Утечка данных через кабель SATA
Исследователь Мордехай Гури из израильского университета Бен-Гуриона опубликовал на прошлой неделе новую работу, расширяющую достаточно специфическую область знаний в сфере безопасности: методы кражи данных из систем, отключенных от сети. При отсутствии подключения к интернету (или хотя бы к локальной сети внутри организации, в которую можно проникнуть) для эксфильтрации данных можно использовать только непрямые, зачастую даже неочевидные, каналы связи. Типичная сфера для применения таких трюков — максимально защищенные от внешнего вмешательства управляющие компьютеры в промышленности.
Статья
Исследователь Мордехай Гури из израильского университета Бен-Гуриона опубликовал на прошлой неделе новую работу, расширяющую достаточно специфическую область знаний в сфере безопасности: методы кражи данных из систем, отключенных от сети. При отсутствии подключения к интернету (или хотя бы к локальной сети внутри организации, в которую можно проникнуть) для эксфильтрации данных можно использовать только непрямые, зачастую даже неочевидные, каналы связи. Типичная сфера для применения таких трюков — максимально защищенные от внешнего вмешательства управляющие компьютеры в промышленности.
Статья
Эксперты сообщили о росте числа кибератак на ретейл в России
Количество атак программ-вымогателей на российские ретейл-компании в первом полугодии нынешнего года резко выросло: целями киберпреступников являются прежде всего крупные сети супермаркетов и маркетплейсы.
В Group-IB заявили о росте показателя в четыре раза в годовом выражении. В Positive Technologies подтвердили такой тренд и отметили, что целями мошенников становятся крупные сети супермаркетов и маркетплейсы, которые теряют прибыль из-за приостановки продаж и готовы заплатить выкуп, чтобы восстановить работу как можно скорее.
Такой всплеск атак на маркетплейсы также связывают с пандемией — большое количество покупателей тогда ушло в онлайн, отмечает эксперт по кибербезопасности «Лаборатории Касперского» Сергей Ложкин. Количество онлайн-заказов выросло на 104% в России в первом полугодии 2021 года, а объем рынка увеличился на 52% по сравнению с 2020 годом и составил 4,1 трлн руб., сообщают в Data Insight.
В 2021 году сумма выкупа, как правило, не превышала 30 млн руб. Сегодня за разблокировку ресурса требуют до 100 млн руб. Компании соглашаются платить злоумышленникам.
Количество атак программ-вымогателей на российские ретейл-компании в первом полугодии нынешнего года резко выросло: целями киберпреступников являются прежде всего крупные сети супермаркетов и маркетплейсы.
В Group-IB заявили о росте показателя в четыре раза в годовом выражении. В Positive Technologies подтвердили такой тренд и отметили, что целями мошенников становятся крупные сети супермаркетов и маркетплейсы, которые теряют прибыль из-за приостановки продаж и готовы заплатить выкуп, чтобы восстановить работу как можно скорее.
Такой всплеск атак на маркетплейсы также связывают с пандемией — большое количество покупателей тогда ушло в онлайн, отмечает эксперт по кибербезопасности «Лаборатории Касперского» Сергей Ложкин. Количество онлайн-заказов выросло на 104% в России в первом полугодии 2021 года, а объем рынка увеличился на 52% по сравнению с 2020 годом и составил 4,1 трлн руб., сообщают в Data Insight.
В 2021 году сумма выкупа, как правило, не превышала 30 млн руб. Сегодня за разблокировку ресурса требуют до 100 млн руб. Компании соглашаются платить злоумышленникам.
Уязвимости в автомобильных брелоках
На прошлой неделе исследователь, известный как Kevin2600, опубликовал детали уязвимости, названной Rolling-PWN. В короткой публикации утверждается, что все или почти все автомобили Honda, выпущенные за последние 10 лет, подвержены атаке, позволяющей перехватить радиопередачу между автомобилем и брелоком, и позднее разблокировать и даже завести машину в отсутствие владельца.
Статья
На прошлой неделе исследователь, известный как Kevin2600, опубликовал детали уязвимости, названной Rolling-PWN. В короткой публикации утверждается, что все или почти все автомобили Honda, выпущенные за последние 10 лет, подвержены атаке, позволяющей перехватить радиопередачу между автомобилем и брелоком, и позднее разблокировать и даже завести машину в отсутствие владельца.
Статья
Готовые наборы для фишинга
Черный рынок инструментов киберкриминала позволяет начинающему преступнику собрать все необходимое для атаки за умеренную плату. Обычно предметом исследования такого подпольного b2b становятся партнерские программы по распространению вымогателей-шифровальщиков и продажа иного вредоносного ПО.
