Пеппены туфельки

Хакеры связанные с ФСБ используют LNK-файлы с названиями о передвижении войск в Украине для распространения трояна Remcos RAT.

Группировка Gamaredon рассылает украинским службам архивы с ссылками, маскирующимися под офисные документы. Файлы содержат PowerShell-код, который скачивает и запускает вредоносные компоненты с серверов в России и Германии. Среди использованных приманок: «Вероятное расположение узлов связи, установок РЭБ и расчетов БПЛА противника», «Координаты взлетов противника за 8 дней».

Заражение происходит через DLL side-loading, легитимное приложение загружает вредоносную библиотеку, которая расшифровывает и внедряет Remcos в оперативную память. Злоумышленники используют только два компьютера для создания всех ярлыков, что помогло исследователям Cisco Talos связать кампанию с ФСБ.

НеКасперский

Крокодило бомбардиро

Эксперты обнаружили новый банковский троян для Android. Он активно охотится на пользователей в Испании и Турции, демонстрируя продвинутые возможности и практически полный контроль над устройствами жертв.

Crocodilus появился сразу как полноценная угроза, а не очередной клон. В его арсенале есть удалённое управление, чёрный экран для скрытия операций и продвинутый сбор данных через accessibility сервисы. Маскируясь под Chrome, троян обходит ограничения Android 13+ и действует как дроппер.

После установки Crocodilus запрашивает доступ к сервисам специальных возможностей, связывается с C2-сервером и получает список целевых банковских приложений с HTML-оверлеями для хищения учётных данных. Анализ кода указывает на турецкое происхождение разработчика.

Особенно коварен способ атаки на криптокошельки, вместо фальшивых страниц входа, троян показывает предупреждение о необходимости создать резервную копию сид-фразы в течение 12 часов, иначе «доступ к кошельку будет утрачен»

НеКасперский

Перемога и вообще взлом года

Атаке подверглись системы Единой диспетчерской службы Королёва, отвечающей за обработку обращений по вопросам ЖКХ, благоустройства и аварий.

Проукраинские хакеры заявили, что им удалось полностью зашифровать инфраструктуру, уничтожить 10 серверов и вайпнуть все резервные копии.

Они украли конфиденциальные сведения, нарушили работу телефонной связи, вывели из строя файловые хранилища, уничтожили EXSI среду и сделали восстановление виртуальных машин невозможным.

В качестве доказательств к посту прикреплены скриншоты, где можно увидеть, что у хакеров есть доступ к записям с камер видеонаблюдения, учётным данным сотрудников, внутренним файлам и др.

Автор публикации утверждает, что все пароли хранились админом в браузере. В бухгалтерии вообще оставили доступ к 1С, почте, клиентским базам и онлайн-банкингу в обычном .txt-файле на рабочем столе.

Неполадки можно заметить и на сайте ЕДС, там полностью сломалась верстка.

НеКасперский

Проверь точку

В даркнет попала конфиденциальная информация из скомпрометированной БД компании Check Point.

Автор публикации на BreachForums утверждает, что в его руках оказался «высокочувствительный набор данных». По его словам, файлы стоимостью $420 тысяч включают в себя:

• Контакты сотрудников
• Информацию о клиентах
• Карты внутренней сети
• Архитектурные схемы
• Хешированные и открытые пароли
• Проектную документацию
• Исходный код ПО
• Сведения о действующих контрактах

В качестве доказательств хакер приложил к посту скриншоты с образцами украденной информации. На них можно увидеть доступ к панели управления, различным функциям, ключам API с правами администратора и др.

Представители Check Point сообщили, что атака произошла ещё в декабре. Подробности случившегося не разглашаются, однако в компании утверждают, что автор поста сильно преувеличивает. Якобы украдены были только учётные данные с «ограниченными правами».

Хочется верить, но верится с трудом…

НеКасперский

Зато сэкономили

Новенькие Android-устройства могут быть заражены троянцем Triada ещё до того, как попадут в руки счастливого ведрофонера.

