Рыцари круглого стола

В России создадут экспертную коллегию по противодействию утечкам корпоративных и государственных данных.

На крайней стратегической сессии, организованной «Ростелеком-Солар», крупнейшие представители отрасли вместе со ФСТЭК обсудили актуальную ситуацию с утечками в стране, а также подходы и меры по противодействию таковым.

Минуя «воду», участники пришли к решению о создании в РФ сообщества для формирования и формализации единого подхода к противодействию утечкам.

Основным направлением экспертов станет, очевидно, налаживание коммуникации, обмен опытом, организация процессов защиты и взаимной оценки их эффективности.

В первую очередь планируется формирование списка участников экспертного сообщества, выбор направления и согласование общего плана на 2023 год. Координироваться все решения, само собой, будут со стороны ФСТЭК.

Мстители, общий сбор?

НеКасперский

Давно не публиковали дайджест по интересным утечкам последних дней. Продолжаем держать вас в курсе и призываем не раздавать свои данные кому попало.

• Начнем с клиентов «Ренессанс Страхование». В сеть попал SQL-дамп из CMS «Bitrix» на 737 тыс. строк. Среди выложенных данных, по-классике: ФИО, почта (630 тыс. уникальных) и телефон (315 тыс. уникальных), а в добавок и MD5 хеши паролей вместе с солью. Актуальность данных – 31 мая текущего года.

• Предприниматели на месте? В открытом доступе SQL-дамп базы национального онлайн-портала Мойбизнес.рф. Помимо ваших 200 тыс. уникальных телефонов и почт в сети уже можно найти логины и хешированные MD5 пароли с солью. И опять схема БД явно указывает на CMS «Bitrix».

• XakNet Team в ответ на атаки проукраинских группировок продолжает душить бедную СИНЭВО. О первом сливе писали в прошлом месяце, а сейчас хакеры выложили обновленный дамп от 31 мая. Не обошлось без угроз дальнейших ответных сливов.

• Данные клиентов очередного украинского провайдера todor.ua были выложены в открытый доступ. Среди 8,2 тыс. строк: ФИО, адрес, телефон, почта, и на десерт – логины и пароли в открытом текстовом виде вместе с балансом счета, номером договора и IP-адресом.

P.S Лицо 1С-Битрикс предcтавили?

НеКасперский

А ваш интернет безопасный?

В Госдуме планируется сегментирование сети на безопасный и «опасный» Интернет.

В рамках инициативы об всеобщей персонализированной идентификации предложили поделить сеть на две части. В сегмент защищенной сети попасть возможно будет только при помощи персонального идентификатора, а оперировать всеми персональными данными будет единый оператор.

– «Это будет выглядеть так: вы попадаете в защищённый интернет только заранее зарегистрировавшись в нём. Вы регистрируетесь по паспорту, получаете аналог доменного имени и с этим идентификатором вы с любой точки мира заходите в защищённую часть интернета.»

При этом, незащищенный сегмент сохранится, а ответственность за безопасность своих персональных данных будут нести сами пользователи.

Кажется китайцы не просто так приезжали...

НеКасперский

Выходной дайджест интересных событий

Продолжаем следить за событиями прошедших дней. Рассказываем об интересном и делаем выводы.

• Начнем с самого горячего, отечественные провайдеры начали блокировать подключения OpenVPN. Постоянные пользователи уже столкнулись с проблемами на стороне провайдеров, а работники IT-компаний сообщают о сбоях в работе удаленного доступа. Выглядит как очередная расчистка рынка для внедрения отечественого решения.

• РКН готовит законопроект о регулировании рекомендательных сервисов для соцсетей. Все для борьбы с интернет-диверсиями и информационными пузырями. Душить основных гигантов таргетированной рекламы будут периодическими аудитами, а пользователей обяжут давать согласие на обработку ПДн. Учитывая, что у мастодонтов отечественных рекламных площадок в лице Яндекса или VK уже давно используется ИИ, стоит явно ожидать аналогичный инструмент для борьбы с ними от самого РКН. Они то знают в этом толк.

