#news Мог ли декабрь обойтись без новостей об утечках от российских компаний? Конечно, нет. Сегодня в эфире свежак от «Вкусвилл»: почти 250к уникальных номеров и столько же ящиков, инфа по заказам с 5 по 7 декабря, последние цифры номеров карт. Имена, адреса и карточки полностью якобы не утекли, и на том спасибо.

Пока в компании продолжается внутреннее расследование по следам «закрытой в первые часы» уязвимости, можно погадать над тем, какие санкции их ждут. В ноябре, например, по коллективному иску к «Яндекс.Еде» 13 случайным счастливчикам из 20 присудили компенсацию. Аж по 5 тысяч рублей. Главное, после этого было ненароком не отпраздновать победу сэндвичем из «Вкусвилл» с доставкой на дом.

@tomhunter

#news Неугомонный Мордекай Гури опубликовал новую работу по краже данных с не подключённых к сети компьютеров. На этот раз подсаженная на машину малварь не мигает индикаторами, а регулирует нагрузку на процессор и его частоту. За счёт этого блок питания излучает низкочастотную электромагнитную волну, которая и передаёт информацию.

Атака получила ехидное название COVID-bit в силу того, что работает на расстоянии до двух метров. На ПК с приемлемой частотой битовых ошибок удалось добиться скорости до килобита в секунду. А вот блоки питания ноутбуков генерируют более слабый сигнал. Приёмником может быть смартфон с рамочной антенной, причём он может находиться и за стеной от компьютера. Любители шпионской инфобез-романтики могут ознакомиться с техдеталями по ссылке.

@tomhunter

#news У Uber очередная утечка данных. На этот раз им досталось по касательной после взлома Teqtivity, обслуживающей их IT-активы компании. В слитых архивах сотни тысяч имейлов сотрудников, отчёты, прочая корпоративная инфа. Плюс исходники Teqtivity для работы с сервисами Uber. Всего 20 миллионов записей.

Между тем хакер c шуточками и отсылочками к Lapsus$ опубликовал четыре архива с MDM-данными Uber, Uber Eats, Teqtivity и TripActions. Но, похоже, помимо стянутого у Tequtivity в архивах ничего интересного, и в Uber заявляют, что ни с Lapsus$, ни с недавним взломом утечка не связана, и их системы не затронуты. Тем не менее, со сливом рабочих имейлов Uber их сотрудников теперь ждёт увлекательная фишинг-игра «‎Обмани меня, если сможешь» со злоумышленниками, которые не прочь повторить сентябрьские успехи юных дарований из Lapsus$. Скучающие подростки их уже ломали. Кто следующий?

@tomhunter

#news Можно посмеиваться над героическими дудосами Killnet, от которых основной выхлоп – это новостные заголовки. Но вот их оппоненты по патриотическому цеху и здесь отличились: как сообщают, проукраинская группировка NLB выложила в открытый доступ базу «Московской Электронной Школы».

В актуальной на август 2021-го базе 17 с небольшим миллионов строк данных на учителей, родителей и их детей, включая 3,3 миллиона уникальных телефонов. А также ФИО, даты рождения, почтовые ящики и СНИЛСы. Между тем в соответствующей пресс-службе утверждают, что информация об утечке не соответствует действительности. Увы, отрицание действительности не мешает людям находить в базе свои данные.

@tomhunter

#news Гугл выложил в свободный доступ OSV Scanner для скана опенсорсовых зависимостей в проектах на предмет уязвимостей. Инструмент подтягивает инфу c OSV.dev, крупнейшей базы уязвимостей в опенсорсе. Сканер проверяет код в зависимостях, включая транзитивные, и сообщает, если нужно обновление.

В дальнейшем планируют улучшить поддержку для уязвимостей в C/C++, добавить функционал для планирования сканов и инфу по минимальной необходимой версии для устранения уязвимости. Инструмент доступен на Гитхабе для всех желающих избавиться от головной боли и возни с каждым новым билдом.