Исследователи сообщили, что гаджеты, купленные в неофициальных интернет-магазинах по низким ценам, содержат вредонос ещё на этапе производства или поставки. Троянец размещается в прошивке устройства, внедряясь в системный фреймворк.

Он позволяет преступникам красть учётные данные из популярных приложений, менять адреса криптокошельков, похищать цифровые активы, отправлять сообщения от имени владельца, удалять переписки, контролировать звонки и СМС, устанавливать вредоносные ПО и блокировать интернет-доступ к антивирусным сервисам.

В результате анализа транзакций стало известно, что разработчикам вредоносного ПО удалось перевести на свои счета более $270 тысяч крипте. В целях сохранения конфиденциальности они отдают своё предпочтение криптовалюте Monero.

Мошенническая схема напоминает механику работы вредоноса RedLine. Малварь способен подменять данные буфера обмена на адрес криптокошелька хакеров для кражи активов.

От новой версии Triada пострадало уже более 2,6 тысячи скряг, большая часть из которых проживает на территории РФ.

НеКасперский

Красная карточка

Касперский и Интерпол провели крупную операцию в Африке, задержав 306 подозреваемых и изъяв около 2000 устройств.

Операция Red Card охватила семь африканских стран и длилась с ноября 2024 по февраль 2025. Лаборатория предоставила Интерполу данные о вредоносных Android-приложениях и инфраструктуре злоумышленников. В Нигерии арестовали 130 человек, включая 113 иностранцев, за онлайн-казино и инвестиционное мошенничество. В Замбии поймали группу, которая через фишинговые ссылки заражала смартфоны вредоносным ПО для доступа к банковским приложениям.

Война-войной, а черных в Африке за мошенничество ловить это святое 😇

НеКасперский

Затмение

Исследователи обнаружили 46 критических уязвимостей, которые могут позволить хакерам захватить контроль над солнечными электростанциями и дестабилизировать энергосети.

Уязвимости с кодовым названием «SUN:DOWN» позволяют загружать вредоносные файлы на серверы, перехватывать учётные записи и получать доступ к инфраструктуре. Среди наиболее опасных — возможность загрузки .aspx файлов на сервер SMA для удалённого выполнения кода и уязвимости в Sungrow при обработке MQTT-сообщений.

Злоумышленник, получивший контроль над инверторами, может манипулировать подачей электроэнергии в сеть, создавая своеобразный закат раньше расписания.

Тем не менее, технология должна предполагать накопление энергии, трудно представить, как хакер может действительно навредить 🤔

НеКасперский

Упомянули

Проукраинские хакеры расстроились, что нас не впечатлил взлом какой-то системы ЖКХ из Королёва.

Поэтому делимся ещё одной их атакой, но уже на системы одного из подрядчиков Газпрома — Новые Газовые Технологии.

Ассоциация с 2012 года объединяет промышленный потенциал «крупнейших российских предприятий». Не знаем конечно, зачем она Газпрому, но её прибыль за 24 составила 19 тысяч рублей 🙂

Судя по скриншотам, хакеры подключились к святая-святых IT-отдела — доменной инфраструктуре Active Directory и хост-системе виртуализации Hyper-V.

Заявляется, что взлом затронул все уровни инфраструктуры, начиная от файловых хранилищ с паспортами сотрудников и заканчивая системой управления задачами с текущими проектами компании. Кроме того, хакеры уничтожили резервные копии VM.
Если это окажется правдой, то такая комплексная атака вынудит компанию фактически заново выстраивать всю IT-инфраструктуру.

В компании, кстати, молчат по этому поводу, никаких пресс-релизов, как всегда, не поступало.

НеКасперский

Симрар

Уязвимость в WinRAR позволяет запустить вредоносный код без предупреждения Windows о потенциальной опасности.

В WinRAR до версии 7.11 найдена брешь, связанная с обработкой символических ссылок. Если открыть специально созданную симлинк-ловушку, которая указывает на исполняемый файл, система безопасности Windows теряет бдительность и метка MOTW не срабатывает.