• По рунету гуляет убийца антивирусов. На одном из отечественных хакерских форумов предлагается настоящий «швейцарский нож» для различных EDR и XDR систем и антивирусов. За 300 вечно зеленых «Terminator» обойдет вам один антивирус, а за 3000 вы получите полный пакет со всеми плюшками. Скам выходит на новый уровень?

• OpenAI запускает грант в $1 млн. на поиск решений эффективного применения искусственного интеллекта в сфере кибербезопасности. Из предложенного самой компанией уже есть интересные решения, начиная от разработки безопасного ПО до создания процессов управления обновлениями безопасности. Это мы одобряем.

НеКасперский

CTF выходит на новый уровень

В июле этого года планируется запуск первого и единственного в мире орбитального спутника Moonlighter. Уникальность проекта заключается в назначении спутника, отличного от привычного, в понимании большинства.

Популярная модель многоцелевого спутника 3U, построенныая инженерами аэрокосмической корпорации и ВВС США, будет впервые использована в качестве орбитального киберполигона для проведения соревнований в рамках крупнейшего хакерского шабаша DEF CON.

Уже в августе спутник будет доступен для взлома белыми хакерами в рамках четвертой итерации проекта Hack-a-Sat. А после планируется использовать его в учебных целях или для проведения менее грандиозных соревнований.

Весьма вероятно, что инициатива целиком направлена на противодействие китайским коллегам, разрабатывающим кибероружие, а возможно просто Европейскому космическому агентству удалось привлечь внимание к проблемам безопасности спутников.

НеКасперский

450ГБ данных одного из Единых расчётных центров было украдено хакерами

Cyber Legions заявляют, что среди украденных данных имеются и личные пользователей неуказанного ЕРЦ. Коллегам удалось проанализировать часть добытой информации. Дамп содержит 5 таблиц. Две таблицы subscribe-users и summaries, 1,6 и 17 тыс. записей соответственно, содержат связки ФИО и телефона. Тем не менее, гораздо больший интерес представляют собой таблицы пользователей и обращений граждан.

— Таблица users (около 389 тыс. записей):
• Почта
• login/ФИО
• Хеш пароля
• IP-адрес

— Таблица faq-all и faq-old (около 470 тыс. записей):
• Почта
• Телефон
• ФИО
• Дата обращения
• Текст обращения
• Данные оператора, работавшего над обращением

Самые ранние записи датируются 2009 годом, а самые свежие — апрель 2023г.

НеКасперский

Bella gerant alii

10 млн строк только за сегодня слили NLB. «Gloria Jeans», «Ашан» и «Твой Дом» не дадут соврать. В свободном доступе в совокупности 8 млн уникальных почт и чуть более 10 млн телефонных номеров.

«Твой Дом» вообще, скорее всего, больше не твой. В сеть, помимо ФИО и даты рождения, попали хешированные (с солью) пароли, даты регистрации и последнего входа. Судя по схеме таблиц, в извлечении дампа опять помог 1С. Сами проукраинские хакеры заявляют, что имеют доступ еще к девяти крупным компаниям РФ и будут постепенно публиковать их.

С другой же стороны XakNet Team оприходовали не так давно ПриватБанк, а сегодня выложили всего 100 тыс. записей из ноунейм сети «Аптеки низких цен» незалежной. Несоизмеримо меньше и уникальных данных всего 35 тыс. уникальных телефонных номеров.

Можно было бы свалить все на сильно разнящийся уровень оборота персональных данных в странах, но учитывая обещания XakNet о том, что «сливы данных повлекут только ответные сливы» хочется верить, что такая масштабная утечка не останется без соизмеримого ответа.

Очевидно, что подобные противостояния невыгодны гражданам обеих стран, но нет сомнений, что сейчас всё это не закончится.

