​​Вот прямо про нас 😆

Неделя начинается для владельцев и операторов ransomware нервно.

Для начала в пятничном интервью изданию The Wall Street Journal занимающий пост директора ФБР Кристофер Рэй сравнил атаки ransomware с нападением террористов 9/11. Отсюда недалеко и до прямого признания атак вымогателей террористической деятельностью, а что это означает на языке спецслужб США, мы все прекрасно понимаем - внесудебные задержания, Гуантанамо, имитация утопления и все вот это.

Параллельно с этим Reuter сообщили, что подразделения американской прокуратуры по всей стране получили циркулярку, в соответствии с которой расследование атак ransomware теперь должно осуществляться аналогично расследованию террористических актов. Опять же - секретные тюрьмы ЦРУ, игра в "звонок другу", et cetera.

Ким Зеттер пишет, что заместитель Генпрокурора США дала указание подавать срочные отчеты по каждому выявленному факту атаки вымогателей.

Резюмируя - если долго дергать спящего тигра за хвост, то он может и проснуться. Тiкайте з городу, хлопцi.

У Signal выявили неприятную уязвимость.

Группа исследователей выяснила, что в ряде случаев при переносе клиента на другое устройство код безопасности мессенджера не меняется и контакты пользователя не уведомляются о том, что код безопасности изменился.

Таким образом, если злоумышленник сможет воспроизвести эту ситуацию , то он сможет подменить мессенджер жертвы на свой и продолжить общаться с ее контактами под ее маской.

Проблемы на данный момент ровно две - во-первых, исследователи не смогли установить от чего зависит воспроизведение ошибки, во-вторых - Signal отморозился и после непродолжительной переписки ушел в тину.

Единственное, что администрация мессенджера сделала, - изменила пользовательскую документацию, внеся в нее своеобразный дисклеймер, а именно указав, что "перенос Signal на новый телефон или его переустановка не всегда приводят к изменению номера безопасности" (тогда нахрена вообще он нужен?).

Не баг, а фича же.

Вероятно, кто-то эту новость уже слышал и тем не менее.

Bloomberg в пятницу выкинул материал, согласно которому первичная компрометация сети трубопровода Colonial Pipeline, ставшего в мае жертвой атаки ransomware, произошла через утекшие credentials для VPN.

Со слов старшего вице-президента FireEye Mandiat (или с учетом продажи корпоративного бизнеса FireEye возможно уже просто Mandiat?) Чарльза Кармайкла, взломанная хакерами учетная запись не использовалась, но была при этом активна. По всей видимости, сотрудник поработал-поработал и уволился, а его учетку для VPN никто и не подумал удалить. Действительно, а зачем? Разве может произойти что-то плохое (сарказм)?

Пароль от скомпрометированной учетки был в ходе расследования обнаружен в одной из утечек в даркнете. Похоже сотрудник использовал его одновременно для входа в различные сервисы.

Ну и да, в лучших традициях информационной безопасности за мелкий прайс - никакой многофакторной аутентификации. Не по канону. Деды не использовали и мы не будем.

Исследователи из Trend Micro обнародовали новую уязвимость в macOS и iOS (соответственно и в iPadOS), эксплуатация которой может привести к повышению привилегий.

CVE-2021-30724 находится в обработчике запросов XPC (низкоуровневый механизм взаимодействия между процессами) службы CVMServer, которая присутствует и в деcктопной, и в мобильных операционках от Apple. Ошибка в обработчике приводит к тому, что с помощью специальным образом сформированного запроса XPC хакер может добиться целочисленного переполнения и потенциально повысить свои привилегии.

Уязвимость достаточно сложна в эксплуатации, но это не повод не установить вышедшие 2 недели назад апдейты, в которых Apple ее исправила в числе других дырок.

ФБР вместе с Федеральной полицией Австралии (AFP) провернули, пожалуй, самую громкую спецоперацию по контролю каналов шифрованной связи в этом году (в прошлом году на первом месте безусловно была швейцарская Crypto AG, поставлявшая под контролем ЦРУ криптопродукты по всему миру в течение 50 лет).

