Водяная яма

Северокорейская Lazarus более года следила за организациями из Южной Кореи в ходе операции SyncHole.

В рамках кампании атакующие использовали скомпрометированные южнокорейские сайты — тактику Watering Hole для заражения устройств зловредами ThreatNeedle и SIGNBT.

После этого они экспулатировали уязвимость в ПО государственном корпоративном файлообменнике Nnorix Agent. Там же исследователи позже выявили ранее неизвестную брешь, с помощью которой хакеры могли осуществлять загрузку произвольных файлов.

Так, ThreatNeedle обнаружили в корпоративной сети одной южнокорейской организации. Вредонос запускался внутри легитимного процесса SyncHost.exe, который является частью ПО Cross EX для защиты браузеров.

Таким способом атакованы минимум шесть компаний из сфер ИТ, финансов, телекоммуникаций и др. Кампания длилась с ноября 2024 по февраль 2025.

Ранее Lazarus была замечена за кражей активов из ByBit. Похоже, «охотники за головами» плохо справляются 🤔

НеКасперский

К вам гости

В даркнете оказались скомпрометированные документы порядка семи управляющих компаний Санкт-Петербурга.

По данным DLBI, хакер получил доступ к сведениям в формате MS Excel, Word и PDF. Украденные файлы включают в себя:

• ФИО
• Номер телефона
• Адрес
• Заявки в УК

В дампе упоминаются названия таких организаций, как Северный стиль, Эрмитаж, Гринлэнд, СтройЛинк сервис, Правило комфорта, Зелёный проспект и др.

Актуальность скомпрометированной информации датируется 18 апреля 2025 года.

По словам хакера, документы удалось украсть из сервера онлайн-проекта КВАДРО.РУ для автоматизации жилищно-коммунального хозяйства.

Теперь за вами следят не только соседи 🤫

НеКасперский

Ведрошпион

Хакеры следят за российскими военными с помощью модифицированной версии навигатора Alpine Quest.

Зловред под видом бесплатного обновления для Android распространялся через Telegram-каналы. Там публиковались ссылки на установку и прямой APK-файл с вредоносным кодом.

После установки ПО запрашивает доступ к контактам, геолокации и хранилищу. При получении разрешений троян собирает информацию, сливает её на управляющий сервер и в Telegram-бот хакеров.

Данные сохраняются в отдельный файл. Когда его вес превышает 100 МБ, он автоматически удаляется и заменяется новым. Такой способ помогает накапливать сведения без привлечения внимания.

Больше всего шпионы заинтересованы в логах маршрутов Alpine Quest и личных документах, которые пересылаются через Telegram или WhatsApp. Для кражи этих файлов троян может загрузить дополнительные модули.

Совет один — скачивать приложения из Google Play. Однако, как показывает горький опыт, это не даёт никаких гарантий 🤷🏻‍♂️

НеКасперский

Невидимка

Раскрыли серьезную уязвимость в инструментах безопасности Linux. На этот раз все дело в механизме io_uring, полностью обходящем мониторинг системных вызовов.

Асинхронный интерфейс io_uring позволяет приложениям выполнять различные действия в обход традиционных syscall. Из-за этого большинство инструментов безопасности, включая Falco, Tetragon и Microsoft Defender, оказались слепы к вредоносной активности.

Исследователи создали POC-руткит, работающий полностью через io_uring. Их эксперименты показали, что в то время как классические вредоносы легко блокируются, руткит на io_uring остается невидимым для большинства систем мониторинга.

Проблема затрагивает практически все инструменты безопасности, использующие eBPF для наблюдения за системными вызовами. Хотя некоторые вендоры уже выпустили исправления, отрасль в целом пока остается уязвимой к таким атакам.

НеКасперский

Закат европейской цивилизации

Сегодня несколько Европейских стран погрузилось во тьму из-за масштабного отключения электроэнергии.

Жители Германии, Испании, Португалии и Франции столкнулись с проблемами примерно в 12:30 по местному времени. Перебои с электроснабжением привели к остановке работы аэропортов, ЖД, больниц, метро, светофоров, общественного транспорта, сотовой связи и др.

Официальных заявлений о причинах случившегося нет. По данным СМИ, Национальный центр разведки Испании полагает, что такой коллапс мог произойти из-за кибератаки.

Португальский оператор REN, в свою очередь, считает, что сбой вызван «редким атмосферным явлением», иными словами всему виной экстремальные перепады температур 🤡

Как бы то ни было, окончательное заключение будет сделано позже. Сейчас все силы направлены на восстановление систем. По оценкам национального оператора электросетей Red Eléctrica, работы могут занять от шести до десяти часов.

