#news Итак, приём ставок на стоящих за взломом кроссчейна Horizon закрыт. Скорее всего, это опять неугомонные северокорейцы из Lazarus.

Крипту увели через скомпрометированные ключи multisig-кошелька — визитная карточка группировки. Отмывали цифровые монетки через криптомиксер Tornado Cash по тому же паттерну, что и украденные с моста Ronin. И вывод денег с кошельков замер в ночные часы Азиатско-Тихоокеанского региона.

Предсказуемо, но всё так же свежо. Впрочем, успехи северокорейских крипто-стахановцев — палка о двух концах. Происходящее на рухнувшем рынке уже успели окрестить пришедшей надолго «Криптозимой». И с такими низкими ценами первой функционирующей на крипте экономике КНДР грозит обморожение.

@tomhunter

#news Крупнейший NFT-маркет OpenSea сообщил об утечке данных пользователей.

Сотрудник сервиса для имейл-рассылок, которым пользовалась компания, слил базу почтовых ящиков неким сторонним лицам. Так что более 600 тысяч юзеров и $20 миллиардов вращающихся на платформе денег теперь под угрозой фишинговых атак.

В итоге OpenSea разослала своей пользовательской базе предупреждения о произошедшем и вероятности получения мошеннических писем с подставных доменов. Беднягам остаётся лишь крепче держаться за свои драгоценные картинки со смешными обезьянками.

@tomhunter

Июнь 2022-го года подошёл к концу, так что по сложившейся традиции взглянем на самые интересные уязвимости за ушедший месяц. За подробностями добро пожаловать на наш Хабр!

#news Майкрософт опубликовала отчёт с обзором подписочной малвари под Android. Зараза по-прежнему активна и обрастает новыми функциями.

Так, малварь может отключать WiFi, для чего достаточно обычных прав доступа. А для запроса о сети оператора и стране разрешения не нужны вовсе. Далее вредонос набирает премиальных подписок, перехватывая одноразовые пароли и смс-уведомления. И наконец, функционал позволяет отрубить дальнейшие уведомления, оставляя жертву в неведении об утекающих средствах.

Тем временем подписочный зловред составляет треть от всей малвари в магазине гугла. Во многом за счёт того, что он зачастую избегает обнаружения, успевая заразить сотни тысяч устройств.

@tomhunter

#news Сотрудник HackerOne под ником sockpuppet крал отчеты об уязвимостях, отправленные через платформу Bug Bounty, чтобы получать денежные средства у уязвимых компаний. Всего злодей имел доступ к базе уязвимостей с 4 апреля по 23 июня. За это время он связался с семью компаниями...

Сразу возникает ряд вопросов о том, кому еще могли быть переданы отчеты об уязвимостях российских ИТ-компаний, являвшихся клиентами HackerOne, до и в начале проведения СВО.

@tomhunter

#news Шах и мат, капитализм... Google продолжает предоставлять RuTarget, принадлежащему Сбербанку, уникальные идентификаторы мобильных телефонов, IP-адреса, информацию о местоположении и сведения об интересах и онлайн-активности своих пользователей. С момента начала СВО Google более 700 раз передавал пользовательские данные RuTarget.

@tomhunter

#news У Брайна Кребса занятный лонгрид по следам падения зубров от мира ботнетов Glupteba и RSOCKS. Выяснилось, что за ними стояли либо одни и те же люди, либо, как минимум, работавшие в тесном сотрудничестве. Кроме того, ими же был создан прокси-сервис AWM Proxy, который был в ходу у киберпреступников 14 лет.

Кребс и Райли Килмер из Spur пишут, RSOCKS, как и AWM Proxy, ушёл оффлайн, после того как Гугл положил Glupteba. Кроме того, все адреса на продажу в этом ботнете были представлены у AWM Proxy, и у обоих сервисов были практически идентичные API-интерфейсы.

Тем временем Гугл судится с двумя россиянами, якобы ответственными за работу Glupteba. А владельцем RSOCKS оказался омич, также стоящий за крупнейшим спам-форумом RUSdot. Ну, что тут скажешь... Не оскудеют тюремные камеры русскими талантами! Увы.

@tomhunter

#news Специалисты предложили варианты улучшения системы шифрования переписки в Signal/WhatsApp. Если вы использовали Signal или WhatsApp, возможно, вы видели эти экраны подтверждения. Вы когда-нибудь задумывались, какие у вас есть варианты, если числа не совпадают (проверка не удалась)? А нет у Вас другого выбора, кроме как принять тот факт, что кто-то наблюдает за вашим разговором...