Три года назад американцы и австралийцы хлопнули руководство Phantom Secure, проекта, который предоставлял возможность шифрованной связи представителям криминалитета. После этого они решили сами войти на этот рынок, для чего создали новую платформу под названием An0m - сервис защищенных смартфонов и шифрованной связи.

На самом деле в An0m был встроен мастер-ключ, который позволял ФБР и AFP влет читать всю переписку. ФБР даже создали цепочку серверов, на которые зеркалировались текстовые и голосовые сообщения пользователей An0m. Операцию назвали Trojan Shield. Платформу рекламировали с помощью сарафанного радио (через внедренных в криминалитет агентов) и через сайт anom. io.

Дополнительными факторами повышения популярности An0m послужило закрытие правоохранителями других приватных коммуникационных платформ EncroChat и Sky ECC, также активно использовавшихся представителями организованной преступности.

ФБР, AFP и привлеченные правоохранительные органы других стран в течение 3 лет отработали переписку почти с 12 тыс. устройств, которая составила более 20 млн. сообщений. А вчера разом хлопнули кучу народа в рамках Operation Ironside - от байкеров и наркокартелей до торговцев людьми.

Причиной завершения Trojan Shield послужили появившееся в криминальной среде подозрения, что с An0M не все в порядке с точки зрения конфиденциальности информации. Hacker Fantastic пишет, что еще в конце марта появился блог Anomexposed (ныне удаленный, но доступный в кэше), в котором автор canyouguess67 утверждал, что мессенджер осуществляет подозрительный обмен трафиком с американскими серверами, а также критиковал инфраструктуру платформы, заявив, что в текущем состоянии она запросто может контролироваться правоохранительными органами (как в воду глядел).

Что можно сказать по итогу. Американцы с австралийцами молодцы.

По поводу свежезадержанного и выдворенного на 25 лет Алексея Семеняки можем сказать следующее.

Еще в 2015 году, уже будучи в Qrator, Семеняка, выступая на профильных мероприятиях, активно топил за послемайданную Украину, рисовал в своих презентациях украинский Крым и прочее. Вполне себе открыто и никого не стесняясь.

ФСБ потребовалось всего лишь 6 лет, чтобы сделать простой логический вывод.

"На третий день Орлиный Глаз заметил, что у сарая нет одной стены".

Чот все как-то наебну...

Большое количество мировых ресурсов либо совсем недоступны, либо загружаются через неизвестно что. Среди них Amazon, AWS, gov .uk, GitHub, Reddit, Shopify, Twitch, PayPal и куча других. Недоступны ресурсы крупнейших западных СМИ - The New York Times, CNN, Bloomberg, The Guardian и т.д. и т.п.

В Twitter предполагают, что это может быть связано со сбоем в работе сервиса Fastly, защищающего сайты от атак - типа того, что их WAF все режет.

Правда нам больше нравится версия, что это таки рождение SkyNet.

Господь, жги! После Дани Милохина на ПМЭФ эту планету уже не спасти...

Уже четвертый месяц Microsoft исправляют уязвимости безопасности, обнаруженные в пакете Microsoft Office, включая Excel и Office Online, которые могут быть использованы злоумышленниками для проведения атак с использованием документов: Word, Excel и Outlook.

11 мая разработчик исправил CVE-2021-31174, CVE-2021-31178, CVE-2021-31179, и сегодня выпускает итоговый патч для CVE-2021-31939.

Проблемы были вызваны уязвимой функцией внутри компонента MSGraph, за неделю фаззинга которого спецам Check Point удалось его грамотно расчехлить и обнаружить 4 ошибки.

В ходе дальнейшего исследования оказалось, что ошибки фактически затрагивают всю линейку продуктов Microsoft Office. Устаревший код продолжает оставаться слабым звеном в цепи безопасности Microsoft Office.

Для успешной эксплуатации уязвимости достаточно открытия вредоносного файла Excel (.XLS), который может быть загружен по ссылке или отправлен электронным письмом. Реализованный через редактор формул вектор атаки применялся злоумышленникам еще с конца 2018 года.

Несмотря на сокрытие технических подробностей последней CVE-2021-31939, не стоит рассчитывать на то, что пытливый хакерский ум не мог не поддаться искушению и не создать нужный эксплойт: настоятельно рекомендуем поскорее применить исправления.

