского ВМФ также отрицали работу в это время военных БПЛА.

Это могло быть частью программы секретных испытаний. Но хочется все-таки надеяться на рептилоидов. Потому что человеки не в состоянии поправить положение в области информационной безопасности.

Компания Facebook сообщила, что вскрыла и заблокировала сеть аккаунтов, принадлежащих китайской APT EvilEye aka Earth Empusa aka Poison Carp, которую хакеры использовали в киберкампании, нацеленной на уйгурских диссидентов как внутри Китая, так и за его рубежами.

Поддельные аккаунты использовались преимущественно для направления целям ссылок на вредоносные сайты, а также заранее скомпрометированные хакерами легальные ресурсы (т.е. атака на водопой). В частности, EvilEye использовали вредоносы INSOMNIA для заражения мобильных устройств.

Команда Facebook говорит о четком таргетировании жертв, которые проходили многофакторную проверку перед непосредственно заражением.

Интересное - исследователи называют две китайские компании Beijing Best United Technology (Best Lh) и Dalian 9Rush Technology (9Rush) как разработчиков некоторых вредоносных инструментов для Android, которые применялись APT EvilEye в ходе киберкампании.

APT EvilEye наблюдается с 2018 года, хакерская группа нацелена преимущественно на уйгурских и тибетских диссидентов, а также на Тайвань. Возможно является подразделением более крупной и известной APT.

Напомним, что в декабре 2020 года Facebook сообщала о пресечении киберкампании APT Ocean Lotus aka APT 32, работающей на правительство Вьетнама. Тогда, кстати, исследователи также называли конкретную фирму - IT-компанию CyberOne Group из вьетнамского города Хо Ши Мин, - сотрудничающую с хакерами.

Attention! Сайт telegram-us .com распространяет вредоносы под видом установок Telegram.

Малварь, кстати, определяется только четырьмя антивирусами, если верить VirusTotal.

​​Новостей интересных нет, вдарим по шуткам.

Электромобили Tesla можно купить за биткоины

А Илон Маск обещает не переводить криптовалюту в доллары — об этом он сообщил в своём Twitter.

Причём, при оплате покупатели не будут терять на конвертации в доллары: криптовалюта будет приниматься компанией Tesla напрямую.

К слову, возможность оплаты биткоинами уже появилась на сайте Tesla.

К примеру, комиссию за заказ нового электромобиля в размере $100 уже можно оплатить биткоинами.

Пока это доступно лишь жителям США, но Илон пояснил, что возможность оплаты биткоинами у покупателей из других стран появится позже в этом году.

Кстати, на сайте Tesla показан весь процесс оплаты криптовалютой.

​​Мы писали позавчера про атаку ransomware на одну из крупнейших американских страховых компаний CNA Financial, имеющую годовой доход в 10 млрд. долларов.

BleepingComputer подвез подробностей в отношении этой атаки.

Оказывается CNA Financial стала жертвой нового вымогателя Phoenix CryptoLocker. 21 марта хакеры скомпрометировали сеть страховой компании, развернули вымогатель и зашифровали более 15 тыс. устройств. Причем пострадали даже компьютеры сотрудников, которые работали на удаленке и были подключены к корпоративному VPN.

Так что если вы думаете, что сидя дома на удаленном офисе можете избежать последствий от атак на вашего прекрасного работодателя, то не факт. В наше время прекрасность компании должна оцениваться с точки зрения того, как у нее обстоят дела в области информационной безопасности.

Штамм Phoenix CryptoLocker добавляет к зашифрованным файлам расширение .phoenix и создает записку с требованием выкупа с названием PHOENIX-HELP.txt и изображением Феникса внутри.

Журналисты, со ссылкой на свои источники, утверждают, что Phoenix CryptoLocker является новым штаммом ransomware, принадлежащем Evil Corp. Основой для этого, якобы, служит сходство в коде.

Между тем, как заявили американские исследователи из CrowdStrike, появившееся в декабре прошлого года ransomware Hades является ни чем иным как перелицованным вариантом WastedLocker, принадлежащего тем же Evil Corp. Вымогатель, в частности, был задействован хакерами для атаки на американского транспортного гиганта Forward Air.