По итогу пользователь запускает вредоносный код без привычных предупреждений безопасности. Как мы знаем, для создания символических ссылок обычно нужны права администратора, но атакующие нашли способ этим воспользоваться и без них.

Разработчики уже выпустила патч, но кто-нибудь хоть когда-то обновлял свой пиратский WinRAR?))

НеКасперский

Без тревоги

Уязвимость в OpenVPN позволяет уронить серверы и оставить тысячи пользователей без защищённого соединения.

Баг затрагивает конфигурации со включённом параметром --tls-crypt-v2. Суть атаки в отправке комбинации авторизованных и вредоносных пакетов, нарушающих внутреннее состояние сервера. Когда неправильно сформированные данные попадают в подсистему tls-crypt-v2, сервер падает с ошибкой ASSERT(), разрывая все активные подключения. Однако злоумышленнику потребуется либо валидный ключ клиента, либо возможность внедрять пакеты во время TLS-рукопожатия.

OpenVPN уже выпустил исправление, но если апгрейд невозможен, рекомендуется временно отключить проблемную опцию, хотя это и снизит защиту от DPI.

НеКасперский

Скажи пароль

Ведрофоны вновь сливают личную информацию своих хозяев.

Новый шпионский софт скрывается на устройствах Android под видом обычных системных настроек. Иконка приложения не отображается. Всё это благодаря встроенным опциям, позволяющим «накладывать окна» поверх других приложений.

Также софт эксплуатирует функцию «администратор устройства», позволяющую удалённо управлять телефоном жертвы. Обычно её используют крупные организации для работы с гаджетами своих сотрудников.

Если пользователь попытается удалить приложение, то на экране высветится запрос пароля. Заветный код знает только тот, кто установил шпионское ПО. Неверный ввод комбинации блокирует возможность избавиться от злополучной программы.

Благодаря софту в руках преступников могут оказаться сообщения, фотографии, а также геолокация в режиме реального времени.

НеКасперский

Взлом по-королевски

В даркнет попала информация из БД Королевской почты Великобритании.

Соответствующее объявление на этой неделе было опубликовано на BreachForums. Автор поста утверждает, что ему удалось скомпрометировать более 16 тысяч файлов объёмом 144 ГБ, включающих в себя:

• ПДн клиентов
• Адрес доставки
• Списки рассылки Mailchimp
• БД Wordpress SQL для mailagents
• Конфиденциальные документы
• Видеозаписи встреч в Zoom между Spectos и Royal Mail Group

Представители Royal Mail заявили, что утечка произошла из-за взлома систем стороннего поставщика услуг по сбору и аналитике сведений Spectos GmbH.

Исследователи полагают, что хакеры получили доступ к системам пострадавшей организации с помощью учётных данных сотрудников, полученных в результате атаки с вредоносным ПО в 2021 году.

В прошлый раз Royal Mail взламывали январе 2023 года. Тогда компания пострадала от программы-вымогателя LockBit.

НеКасперский

Нам по пути

Внутренняя документация тюменской газовой компании Евротехсервис оказалась в открытом доступе — это компания с годовым оборотом 7,7 млрд рублей, обслуживающая грузовую и дорожно-строительную технику.

В руки злоумышленников попали данные бухгалтерии, sales-отдела и рабочие файлы руководства. Под ударом также контактные данные контрагентов и около 20 тысяч строк обращений с сайта. Утечка затронула ФИО, почту, телефоны и места работы клиентов.

Следом хакеры анонсировали публикацию дополнительных 4 ГБ документов, включая налоговую отчётность, данные о зарплатах, кредитах, инвентаризациях, а также тендерную документацию. По их словам, материалы уже переданы в ФНС. Самое странное в этой истории — злоумышленники якобы получили благодарность от налоговиков за «сотрудничество».

Вот такая цифровая прозрачность бизнеса против воли. Вот такая вот роль ФНС 😇

НеКасперский

Жовто-блакитный дрифт

Украинская группа Yellow Drift взяла на себя ответственность за нападение на Информационно-технический центр Томской области.