@tomhunter

#OSINT #CHINA Сегодня поговорим о ресурсах для проверки субъектов бизнеса в Китае. Безусловно, существуют организации, которые оказывают профессиональные услуги таких проверок. Среди них: ASIA VERIFY, CHINA CHECKUP, ASIA EXPLORER CONSULTANCY LIMITED, CORPORATION CHINA, QLARIUM/TIIDAN. Однако их услуги могут быть дороги. А, с началом СВО, их еще и не всегда возможно оплатить.

Государственные реестры (налоговый, кредитный):
▫️chinatax
▫️gsxt

Факты нарушений в деятельности компаний:
▫️zxgk

Сведения о судопроизводстве:
▫️wenshu
▫️splcgk
▫️tingshen
▫️openlaw

Сведения о наличии потребительских споров:
▫️12315

Сведения об исполнительных производствах:
▫️zxgk

Сведения о банкротстве:
▫️pccz

Государственные закупки и поиск тендеров:
▫️ccgp
▫️bidcenter

Финансовая отчетность и объявления:
▫️cninfo

Частные реестры данных о субъектах бизнеса:
▫️qcc
▫️qixin
▫️tianyancha

Подробнее о проверках юрлиц в Китае. Подборка источников для OSINT в Поднебесной.

@tomhunter

#news В сети оказалась часть данных пользователей сервиса по заказу билетов «Туту.ру». Теперь персональные данные некоторых покупателей билетов, включая имена и фамилии, номера телефонов и адреса электронной почты, лежат в открытом доступе. Всего слито более 2 миллионов строк, причём тем же источником, что ранее сливал GeekBrains, Сколково и Delivery Club. По утверждениям хакера, он получил ещё таблицы с 7 млн зарегистрированных пользователей и с 32 млн строк паспортных данных, но подтверждений этому пока нет.

Компания заявляет, что с 24 февраля попала в списки потенциальных целей для хакерских атак, которые распространяли в специальных группах, и с тех пор страдает от мощных DDoS’ов и попыток прочих атак.

@tomhunter

#news Аккаунты Британской армии в YouTube и Twitter вчера взломали для продвижения крипто-скамов. Аккаунт в Твиттере переделали под NFT-проект и принялись распространять ссылки на поддельные сайты для минтинга NFT: обычно такие просто воруют криптовалюту пользователей. YouTube-аккаунт переименовали под настоящую инвестиционную фирму Ark Invest, удалили все видео и залили старые стримы компании с Илоном Маском, поверх которых добавили оверлеи с фейковым розыгрышем криптовалюты. Некоторые видео успели набрать десятки тысяч просмотров до того, как аккаунты вернули настоящие владельцы. Британское Минобороны пока расследует инцидент, а о масштабах украденного наверняка узнаем позднее…

@tomhunter

#news Минюст Израиля конфисковал сервера туристической компании, так как она отказалась сотрудничать после взлома.

В активе компании были более двух десятков туристических сайтов, вот только пару недель назад их взломали иранские хакеры из группировки с характерным названием «Sharp Boys», стянув личные данные 300 тысяч израильтян. Туроператор получил требования от управления по защите конфиденциальности, которое мягко намекнуло, что уязвимости надо бы поправить, но компания предпочла встать в позу и отказалась сотрудничать.

Так несообразительный туроператор к своему удивлению узнал, что хитрыми пацанами могут быть и израильские безопасники.

@tomhunter

#news А теперь к новостям о потенциально одной из крупнейших утечек личных данных в истории. В сети выставили на продажу якобы полицейскую базу Шанхая со сведениями на миллиард китайцев.

Пост появился на хакерском форуме от пользователя с ником ChinaDan и ехидной анимешной женщиной на аватарке. Продавец утверждает, что данные были стянуты из облака полицейской сети от Alibaba Cloud. В свою очередь CEO Binance заявил, что безопасники компании начали расследование, и, скорее всего, утечка произошла из базы данных ElasticSearch из-за ошибки при её развёртывании неназванным китайским госдепартаментом.

Если информация подтвердится, это будет самая масштабная утечка личных данных в истории Китая да и одна из крупнейших в мире. И социальный рейтинг ответственных за неё бедняг пробьёт невиданное прежде дно.

@tomhunter

#news Злоумышленники из рансомварь-группировки AstraLocker свернули операции и выгрузили декрипторы в открытый доступ.

Разработчик заявил, что было весело, но веселье закончилось, и он решил уйти в криптоджекинг. Вместе с этим все версии дешифровщика были залиты на VirusTotal.