По мнению исследователей, таким образом Evil Corp пытаются выйти из под санкций американского Минфина, которые запрещают компаниям в американской юрисдикции каким-либо образом взаимодействовать с Evil Corp, в том числе выплачивать им выкуп за расшифровку файлов после атаки связанных с хакерской группой штаммов ransomware .

The Record сообщают об исследовании компании AdaptiveMobile, посвященном новым уязвимостям стандарта 5G.

Уязвимости касаются механизма разделения сети 5G на части, который может быть использован при постепенной замене старых сетей на новое поколение. По причине "отсутствия сопоставления между идентификаторами прикладного и транспортного уровней" злоумышленник может выдать себя за легитимный узел сотовой сети, благодаря чему осуществить атаку на отказ в обслуживании (не совсем понятно - атаку на абонента или на оборудование оператора), а также получить абонентские данные, например, его геолокацию.

AdaptiveMobile уведомили об уязвимостях GSMA, а также организацию 3GPP, отвечающую за разработку стандарта 5G. Видимо они выразят озабоченность и рекомендуют рассматривать соответствующие запросы как "подозрительные" (сарказм).

Что же, теперь кроме старых дырок в ОКС-7, злоумышленники будут использовать для атак на абонентов еще и новые уязвимости в 5G. Улыбаемся и машем.

Ну и под конец рабочей недели немного конспирологии и здравой паранойи.

Совсем скоро, с 1 апреля производители смартфонов и планшетов должны будут предустанавливать на свои устройства список российского ПО, который был утвержден распоряжением российского Правительства №3704-р от 31 декабря 2020 года.

Не будем ломать копья по поводу необходимости самой такой меры, тем более решение уже принято и вот-вот вступит в силу. И если часть ПО из списка, такое как соцсети Вконтакте и Одноклассники (в конце концов, предустановленные Facebook и Twitter никого не возмущают), Госуслуги, MirPay или Kaspersky Internet Security (конкуренция тут, конечно, не проходила, но пусть лучше так, чем никак совсем) мы еще можем понять, то вот к мессенджеру ICQ от Mail .ru Group у нас большие вопросы.

Напомним, что созданная в 1996 году компанией Mirabillis Аська сначала перешла к AOL, а потом в 2010 году ее купил российский фонд DST, созданный Юрием Мильнером, который затем в результате преобразований стал Mail .ru Group.

Уже на момент покупки ICQ была весьма спорным активом - с пика в 100 млн. пользователей в 2001 году мессенджер скатился до немногим более 33 млн. пользователей в 2010. Вдобавок, насколько мы слышали, у DST возникли проблемы с переносом серверов ICQ из США, когда американская SEC под угрозой разрыва сделки настояла, чтобы их оставили "где стояло". Признаемся, правда, что чем закончился этот кейс мы не в курсе.

В итоге, по данным Mediascope, в 2020 году российская аудитория перезапущенной мобильной ICQ New составляла немногим более 400 тысяч.

И вот такое непонятно что включили в список предустановленного ПО. Ясно дело, что этот шаг несомненно поможет Mail .ru Group существенно увеличить аудиторию Аськи, однако у нас есть есть мнение по поводу еще одной причины такого решения.

Дело в том, что множество олдфагов, увидя на своем смартфоне приложение ICQ, станут логиниться под своим старым аккаунтом. И "совершенно случайно" привяжут к своему номеру мобильного телефона всю старую переписку, которую они вели 15-20 лет назад, когда понятия о конфиденциальности в сети сводились к паролям больше 6 знаков и блокированию экрана горячей клавишей "Босс идет". А что там в этой переписке было - и сам пользователь уже не вспомнит.

Следи за собой, будь осторожен (с).

​​Только мы решили расслабиться и пойти игрануть в Квиз в уютном московском баре, как подъехали данные о суперскилованной элитной APT, которую ранее нашли Google Project Zero.

Тогда в рамках своей программы "В дикой природе" исследователи обнаружили две компании неустановленной хакерской группы, вероятно прогосударственной, которая меньше чем за год использовала 11(!) 0-day уязвимостей. При этом хакеры шифровались настолько хорошо, что Project Zero так и не установили ни целей киберопераций, ни кто за ними стоит. Также Google не предоставили никаких TTPs, что само по себе в этой ситуации было весьма необычно.