НеКасперский

Трюм течёт

Хакеры R00TK1T объявили о взломе TikTok, выгрузив в сеть данные почти миллиона пользователей. По их заявлениям, к ним попали не только логины и пароли 972 тысяч аккаунтов, но и возможность удалять профили жертв без их ведома.

Группировка утверждает, что неоднократно предупреждала ByteDance о проблемах безопасности платформы, но была проигнорирована. Как доказательство успешной атаки, хакеры опубликовали скриншоты удалённых аккаунтов и фрагменты похищенной базы данных.

TikTok уже начал расследование инцидента, но заявляет об отсутствии подтверждений взлома такого масштаба. Компания рекомендует пользователям сменить пароли и включить двухфакторную аутентификацию.

Эксперты по кибербезопасности призывают к осторожности при оценке заявлений R00TK1T: «Группировка известна преувеличением масштабов своих действий для привлечения внимания». Первичный анализ выложенных данных указывает, что часть информации может быть взята из старых утечек.

НеКасперский

Предпраздничный

Новосибирский провайдер «Сибсети» атакован DDoS-волной, затронувшей личные кабинеты и мобильные приложения клиентов во всём сибирском регионе.

Массированная атака началась сегодня утром, когда злоумышленники решили «поздравить» компанию перед майскими праздниками. По сообщениям оператора, хакеры методично перегружают серверную инфраструктуру множественными запросами, что привело к нестабильной работе клиентских сервисов и затруднению связи с техподдержкой.

Под удар попали не только новосибирские системы, но и филиалы в Новокузнецке, Кемерово и Красноярске. Компания обслуживает 39 городов по всей Сибири, предоставляя интернет, IP-телефонию и цифровое ТВ.

Специалисты уже работают над фильтрацией вредоносного трафика и восстановлением работоспособности сетевой инфраструктуры. Абонентам рекомендуют воздержаться от повторных обращений в поддержку до стабилизации ситуации.

НеКасперский

Офлайн-шпионаж

Французский разработчик игр Ubisoft взял пример с Pokemon GO и сначала следить за пользователями даже в режиме офлайн.

Об этом стало известно, когда Европейский центр цифровых прав NOYB пожаловался на компанию в органы по защите данных Австрии.

Первым звоночком стало требование Ubisoft обязательно подключаться к интернету и входить в аккаунт даже в тех играх, которые не имеют никаких онлайн-функций. В противном случае юзеров ждёт отказ в доступе.

Во время проверки выяснилось, что всего за 10 минут Far Cry Primal установила соединение с внешними серверами около 150 раз. Среди получателей данных оказались Google, Amazon и Datadog.

В техподдержке это явление оправдывают наличием Лицензионного соглашения, позволяющим Ubisoft собирать ПДн для получения информации об «игровых привычках». Позже стало известно, что заявитель не разрешал обрабатывать свои данные.

Теперь от Ubisoft требуют удалить собранные сведения и выплатить штраф в размере €92 миллиона.

НеКасперский

Воздушно-десантный

Уязвимость позволяла хакерам следить за миллионами пользователей продукции Apple в режиме реального времени.

Исследователи из Oligo нашли AirBorne в комплекте разработчика AirPlay. Эта функция призвана отправлять аудио, фото и видео с гаджетов типа iPhone, iPad и Mac на беспородные устройства по сети Wi-Fi.

Однако, хакеры начали использовать эту опцию в своих целях. Они подключались к той же сети Wi-Fi, что и жертва, а затем получали доступ к SDK AirPlay от Apple и роутеру.

В результате взлома атакующие могли скомпрометировать конфиденциальные данные, а также шпионить за пользователями через микрофоны умных колонок, смартфонов, ноутбуков и др.

От этой схемы пострадали десятки миллионов сторонних устройств с поддержкой AirPlay. Хоть Apple и устранила очередную проблему в последних версиях своих ОС, многие гаджеты могут быть уязвимыми по сей день.

Зная как у нас следят за обновлениями, то ли ещё будет…

НеКасперский

Форумопад

Хакерский форум BreachForums в очередной раз ушёл в офлайн из-за использования уязвимости нулевого дня в PHP.

Администрация сайта признала, что форум работал на устаревшей версии MyBB без критических патчей безопасности. Это позволило неизвестным злоумышленникам получить доступ к инфраструктуре.

Новый владелец площадки под ником Momondo, утверждающий связь с оригинальной командой основателя Pompompurin, пообещал возродить ресурс на новом домене с расширением .SX. Он публично дистанцировался от прежней админки, включая недавнего владельца, которая не смогла запустить обещанную четвертую версию сайта.