Статья
Черный рынок инструментов киберкриминала позволяет начинающему преступнику собрать все необходимое для атаки за умеренную плату. Обычно предметом исследования такого подпольного b2b становятся партнерские программы по распространению вымогателей-шифровальщиков и продажа иного вредоносного ПО.
Статья
В материнских платах Gigabyte и Asus обнаружен загадочный UEFI-руткит
Исследователи обнаружили новую версию UEFI -руткита CosmicStrand. Впервые вредонос был обнаружен китайской компанией Qihoo360 в 2017 году. Руткит находится в образах прошивок материнских плат Gigabyte и Asus, использующих чипсет H81 и долго оставался незамеченным. От руткита пострадали граждане Китая, Вьетнама, Ирана и России.
Цель вредоноса – вмешаться в процесс загрузки ОС и установить имплант в ядре Windows, который будет загружаться каждый раз вместе с запуском ОС. После этого в память внедряется шеллкод, соединяющийся с C&C-сервером для получения и запуска вредоносной полезной нагрузки на устройстве жертвы.
Вредонос получает полезную нагрузку в несколько шагов:
- Отправляется специально созданный UDP или TCP пакет на C&C-сервер (update.bokts[.]com);
- C&C-сервер отвечает, отправляя на устройство жертвы один или несколько пакетов, содержащие 528 байт данных;
- После этого пакеты с данными собираются в правильной последовательности и попают в пространство ядра.
Исследователи обнаружили новую версию UEFI -руткита CosmicStrand. Впервые вредонос был обнаружен китайской компанией Qihoo360 в 2017 году. Руткит находится в образах прошивок материнских плат Gigabyte и Asus, использующих чипсет H81 и долго оставался незамеченным. От руткита пострадали граждане Китая, Вьетнама, Ирана и России.
Цель вредоноса – вмешаться в процесс загрузки ОС и установить имплант в ядре Windows, который будет загружаться каждый раз вместе с запуском ОС. После этого в память внедряется шеллкод, соединяющийся с C&C-сервером для получения и запуска вредоносной полезной нагрузки на устройстве жертвы.
Вредонос получает полезную нагрузку в несколько шагов:
- Отправляется специально созданный UDP или TCP пакет на C&C-сервер (update.bokts[.]com);
- C&C-сервер отвечает, отправляя на устройство жертвы один или несколько пакетов, содержащие 528 байт данных;
- После этого пакеты с данными собираются в правильной последовательности и попают в пространство ядра.
Особенности шифрования на хостинге Mega
На прошлой неделе исследователи из Высшей технической школы Цюриха в Швейцарии (ETH Zurich) опубликовали работу, в которой анализируется система сквозного шифрования файлового хостинга Mega. В своей обзорной статье издание ArsTechnica напоминает, что сквозное шифрование уже много лет является важным отличием Mega от других хостингов, и компания не устает это рекламировать.
Статья
На прошлой неделе исследователи из Высшей технической школы Цюриха в Швейцарии (ETH Zurich) опубликовали работу, в которой анализируется система сквозного шифрования файлового хостинга Mega. В своей обзорной статье издание ArsTechnica напоминает, что сквозное шифрование уже много лет является важным отличием Mega от других хостингов, и компания не устает это рекламировать.
Статья
Hertzbleed, новая атака на процессоры Intel и AMD
Исследовательская работа, которая описывает одну атаку на процессоры Intel и AMD. Как в SPECTRE и подобных атаках, в Hertzbleed используется не то чтобы баг, а скорее обычная функциональность процессоров. В данном случае это система динамической регулировки частоты и напряжения процессора в зависимости от нагрузки. Отсюда и название исследования.
Статья
Исследовательская работа, которая описывает одну атаку на процессоры Intel и AMD. Как в SPECTRE и подобных атаках, в Hertzbleed используется не то чтобы баг, а скорее обычная функциональность процессоров. В данном случае это система динамической регулировки частоты и напряжения процессора в зависимости от нагрузки. Отсюда и название исследования.
Статья
Жизнь за пределами Metasploit Framework, сравниваем альтернативы
Идея статьи родилась в ходе исследования способов автоматизации рутинных действий при проведении тестирования на проникновение. Данная мысль возникает, когда исследователь понимает, что в лучшем случае копирует одни и те же команды, в худшем – печатает их на клавиатуре вручную. Моя личная цель автоматизации – экономия самого ценного ресурса, который у нас есть. Времени. Надеюсь, что данная статья позволит и вам сделать это, а также потратить его на более творческие вещи, чем поиск, к примеру, способа реализации туннелирования в Windows-сетях.