И вот сегодня в MIT Technology Review вышел материал за авторством главного редактора раздела инфосек Патрика О'Нилла, в котором он раскрывает всю подноготную.

По данным издания, вскрытые исследователями киберкампании проводились неназванной APT, работающей на одно из западных правительств, и были направлены на контртеррористическую борьбу, и Google были в курсе этого.

Тем не менее, учитывая значимость найденных множественных 0-day уязвимостей (а часть из них была к тому же в Google Chrome), Project Zero решили раскрыть публике данные о них, не предоставляя при этом никаких сведений, которые способствовали бы атрибуции стоящей за атаками прогосударственной хакерской группы.

Аплодируем смелости Google стоя!

Теперь, по информации MIT Technology Review, к компании появились вопросы у Разведсообщества США, которые могут превратиться во вполне реальные проблемы для Google, а скорее для некоторых из ее функционеров. Это же намекает, что за кибероперацией с большой долей вероятности стояли Equation либо Lamberts.

Тем временем напомним, что аналогичное раскрытие Касперскими в 2018 году хакерской активности американского Командования специальных операций (SOCOM) в рамках кибероперации Slingshot послужило одним из основных аргументов для окукливания российской компании на рынке США.

А мы ведь знали!

​​Ну и традиционно в самом конце пятницы - немного посмеяться.

Forbes сообщают, что в минувшую пятницу американские банки Goldman Sachs и Morgan Stanley устроили масштабную распродажу акций китайский IT-компаний и американских медиа-групп. Аж на 19 млрд. долларов.

К примеру, Goldman Sachs продал акций Baidu, Tencent (китайский музыкальный стриминг) и Vishop Holdings (китайский гигант онлайн-продаж) на 6,6 млрд. долларов.

Morgan Stanley же в течение дня двумя порциями распродал акции в общей сложности на 8 млрд. долларов.

В результате этих действий совокупная капитализация китайских IT-гигантов, акции которых продавали банкиры, упала на 35 млрд. долларов. Трейдеры в шоке.

Мы не специалисты в биржевых махинациях, поэтому делать какие-либо далекоидущие выводы не будем. Но с точки зрения нас как обывателей - американские банкстеры что-то такое знают, из-за чего решили резко скинуть китайские акции. Возможно, что это свидетельство дальнейшего развертывания технологической войны между Китаем и США.

Например, планируемых санкций в отношении всех китайских технологических компаний, которые вынудят их уйти с американских и европейских финансовых рынков.

На всякий случай напоминаем, что в пятницу вечером Apple выпустили срочное обновление безопасности для iOS, iPadOS и watchOS, которое исправляет критическую 0-day уязвимость CVE-2021-1879.

Очередную ошибку в браузерном движке Webkit (если нам не изменяет склероз - это уже шестая 0-day в WebKit с начала года) обнаружили исследователи Google Threat Analysis Group. Она позволяет хакеру осуществить межсайтовый скриптинг (XSS). Технических подробностей, как обычно, нет. Ресерчеры говорят, что уязвимость использовалась в дикой природе.

У нас сразу возникает подозрение - а не та ли это уязвимость, которую нашли Google Project Zero в недавней скандальной истории про то, как они поломали контртеррористическую операцию американских спецслужб?

Как бы там ни было, всем пользователям яблочных устройств необходимо срочно обновиться.

Немецкое издание Spiegel нашло очередных русских хакеров. По сообщению журналистов, обнаружена фишинговая атака на 7 депутатов Бундестага и 31 депутата региональных парламентов Германии.

Основные цели - депутаты от правящей коалиции ХДС/ХСС и СДПГ. Задача фишинга - увод учетных записей, принадлежащих жертвам.

По заявлению Spiegel, к атаке причастны русские хакеры из APT GhostWriter, работающей на ГРУ. Это был наркоманский трип немецких журналистов.

А теперь фактура. Хакерской группы Ghostwriter не существует, это название киберкампании влияния, которую в 2020 году описали исследователи из FireEye, объединив в единое целое нескольких информационных операций. В своем отчете американцы специально подчеркнули, что они "не связывают кампанию Ghostwriter с конкретным актором или группой акторов".

