Слона не приметили

Украинских хакеров подозревают в причастности к кибератаке на «Free Download Manager».

Ранее мы упоминали о вредоносной кампании, которая длится уже более трёх лет. Сайт менеджера загрузок обслуживал пользователей Linux вредоносным ПО, которое всё это время тайно похищало пароли и другие конфиденциальные сведения.

«Этот вор собирает такие данные, как системная информация, история просмотров, сохраненные пароли, файлы криптовалютных кошельков, а также учетные данные для облачных сервисов (AWS, Google Cloud, Oracle Cloud Infrastructure, Azure)», — поделились исследователи «Лаборатории Касперского» Георгий Кучерин и Леонид Безвершенко.

Несколько недель назад FDM опубликовали обращение, где признали факт компрометации и предположили, что это дело рук украинских хакеров. В сообщении говорится о том, что потенциально пострадала лишь небольшая группа пользователей.

Вероятно, именно из-за этого ограниченного масштаба проблема до сих пор оставалась незамеченной.

НеКасперский

Никаких протезов

Проукраинские хакеры из UHG получили доступ к данным предположительно российского производителя медицинских ортопедических изделий ГК «Никамед».

К посту с заявлением они приложили скрины с файлами, в которых содержатся все конфиденциальные сведения компании за последние несколько лет.
В их арсенале:

• ФИО
• Номера телефонов
• Доступ к чатам
• Типовые документы
• Архивные данные

Буквально три дня назад мы рассказывали о том, что эта же группировка взломала и положила веб-страницу отечественного сервиса аренды жилья «Форенто» и сайт туристических поездок по Крыму.

НеКасперский

Уже 6-й пост пишем...

По мере продвижения по тексту будем оставлять ссылки на предыдущие посты, потому что их уже просто так не перечислить. T-Mobile вновь допустил утечку ПДн из учётных записей сотрудников и клиентов, данные о продажах и прочее.

Данные опубликовали на BreachForums, весят они около 90ГБ, выкачали их в апреле 2023. Среди прочего в дампе содержатся:

• Частичные номера социального страхования
• Адреса электронных почт
• Данные клиентов и сотрудников
• Продажи
• Аналитику бизнеса

На данный момент информацию о взломе в компании не подтвердили, хотя пост на теневом форуме висит уже 3 дня. Инсайдеры сообщают, что данные выгрузили уже после мартовского взлома систем оператора.

Куда дальше падать просто непонятно. Странно уже говорить о том, что утечка понесёт репутационные риски, потому что к шестой утечки с 2021-го никакой репутации у T-Mobile просто-напросто не должно было остаться. Заплатят штраф, эквивалентный доле процента от их прибыли и пойдут дальше дела делать 👍🏼

НеКасперский

Китайцы спохватились

Министерство госбезопасности поднебесной обвинило спецслужбы США в масштабных кибератаках на инфраструктуру Huawei.

Об инциденте 2009 года вспомнили из-за того, что на серверах Китайского Северо-западного политехнического университета был обнаружен «Second Date». Вредонос, как считают власти, был создан в рамках специальной миссии АНБ США и заражал тысячи устройств по всему миру: Китай, Германия, Япония, Южная Корея, Индия и Тайвань.

КНР провели нить с атаками на Huawei 14-летней давности. Правда, вот как именно они решили, что это совпадение — не сообщается. И написали они об этом почему-то в WeChat’е.

Известно, что малварь представляет собой кроссплатформенное ПО, способное отслеживать и перехватывать сетевой трафик, а также осуществлять инжекты вредоносного кода. Об этом подробно заранее написали в прогосударственных китайских СМИ.

Вроде бы обычно это США обвиняет Huawei в посягательстве на национальную безопасность 😕

НеКасперский

CoinEx плюс один

Блокчейн-платформа Mixin Network временно приостановила услуги по вводу и выводу средств в связи с крупной кибератакой.

Согласно заявлению представителя компании, эксплойту подверглась база данных поставщика услуг, что привело к потерям около $200 млн в крипте из основной сети.