@tomhunter

#news Минюст в Штатах положил 48 популярных доменов для DDoS-услуг формата «booter/stresser» и арестовал шестерых владельцев. В их числе сетевой зубр IPStresser.com и его админ Джон Доббс, заправлявший сайтом 13 лет. На счету сервиса за эти годы 30 миллионов DDoS-атак и два миллиона зарегистрированных юзеров.

Доббс примечателен тем, что все эти годы прикрывался мнимой легальностью своих услуг. Товарищ даже раздавал интервью и рассказывал про цифровую подпись, которую каждый пользователь присылал, тем самым клятвенно обещая не использовать сервис для незаконных дел. Что ж, теперь ему предстоит проверить ценность этой юридической лазейки в суде. Судя по открытому делу, прикрыться фиговым листом условий пользования владельцам сервисов не удастся даже при наличии расписавшихся на нём юзеров.

@tomhunter

О том, что устройства IoT небезопасны, говорят едва ли не с момента появления Интернета вещей. Но и до сих пор многие «умные» приборы и техника не имеют надлежащей защиты от взлома. Или же такая защита компрометируется самими пользователями. Поговорим об этом в нашей новой статье на хабре )

#news Гитхаб выкатил бесплатное сканирование публичных репозиториев на предмет затесавшихся в код ключей, токенов и прочих учётных данных. Ранее оно было доступно только по подписке Enterprise Cloud. Фича вышла в публичную бету, и на Гитхабе рассчитывают сделать её доступной для всех пользователей к концу января 2023-го. Помимо этого, к концу следующего года обязательной для всех сделают двухфакторку.

Сканер проверяет репозитории по более чем 200 форматам токенов и шлёт предупреждения. Так что защита от нечаянных и очень неловких утечек данных теперь в паре кликов в настройках. Включи сканер, юзернейм! Вдруг у тебя где-то в коде ненароком затерялся AWS-ключ.

@tomhunter

#news Вишенка на торте эпичных разбирательств двух россиян с Гуглом, после того как в декабре 2021-го компания положила ботнет Glupteba. Он снова онлайн в новом формате. Выбить в суде у Гугла инфу о том, как они снесли ботнет не удалось, поэтому новый собран по тому же принципу, но от слова «избыточность». Больше запасных адресов, аж в десять раз больше С2-серверов в Торе, и сам ботнет массивнее предыдущего.

А вот собирать его начали в июне этого года, как раз пока наши соотечественники шантажировали Гугл и выбивали два миллиона баксов и бонус для адвоката в обмен на биткоин-адреса от старого ботнета. Смекалочке и наглости стоящих за Glupteba товарищей остаётся только позавидовать.

@tomhunter

#news Epic Games ставит рекорды, да только вот в виде штрафов от FTC. $275 миллионов за сбор персональных данных детей (имена, ящики и ники) без уведомления родителей и $245 миллионов рефанда за сомнительные интерфейсные решения, приводившие к нежелательным покупкам в Fortnite. Обе суммы для отрасли рекордные.

По итогам разбирательств компании пришлось удалить собранные данные, подтянуть настройки приватности, отключив детям младше 18 текстовый и голосовой чаты по дефолту, скрыть их профили и прочее по мелочи. А также изменить интерфейс для покупок и ввести 24-часовой рефанд. В общем, радостная новость для всех родителей, чьи детишки склонны выжимать кредитку досуха на костюмчики в Fortnite и заводить в игре странных друзей.

@tomhunter

#news Любопытная тактика для запутывания исследователей замечена у авторов малвари Raspberry Robin. Если их зловред обнаруживает, что запущен в песочнице, он засылает фейковый дроппер. Тот, в свою очередь, качает адварь Browser Assistant, чтобы создать впечатление, что это и есть вредоносная нагрузка.

Реальная же малварь с серверами в Торе и без этих трюков скрывается за десятью слоями обфускации. Что занятно, в методах группировки нашли схожести с LockBit’овскими – в частности ICM-калибровку для эскалации привилегий и ThreadHideFromDebugger для антиотладки. Так что между двумя группировками может быть связь, но делать выводы рано. Пока же авторы Raspberry Robin ведут разведку боем, чтобы оценить, насколько эффективны их новые методы.