НеКасперский

Финальнейшая стадия?

В Госдуме наконец-то подготовили поправки в законодательство, предусматривающие уголовную ответственность за утечки персональных данных граждан.

Февральские обещания все больше подвергаются сомнениям, ведь теперь риторика представителей Думы сводится к рассказам о смягчающих обстоятельствах. Кроме задержек, связанных с согласованием поправок в Минцифре, теперь рассказывают о предварительных условиях назначения уголовного наказания для пойманных за руку.

Казнить за утечку собираются только в случаях, когда иные виды наказания не окажут ожидаемого эффекта. В первую очередь рассматриваться возможное наказание будет в рамках административного кодекса, а уголовный будет применен лишь в случаях наступления негативных последствий для субъектов утечки либо в случае повторной крупной утечки у организации.

О сроках заключения в местах «не столь отдалённых» опять никаких подробностей, а про оборотные штрафы разговоры вообще стали утихать, а ведь осталось совсем чуть-чуть.

НеКасперский

Двое из ларца…

i2VPN вступает в гонку худших и пополняет наш список «доверия».

В анонимном телеграмм-канале хакеры опубликовали данные учётки одного из администраторов популярнго VPN-сервиса. Привилегии позволяют работать с дашбордом, отображающим информацию о почти полумиллионе несчастных пользователей условно-бесплатного сервиса.

В открытом доступе также и сам URL, ведущий к информационной панели. Кроме этого, предоставили и скрины доступа к самой панели, где разместились сведения о пользователях, включая почтовый адрес, ID и статус подписки.

Очередная обида одного из сотрудников, который скорее всего уже и вовсе 2 недели как покинул компанию. С другой стороны, своевременный контроль доступа никто не отменял.

НеКасперский

Обратный отсчет пошёл

Не успела остыть вчерашняя утечка, как NLB выложили ещё одну часть из 12 взломанных БД. Сегодня список жертв NLB пополнили book24.ru и askona.ru.

В двух SQL-дампах в совокупности оказалось более 5 млн уникальных почтовых адресов и более 4 млн номеров телефонов. Естественно, снова видны следы злосчастной CMS «Bitrix».

На всеобщее обозрение, помимо почтовых адресов и телефонов, попали:

• Имя и фамилия
• Дата рождения
• Пол
• Хеш пароля (с солью)
• Даты создания и обновления записей

Данные из дампа «Асконы» актуальны на 20 апреля 2023 года, из «Book24» — 29 мая 2023 года.

К слову, 1С-Битрикс «очень своевременно» начал давать комментарии и заявил, что утечки происходят в результате отсутствия своевременных обновлений сайтов. Кроме того, по их мнению, брешь в безопасности вызвана скорее окружением самой CMS или закладками, внедренными в неактуальных версиях ПО.

Так или иначе, у NLB осталось ещё 7 баз, а значит, уже пора придумывать заголовок на завтра.

НеКасперский

BI.ZONE сообщила о резком росте числа APT-атак группировки Core Werewolf, нацеленных на отечественные КИИ и ВПК.

С лета 2021 года хакеры ловят своих жертв на фишинговых рассылках и использовании UltraVNC. Сообщения в большинстве содержат исполняемый файл, замаскированный в расширение .PDF и .DOCX, а незаметность атак объясняется использованием легитимного ПО.

При открытии документа пользователем, исполняемый файл запускает UltraVNC и реализует хакерам возможность удаленного доступа к системе.

Социальная инженерия — основной способ проникнуть в контур КИИ и ВПК, уже какой раз напомним об израильтянах, хотя с радикальностью наших оппонентов нам и повезло чуть больше.

НеКасперский

Даже не знаем с чего начать...

Проукраинские хакеры из NLB продолжают публиковать БД отечественных компаний. Вчера было выложено ещё 4 дампа: «Леруа Мерлен» (<5,1 млн строк), «ТВОЁ» (<2,2 млн строк), «Буквоед», «Едим Дома» (<530 тыс. строк).