Хакеры утверждают, что им удалось атаковать более 230 виртуальных и 40 физических серверов Областного государственного казённого учреждения. В результате случившегося они украли свыше 260 ТБ данных.

По словам преступников, скомпрометированная информация включает в себя ПДн участников СВО, внутренние документы с информацией о погибших и раненых мужчинах из Томской области, а также сведения для служебного пользования.

Соответствующее объявление они сделали в своих социальных сетях. В качестве доказательств хакеры прикрепили к публикации скриншоты с образцами украденных сведений.

Участники группировки заявили, что им удалось уничтожить ИТ-инфраструктуру организации, однако работа учреждения была восстановлена благодаря резервным копиям данных.

НеКасперский

Двойная игра

Клинеры из App Store сливают ваши данные третьим лицам.

Приложения для очистки памяти и оптимизации производительности устройств содержат трояны, передающие пользовательские данные брокерам и специалистам по рекламе.

Этим грешат чистильщики из подборки десяти самых популярных приложений площадки. В списке шпионов оказались Cleanup, Cleaner Guru, AI Cleaner, Swipewipe, Mighty Cleaner и др.

Для полноценной работы клинерам необходим полный доступ к гаджету. Это вполне логично, ведь они удаляют ненужные файлы и управляют хранилищем. Трояны злоупотребляют этим, запрашивая полные права на сбор пользовательских данных, сведений об устройстве и другой конфиденциальной информации.

Примерно 70% приложений сливают дополнительные записи. Главным предателем оказался Cleaner Kit от BPMobile. Он делится девятью типами данных, в числе которых точная геолокация, история покупок и рекламные сведения.

Что-то здесь нечисто 🤔

НеКасперский

Головная боль

Опять тысячи роутеров TP-Link пострадали от нового ботнета Ballista.

Хакеры используют уязвимость в устаревших маршрутизаторах Archer AX-21. Вредоносное ПО распространяется с помощью специального скрипта, устанавливающего связь с сервером управления преступников.

Ballista позволяет преступникам выполнять удалённый код и управлять устройством жертвы. В ходе таких кампаний хакеры могут совершать DDoS-атаки, уклоняться от обнаружения, маскируя свой трафик, и автоматически распространять ботнет на другие устройства.

Этот недуг охватил более 6 тысяч устройств по всему миру. Активность ботнета была зафиксирована в Польше, Турции, Болгарии, Бразилии, Великобритании, Мексике, Китае, Австралии и США. Среди пострадавших оказались организации, работающие в сфере здравоохранения, производства, технологий и сервизных услуг.

Ballista схож с давно известными Mirai и Mozi, однако исследователи отмечают, что новый ботнет является обособленной угрозой.

Ещё одна заноза 🥴

НеКасперский

Сдаётся в аренду

Преступники арендуют аккаунты в WhatsApp, чтобы реализовывать мошеннические схемы.

В погоне за лёгкими деньгами пользователи передают третьим лицам временный доступ к приложению. Однако по ту строну экрана орудуют колл-центры, рассылающие всем контактам сообщения с просьбами дать денег взаймы.

Этот «способ заработка» стал особо популярным среди молодых девушек и школьников, желающих нажиться без особых усилий. Хоть и незаконность этой деятельности очевидна, мамкины предприниматели охотно соглашаются на выгодные условия преступников.

Тренд на аренду аккаунтов настолько завирусился, что в МВД решили выпустить официальное предупреждение. Правоохранители пишут, что передав учётную запись третьим лицам, пользователи рискуют стать соучастниками преступления.

В пример они привели самого молодого участника схемы. Им оказался десятилетний ребёнок, предоставивший свой аккаунт за 1,5 тысячи рублей.

Парня жизнь заставила 🥲

НеКасперский

Отключайте телефоны

На продажу была выставлена БД «потребителей газа» по Республике Башкортостан.