@tomhunter

#news Okta закрывает год ещё одним ИБ-инцидентом: ранее в этом месяце стянули их исходники с Гитхаба. Клиентские данные не затронуты, взломали их репозитории для Workforce Identity Cloud. Как сообщают в компании, на конфиденциальность своего кода они не полагаются, так что утечка проблем не несёт.

Компания выбрала занятный подход к сообщению об утечке: в руки журналистов попало «конфиденциальное» письмо, разосланное по админам, а официальное сообщение ещё только на подходе. Видимо, решили перестраховаться: после того как Okta забыла сообщить о взломе от Lapsus$ в январе, кривляния юных взломщиков в сети парой месяцев позже обошлись компании в 20 процентов стоимости акций. Ну, это неловкое происшествие их чему-то явно научило.

@tomhunter

#news В Штатах судят двух граждан за сговор с русскими хакерами. Но в этот раз всё скромно: товарищи взломали диспетчерскую службу такси аэропорта имени Кеннеди и двигали таксистов в очереди на заезд за скромные 10 баксов. Так как обычно они ждут в очереди часами, услуга была довольно популярной – в среднем по 2,500 запросов в неделю на протяжение двух лет.

Причём здесь русские хакеры? Обвиняемые перевели в Россию не меньше $100,000 оплаты за софт. Видимо, малварь, которую использовали для взлома системы. Переписка с пресловутыми хакерами тоже чудесная: «П‎ентагон, знаю, взламывали. А службу такси взломать можно?» Оказалось, можно! Но можно и присесть на 10 лет. И только вездесущие хакеры за океаном злодейски смеются и довольно потирают руки.

@tomhunter

#news Неизменная мантра LastPass о не затронутых после взломов клиентских данных дала брешь. Компания сообщила, что когда злоумышленники получили доступ к их облаку с помощью украденных в августе ключей, они стянули бэкап хранилища пользовательских данных. В нём нешифрованные URL сайтов и зашифрованные имена, пароли, заметки и данные формы. Плюс украдены инфа аккаунтов, имейлы, телефоны и айпишники.

LastPass, конечно, клятвенно заверяет, что данные зашифрованы и пароли только у юзеров, а их брутфорс при должном качестве пароля займёт миллионы лет. Вот только сколько мастер-паролей юзеров на деле соответствуют ИБ-стандартам? И сколько были где-нибудь повторно использованы и скомпрометированы? Вопрос на миллион [дешифрованных хранилищ].

@tomhunter

#news Чего хочется пятничным вечером? Автоматизировать работку, чтобы она работала за тебя сама. И вот у хакеров из русскоязычной FIN7 желаемое с действительным совпало: они подняли платформу для автоматизированных атак по уязвимостям в MS Exchange-серверах и на SQL-инъекции.

Их сканер Checkmarks находит уязвимые эндпоинты в сетях компаний и засылает веб-шеллы, выполняет пост-эксплуатацию и выдаёт список скомпрометированных устройств. По панели затем работает «маркетинговый отдел» группировки и оценивает финстатус компании, подтягивая инфу из открытых источников, вроде Owler и Crunchbase. А пентестеры пишут комментарии по работе систем и рансомварь-перспективам. Судя по отчёту, с июня 2021-го FIN7 таким образом получили доступ к сетям 8,147 компаний. Админ, ленишься вовремя патчить сервера? Ищи фото своего CEO в панели Checkmarks!

@tomhunter

#news У Минцифры новый виток планов по ужесточению закона об утечках данных. Минимальный штраф в 5 миллионов рублей, а максимальный – аж до 500 миллионов. Такая сумма ждёт компании, если допустят утечку не в первый раз с принятия закона или попытаются скрыть инцидент.

Если закон в таком виде и примут, он вступит в силу в сентябре 2023-го. Так что у мастодонтов рынка ещё с лихвой времени, чтобы слить всё заранее, а потом отрицать повторные утечки. Или, как ожидают, разделить компании для сокращения баз данных и штрафов – считать их будут от выручки за прошлый от утечки календарный год. В общем, у крупных бизнесов, думаю, всё схвачено. А небольшим магазинчикам с кривыми сайтами на вордпрессе и прочему малому бизнесу можно посочувствовать.