По большей части от атаки пострадали BTC и ETH активы, в то время как BOX и собственный токен платформы XIN, остались нетронутыми. Кроме того, в официальном заявление компании говорится, что они готовы компенсировать до 50% убытков пользователям, а оставшуюся часть предложат в виде облигационных токенов, которые будут выкуплены позже.

Mixin уже наняла компанию по блокчейн-безопасности SlowMist, которая, кстати, обнаружила и сообщила о взломе ещё 23 сентября. Пока команда платформы работает над восстановлением, к расследованию привлекли даже Google. На данный момент известно лишь предположение экспертов SlowMist о возможной причастности Lazarus Group, которые ранее уже успели отличиться.

НеКасперский

SireniBolsheNet

Горящие путевки на осень еще остались.

Ноунейм хакеры из Muppets на днях сообщили о взломе базы данных «Сирена-Трэвел». Компания является одним из главных поставщиков информационных бизнес систем для множества предприятий авиационной и туристической отраслей России и не только.

В свободном доступе оказались два файла, содержащие суммарно более 17,5 млн строк персональных данных, в числе которых:

• ФИО пассажира
• паспортные данные (не у всех)
• код аэропорта
• телефон (4 млн уникальных)
• почта (520 тыс. уникальных)
• авиакомпания
• тариф
• номер рейса
• номер регистрации
• сведения о билете

Сведения актуальны на период с 2007 по 2023 год.

С момента утечки прошло уже более 6 дней, а компания так и не дала внятного комментария.

НеКасперский

Верим?

Российско-украинские хакеры из Ransomed.vс заявили, что выпотрошили все системы Sony.

Похищенные сведения хакеры сразу же выставили на продажу на теневой площадке по цене $88 млрд понимая, что Японцы откажутся платить выкуп.

Сведения включают в себя более 6 тыс. конфиденциальных файлов компании, часть которых уже была демонстративно опубликована в виде скриншотов. На них видно какую-то страницу авторизации, слайды внутренней презентации, некоторые Java-файлы и дерево файлов, в котором более 6 тыс. наименований на японском языке.

О самой группировке пока мало что известно. Ransomed.vс существуют на просторах даркнета чуть меньше месяца и являются операторами одноименной программы вымогателя. Однако, им как-то удалось добраться до уровня ребят из Clop, ранее опрокинувших сервера не менее крупных компаний, в том числе Sony Group.

Слоган компании «Make. Believe» можно перевести как «Сделай вид, что веришь», хотя в Sony упорно игнорируют факт утечки. С другой же стороны заявления хакеров не выглядят убедительными, как и сам факт существования каких-либо российско-украинских объединений.

НеКасперский

Всем сестрам по серьгам

Правительство РФ поддержало бонусную программу от Минцифры о выплате денежных компенсаций пользователям, пострадавшим в результате утечки ПДн.

Выплата будет рассматриваться в качестве «обстоятельства, смягчающего наказание». Однако, достойна ли компания такого снисхождения будут решать сами пострадавшие, отказавшись или приняв компенсацию.

Механизм выплат следующий:

• Уведомление компанией всех пострадавших пользователей об утечке.
• Самостоятельная подача пользователем заявления на возмещение ущерба через Госуслуги в срок до 15 рабочих дней.
• Рассмотрение компанией поданных заявок и расчет объема денежных выплат, уведомление пользователей.
• Подтверждение согласия или отказ от предложенной компенсации пользователем. В случае, если на предложенные условия согласились более 80% пользователей, компания обязана перечислить средства в течение 5 рабочих дней.

О том, будет ли бессрочная «акция» распространяться на уже утёкшие ПДн — не уточнили. Загадкой остается и то, будет ли при определении ущерба учитываться наличие данных почти всех Россиян в открытом доступе.

НеКасперский

И по IP вычислять не нужно

На отечественном теневом форуме глава KillNet разместил объявление о продаже полного доступа к админ-панели одного из испанских интернет провайдеров.