Ghostwriter - это, в первую очередь, информационно-пропагандистские операции, направленные на подрыв доверия к НАТО среди населения Литвы, Латвии и Польши. Основное их содержание - распространение информационных материалах на сайтах, в блогах и социальных сетях. Единственным, что связывало Ghostwriter с хакерской активностью, была наблюдаемая FireEye деятельность по взлому отдельных новостных сайтов в целях размещения на них фейковых новостей.

Ни о каких фишинговых кампаниях FireEye речи не вели, никаких TTPs не приводили. И уж тем более не атрибутировали стоящих за Ghostwriter акторов как принадлежащих ГРУ. Что не отменяет, само собой, совпадения направленности этой киберкампании с внешнеполитическими интересами России.

Но всем пофиг и по сети понеслась волна материалов о взломе со стороны ГРУ депутатов немецкого Бундестага. "I don't give a Fuck!" - как бы говорят нам инфосек журналисты.

Вчера злодеи скомпрометировали внутренний репозиторий PHP и добавили бэкдор в исходный код.

Первым бэкдор обнаружил чешский программист Майкл Воржишек, который обратил внимание на подозрительный кусок кода и задался вопросом, что тот должен делать. Оказалось, что выполнять код через вызов функции zend-eval-string, содержащийся с подстрокой zerodium (это такая американская компания, покупающая 0-day, видимо хакеры пошутили), передаваемой в HTTP-заголовках.

Сегодня один из основных членов команды PHP Никита Попов подтвердил, что вчера был добавлен вредоносный код от его имени и от имени другого члена команды Расмуса Лердорфа. Он сообщает, что его учетная запись не была скомпрометирована, а взломан был именно сервер репозитория, в связи с чем они переедут на GitHub.

Атака на цепочку поставок.

Unknown, представитель группы-владельца ransomware REvil, на известном форуме оставил официальное заявление, из которого мы узнаем, что средний выкуп равняется 10 млн. долларов.

А также то, что благодаря работе со СМИ к REvil возросло доверие и одновременно страх со стороны жертв.

А еще вымогатели настроили сервера под DDoS, которые способны свалить ресурсы масштаба asus .com и honeywell .com (об этой тактике Unknown говорил еще в своем октябрьском интервью), и открыли call-центр по прозвону и обработке жертв.

Как мы и ванговали в прошлом году, стоящие за ransomware группировки становятся похожи на большие корпорации с большими возможностями. Но это же создает для них и дополнительные риски OpSec.

А в целом, можно констатировать, что пока что эффективных мер противодействия вымогателям нет и не предвидится.

​​Небольшой дайджест по активности ransomware.

1. В Microsoft заявили о выявлении более 1,5 тыс. серверов Exchange, атакованных ransomware Black Kingdom. Это второй по счету штамм вымогателей, который использует эксплойты входящих в ProxyLogon уязвимостей. По данным телеметрии RiskIQ, жертвы Black Kingdom находятся в США, Канаде, странах ЕС, и даже в России.

2. Владельцы ransomware Сl0p стали применять новую тактику двойного вымогательства по более жесткому давлению на своих жертв с целью их склонения к выплате выкупа. Теперь хакеры делают рассылку клиентам, чьи персональные данные были украдены у жертвы в ходе атаки вымогателя, с угрозами о публикации утекшей информации. Главная цель владельцев ransomware - добиться волны обращений обеспокоенных клиентов к администрации пострадавшей компании.

3. Американский поставщик IT-услуг CompuCom MSP, клиентами которого являются Citibank, Home Depot, Wells Fargo и пр., оценивает ущерб от атаки вымогателя DarkSide в феврале этого года в сумму более 20 млн. долларов. Основная часть расходов приходится на меры по восстановлению возобновлению работы сервисов, а также на «решение некоторых других вопросов, возникших в результате инцидента». Возможно подразумевается выкуп. Компания надеется на то, что половину всех издержек удастся покрыть за счет инструментов киберстрахования.

4. Хорошая новость - владелец ransomware Ziggy помимо выдачи ключей для расшифровки, которую он сделал в феврале, объявил о возврате денежных средств пострадавшим. Судя по всему, причиной такого неординарного поступка послужил резкий рост BTC, благодаря которому хакеры после возврата денег по текущему курсу все равно останутся в хорошей прибыли, а также опасение преследования со стороны правоохранительных органов.