Примечательно, что накануне атаки на целевой странице форума появилось объявление о продаже резервной копии базы данных и исходного кода всего за 2000 долларов.

Администраторы отрицают аресты членов команды, но многие пользователи сомневаются в жизнеспособности площадки после стольких падений.

НеКасперский

Высушено

Новая APT-группировка Earth Kurma активно атакует госучреждения и телеком-компании Юго-Восточной Азии с помощью продвинутых руткитов и облачных сервисов.

Злоумышленники действуют как минимум с ноября 2020 года, используя для кражи данных Dropbox и OneDrive через инструменты TESDAT и SIMPOBOXSPY. Для сохранения незаметного присутствия хакеры задействуют руткиты KRNRAT и Moriya, которые успешно обходят защитные механизмы.

Атаки сосредоточены на Филиппинах, Вьетнаме, Таиланде и Малайзии. Группа применяет сетевые сканеры вроде Ladon для изучения инфраструктуры и использует живущие-поверх-земли техники для внедрения вредоносного кода.

Исследователи нашли пересечения с инструментами ToddyCat и TunnelSnake, но точную связь установить пока не удалось.

НеКасперский

Моя хата с краю

Более 700 сайтов не работают на территории Северо-Кавказского федерального округа.

С 14 апреля абоненты местных провайдеров жалуются на проблемы с подключением к таким зарубежным ресурсам, как Ubisoft, Steam, Teamspeak, Battlefield, PUBG League of Legends и др.

Соответствующие письма были направлены компаниями в Роскомнадзор. В обращении от M2Connect сказано, что со своей стороны провайдер исключил все неполадки, однако трафик всё равно сократился примерно на 25%.

Недоступными остаются сайты, использующие инфраструктуру Cloudflare и Amazon. Из-за отсутствия официальных комментариев компании даже не могут проинформировать пользователей о причинах случившегося.

НеКасперский

Убыточный отпуск

Всемирно известный британский гигант в сфере розничной торговли Marks & Spencer потерял почти 700 миллионов фунтов стерлингов из-за атаки шифровальщика.

О глобальном сбое в работе систем пострадавшая компания сообщила 22 апреля. Известно, что впервые M&S атаковали ещё в феврале, тогда хакеры украли файл, содержащий пользовательские данные и пароли для Windows.

Сейчас атакующие использовали DragonForce для шифрования виртуальных машин на серверах VMware ESXi. Исследователи полагают, что за этим стоят участники Scattered Spider.

Действия хакеров привели к остановке приёма онлайн-заказов, трудностям с обработкой бесконтактных платежей, а также проблемами с возвратом товаров в нескольких торговых точках.

Пока компания ничего не говорит о выкупе и работает над устранением последствий, около 200 сотрудников логистического центра M&S остаются дома.

НеКасперский

Бессмертие

В Windows RDP обнаружена опасная особенность, позволяющая входить в систему по уже отозванным паролям даже после их смены в Microsoft или Azure аккаунтах.

Как выяснили исследователи, при первом подключении через RDP система кэширует учетные данные локально. После этого Windows проверяет пароль только по локальной копии, не сверяясь с облаком. Если пользователь меняет пароль в Microsoft аккаунте, старый продолжает работать для RDP-подключений неограниченное время.

Механизм полностью обходит многофакторную аутентификацию и политики условного доступа. В Microsoft это считают не уязвимостью, а «проектным решением для обеспечения доступа при отсутствии сети». Компания просто добавила плашку в документацию, не планируя исправлять проблему.

Единственная защита — настроить RDP на аутентификацию только по локальным учетным записям, а не по облачным.

НеКасперский

Вёдра потекли

В открытый доступ попала БД владельцев автомобилей Lada.

Скомпрометированные файлы содержат ПДн более 32 тысяч человек, включающие в себя:

• ФИО
• Возраст
• Номер телефона
• Регион
• VIN автомобиля
• Марку машины и год выпуска

Исследователи выяснили, что информация была получена из неизвестных альтернативных источников. Представители компании сообщили, что их системы учёта и хранения данных ведутся в других форматах и они полностью защищены.

АвтоВАЗ предупреждает, что скомпрометированные данные могут быть использованы в крупных мошеннических схемах. Некоторым пользователям приходили фейковые сообщения с информацией об «официальных» мероприятиях и розыгрышах со ссылкой на регистрацию.

Поддельный сайт запрашивает имя, адрес, паспортные данные, банковские сведения и даже оплату налога за некий приз.

На наших тоже не понадеяться 🫠

НеКасперский

Цепная реакция

Крупнейшая частная американская медицинская сеть Ascension сообщила об утечке персональных данных 114 тысяч пациентов после взлома своего бывшего бизнес-партнёра.