Статья
Идея статьи родилась в ходе исследования способов автоматизации рутинных действий при проведении тестирования на проникновение. Данная мысль возникает, когда исследователь понимает, что в лучшем случае копирует одни и те же команды, в худшем – печатает их на клавиатуре вручную. Моя личная цель автоматизации – экономия самого ценного ресурса, который у нас есть. Времени. Надеюсь, что данная статья позволит и вам сделать это, а также потратить его на более творческие вещи, чем поиск, к примеру, способа реализации туннелирования в Windows-сетях.
Статья
Вредоносные пакеты NPM вновь воруют токены Discord
Специалисты обнаружили кампанию LofyLife, в рамках которой распространяются вредоносные npm-пакеты для кражи токенов Discord и данных банковских карт. Все вредоносные пакеты содержали сильно обфусцированный вредоносный код на Python и JavaScript.
Python-малварь представляла собой модифицированную версию доступного в сети трояна Volt Stealer. Он предназначен для кражи токенов Discord с зараженных устройств и сбора IP-адресов жертв с последующей отправкой по HTTP-протоколу. JavaScript-вредонос - Lofy Stealer, заражает файлы клиента Discord, чтобы отслеживать действия жертвы. В частности, он отслеживает вход пользователя в систему, смену адреса электронной почты или пароля, включение/выключение многофакторной аутентификации и добавление новых методов оплаты со всеми данными банковской карты. Собранная информация тоже отправляется на удаленную машину, адрес которой жестко прописан в коде.
Атакующие внедрили четыре зараженных Volt Stealer и Lofy Stealer пакета в репозиторий NPM: npm small-sm, pern- valids, lifeculer и proc-title. Все вредоносные пакеты были предназначены для обычных задач, например, форматирование заголовков.
Специалисты обнаружили кампанию LofyLife, в рамках которой распространяются вредоносные npm-пакеты для кражи токенов Discord и данных банковских карт. Все вредоносные пакеты содержали сильно обфусцированный вредоносный код на Python и JavaScript.
Python-малварь представляла собой модифицированную версию доступного в сети трояна Volt Stealer. Он предназначен для кражи токенов Discord с зараженных устройств и сбора IP-адресов жертв с последующей отправкой по HTTP-протоколу. JavaScript-вредонос - Lofy Stealer, заражает файлы клиента Discord, чтобы отслеживать действия жертвы. В частности, он отслеживает вход пользователя в систему, смену адреса электронной почты или пароля, включение/выключение многофакторной аутентификации и добавление новых методов оплаты со всеми данными банковской карты. Собранная информация тоже отправляется на удаленную машину, адрес которой жестко прописан в коде.
Атакующие внедрили четыре зараженных Volt Stealer и Lofy Stealer пакета в репозиторий NPM: npm small-sm, pern- valids, lifeculer и proc-title. Все вредоносные пакеты были предназначены для обычных задач, например, форматирование заголовков.
Технология обмана. Что такое Deception и как теперь обманывают хакеров
Ты наверняка слышал про ханипоты — цели-приманки, по атакам на которые вычисляют хакеров. В последние годы эта технология проапгрейдилась и теперь носит общее название Deception. О том, в чем отличия и как хакеров пытаются водить за нос, мы и поговорим.
Статья
Ты наверняка слышал про ханипоты — цели-приманки, по атакам на которые вычисляют хакеров. В последние годы эта технология проапгрейдилась и теперь носит общее название Deception. О том, в чем отличия и как хакеров пытаются водить за нос, мы и поговорим.
Статья
Как недальновидность превратила смарт-карты в огромную дыру в безопасности армии США
Эту статью можно отнести к категории «прохладных историй» о том, как бюрократия победила здравый смысл. Что однако не отменяет ее прикладной ценности в разрезе «как не надо делать». Государства ведут себя похоже вне зависимости от континента и история, которую вскрыл Брайан Кребс и которую мы вольно пересказали ниже, так как оригинальный пост вышел не слишком последовательным и местами непонятным — отличный тому пример.
Статья
Эту статью можно отнести к категории «прохладных историй» о том, как бюрократия победила здравый смысл. Что однако не отменяет ее прикладной ценности в разрезе «как не надо делать». Государства ведут себя похоже вне зависимости от континента и история, которую вскрыл Брайан Кребс и которую мы вольно пересказали ниже, так как оригинальный пост вышел не слишком последовательным и местами непонятным — отличный тому пример.