Кроме этого, вчера Dump Forums опубликовали БД сети аптек «Вита». Все украденные данные схожи, поэтому объединим их в один список:

• ФИО
• Логин (только Буквоеда. Всего уникальных более 5,4 млн)
• Почта (У «Едим Дома» 490 тыс. уникальных, Леруа — 4,7 млн, ТВОЁ — 2,1 млн, «Вита» — 1 млн)
• Телефон (У «Едим Дома» 40 тыс. уникальных, Леруа — 3,2 млн, ТВОЁ — 2,2 млн, «Вита» — 2,4 млн)
• Дата рождения (Только у «Едим Дома» и Леруа)
• Пол и город (Только у Леруа)
• Хеш пароля

Сайт «Едим Дома» — портал Юлии Высоцкой отличился больше всего. Пароль там хешировался при помощи bcrypt и SHA-512 с солью. И вы тут можете подумать, что у неё бы поучиться многим ИБ-специалистам, однако, кроме прочего, сайт хранит IP-адреса (при регистрации и последнем логине).

UPD: Только что NLB выложили последние три дампа. Подробно про утечки «Читай Города», «Роза Хутор» и «Эксмо» мы расскажем в отдельном посте.

НеКасперский

Теперь и ChatGPT пиратят...

OpenAI предоставляет API-ключи к своим языковым моделям вроде GPT-4. Всё стандартно: регистрируешь свою компанию на сайте, привязываешь карту, на почту приходит ключ. Плата взимается в зависимости от использования ключа.

Но что-то пошло не по плану, и разработчики, массово клепающие всевозможные приложения с использованием продуктов OpenAI, по какой-то причине хранят свои ключи не в секретах, а прямо в коде. Так, один из пользователей прошерстил Replit и обнаружил там более 1000 ключей. В сообществе начали активно ими делиться, а клиенты компании жаловаться, что их обманули.

Пока писали новость нашли десятки статей в рунете, обвиняющих OpenAI в халатности, раздаче ключей и прочему. Странно, что, несмотря на предупреждение о том, что же такое API-ключ, люди упорно думают, что их обманули...

Почему же нет историй о том, как угоняли сервера-авторизации или Telegram-ботов, или там разработчики умнее?)

НеКасперский

А может не надо было…

Проукраинские хакеры из Dump Forums выкачали из контура страховой российской компании «Адонис» тысячи сканов паспортов, водительских удостоверений, соглашений и много чего ещё.

Два опубликованных архива в распакованном виде весят более 7,52 ГБ и содержат в общей сложности более 10 тыс. документов. Причём материалы никак не сгруппированы, похоже, что был взломан какой-то общий архив. Кроме сканов документов, попадаются и какие-то личные фотографии, мемы, заставки и прочее, поэтому сложно оценить доподлинно, какой процент файлов — удостоверения личности.

Группировка ясно даёт понять, что знакома с заявлениями XakNet. Вероятно, публикация паспортных данных граждан РФ — ответная мера.

НеКасперский

Японцы делают вещи??

Баг в API для сброса паролей учетных записей E-commerce платформы Honda позволял получить доступ на уровня администратора к внутренним данным дилеров. Ранее аналогичную дыру выявили у Toyota Motor.

API сайта обрабатывал запросы на сброс пароля через подтверждение действующей электронной почты, не требуя от пользователя ни ранее используемого пароля, ни токена доступа.

Позже обнаружилась еще одна уязвимость типа IDOR, дававшая возможность получать доступ к любым данным, меняя только идентификатор в URL-адресе панели администратора.

Эксплуатация цепочки из пары уязвимостей позволяла всем желающим получить доступ к заказам компании за последние 7 лет, всей финансовой отчетности и 12 тыс. письмам, права админа к 1,5 тыс. дилерских сайтов и полный доступ к 3,5 тыс. аккаунтам, включая дилерские.