​​Проблемы межполовых коммуникаций в инфосек индустрии

Алярм! Вышел очередной ежемесячный вторничный патч безопасности от Microsoft и он исправляет 50 уязвимостей, включая целых шесть 0-day, которые активно используются в дикой природе!

Перечислять уязвимости мы не будем, но отметим, что эксплуатация одной из них приводит к удаленному выполнению кода (RCE), одна связана с раскрытием информации, а оставшиеся четыре приводят к повышению привилегий.

Microsoft как всегда не делится техническими подробностями. Вместе с тем, Google TAG заявили, что CVE-2021-33742, приводящая к RCE, судя по всему, используется некой государственной APT для атак против целей в Восточной Европе и на Ближнем Востоке.

Касперские же сообщили, что две ошибки связанные с повышением привилегий были частью сложной цепочки эксплойтов, которая использовалась в апреле новым актором PuzzleMaker для атак на ряд компаний (при этом эксплойт RCE найти не удалось).

Всем пользователям Windows рекомендуем срочно обновиться!

Операторы ransomware словно "шпионки с крепким телом" из песни Высоцкого: ты их в дверь - они в окно!

Пока руководство США разрабатывает чрезвычайные меры по борьбе с вымогателями и планирует относиться к ним как к террористам, под ответным ударом оказалась платформа iConstituent, которая поставляет услуги для Конгресса США и ряда американских штатов.

Клиентами iConstituent являются офисы почти 60 членов Палаты представителей, а также штаты Джорджия, Гавайи и Невада, города Лос-Анджелес и Пало-Альто, ассамблея штата Нью-Йорк.

В результате атаки пострадала система электронной рассылки iConstituent. По поводу возможной утечки конфиденциальных данных пока ничего не сообщается. Но если информация членов американского Конгресса всплывет в паблике - это будет тот еще акробатический номер.

Продолжаем наблюдать.

А вот и еще жертв ransomware подвезли.

Сегодня вымогатели уронили испанское Министерство труда и социальной экономики (MITES), о чем само министерство сообщило в Twitter.

Сайт ведомства пока на плаву, но все сервисы связи, включая колл-центр, не функционируют.

При этом отдельное сообщение выпустило Государственное агентство по трудоустройству (SEPE), входящее в MITES. В нем оно ставит граждан в известность о том, что его ресурсы атакой вымогателей затронуты не были. И такой кунштюк выглядит странным, если не знать о том, что ровно 3 месяца назад SEPE само пострадало от атаки ransomware Ryuk.

Прямо как в старом-старом анекдоте - "Мужик, не забудь, меня только трахнуть надо"...

—Партнерский пост—

Десятая конференция ZeroNights пройдет 30 июня в летнем Санкт-Петербурге!

В 2021 году в десятый раз пройдет ZeroNights – ежегодная международная конференция, посвященная практическим аспектам информационной безопасности.

Ничто не заменит нам энергию живого общения! Поэтому приглашаем отметить свое десятилетие в неформальной обстановке 30 июня в пространстве "Севкабель Порт". Вас ждет насыщенный день и мощная программа с тематическими активностями.

Для кого?
Для технических специалистов, администраторов, руководителей и сотрудников служб ИБ, пентестеров, программистов и всех, кто интересуется прикладными аспектами отрасли.

Что будет?
– Доклады ключевых спикеров и выступления основной программы (клуб "МОРЗЕ").
– Выступления секций Defensive Track, Web Village и Hardware Zone (в фор­мате open-air на просторной набережной, крытые трибуны обеспечат слушателям комфорт в любую погоду).

Подробности, программа и билеты на сайте — https://zeronights.ru/

Одна из благодатных инфосек компаний - японская Trend Micro - выпустила статью из разряда "все что Вы хотели знать о ransomware, но боялись спросить".

Исследователи рассматривают эволюцию ransomware, а на примере банды вымогателей Nefilim подробно описывают работу подобных хакерских групп.

Nefilim, напомним, тоже русскоязычная бригада. По крайней мере, как говорили еще год назад эксперты из голландской Tesorion, они являются родственной группой вымогателям из Nemty, а уж последние свое происхождение засветили чуть более чем полностью, когда оставляли в коде ransomware приветы Кремезу в виде строчек из песен Скриптонита.