@tomhunter

#news На небезызвестном хакерском форуме на продажу якобы выставлены данные 400+ миллионов юзеров Твиттера. Собраны они с помощью того же API-бага, в связи с которым раньше всплывал архив на 5,4 миллиона профилей, ящиков и телефонов. Подтвердить подлинность всего архива пока невозможно, но сэмпл реальный, включая профили Трампа-младшего и ещё десятков знаменитостей.

Между тем хакер идёт ва-банк и предлагает выкупить архив самому Маску за $200 тысяч, чтобы потом не нарваться на крупный штраф – так, Фейсбуку утечка наскрапленных данных схожего масштаба обошлась в $276 миллионов. По задумке архив любо уйдёт эксклюзивно за $200к, либо массово по $60 тысяч. Посмотрим, чем на это ответит экстравагантный товарищ Маск. На сдачу от покупки Твиттера-то его архив выкупить не затруднит.

@tomhunter

#news В сети замечен новый инфостилер RisePro. Его распространяют через фейковые сайты для любителей кряков и генераторов ключей, которыми оперируют создатели PrivateLoader, и у двух зловредов много общего в коде. Так что, возможно, владельцы сервиса засылают его либо сами, либо в качестве новой услуги, но с авторством пока неясно.

RisePro написан на C++ и, похоже, является очередным клоном Vidar – в нём та же система DLL-зависимостей. Малварь крадёт инфу с доброй сотни браузеров, кошельков и расширений, а также сканирует жёсткие на предмет инфы в духе чеков с данными карт. На российских лог-маркетах счёт логов с заражённых RisePro устройств идёт на тысячи, так что малварь набирает обороты. В общем, принимайте пополнение в растущую коллекцию инфостилеров, техдетали по ссылкам.

@tomhunter

#news Исследователи из Штатов разработали атаку EarSpy под Андроид, позволяющую прослушивать звонящего c помощью данных с датчика движений. За счёт ревербации на нём с динамиков телефона. Атака позволяет распознать пол и личность звонящего плюс часть речи – последнее в среднем с точностью около 50 процентов. А вот на громкой связи точность достигает уже 80 процентов.

Ещё несколько лет назад динамики были слишком слабыми для такой атаки, но теперь и они стали мощнее, и гироскопы более чувствительны. Эффективность сильно зависит от громкости динамика, а также движения звонящего и плотности сборки телефона. Для решения же проблемы авторы предлагают размещать датчики в корпусе так, чтобы внутренние вибрации на них не влияли. Любителям шпионской ИБ-романтики от Мордекая Гури рекомендуется к ознакомлению.

@tomhunter

#news Минцифры подумывает создать отечественную систему сертификации безопасников. Подтверждать квалификацию через CISSP или CISA стало затруднительно, так что на замену международным должен прийти единый стандарт собственного разлива, не менее качественный и соответствующий местным ИБ-реалиям.

Параллельно с этим в министерстве снова идут разговоры о принудительном лицензировании ушедшего софта и декриминализации его покупки на торрентах. Так что будем по-российски сертифицированными, но с пиратским ПО. Такая вот дуальность российского безопасника на исходе 2022-го года.

@tomhunter

#news Исследователи выяснили, как злоумышленники обходили защиту Google Ads, чтобы абьюзить их рекламные ссылки и толкать сайты с фейковым софтом в массы. И трюк-то элементарный: простенькая страница-прикрытие, которая редиректит пришедших с рекламы на сайт с малварью.

Соответственно, для случайных посетителей, исследователей и гуглобота страница выглядит безопасно. А вот жертва рекламы получает подставной софт с вредоносной нагрузкой, часто в виде инфостилера или банковского трояна. Как вышло, что Гугл с такой лёгкостью пропускает малварь в рекламные места в топе выдачи, – отдельный занятный вопрос. Но способ популяризовать адблокеры они выбрали крайне оригинальный.

@tomhunter