Уже устраненная компанией уязвимость затрагивала покупателей силового оборудования, садовой техники и лодочных моторов Honda, владельцы автомобилей и мотоциклов могут спать спокойно.

НеКасперский

NLB. 4 дня утечек. Итоги.

Вчера хакеры из NLB выложили финальные 3 из 12 баз данных российских компаний в открытый доступ. Грустным завершением всей этой истории стали дампы «Читай-город», «Эксмо» и «Роза Хутор».

Первый выделился наибольшей базой – почти 10 млн строк. Накопленные за 12 лет данные включили в себя 4,2 млн уникальных номеров телефонов и 9,6 млн уникальных почтовых адресов.

«Эксмо» отделался двумя дампами, в совокупности содержащими порядка полумиллиона строк с 500 тыс. уникальных почтовых адресов и 30 тыс. уникальных номеров. Второй дамп содержал данные за период с 2003 по 2023 год.

Сочинский курорт расстался с более чем 500 тыс. строками данных клиентов за период с мая 2018 года по май 2023, куда также попали порядка 400 тыс. уникальных номеров телефонов и 522 тыс. уникальных почтовых адресов. Ко всему прочему, теперь добавились и хешированные пароли.

По итогу, всего за 4 дня потенциально более 31 млн пользователей распрощались с конфиденциальностью своих номеров и почтовых адресов, если не учитывать возможные пересечения в дампах.

Выводы тут делать бессмысленно, их уже сделали те, кто просто умножили ₽60 тыс. на 12.

НеКасперский

Не только мы заметили

Многие исследователи, как и мы, отметили связь утечек с CMS от «1С‑Битрикс». После этого компания стала срочно давать пресс-релизы, с опровержением. В 1С подтвердили сотрудничество только с «ТВОЁ», «Аскона», «Твой Дом» и Book24. Также они подтвердили, что уязвимости были, однако их устранили более года назад в бесплатном обновлении безопасности. По мнению компании, причина утечек в том, что никто не обновляет их ПО.

Кроме «клиентов» 1С, в мае и июне утекли ещё чуть менее 10 млн строчек у 5 компаний не без участия отечественной CMS. Некоторые эксперты даже предполагают, что взломом уже занимаются ИИ, т.к. это весьма тривиальная задача.

Нам же кажется, что большая часть компаний не просто не обновляет ПО, они его пиратят. Можем также предположить, что некоторые используют поддельное ПО под видом оригинала с серым сервером обновлений. В таком случае, CMS и вовсе может содержать бэкдор. Иначе, сложно объяснить такое упорное непринятие обновлений безопасности. Особенно, учитывая настойчивость рассылки 1С.

UPD: Утечка Примсоцбанка уже 6-я по счёту, принесла в копилку ещё 90 тыс. строк

НеКасперский

Персональные данные ВСЕХ жителей Турции оказались в руках злоумышленников

Как сообщает издание Free Web Turkey, данные более 101 млн граждан были выставлены на продажу на веб-ресурсе «Sorgu Paneli». Предполагается, что утечка произошла из местных Госуслуг — «e-Devlet» и может включать в себя ФИО, домашние адреса, ID, номера телефонов, данные на недвижимость и информацию о членах семьи.

Эксперты подтвердили достоверность дампа, а среди образцов баз данных даже нашли сведения об Эрдогане. При этом официально утечку не подтвердили, хотя турецкая ассоциация MLSA заявила, что подаст иск в суд против МВД и властей, которые не принимают должных мер по предотвращению кражи этих данных.

О злоумышленниках пока ничего не известно, кроме того, что сайт начал работать 10 дней назад и зарегистрирован на Северном Кипре (тот который контролирует Турция).

Если всё подтвердится, то утечка станет крупнейшей в истории страны. Нам это напомнило инцидент с данным всех граждан Австрии.

НеКасперский