За $5500 KillMilk обещает много всего, в том числе:

• Просмотр посещенных IP-адресов (более 29 млн)
• Управление IPv4
• Полный доступ к ЛК клиентов с возможностью их редактирования (1700)
• ПДн пользователей: Пароль, ФИО, адрес, телефон, почта, компания
• Подключенные клиентом услуги, которые можно изменить
• Все обращения в поддержку
• Просмотр почты и СМС
• Карта клиентов

Как, когда и где была совершена атака, пророссийский хакер не рассказал, как и не сообщил название пострадавшего провайдера. Кроме того, сообщений о взломе нет ни в отечественном, ни в испанском инфополе.

НеКасперский

Редакцию не пустили на самолёт 🥺

Сегодня утром тысячи россиян столкнулись с глобальным сбоем системы бронирования авиабилетов «Леонардо».

Из-за DDoS-атаки, отражаемой Ростехом, пассажиры столкнулись с проблемами при регистрации на стойках в терминалах и онлайн, отменам и сбоям оплаты. В одном только Шереметьево задержали вылет как минимум 7 рейсов. Некоторым пассажирам в Нижнем Новгороде начали выдавать посадочные талоны, заполненные от руки.

Системой пользуется почти все российские авиакомпании, о проблемах в публичных обращениях уже заявили в Аэрофлоте, Победе и Северстали. Из-за атаки, она стала неработоспособной более чем на 2 часа.

Ростех тут не замешан не просто так. «Леонардо» — проект аффилированной «Сирена-Тревел». На систему бронирования вынудили перейти более 60 российские авиакомпании и в год она регистрирует около 5 млн пассажиров.

UPD: Атаки на систему возобновилась. Ростех сообщает, что она ведётся с территории территории нескольких стран, включая, неожиданно, и Украину.

НеКасперский

Их ИБшникам теперь нужно искать работу

Проукраинские хакеры из UHG претерпевают уже вторую блокировку своего телеграмм-канала. Тем не менее, они потихоньку ещё дышат и выкладывают дампы всяческих российских компаний.

Сегодня они опубликовали базу аналога hh — «Твоё будущее — работа и учёба».

В утечке отечественного сервиса для поиска работы чуть более 120 тыс. строчек, содержащих данные анкет пользователей:

• ФИО (не у всех)
• Телефон
• Почту
• Должность
• Прочая информация

Актуальность данных самая свежая, последняя запись сделана сегодня утром.

Подобного рода сервисы выгодная цель для хакера. Они, как правило, слабо защищены и содержат много подробностей о биографии пользователей. Например, в середине июня уже украинскую биржу труда взламывали KillNet.

НеКасперский

«Лучшее и единственное, что вы можете сделать — связаться с нами»

По-настоящему гигант в сфере автоматизации зданий Johnson Controls столкнулся с массированной атакой вымогателей из Dark Angels.

Атака началась с взлома азиатских офисов компании. Чтобы хоть как-то предотвратить распространение зловреда, они отключили часть своих IT-систем, но это привело к сбоям при авторизации и на клиентских порталах. Об ошибках отчитались три дочки компании.

Вымогатели смогли украсть более 27ГБ корпоративных данных, а затем зашифровать виртуальные машины VMWare ESXi. Они требуют от конгломерата выкуп в размере $51 млн.

В Johnson Controls работает более 100 тыс. человек, включая 7 дочерних компаний в более чем 150 странах мира.

НеКасперский

Планка продолжает падать

Bing успел зарекомендовать себя как один из множества дырявых продуктов Microsoft. Теперь он и вовсе может стать главным врагом самых доверчивых пользователей.

Выяснилось, что ответы, генерируемые чат-ботом могут содержать ссылки на вредоносные ресурсы. Всё дело в задекларированном Microsoft механизме сервиса, который позволяет перенаправлять пользователей из чата напрямую на рекламное объявление.

Злоумышленники используют недоработку для интеграции вредоносных источников прямо в чат-бот, подменяя легитимные источники на фишинговые веб-ресурсы для кражи пользовательских данных или распространения вредоносного ПО.