Соответствующее объявление появилось на просторах даркнета. Автор публикации пишет, что в его руках 4 миллиона строк, включающих себя:

• ФИО
• Адрес
• Номер телефона
• Тип оборудования
• Срок эксплуатации
• Планируемую дату ТО
• Срок проверки счётчика
• Техническую информацию о газовом оборудовании

Заявлено, что актуальность скомпрометированной информации датируется периодом с 1980 по 2025 год.

Продавец оценил БД в 5 миллионов рублей. Такую сумму он объясняет тем, что украденные сведения покупались частями «за большие деньги». По его словам, данные будут востребованы аж до 2034 года.

Автор поста сообщил, что готов продемонстрировать ФИО, номер и адрес. Только надо заплатить 1 рубль за строку.

Башкирцы, вы там это… не пыхайте

НеКасперский

На дно утащили

Проукраинская Yellow Drift заявила о взломе систем российской аудиторско-консалтинговой компании «Финансовые и бухгалтерские консультанты».

Участникам жовто-блакитной группы удалось скомпрометировать конфиденциальные сведения, включающие:

• ПДн сотрудников
• Данные клиентов
• Договоры
• Налоговый учёт
• Сканы документов
• Внутренние проекты
• Фото с корпоративов

В качестве доказательств преступники прикрепили к посту ссылку на фрагменты украденной информации. Компания-жертва потянула за собой и своих заказчиков, слитых файлах упоминаются такие корпорации, как «Газпром», «Россети Кубань», «Сахалинская энергия» и др.

Хакеры утверждают, что в открытый доступ выложена лишь малая часть скомпрометированной информации. Официальных комментариев пострадавшая организация не даёт, поэтому точный объём ущерба пока неизвестен.

Дебет с кредитом сводят 🤷🏻‍♂️

НеКасперский

2,7 миллиарда убытков Positive Technologies. Откуда.

Об отрицательном росте за прошлый год и раздутых расходах компания вчера отчиталась перед инвесторами.

В отчёте заместитель гендира Максим Филиппов открыто назвал прошедший год провальным. По его словам, топ-менеджмент компании хотел вырасти в два раза быстрее рынка, но по факту компания не росла вообще. За прошлый год чистый долг компании увеличился шестикратно с 3 до 19 миллиардов рублей.

Если простым языком, менеджмент ожидал, что продаст вдвое больше, чем в прошлом году. Поэтому они буквально раздули расходы на 50%, почти до 18 млрд, закатывая дорогущие мероприятия и конференции. В итоге продаж нет, а расходы огромные.

Потерянный финансовый год объясняют 21-ой причиной, они в основном связаны с позиционированием отдела продаж, новых продуктов, трансформацией и прочим, но такие результаты можно было и предсказать.

К концу прошлого года ФСБ отобрала у компании лицензию НКЦКИ, которую они смогли переподписать только в начале января. Кроме того, в начале февраля стало известно о массовых сокращениях в рядах компании, которыми пытались сократить космические расходы.

Рынок, кстати, о крахе Positive Technologies знает уже давно. Акции компании на МОЕХ падают уже почти год, теряя на данный момент более 60% стоимости. Дивиденды, очевидно, они тоже никому платить не будут.

Негативы 🧠

НеКасперский

Иностранные специалисты

Северокорейские фрилансеры продолжают донимать западные компании.

От деятельности программистов из КНДР пострадали уже несколько организаций из списка Fortune 500. Эти «специалисты» выдают себя за американских разработчиков, используя подставные аккаунты в Linkedin и устраиваются на несколько позиций сразу.

Чтобы всё выглядело естественно, а работа была легальной, корейцы подделывают документы и используют VPN. Об одном из таких способов мы уже рассказывали. Зачастую для этих целей они используют украденные ПДн граждан США.

Такие сотрудники направляют свои «кровные» режиму Ким Чен Ына для финансирования сладостей и пряностей вроде программ оружия массового уничтожения и баллистических ракет.

Таким способом северокорейские фрилансеры уже в течение семи лет ежегодно выжимают из компаний-жертв сотни миллионов. Это так много для Северной Кореи, что подобный доход в бюджет страны является чуть ли не самым крупным после, разумеется, кражи криптовалюты.

НеКасперский