Конечно на звание всеобъемлющего гайда по ransomware статья японцев не претендует, но в качестве одного из базовых материалов про вымогателей зайдет очень даже. Мы, по крайней мере, с интересом прочитали.

Франция оштрафовала Google на €220 млн

Причиной этому стало то, что компания продвигала собственные услуги «в ущерб конкурентам».

Примечательно, что инициатором жалобы против компании стали местные СМИ.

Буквально вчера регулятор во Франции подтвердил то, что Google «злоупотребляет своим доминирующем положении на рынке рекламных сервисов».

Сама компания, к слову, не стала оспаривать штраф, а признала ошибку и приняла решение его выплатить.

Google также взяла на себя обязательство по улучшению сервисов Google Ad Manager с другими рекламными сервисами.

Google выпустили обновление 91.0.4472.101 для Chrome. Среди 14 исправленных уязвимостей одна 0-day, которая к тому же используется в дикой природе.

CVE-2021-30551 - это дырка в многострадальном движке V8, в котором с начала года закрыли уже несколько 0-day, одну из которых юзали северокорейцы из APT Lazarus, когда ломали инфосек экспертов.

Эксплойт же новой уязвимости, судя по словам руководителя Google TAG, применяется тем же актором, что свежезакрытая CVE-2021-33742 в Windows. Напомним, что это некая государственная APT, атаковавшая цели в Восточной Европе и на Ближнем Востоке.

Обновляйтесь.

Тем временем, REvil продолжает будоражить общественность. Группировка мощно пропиарилась благодаря признанию JBS об уплате выкупа вымогателям.

На 11 миллионов долларов стороны сторговались в ходе приватных переговоров, уронив изначальную сумму с 22,5 миллионов долларов. Сразу после инцидента, парализовавшего работу ряда предприятий по производству продуктов питания, JBS и REvil инициировали переговорный процесс и после серии дебатов - нашли компромисс: платеж в биткойнах был отправлен в тот же день, 1 июня. Причем вымогатели потребовали и получили деньги вперед.

Официально JBS объяснила свою лояльность к хакерам необходимостью обеспечения сохранности значимой клиентской информации. После того, как банда вымогателей получила платеж, они предоставили дешифратор, который им был нужен для расшифровки двух определенных баз данных, поскольку остальные данные были восстановлены из резервных копий.

Но, главное, пожалуй, для JBS были репутационные риски от возможной утечки, которую обещали организовать REvil. Вопреки громким заявлениям о бюджете компании в 200 миллионов долларов на ИТ и штате 850 ИТ-специалистов по всему миру, крупный мясной гигант все же предпочел деликатно урегулировать вопрос, не дожидаясь помощи спецслужб.

Возможно, мир и стал бы лучше, если бы файлы были опубликованы, но пока лучше только стала репа вымогателей REvil.

Electronic Arts, как вы уже наверняка слышали, поехали на веселом паровозике вслед за CD Projekt Red - издателя взломали и украли 780 Гб данных, включая исходный код FIFA (который один и тот же на протяжении последних лет 15-ти). EA жлобы и их не жалко.

CD Projekt же рассказывает, что информация, которая утекла во время февральской атаки ransomware HelloKitty, якобы начала активно циркулировать в сети. В том числе сведения в отношении сотрудников игровой студии.

Также поляки уведомляют общественность о принятых после взлома мерах, направленных на усиление информационной безопасности. И ознакомившись с этим самыми мерами становится понятно, что раньше инфосек в некогда благословенной (до Cyberpunk'а, конечно) компании строился по принципу "пей, гуляй, люби гусей".

Впрочем, польские разработчики в этом не одиноки. Это обычная практика мировой религии эффективного менеджмента (да святится MBA и Большая Четверка).

Вот и BleepingComputer сообщает об атаке ransomware на одного из крупнейших американских производителей оборудования для общественного питания Edward Don. В результате взлома работа компании встала колом.

И пока представители Edward Don не комментирует происходящее, Виталий Кремез заявляет, что в сети компании сидел Qbot, с которым сотрудничают сразу несколько вымогательских группировок.

В общем, все как обычно.