Высушено

Новая APT-группировка Earth Kurma активно атакует госучреждения и телеком-компании Юго-Восточной Азии с помощью продвинутых руткитов и облачных сервисов.

Злоумышленники действуют как минимум с ноября 2020 года, используя для кражи данных Dropbox и OneDrive через инструменты TESDAT и SIMPOBOXSPY. Для сохранения незаметного присутствия хакеры задействуют руткиты KRNRAT и Moriya, которые успешно обходят защитные механизмы.

Атаки сосредоточены на Филиппинах, Вьетнаме, Таиланде и Малайзии. Группа применяет сетевые сканеры вроде Ladon для изучения инфраструктуры и использует живущие-поверх-земли техники для внедрения вредоносного кода.

Исследователи нашли пересечения с инструментами ToddyCat и TunnelSnake, но точную связь установить пока не удалось.

НеКасперский

Моя хата с краю

Более 700 сайтов не работают на территории Северо-Кавказского федерального округа.

С 14 апреля абоненты местных провайдеров жалуются на проблемы с подключением к таким зарубежным ресурсам, как Ubisoft, Steam, Teamspeak, Battlefield, PUBG League of Legends и др.

Соответствующие письма были направлены компаниями в Роскомнадзор. В обращении от M2Connect сказано, что со своей стороны провайдер исключил все неполадки, однако трафик всё равно сократился примерно на 25%.

Недоступными остаются сайты, использующие инфраструктуру Cloudflare и Amazon. Из-за отсутствия официальных комментариев компании даже не могут проинформировать пользователей о причинах случившегося.

НеКасперский

Убыточный отпуск

Всемирно известный британский гигант в сфере розничной торговли Marks & Spencer потерял почти 700 миллионов фунтов стерлингов из-за атаки шифровальщика.

О глобальном сбое в работе систем пострадавшая компания сообщила 22 апреля. Известно, что впервые M&S атаковали ещё в феврале, тогда хакеры украли файл, содержащий пользовательские данные и пароли для Windows.

Сейчас атакующие использовали DragonForce для шифрования виртуальных машин на серверах VMware ESXi. Исследователи полагают, что за этим стоят участники Scattered Spider.

Действия хакеров привели к остановке приёма онлайн-заказов, трудностям с обработкой бесконтактных платежей, а также проблемами с возвратом товаров в нескольких торговых точках.

Пока компания ничего не говорит о выкупе и работает над устранением последствий, около 200 сотрудников логистического центра M&S остаются дома.

НеКасперский

Бессмертие

В Windows RDP обнаружена опасная особенность, позволяющая входить в систему по уже отозванным паролям даже после их смены в Microsoft или Azure аккаунтах.

Как выяснили исследователи, при первом подключении через RDP система кэширует учетные данные локально. После этого Windows проверяет пароль только по локальной копии, не сверяясь с облаком. Если пользователь меняет пароль в Microsoft аккаунте, старый продолжает работать для RDP-подключений неограниченное время.

Механизм полностью обходит многофакторную аутентификацию и политики условного доступа. В Microsoft это считают не уязвимостью, а «проектным решением для обеспечения доступа при отсутствии сети». Компания просто добавила плашку в документацию, не планируя исправлять проблему.

Единственная защита — настроить RDP на аутентификацию только по локальным учетным записям, а не по облачным.

НеКасперский

Вёдра потекли

В открытый доступ попала БД владельцев автомобилей Lada.

Скомпрометированные файлы содержат ПДн более 32 тысяч человек, включающие в себя:

• ФИО
• Возраст
• Номер телефона
• Регион
• VIN автомобиля
• Марку машины и год выпуска

Исследователи выяснили, что информация была получена из неизвестных альтернативных источников. Представители компании сообщили, что их системы учёта и хранения данных ведутся в других форматах и они полностью защищены.

АвтоВАЗ предупреждает, что скомпрометированные данные могут быть использованы в крупных мошеннических схемах. Некоторым пользователям приходили фейковые сообщения с информацией об «официальных» мероприятиях и розыгрышах со ссылкой на регистрацию.

Поддельный сайт запрашивает имя, адрес, паспортные данные, банковские сведения и даже оплату налога за некий приз.

На наших тоже не понадеяться 🫠

НеКасперский

Цепная реакция

Крупнейшая частная американская медицинская сеть Ascension сообщила об утечке персональных данных 114 тысяч пациентов после взлома своего бывшего бизнес-партнёра.

Масштабная компрометация произошла из-за уязвимости в ПО, которым пользовался партнёр. Злоумышленники получили доступ к ценному набору ПДн, включая имена, адреса, телефоны, даты рождения, расовая принадлежность, номера страховок и даже медицинские диагнозы вместе с историей госпитализаций.