Статья
Очень странные дела на GitHub
Обычный программист что-то гуглил в гугле и попал на репозиторий с вредоносным кодом и решил выяснить, сколько еще таких зараженных репозиториев, которые легко гуглятся.
3 августа Stephen Lacy написал в твиттере, что «обнаружил широкомасштабную атаку на 35 000 репозиториев GitHub», на проекты crypto, golang, python, js, bash, docker, k8s, а так же скрипты npm, образы докеров и установочные документы. (Позже он уточнил, что не «35 000 репозиториев», а 35 000 «code hits»)
Вскоре после его твита либо GitHub, либо злоумышленник удалил большинство общедоступных форков, а еще пару часов спустя появляется твит от только что созданной учетной записи пользователя @Pl0xP, где он утверждает, что он стоит за атакой, и это часть аудита за вознаграждение — bug bounty.
Статья
Обычный программист что-то гуглил в гугле и попал на репозиторий с вредоносным кодом и решил выяснить, сколько еще таких зараженных репозиториев, которые легко гуглятся.
3 августа Stephen Lacy написал в твиттере, что «обнаружил широкомасштабную атаку на 35 000 репозиториев GitHub», на проекты crypto, golang, python, js, bash, docker, k8s, а так же скрипты npm, образы докеров и установочные документы. (Позже он уточнил, что не «35 000 репозиториев», а 35 000 «code hits»)
Вскоре после его твита либо GitHub, либо злоумышленник удалил большинство общедоступных форков, а еще пару часов спустя появляется твит от только что созданной учетной записи пользователя @Pl0xP, где он утверждает, что он стоит за атакой, и это часть аудита за вознаграждение — bug bounty.
Статья
Как получить пароль WPA2 WiFi с помощью Aircrack-ng?
В этой статье я покажу вам как использовать airmon-ng (скрипты из пакета aircrack-ng) для обнаружения беспроводных сетей вокруг нас. Затем мы деаутентифицируем клиентов определенной беспроводной сети, чтобы перехватить handshake, а затем расшифруем его, чтобы найти пароль WiFi.
Статья
В этой статье я покажу вам как использовать airmon-ng (скрипты из пакета aircrack-ng) для обнаружения беспроводных сетей вокруг нас. Затем мы деаутентифицируем клиентов определенной беспроводной сети, чтобы перехватить handshake, а затем расшифруем его, чтобы найти пароль WiFi.
Статья
Twitter подтвердила утечку данных аккаунтов 5,4 млн пользователей
Компания начала рассылать пострадавшим пользователям уведомления, что их данные, включая Twitter ID, имя, фамилию или название организации, номер телефона и адрес электронной почты, стали общедоступны.
Twitter призналась, что из-за обновления кода платформы в июне 2021 года в работе API соцсети появилась ошибка, связанная с неправильной обработкой настроек конфиденциальности и возможностью спарсить без авторизации Twitter ID и данные аккаунтов пользователей.
Twitter не может точно назвать количество пострадавших пользователей от этого взлома. Их может быть и больше 5,4 млн.
Twitter пояснила, что в результате этого взлома пароли аккаунтов не были раскрыты, но базы данных аккаунтов могут использоваться злоумышленниками для фишинговых рассылок.
Компания начала рассылать пострадавшим пользователям уведомления, что их данные, включая Twitter ID, имя, фамилию или название организации, номер телефона и адрес электронной почты, стали общедоступны.
Twitter призналась, что из-за обновления кода платформы в июне 2021 года в работе API соцсети появилась ошибка, связанная с неправильной обработкой настроек конфиденциальности и возможностью спарсить без авторизации Twitter ID и данные аккаунтов пользователей.
Twitter не может точно назвать количество пострадавших пользователей от этого взлома. Их может быть и больше 5,4 млн.
Twitter пояснила, что в результате этого взлома пароли аккаунтов не были раскрыты, но базы данных аккаунтов могут использоваться злоумышленниками для фишинговых рассылок.
Абонентов Tele2 слили в сеть
В открытый доступ выложили базу данных участников программы лояльности оператора Tele2.
7 530 149 строк, содержащих данные:
- ФИО клиентов (часто только имя и имя/фамилия);
- номер телефона (7 457 370 уникальных номеров);
- адрес эл. почты (5 707 696 уникальных адресов);
- пол (по большей части указан для всех male);
- идентификатор BERCUTCONTACTID, который даёт возможность предположить, что данные получены вероятно из системы bercut. com;
- ссылки на страницы на домене l.tele2. ru;
- даты создания и обновления записей — с 05.09.2017 по 27.06.2022.
