🇧🇷 Maverick и Coyote: Бразильский дуэт банковских троянов

Исследователи из CyberProof обнаружили интересную связь между двумя семействами вредоносного ПО, атакующими финансовый сектор. Оказывается, эти трояны не просто «коллеги по цеху», а используют общую инфраструктуру доставки.

Загрузчик, ранее ассоциированный исключительно с трояном Coyote, начал доставлять полезную нагрузку другого банкера - Maverick. Это указывает на то, что бразильские киберпреступники переходят к модели Malware-as-a-Service или же за обоими зловредами стоит одна и та же группа разработчиков.

Ключевые технические детали:
🔹 Вектор атаки: Кампания начинается с фишинга, часто нацеленного на корпоративных пользователей через WhatsApp Web. Жертве присылают архив с LNK-файлом.

🔹 Цепочка заражения: LNK запускает PowerShell-скрипт ➡️ загрузка пейлоада ➡️ использование инструмента Donut для расшифровки и запуска шеллкода в памяти.э

🔹 Маскировка: Coyote известен использованием легитимного инсталлятора Squirrel для скрытной установки, что затрудняет детекцию антивирусами.

🔹 Функционал: Оба трояна написаны на .NET (ранее Coyote использовал Nim) и специализируются на перехвате управления: кейлоггинг, оверлеи (подмена окон банковских приложений) и удаленный доступ (VNC).

Бразилия остается одной из главных «песочниц» для обкатки банковских троянов. Слияние инфраструктур Maverick и Coyote говорит об эволюции угроз: злоумышленники унифицируют инструменты доставки (Loaders), делая атаки более масштабируемыми и сложными для атрибуции.

🔗 Детальный разбор атаки и IoC https://www.cyberproof.com/blog/maverick-and-coyote-analyzing-the-link-between-two-evolving-brazilian-banking-trojans

📲 Мы в MAX

👉@thehaking

Разбор криптографического аппаратного кошелька с обнаружением и анализом переполнения стека загрузчика и логической ошибки iris-auth

Недавно ко мне попал аппаратный криптокошелёк, который использует распознавание радужки как один из ключевых аргументов в пользу покупки. Новизна этого модуля разожгла любопытство, и я решил подробно изучить его реализацию. Поскольку аппаратная и программная архитектура кошелька во многом заимствована из OneKey Touch — а тот, в свою очередь, является форком известного аппаратного кошелька Trezor — значительную часть логики удалось сверить с доступным исходным кодом.

https://hhj4ck.github.io/en/iris-wallet-security-teardown.html

📲 Мы в MAX

👉@thehaking

⚡️ Пишут, что магистральные сети связи в России стареют: более половины кабелей требуют замены, из-за этого может ЗАМЕДЛИТЬСЯ весь интернет.

Российская телеком-инфраструктура подходит к критической отметке. По данным «Ведомостей», уже в 2025 году на ключевом направлении запад — восток 50–70% магистральных оптических кабелей исчерпают свой гарантийный срок эксплуатации.


Инфраструктура изнашивается. Пик строительства магистралей пришелся на начало 2000-х годов. Стандартный срок службы кабеля — 20–25 лет, и для большинства линий он заканчивается.

Сети перегружены. Загрузка каналов от Москвы до Улан-Удэ уже достигла 60–70%. Это предел для комфортной работы (остальная емкость должна оставаться в резерве на случай аварий).

Масштабы и цена вопроса. В период с 2020 по 2030 год в России нужно заменить более 400 000 км кабеля. Эксперты оценивают затраты в сотни миллиардов рублей.

На что это похоже?

📲 Мы в MAX

👉@thehaking

🔵 Paint it Blue: уязвимость в Bluetooth - серьёзный вызов безопасности

▪️ Исследователи Synacktiv обнаружили критический баг Fluoride (Bluetooth-стек Android): CVE-2023-40129 - integer underflow в протоколе GATT.
▪️ Без какого-либо взаимодействия с пользователем можно вызвать heap-overflow (~64 КБ), что даёт шанс получить контроль над Bluetooth-демоном.
▪️ Авторы показали рабочий эксплоит, обошедший защиту allocator’ов (Scudo и Jemalloc) - значит, атака реальна.
▪️ Вывод: Bluetooth - опасная «точка входа». Если телефон уязвим - лучше отключить Bluetooth, пока нет патча.

Диаграмма выше иллюстрирует стек Bluetooth. Он разделён на две основные части: стек контроллера располагается в Bluetooth-чипе, тогда как стек хоста реализован операционной системой. Интерфейс Host Controller Interface (HCI) обеспечивает взаимодействие между этими двумя компонентами.

Контроллер в основном управляет физическими и логическими транспортами. Наш эксплойт опирается на ACL — асинхронный транспорт, который передаёт дата-кадры. На Android стек хоста, называемый Fluoride, работает в userland в виде демона.

После установления ACL-соединения могут инициироваться соединения L2CAP (Logical Link Control and Adaptation Protocol) для доступа к различным Bluetooth-сервисам (BNEP, HID, AVCTP и т. д.), предоставляющим хорошо известные возможности, такие как совместное использование сети, потоковая передача видео и т. п. Каждый сервис идентифицируется уникальным Protocol Service Multiplexer (PSM).

https://www.synacktiv.com/en/publications/paint-it-blue-attacking-the-bluetooth-stack

📲 Мы в MAX

👉@thehaking

🪪 Интересный короткий пост в блоге о том, как работает криптография электронных паспортов

Знали ли вы, что большинство современных паспортов на самом деле являются встроенными электронными устройствами, содержащими полноценную файловую систему, механизмы контроля доступа и поддержку нескольких криптографических протоколов?