Примечательно, что медицинская сеть не сразу обнаружила проблему. С момента взлома в декабре 2024 до выявления пострадавших в январе 2025 прошло больше месяца. А официальные уведомления пациенты начали получать только сейчас, почти через пол года после случившегося.

Это уже второй мощный удар по Ascension за год. В прошлом году компания пережила атаку Black Basta, когда пострадали данные 5,6 миллиона человек. Тогда причиной стала банальная ошибка сотрудника, скачавшего малварь на рабочий компьютер.

НеКасперский

А, ой

В открытом доступе в течение двух месяцев хранился закрытый API-ключ к десяткам внутренним языковым моделям SpaceX, Tesla и X.

Всё произошло по вине беспечного работника, который случайно слил информацию на GitHub. Причём проблему обнаружили ещё 2 марта, однако устранили её только 30 апреля, спустя почти два месяца после прямого обращения в службу безопасности xAI.

По данным GitGuardian и Seralys, ключ позволял получить доступ к 60 приватным моделям, в том числе невыпущенной версии чат-бота Grok. Это позволяло потенциальным злоумышленникам добавлять вредоносные команды, изменять поведение моделей и вмешиваться в цепочки поставок.

Представители xAI утверждают, что сведения пользователей и информация из правительственных систем затронуты не были. Однако исследователи считают, что модели, обученные на закрытых корпоративных данных, могли содержать конфиденциальные данные о разработках xAI, SpaceX и X.

Как не защищайся, главный враг — твой сотрудник

НеКасперский

Креативная антиреклама

В открытом доступе оказались данные из CRM-системы «Мегаплан» московской компании в области креативных и технических решений DT Group.

По словам хакеров, в результате атаки были украдены сведения о 350 сотрудниках и контактная информация более 4 тысяч заказчиков. Дамп включает в себя:

• ФИО
• Возраст
• Электронную почту
• Номер телефона
• Должность

Актуальность скомпрометированной информации датируется 3 мая 2025 года.

В списке клиентов пострадавшей компании числятся такие организации, как Oriflame, X5, Райффайзенбанк, Danone, Tele2, Касперский, Сбербанк, ПИК и др.

Автор публикации утверждает, что сведения были украдены в ходе целевой фишинговой атаки на руководителя проекта DT Live.

НеКасперский

Большой брат следит

TikTok заплатит €530 миллионов за нарушение строгих правил конфиденциальности данных ЕС.

В результате четырёхлетнего расследования выяснилось, что сотрудники платформы в КНР обладали удалённым доступом к пользовательским сведениям, включая ПДн детей. Политика конфиденциальности приложения об этом умалчивает.

Представители TikTok не смогли доказать, что информация передавалась с соблюдением необходимых мер безопасности, поэтому Ирландская комиссия по защите данных посчитала, что предусмотренные европейским законодательством условия были проигнорированы.

При этом в TikTok вину отрицают. Компания намерена обжаловать решение, так как следствие затронуло период, когда дополнительные меры безопасности ещё не были применены.

Теперь же они работают над реализацией проекта Project Clover, возводят три дата-центра в Европе и внедряют систему независимого мониторинга доступа к данным.

Товарищ Ци решил подыграть 🤫

НеКасперский

Не прокатило

Горе-специалисты из Северной Кореи продолжают надоедать западным организациям. На этот раз хакер из КНДР попытался стать частью коллектива разработчиков криптобиржи Kraken.

Шпион замахнулся на инженерную вакансию, однако первым редфлагом стал никнейм, под которым он вышел на связь с представителями компании. Имя отличалось от информации в резюме. В ходе онлайн-собеседования соискатель вёл себя странно, он «менял интонации» так, будто кто-то давал ему указания.

Подозрения вызвала и почта, используемая претендентом при подаче заявки. Этот email упоминается в списке электронных адресов, связанных с деятельностью северокорейской Lazarus.

Позже в Kraken выяснили, что хакер пытался устроиться и в другие компании под разными псевдонимами. Он скрывал свою геолокацию и использовал липовые документы с чужими сведениями.

Кандидат раскололся, когда его попросили предоставить паспорт и посоветовать заведения в его городе.

Оказался не таким ушлым, как его предшественники 🤔

НеКасперский

Никаких селфи с шашлыком

Жители Москвы останутся без интернета до конца майских праздников.

Согласно сообщению РСЧС, ограничения предусмотрены для обеспечения безопасности проходящих в столице мероприятий.

Подтверждение этому наблюдается на сайте Downdetector. Сегодня сервис фиксирует тысячи жалоб на работу операторов МТС, Билайн, Т2, Мегафон, Ростелеком и YOTA.

У многих не работают мобильные приложения, телевидение, домашний интернет и связь. Больше всего сообщений поступает из Москвы и Московской области.