В Tele2 подтвердили инцидент. По их мнению «опубликованные сведения не несут материальных рисков для абонентов», а также поспешили переложить ответственность на неназванного «IT-партнера, который подвергся хакерской атаке»
«Наши собственные системы надёжно защищены, факт утечки на стороне Tele2 полностью исключён.» — сообщили в Tele2.
В открытый доступ выложили базу данных участников программы лояльности оператора Tele2.
7 530 149 строк, содержащих данные:
- ФИО клиентов (часто только имя и имя/фамилия);
- номер телефона (7 457 370 уникальных номеров);
- адрес эл. почты (5 707 696 уникальных адресов);
- пол (по большей части указан для всех male);
- идентификатор BERCUTCONTACTID, который даёт возможность предположить, что данные получены вероятно из системы bercut. com;
- ссылки на страницы на домене l.tele2. ru;
- даты создания и обновления записей — с 05.09.2017 по 27.06.2022.
В Tele2 подтвердили инцидент. По их мнению «опубликованные сведения не несут материальных рисков для абонентов», а также поспешили переложить ответственность на неназванного «IT-партнера, который подвергся хакерской атаке»
«Наши собственные системы надёжно защищены, факт утечки на стороне Tele2 полностью исключён.» — сообщили в Tele2.
Вредоносные npm-пакеты
В конце июля в репозитории Node Package Manager обнаружили четыре вредоносных пакета. Помимо легитимной функциональности (обработка текстовых данных и подобное), они содержат обфусцированный вредоносный код, предназначенный для кражи токенов доступа к чат-сервису Discord и платежной информации.
Статья
В конце июля в репозитории Node Package Manager обнаружили четыре вредоносных пакета. Помимо легитимной функциональности (обработка текстовых данных и подобное), они содержат обфусцированный вредоносный код, предназначенный для кражи токенов доступа к чат-сервису Discord и платежной информации.
Статья
Starlink взломали за 25 долларов
Исследователь безопасности Леннерт Ваутерс взломал управляемую SpaceX спутниковую интернет-систему Starlink, используя самодельную печатную плату, разработка которой стоила 25 долларов.
Исследователь физически разобрал спутниковую антенну, которую он купил, и прикрепил к ней свой модчип, состоящий из Raspberry Pi, флэш-памяти, электронных переключателей и регулятора напряжения.
После подключения к тарелке Starlink инструмент запустил атаку с внедрением ошибок, чтобы временно закоротить систему, что позволило обойти средства защиты Starlink, чтобы Воутерс мог проникнуть в заблокированные части системы.
Атака Ваутерса приводит к сбою первого загрузчика — загрузчика ПЗУ, который прошит в систему-на-чипе и не может быть обновлен.
Затем он развернул исправленную прошивку на более поздних загрузчиках, все это дало ему root-доступ и полный контроль над тарелкой.
Будучи «белым хакером» Воутерс сообщил об уязвимости SpaceX через программу вознаграждения за обнаружение ошибок, прежде чем публично представить эту проблему на конференции Black Hat 2022. SpaceX назвали исследование Ваутерса «впечатляющим с технической точки зрения».
Исследователь безопасности Леннерт Ваутерс взломал управляемую SpaceX спутниковую интернет-систему Starlink, используя самодельную печатную плату, разработка которой стоила 25 долларов.
Исследователь физически разобрал спутниковую антенну, которую он купил, и прикрепил к ней свой модчип, состоящий из Raspberry Pi, флэш-памяти, электронных переключателей и регулятора напряжения.
После подключения к тарелке Starlink инструмент запустил атаку с внедрением ошибок, чтобы временно закоротить систему, что позволило обойти средства защиты Starlink, чтобы Воутерс мог проникнуть в заблокированные части системы.
Атака Ваутерса приводит к сбою первого загрузчика — загрузчика ПЗУ, который прошит в систему-на-чипе и не может быть обновлен.
Затем он развернул исправленную прошивку на более поздних загрузчиках, все это дало ему root-доступ и полный контроль над тарелкой.
Будучи «белым хакером» Воутерс сообщил об уязвимости SpaceX через программу вознаграждения за обнаружение ошибок, прежде чем публично представить эту проблему на конференции Black Hat 2022. SpaceX назвали исследование Ваутерса «впечатляющим с технической точки зрения».