Впрочем, жест доброй воли, скорее всего, имеет шкурный интерес: дуболомные атаки AstraLocker привлекли внимание правоохранительных органов. Видимо, весельчаки решили залечь на дно и слили декрипторы, чтобы остудить пыл желающих их прижать за недавние атаки.

@tomhunter

#news Апдейт по крупнейшей утечке личных данных из Китая. В деле оказался замешан человеческий фактор. И какой, ух.

Как выяснилось, разработчик на госслужбе написал пост для блога на китайском профильном сайте CSDN и… умудрился опубликовать в нём захардкоженные данные доступа к базе данных. Об этом сообщил CEO Binance и опубликовал скриншот из блога в качестве подтверждения.

23 терабайта личных данных из полицейской базы на миллиард китайцев утекли в сеть из-за такого вот детского косяка. Бедняге-разработчику теперь точно не позавидуешь: одна миска риса раз в три дня от благодарной партии до конца жизни — это ещё, полагаю, удачный для него исход.

@tomhunter

#news Занятный пример социнженерии по следам легендарной кражи $625 миллионов с сайдчейна Ronin.

Как выяснилось, северокорейские хакеры рассылали по сотрудникам Sky Mavis фейковые предложения о работе через LinkedIn. Один из инженеров позарился на щедрый оффер и открыл присланный PDF-файл. А в нём был вредонос, давший хакерам доступ к четырём валидаторам.

Пятый же они угнали у Axie DAO, децентрализованной автономной организации, подписывавшей часть их транзакций. Громкое название, а на деле бардак: подписывать прекратили ещё в прошлом году, а доступ к allowlist им отключить забыли. Теперь чудом оставшаяся на плаву Sky Mavis обещает довести число валидаторов до ста. Ну, надеюсь, хоть это им поможет.

@tomhunter

Собрал для вас в традиционный дайджест самые крупные события в мире инфосека за первый летний месяц. Он выдался довольно жарким: госсети целого итальянского города ушли оффлайн на несколько недель после рансомварь-атаки, первые ласточки крупномасштабного исследования трекера Meta Pixel принесли довольно занятные результаты, на киберпреступный рынок вернулся печально известный Racoon Stealer в новой итерации… Обо всём этом и других важных новостях июня в дайджесте. Приятного чтения!

#news Тем временем тут назревает небольшой митрегейт. Наблюдательные пользователи приметили, что MITRE, дочерняя организация CVE project, помимо описания уязвимостей и проверок концепций порою умудрялась публиковать в своих CVE-бюллетенях ссылки на уязвимые устройства. Чтобы наверняка, так сказать. Низкий им за это поклон от злоумышленников.

В одном случае, например, был и вовсе просто копипаст ссылок с чужого гитхаба. В самой же MITRE в ответ на вопрос, что за дела они творят, простодушно ответили: «А что такого? Мы часто так делаем». Публикуем ссылки на дюжины уязвимых устройств под описанием эксплойта в постах, которые затем расходятся по всем профильным ресурсам, с кем не бывает. Вскоре, правда, все подобные ссылки из своего гитхаб-репозитория и из базы они почему-то оперативно потёрли. А что случилось?

@tomhunter

#news Майкрософт внезапно откатил автоблокировку макросов для скачанных файлов в офисных приложениях.

Никаких деталей или предупреждений пользователям об откате, только скупой комментарий от менеджера мелкософта в формате «Анжела, отмена!» под февральским постом с анонсом изменений.

Это при том, что апдейты с изменениями окончательно вошли в оборот ещё только в июне. С чем связан откат, неясно. Речь якобы о полученных отрицательных отзывах. Видимо, кнопку включения макросов юзеров так и не приучили находить. Или бедняги устали на неё кликать. А тут ещё и админы про какую-то фоллину талдычат. Непорядок!

@tomhunter

#news В сети распространяется новая суицидальная игра - Blackout Challenge. Данный челлендж якобы "побуждает пользователей душить себя ремнями, кошельковыми шнурками или чем-либо подобным до потери сознания".

Предположительными жертвами Blackout Challenge стало уже 7 детей из США, Австралии и Италии. Основным средством распространения опасного контента признан TikTok, популярный среди подростков. Социальную сеть обвиняют в том, что она размещала подобный контент прямо в рекомендациях.

@tomhunter

#news Госдума приняла в третьем чтении документ, направленный на противодействие возможности использования цифровых финансовых активов (ЦФА) и утилитарных цифровых прав (УЦП) в качестве средства платежа.

@tomhunter