Операторы сообщают, что сбои могут происходить по независящим от них причинам. Специалисты рекомендуют по возможности подключаться к Wi-Fi, а для звонков использовать мобильную связь.

Как итог, пользователи столкнулись с проблемами при оплате проезда в общественном транспорте, работе каршеринга, кикшеринга, такси и др.

НеКасперский

Сказочный недотёп

Виновником июльской атаки на американскую медиакорпорацию Disney оказался 25-летний житель Калифорнии.

Хакер выдавал себя за участника российской группировки NullBuldge и действовал под соответствующим ником. Получить доступ к сведениям ему удалось с помощью вредоносного ПО под видом ИИ-инструмента для генерации изображений.

Выяснилось, что невнимательный сотрудник Disney установил эту программу на рабочий компьютер, в результате чего мошеннику удалось получить доступ к Slack-каналам Disney и украсть 1,1 ТБ данных.

В американском Минюсте сообщили, что псевдоучастник группировки пытался шантажировать жертву через электронную почту и Discord, однако ответа он так и не дождался. Как итог, скомпрометированные сведения оказались на BreachForums.

Теперь же вымогатель взял на себя ответственность за несанкционированный доступ к компьютеру, получение информации и ущерб защищённому ПК. За каждое обвинение он может получить до 5 лет лишения свободы.

НеКасперский

Маски-шоу

Псевдобезопасный Signal был взломан хакером всего за 20 минут.

Ему удалось украсть конфиденциальные данные клиентов израильской компании TeleMessage, продающей правительству США «улучшенные» версии Signal, Telegram, WhatsApp и WeChat.

Однако вместо обещанных версий организация продвигала троян под видом безопасного инструмента для архивирования сообщений и вложений. Заявлено, что он работает в фоновом режиме, а также интегрируется с системами корпоративного хранения и поиска данных.

Модифицированные приложения пересылали все сообщения без end-to-end-шифрования на сервер клиента, размещённый в Amazon AWS, который и стал мишенью для нападения.

В результате атаки были скомпрометированы учётные данные, номера телефонов, чаты с чиновниками, ПДн сотрудников Coinbase, работников таможенной службы США и сообщения о деятельности Трампа.

За использованием одной из таких версий на днях был замечен экс-советник президента США по нацбезопасности. В сеть просочилось фото Майкла Уолтца на заседании кабинета министров. Он держал телефон, на экране котрого высвечивалось уведомление о проверке PIN-кода TM SGNL.

Исследователи полагают, что TM SGNL является созданной для правительственного использования версией Signal. После скандала TeleMessage молча удалила с сайта всю информацию о компании и своих продуктах.

В своё оправдание представители Signal сообщили, что на неофициальные версии приложения гарантии безопасности не распространяются.

Будто с официальной всё хорошо…

НеКасперский

Велосипед изобретают

ФСБ и МВД будут получать ПДн пользователей операторов связи в течение суток.

Согласно представленному Минцифры постановлению, с 1 сентября текущего года сведения абонентов будут передаваться по запросу силовиков через Систему межведомственного электронного взаимодействия.

Операторы будут предоставлять доступ к личным и паспортным данным, информации об активности номера, дате заключения договора и др.

По сути, эта деятельность осуществлялась и раньше, только вместо СМЭВ использовали СОРМ. Такое решение оправдывают необходимостью улучшить методы борьбы с мошенничеством.

Только предупреждать пользователей об отправлении данных, по классике, никто не планирует, ведь «судебного или регуляторного надзора не предусмотрено».

Эта идея вызвала много противоречий, так как в проекте не указаны способы защиты информации. Многие исследователи считают, что централизованная система попросту не выдержит такую нагрузку.

Че это вы бухтите?! Мошенников меньше будет 🤨

НеКасперский

Цифровой детокс

Вслед за столицей в режим офлайн ударились ещё пять городов России.

Жители Ярославля, Саранска, Тулы, Курска и Твери столкнулись с проблемами подключения к мобильному интернету. Это коснулось операторов Билайн, МТС, Мегафон и Т2.

Первые жалобы начали поступать вчера примерно в 11 утра по МСК. Жители регионов отмечают, что функционировал только Wi-Fi, а при выходе на улицу их телефоны превращались в «калькуляторы».

По данным местных властей, ограничения введены в целях противодействия атакам БПЛА. Некоторые дроны используют наши SIM-карты для навигации и связи с оператором.

В результате случившегося перестали работать городские сервисы, банкоматы, терминалы оплаты, доставка, табло, такси, каршеринг, валидаторы в общественном транспорте и др.

Mash публикует фотографии очевидцев с неисправными валидаторами. Правда такие же почти весь прошлый месяц наблюдали жители Перми из-за сбоев регулятора. Вероятно, это фейк.

Столкнулись с подобным?