К слову, похожую дыру обнаружили в поисковике Bing еще в середине весны этого года. Несмотря на очевидную схожесть в цепочках эксплуатации обеих уязвимостей, явных параллелей никто из исследователей не провёл.

НеКасперский

Это уже было в Симпсонах России

Не только у нас используют ИИ для поиска запрещенной информации в сети.

Подобным способом Национальное полицейское управление Японии теперь предотвращает киберпреступления. Новоиспеченный ИИ автоматически проводит детальный поиск информации на просторах сети, выделяет подозрительный контент из множества фрагментов онлайн-информации и анализирует слова и контекст.

Только за прошлый год страна столкнулась с более чем 12 тыс. киберпреступлений. До текущего момента полиция обращалась за помощью частных агентств, которые в свою очередь по ключевым словам искали в сети подозрительную активность.

К слову, РКН не так давно аналогичным образом начал модерировать контент для предотвращения распространения фейковой и противозаконной информации на просторах рунета.

НеКасперский

Разрывная

Украинцы ловят очередной привiт от Солнцепёка. В этот раз хакеры вытащили из ещё одних незалежных провайдеров Harnet и Faust много чувствительных данных, не забыв положить и саму их IT-инфраструктуру.

Компании обеспечивают работоспособность 2-го территориального узла правительственной связи Госспецсвязи Украины, узла связи Генштаба ВСУ A0565, районных администраций Киевской области и подразделения теробороны.

К тому же, осколками от кибератаки Солнцепека посекло и кукраинскую IT-компанию Art-master — одного из главных поставщиков для «кошельков» ВСУ в лице крупнейших банков страны. Последние, к слову, тоже не забывают терпеть.

Визги CERT-UA слышны от Калининграда до Дальнего Востока.

НеКасперский

Дорогие подписчики, статья!

В эти выходные рассказываем вам о судьбах компаний, чьи системы подверглись атаке шифровальщиков. Кто из злоумышленников требует выкупа, какой рекордный выкуп запрашивали негодяи и почему не следует вестись на поводу у хакеров.

Приглашаем к прочтению и обсуждению. Ваш фидбек ждём в комментариях 👇🏼

НеКасперский

Остерегайся молчаливых

Потенциальной мишенью для атак хакеров стали тысячи серверов, использующих агент передачи почты Exim. Критические уязвимости позволяют злоумышленникам удаленно выполнять вредоносный код без взаимодействия с пользователем.

Команда Exim уже занялась исправлением трёх уязвимостей, однако статус остальных пока остаётся в тайне.

Exim используется на 56% из 602 000 почтовых серверов, доступных в Интернете. Всего в сети около 3,5 млн серверов работают на Exim, большинство из которых находятся в США, России и Германии.

В ZDI сообщают, что агента передачи почты уведомили о текущем положении ещё в июне 2022 года, но ситуацию придали огласке только через год — в 2023. Публично информация стала доступна только к концу этой недели.

«Проблема возникает из-за отсутствия надлежащей проверки данных, предоставленных пользователем, что может привести к записи за пределы буфера», — объяснили в рекомендациях по безопасности ZDI.

UPD: Вышло обновление безопасности с фиксом всех CVE.

НеКасперский

Союз, скреплённый ненавистью

Хакерская группировка Siegedsec устроила атаку на электронную инфраструктуру НАТО. В сети злоумышленники уже начали сливать информацию о похищенных данных.

Они скомпрометировали порядка шести порталов НАТО, украв оттуда внутренние документы и личные данные сотрудников альянса: совместное расширенное распределённое обучение, «Извлечённые уроки НАТО» (331 документ), портал логистической сети (558 документов и других файлов), портал сотрудничества сообществ по интересам, портал инвестиционного отдела (207 документов) и бюро стандартизации (2116 документов).

Трапо-хакерам удалось выгрузить более 3 тыс. файлов общим объёмом более 9 ГБ. В данном случае взломщики подчёркивают, что кибератака на портал НАТО, как и в прошлый раз, связана с намерением нарушить межправительственные союзы между большими странами.

НеКасперский