Посмотрев интервью с Unknown (представитель команды Revil) на канале у @Russian_OSINT, возможно, некоторые из зрителей задались вопросом: каким образом работают шифровальщики? Как реализуется молниеносная скорость работы, позволяющая мгновенно зашифровывать гигабайты информации, и почему проще заплатить выкуп, чем попытаться самому подобрать ключ для расшифрования?

И пусть подавляющая часть моих подписчиков, скорее всего, не нуждается в пояснении, я не упустил возможности перевести статью о принципах работы данного типа вредоносов на примере написания аналогичного.

https://telegra.ph/Arhitektura-Ransomware-12-12-01

https://telegra.ph/Arhitektura-Ransomware-22-12-06

В первой части мы разъяснили ключевые концепции, необходимые для понимания того, как функционируют современные Ransomware. Сегодня мы разберем внутреннюю логику кроссплатформенных шифровальщиков, используя для наглядности сниппеты на Python, вкупе с библиотекой pycryptodome, предназначенной для шифрования.

Лучшее за сегодня https://telegra.ph/Tureckij-gambit---DBeaconDeanon-12-07
Очень занимательно

Навальный меняет рынок пробива

После выхода расследования об отравлении Алексея Навального черный рынок стоит на ушах: пробивщики обсуждают повышение цен, коррумпированные сотрудники правоохранительных органов и операторов сотовой связи в спешке бегут от своих боссов-пробивщиков. Сотрудники спецслужб считают, что в ближайшее время пробивщиков будут «искать и мочить».

Как Навальному и группе журналистов удалось всколыхнуть старейший и устоявшийся рынок пробива? Резонансное расследование наглядно высветило зияющую дыру в вопросе защиты персональных данных в России. Я решил проверить, насколько легко сегодня в России провести подобную работу, какие инструменты для этого нужны и сколько это стоит. Проще говоря, начал пробивать «фейсов» самостоятельно и попутно узнавать, каким конкретно услугами, системами и базами пользовались расследователи. И сколько все это дело стоило.

https://dailystorm.ru/rassledovaniya/navalnyy-menyaet-rynok-probiva-siloviki-nachali-ohotu-za-temi-kto-slil-dannye-predpolagaemyh-sotrudnikov-fsb

Если про белые способы поиска в интернете многие уже знают, то околотеневые форумы с предложениями пробива по базам стали особенно актуальны в широких массах относительно недавно.

Единственная неточность из статьи:
Бот «Архангел» подключен к информационно-аналитической системе Solaris

Не смотря на то, что БД Архангела, Соляриса и Протокола одинаковые, в свое время они разъединились и начали дополняться разными разработчиками. Сейчас это обособленные, независимые друг от друга информационно-аналитические системы. И существует их, на самом деле, больше.

Параграф, Кронос, Спрут, Досье и множество прочих реестров, отличающихся преимущественно названием, владельцы которых постоянно скупают базы данных у СБ банков, коллекторов, систематизируют и предоставляют доступ к чистым сведениям.

Поиск осуществляется через веб-интерфейс (https://solaris-inform.com/, https://protocol-base.com/). Помимо агрегированных сведений, существует режим работы исключительно по открытым источником, нечто, вроде Lampyre, находящееся на одном из поддоменов.

Средняя стоимость поиска в районе 250 рублей, но бывает и дешевле - у одного из ботов для пробива - Глаз Бога (по моим предположениям, его разработкой и поддержкой занимается Postuf) - цена одного запроса составляет 30 рублей. Он использует API Solaris, парсит и выдает отчеты на собственном сайте.

Однако, его низкая цена поиска нивелируется небольшим функционалом - возможностью поиска только по ФИО с датой рождения. Из веб-интерфейса вышеназванных агрегаторов возможен поиск и по ИНН, и по серии с номером паспорта, и по некоторым другим сведениям, поэтому иногда он будет бесполезен. Хотя и сервисы иногда выдают не так уж и много информации.

Дальше идут банковский пробив, пробив через операторов связи, налоговики и гос. пробив. Здесь уже запросы делаются через "своих" людей, работающих в структурах.

Владельцы тем на форумах выступают посредниками между операторами и покупателями. У такого подхода несколько недостатков, главный из которых - постоянная утечка кадров. Кого-то увольняют, кого-то садят (особенно, когда речь заходит о банках), а кто-то просто уходит и открывает собственный сервис.