Такие паспорта имеют небольшой символ, указывающий на электронный машиночитаемый проездной документ (eMRTD), который в цифровом виде хранит те же персональные данные, что и напечатанные в традиционных паспортных книжках, — во встроенной файловой системе.

Помимо того что в некоторых странах они позволяют путешественникам избежать общения с сотрудником пограничного контроля, эти документы используют криптографию для предотвращения несанкционированного чтения, перехвата данных, подделки и копирования.

https://blog.trailofbits.com/2025/10/31/the-cryptography-behind-electronic-passports/

📲 Мы в MAX

👉@thehaking

🚨 Киберполиция задержала преступников, похитивших более 200 млн рублей с помощью NFCGate-малвари! 🚨

Сотрудники МВД России пресекли деятельность межрегиональной преступной группы, которая подозревается в совершении более 600 эпизодов мошенничества в 78 регионах страны.

Среди задержанных - разработчик и главный администратор панели управления вредоносной программы, созданной на базе легитимного опенсорсного инструмента NFCGate.

💸 Как работала мошенническая схема?

1. Звонок жертве: Злоумышленники убеждали человека установить на свой смартфон специальный файл, замаскированный под официальное банковское приложение (распространялся через WhatsApp или Telegram).
2. "Авторизация": Пользователя просили поднести банковскую карту к тыльной стороне телефона и ввести PIN-код — якобы для входа в фейковое приложение.
3. Хищение: После этого у преступников появлялась техническая возможность снимать деньги в любом банкомате.

🛑 Итоги расследования:

- Предварительная сумма ущерба: превышает 200 млн рублей.
- Уголовное дело возбуждено по части 4 статьи 159 УК РФ (мошенничество в особо крупном размере).
- NFCGate - это изначально легитимное приложение для отладки NFC-протоколов, созданное студентами в 2015 году, которое мошенники приспособили для своих атак.

📲 Мы в MAX

👉@thehaking

🔥 Site Unseen: Перечисление и Атака на Сайты Active Directory 🔐

Сайты Active Directory — это функция, позволяющая оптимизировать производительность сети и использование пропускной способности во внутренних средах AD. Они обычно используются крупными, географически разрозненными организациями, работающими в нескольких странах или на континентах.

Сайты не привлекали большого внимания сообщества, занимающегося исследованиями наступательных векторов Active Directory, по сравнению с другими векторами атак, основанных на ACL. Цель этой статьи — продемонстрировать, что векторы атак, нацеленные на сайты Active Directory, не только существуют, но и могут привести к значительным сценариям повышения привилегий и компрометации домена (или доменов).

Мы опишем запрос на слияние (pull request), который мы отправили проекту BloodHound, чтобы перечислять пути атак, основанные на ACL сайтов, а также то, как эффективно эксплуатировать эти пути с помощью инструментов, которые мы недавно выпустили и которые связаны с векторами эксплойтов на основе GPO. Указанные сценарии компрометации могут позволить злоумышленникам повысить свои привилегии, а также перемещаться внутри леса Active Directory.

www.synacktiv.com/en/publications/site-unseen-enumerating-and-attacking-active-directory-sites

📲 Мы в MAX

👉@thehaking

🖨 Pwn2Own 2025: Как взломать принтер Lexmark через Postscript

В статье описывается процесс поиска и эксплуатации уязвимостей в принтерах Lexmark для конкурса Pwn2Own 2025.

Автор обнаружил критическую ошибку переполнения буфера в обработчике шрифтов CFF, которая позволила получить примитивы для произвольного чтения и записи памяти. Для обхода современных механизмов защиты, таких как ASLR и PIE, исследователь использовал утечку указателей из стека операндов и цепочки ROP-гаджетов. Дополнительная уязвимость в операторе imagetiff обеспечила возможность выполнения произвольного кода с правами root. Несмотря на технический успех, компания выпустила обновление прошивки за неделю до соревнований, устранив найденные баги.

В материале также подчеркиваются сложности реверс-инжиниринга кастомных реализаций Postscript на 64-битных платформах.

https://boredpentester.com/pwn2own-2025-pwning-lexmarks-postscript-processor/

📲 Мы в MAX

👉@thehaking

🕵️‍♂️ Товарищ майор хочет знать, какие мемы ты лайкаешь

Минцифры снова пушит идею "Единого ID" для пользователей Рунета. Видимо, простого DPI и блокировок VPN показалось мало, решили зайти со стороны авторизации.

Предлагают вход в интернет и на площадки только через верифицированный ID. Технически это попытка натянуть "китайскую модель" на наши реалии.

Архитектура подразумевает гигантский обмен данными между площадками и государством. В условиях, когда базы текут даже у сервисов доставки еды, создание "Супер-ID" выглядит как приглашение к глобальному сливу.

Готовим Tor и I2P или надеемся, что реализация как всегда захлебнется?

📲 Мы в MAX

👉@thehaking