Масштабная компрометация произошла из-за уязвимости в ПО, которым пользовался партнёр. Злоумышленники получили доступ к ценному набору ПДн, включая имена, адреса, телефоны, даты рождения, расовая принадлежность, номера страховок и даже медицинские диагнозы вместе с историей госпитализаций.

Примечательно, что медицинская сеть не сразу обнаружила проблему. С момента взлома в декабре 2024 до выявления пострадавших в январе 2025 прошло больше месяца. А официальные уведомления пациенты начали получать только сейчас, почти через пол года после случившегося.

Это уже второй мощный удар по Ascension за год. В прошлом году компания пережила атаку Black Basta, когда пострадали данные 5,6 миллиона человек. Тогда причиной стала банальная ошибка сотрудника, скачавшего малварь на рабочий компьютер.

НеКасперский

А, ой

В открытом доступе в течение двух месяцев хранился закрытый API-ключ к десяткам внутренним языковым моделям SpaceX, Tesla и X.

Всё произошло по вине беспечного работника, который случайно слил информацию на GitHub. Причём проблему обнаружили ещё 2 марта, однако устранили её только 30 апреля, спустя почти два месяца после прямого обращения в службу безопасности xAI.

По данным GitGuardian и Seralys, ключ позволял получить доступ к 60 приватным моделям, в том числе невыпущенной версии чат-бота Grok. Это позволяло потенциальным злоумышленникам добавлять вредоносные команды, изменять поведение моделей и вмешиваться в цепочки поставок.

Представители xAI утверждают, что сведения пользователей и информация из правительственных систем затронуты не были. Однако исследователи считают, что модели, обученные на закрытых корпоративных данных, могли содержать конфиденциальные данные о разработках xAI, SpaceX и X.

Как не защищайся, главный враг — твой сотрудник

НеКасперский

Креативная антиреклама

В открытом доступе оказались данные из CRM-системы «Мегаплан» московской компании в области креативных и технических решений DT Group.

По словам хакеров, в результате атаки были украдены сведения о 350 сотрудниках и контактная информация более 4 тысяч заказчиков. Дамп включает в себя:

• ФИО
• Возраст
• Электронную почту
• Номер телефона
• Должность

Актуальность скомпрометированной информации датируется 3 мая 2025 года.

В списке клиентов пострадавшей компании числятся такие организации, как Oriflame, X5, Райффайзенбанк, Danone, Tele2, Касперский, Сбербанк, ПИК и др.

Автор публикации утверждает, что сведения были украдены в ходе целевой фишинговой атаки на руководителя проекта DT Live.

НеКасперский

Большой брат следит

TikTok заплатит €530 миллионов за нарушение строгих правил конфиденциальности данных ЕС.

В результате четырёхлетнего расследования выяснилось, что сотрудники платформы в КНР обладали удалённым доступом к пользовательским сведениям, включая ПДн детей. Политика конфиденциальности приложения об этом умалчивает.

Представители TikTok не смогли доказать, что информация передавалась с соблюдением необходимых мер безопасности, поэтому Ирландская комиссия по защите данных посчитала, что предусмотренные европейским законодательством условия были проигнорированы.

При этом в TikTok вину отрицают. Компания намерена обжаловать решение, так как следствие затронуло период, когда дополнительные меры безопасности ещё не были применены.

Теперь же они работают над реализацией проекта Project Clover, возводят три дата-центра в Европе и внедряют систему независимого мониторинга доступа к данным.

Товарищ Ци решил подыграть 🤫

НеКасперский

Не прокатило

Горе-специалисты из Северной Кореи продолжают надоедать западным организациям. На этот раз хакер из КНДР попытался стать частью коллектива разработчиков криптобиржи Kraken.

Шпион замахнулся на инженерную вакансию, однако первым редфлагом стал никнейм, под которым он вышел на связь с представителями компании. Имя отличалось от информации в резюме. В ходе онлайн-собеседования соискатель вёл себя странно, он «менял интонации» так, будто кто-то давал ему указания.

Подозрения вызвала и почта, используемая претендентом при подаче заявки. Этот email упоминается в списке электронных адресов, связанных с деятельностью северокорейской Lazarus.

Позже в Kraken выяснили, что хакер пытался устроиться и в другие компании под разными псевдонимами. Он скрывал свою геолокацию и использовал липовые документы с чужими сведениями.

Кандидат раскололся, когда его попросили предоставить паспорт и посоветовать заведения в его городе.

Оказался не таким ушлым, как его предшественники 🤔

НеКасперский