Однако, если не считать каких-то крупных игроков, то такие сервисы зарабатывают не так уж и много, и лезть туда самому уж точно не стоит. Помимо высоких рисков, суммарный доход со всех сделок уходит на средства анонимизации, зарплаты, отмыв денег и аренду самих инструментов (в случае с агрегаторами баз). В конечном итоге, остаются копейки.

Пароль: @cybred

Перевод статьи Bellingcat с упоминанием полезного сервиса, позволяющего определить примерную дату и время сделанного снимка на основе длины и направления теней.

https://telegra.ph/Ispolzuem-Solnce-i-teni-dlya-opredeleniya-geolokacii-po-fotografii-12-22

Еще несколько полезных методик поиска:
— Как определить геолокацию фотографии по отражению в стекле
— Как определить местоположение по фотографиям, сделанным на природе
— Использование Microsoft Video Indexer для OSINT

Пошаговый (90 скринов из дизассемблера с кратким пояснением) анализ Travelnet, замеченного в арсенале китайской государственной APT21 (Zhenbao/Hammer Panda) при попытках кибершпионажа в отношении российских организаций.

https://cybergeeks.tech/dissecting-apt21-samples-using-a-step-by-step-approach/

Как узнать исходное имя фотографии из отзыва на Google Maps

На Google Maps пользователи имеют возможность оставлять отзывы и прикреплять к ним фотографии, чтобы потенциальный посетитель того или иного места мог составить предварительное мнение о нем. При проведении расследований, загруженные фотографии могут пригодиться не только для оценки визуального окружения, но и для уточнения некоторых сведений как о сделанном снимке, так и о человеке, написавшем отзыв.

Для того, чтобы узнать какое имя было у фотографии на устройстве, необходимо:
1. Перейти на Google Maps и выбрать интересующую локацию
2. Открыть в браузере инструменты разработчика (F12)
3. Перейти в раздел Network, активировать (не обязательно) фильтрацию по изображениям
4. Выбрать любой отзыв и кликнуть на прикрепленную фотографию
5. Найти в Network запрос на загрузку снимка и в заголовках обратить внимание на content-disposition. В переменной filename хранится исходное имя файла.

Не вошло

Не зная о вкладке с трафиком, мы могли узнать лишь неполную дату (год и месяц) загрузки фотографии в облако. В то время, как на многих устройствах названия всех сделанных снимков имеют вид YYYY-MM-DD. Иногда встречаются названия, включающие еще и время: часы, минуты и секунды. Не стоит исключать ситуации, когда и сам пользователь мог переименовать файлы, забыв (или не обратив внимание) об этом перед их загрузкой в сеть (напр, "Сережа_и_Вика.jpeg" и проч.).

@SandboxEscaper из мира антивирусов: 8 свежих зеродеев от Abdelhamid Naceri aka @KLINIX5 в нескольких популярных продуктах, включая Bitdefender, Eset, Avira, McAfee и Kaspersky. И это только те, о которых он решил сообщить, чтобы найти работу, - на самом деле, багов было обнаружено гораздо больше. Только в Касперском ему удалось найти 11 уязвимостей, из которых лишь 3 на данный момент исправлено. Ранее он уже писал об LPE в установщике и защитнике Windows.

https://halove23.blogspot.com/2020/12/oh-so-you-have-antivirus-nameevery-bug.html

На фоне новости о взломе хакерами Revil облачных хранилищ британской Hospital Group, предлагаю прочитать исследование безопасности цифровой медицины в одной из стран третьего мира, затрагивающее банальный способ получения доступа к конфиденциальным сведениям пациентов как частных, так и государственных клиник.

https://telegra.ph/DICOM-i-PACS-Kak-utekayut-lichnye-dannye-pacientov-12-29

Последний перевод в уходящем году 🎄

https://telegra.ph/Vse-sposoby-obmanut-CDN-i-najti-realnyj-IP-adres-sajta-12-31

Дорогие друзья!

Не стоит напоминать о том, каким тяжёлым выдался 2020 год. Всем нам пришлось столкнуться с труднейшими испытаниями, которые привнесли множество, не всегда хороших изменений, в нашу жизнь.

Оглядываясь на прошедшее сейчас, нужно построить планы на будущее, ненадолго выдохнуть и на период новогодних праздников уединиться от всех проблем в уютном кругу близких.