НеКасперский

Прилетели

В открытом доступе оказалась БД медицинского центра ЦАМ, специализирующегося на оценке состояния здоровья лётно-испытательного состава и авиационного персонала.

В руки хакеров попали файлы в формате Firebase объёмом более 186 ГБ. Атакующие опубликовали дамп, где более 1 миллиона строк включают в себя:

• ФИО
• Возраст
• Номер телефона
• Электронную почту
• СНИЛС
• Адрес регистрации
• Паспортные данные
• Место работы

До данным DLBI, информация была скомпрометирована в результате взлома ИТ-инфраструктуры организации. Кроме того, хакерам удалось получить доступ к PDF-файлам с отчётами другой лаборатории, название которой не разглашается.

От них даже на небесах не спрячешься 🫣

НеКасперский

Мигранты остаются

От действий Anonymous пострадала американская авиакомпания GlobalX Air, выполняющая депортационные рейсы по указаниям администрации Дональда Трампа.

Группа получила доступ к сведениям через активный токен разработчика, скомпрометировала ключи от AWS-хранилищ и украла файлы, включающие номера рейсов, списки пассажиров, паспортные данные, информацию о маршрутах и др.

Хакеры объясняют свой поступок тем, что администрация президента нарушила закон Alien Enemies Act. Окружной суд США запретил выдворять участников венесуэльских банд без возможности защищаться в суде. По мнению атакующих, это решение игнорируется авиакомпанией и её руководством.

Соответствующее послание высвечивалось и на странице сайта организации. В тексте сказано, что Anonymous решил исполнить приказ судьи, который мешает «фашистским планам подхалимской» GlobalX Air.

Когда хакеры предоставили копии данных СМИ, стало известно, что имена мигрантов из отчётов о депортации совпадают с рейсовыми списками.

НеКасперский

Спасение утопающего

Крупнейший мобильный оператор Южной Кореи SK Telecom пытается оправиться после недавней утечки данных USIM.

Теперь первоочерёдной целью компании стало избавление от последствий атаки. С 5 мая организация перестала оформлять новые контракты в 2600 офисах. Сейчас их деятельность направлена на замену SIM-карт более 25 миллионов клиентов. Все расходы SK Telecom обещает компенсировать.

В результате атаки появился риск клонирования SIM-карт. Чтобы предотвратить незаконные переносы номеров, система обнаружения мошенничества будет автоматически блокировать подозрительные запросы.

Исследование показало, что причиной случившегося было вредоносное ПО в системах оператора. После громкого скандала с утечкой акции SK Telecom снизились на 8,5%.

НеКасперский

Дорогие подписчики, с праздником!

Поздравляем вас с днём Великой Победы и желаем вам продвигать мир и безопасность во всём.

НеКасперский

Пыль для моряка

В преддверии праздника мы ожидали увидеть всплеск нападений на отечественные ресурсы. В прошлом году проукраинские хакеры взломали спутниковое телевидение и запустили в трансляцию с антироссийским контентом.

На удивление, в этот раз ситуация в течение дня оставалась спокойной. Возможно. этому поспособствовали меры безопасности в виде временного полного ограничения доступа в мобильный интернет.

Тем не менее, атакующие нашли другой способ сыграть на чувствах людей и нажиться на теме праздника. Они рассылали жертвам сообщения с предложением проверить наличие ветеранов среди родственников пользователей.

Для подтверждения данных юзер должен был перейти на сторонний сайт, требующий пройти авторизацию через Telegram. При вводе номера телефона и одноразового кода жертва автоматически передаёт свой аккаунт в руки атакующих.

К счастью, Национальный координационный центр по компьютерным инцидентам при ФСБ России оперативно обнаружил и заблокировал все домены, связанные с этой схемой. Хотя и повестись на неё было, как нам кажется, не просто)

НеКасперский

Френдли фаер

Неизвестные хакеры совершили атаку на даркнет-инфраструктуру LockBit и слили в открытый доступ всю их подноготную.

Под раздачу попали все админ-панели группировки, вместо привычного интерфейса на главной странице висит незамысловатое послание «Don't do crime CRIME IS BAD xoxo from Prague» и ссылка на архив с SQL-дампом.

Файл содержит около двадцати таблиц с конфиденциальными сведениями, включающими личные чаты переговоров с жертвами, порядка 60 тысяч BTC-адресов, идентификаторы пострадавших организаций, приватные ключи, до смешного простые пароли в открытом виде и многое другое.

Подробности атаки пока неизвестны. Вероятно нападение стало следствием уязвимости в сервере PHP 8.1.2. Брешь позволила атакующим выполнить удалённый код на хост-сервере вымогателей.

Исследователи полагают, что спецслужбы к случившемуся не причастны. Не исключено, что хакеры получили удар от коллег по цеху.

Они просто хотели передать привет из Праги 🙃

НеКасперский