Хочу поздравить не только подписчиков своего канала, но и администраторов смежных каналов. В этом году людей, занимающихся важной миссией просвещения информационной безопасности в СНГ, стало гораздо больше, и это не может не радовать.

Всех с наступающим Новым годом!

⁤В 2019 году был случай, как двух пентестеров задержали после того, как они физически ворвались в здание суда, проводя тестирование на проникновение 😅

Проблема была в том, что компания, заказавшая пентест, не знала, что проверка может включать в себя и физический взлом (в таком случае интересно, что было написано в контракте).

Неизвестно, чем все закончилось в итоге, но на днях было представлено приложение, позволяющее по фотографии ключа рассчитать параметры, необходимые для создания его дубликата: https://play.google.com/store/apps/details?id=com.keydecoder

Написано на Flutter, исходники прилагаются https://github.com/MaximeBeasse/KeyDecoder

Несколько полезных OSINT-методик и инструментов для поиска, о которых я прежде ни разу не слышал, в статье, написанной B2B-продажниками.

У них есть чему поучиться

https://telegra.ph/Samyj-podrobnyj-gajd-po-poisku-ehlektronnoj-pochty-v-2021-godu-01-02

В прошлом году @HowToFind_RU рассказывали о возможности узнать имя и первую букву фамилии человека, на мобильный которого привязана страница Вконтакте. Делается это при помощи перевода по номеру телефона в Vk Pay.

Для этого нужно перейти на https://vk.com/vkpay, авторизоваться, выбрать "Перевести" -> "По номеру телефона", ввести искомый номер и получить инфу. Данные, конечно же, не всегда достоверны на 100%, ведь никто не исключает фейковые учетки, и то, что человек вообще может быть не зарегистрирован в социальной сети.

Однако, способ полезный, но с еще парой недостатков. Перед тем, как искать, нужно заполнить "анкету", указав в ней паспортные данные, ведь ВК пишут об этом прямым текстом и не дают ничего сделать до тех пор, пока вы не напишите имя, фамилию, серию и номер паспорта. А еще в сутки доступно только 3 запроса для поиска, дальше - лимит.

Но что, если мы не хотим лишний раз загружать разные паспортные данные, чтобы пользоваться поиском на каждом новом аккаунте? В ВК это назвали "фичей" и платить отказались, но делается это довольно просто.

1. Авторизуетесь ВКонтакте и переходите на https://vk.com/vkpay

2. Нажимаете F12, чтобы открыть консоль разработчика, переходите на вкладку Network и ищите запросы, в которых есть X-VK-Access, X-VKPAY-SESSIONID, X-VK-Id, X-VK-Hash, копируете их.

3. Отправляете GET-запрос на api.vkpay.io/user/check?phone=<номер телефона>, в заголовках указывая токены из второго пункта и обязательные заголовки Host: api.vkpay.io и Origin: https://vkpay.io.

В результате получаете искомую информацию, но уже без необходимости предварительно заполнять анкету.

$7,700 за уязвимость в Twitter

А если точнее, за уязвимость в его API. Разработчики приложения с весны 2020 для некоторых стран проводили публичное тестирование нововведения под названием Fleets - историй из Instagram, но с другим названием.

Все шло хорошо, большинство ошибок должны были быть исправлены, однако осенний релиз в Японии 10 ноября заставил неравнодушного японского рисерчера на следующий день (когда пришло обновление на смартфон) взяться за apktool, dex2jar и CFR.

Он декомпилировал, а затем и деобфусцировал свежий apk-билд, прошелся по нему grep'ом, чтобы найти файлы, в которых встречалось бы слово fleet. И в одном из них он обнаружил запрос на /fleets/v1/create, который, как вы уже догадались, отвечал за создание флитов, а затем обратился к нему с токеном, разрешающим только чтение.

Fleet создался, репорт в тот же вечер написался, деньги отправили и дисклоузнули вчера.

Бесплатная книга от Фила Стокса, объединяющая в себе цикл его статей с SentinelOne "How to Reverse Malware on macOS Without Getting Infected". О настройке виртуальной среды, поиске сэмплов, статическом и динамическом анализе.

Книга небольшая, всего на 39 страниц, но довольно информативная. Если не хватит, у него еще много интересного в его блоге.