​​"Using the ancient wisdom of the Teenage Mutant Ninja Turtles" - сами всегда так выступаем.

McAfee Advanced Threat Research выпустили отчет о хакерской кибероперации, получившей название Operation Dianxun, которую китайские APT проводят против телекоммуникационных кампаний стран Азии, Европы и США.

TTPs киберкампании указывают на авторство китайских APT Mustang Panda и APT RedDelta. Вторая группа может быть подразделением первой, поскольку ее активность была замечена лишь в 2020 году, а ее TTPs похожи на MustangPanda за исключением метода шифрования трафика между вредоносом и управляющим центром.

В качестве целей в операции, которая проводится начиная с августа 2020 года, фигурируют сотрудники телекоммуникационных кампаний, а основной интерес для хакеров представляет информация, связанная с 5G технологиями.

Первоначальный вектор заражения не до конца ясен, но исследователи предполагают это скорее всего фишинговый сайт, посвященный вопросу кадрового набора компании Huawei, который подконтролен хакерам и с позиции которого распространяется вредонос.

К сожалению, большая часть отчета выполнена в виде "вот от этого вас сможет защитить вот этот продукт McAfee и он будет делать это так", поэтому читать его совершенно невозможно. Когда маркетологи берут верх над исследователями.

Издание The Record, принадлежащее американской инфосек компании Recorded Future, выпустило статью по материалам интервью с представителем владельца ransomware REvil aka Sodinokibi.

Сразу скажем, что этот материал намного менее информативен чем интервью тех же REvil Youtube-каналу Russian OSINT, про которое мы писали осенью. Более того, у нас есть определенные сомнения если не в факте этого самого интервью, то по крайней мере в том, что часть статьи журналисты не добавили сами.

Во-первых, упоминание хакером того, что некоторые из сотрудничающих с REvil операторов имеют доступ к системе запуска баллистических ракет (what?!), к крейсеру ВМС США, к атомной электростанции и к оружейному заводу. Типа "мы в силах начать войну, но это нам не выгодно".

Во-вторых, клюквенные воспоминания интервьюируемого о том, как в детстве он копался в помойке, шел 10 километров до школы и голодал в коммуналке (вообще-то коммуналка и школа в 10 км - это взаимоисключающие вещи).

В-третьих, попытки интервьюера съехать на политические темы.

Плюс в статье мало подробностей о работе самой группировки, в отличие от интервью Russian OSINT.

Впрочем, это и не удивительно, учитывая то, что интервью брал Дмитрий Смилянец. Тот самый кардер, которого в 2013 году с подельником приняли в Нидерландах, потом экстрадировали в США, где и осудили в 2018 году. При этом Смилянец получил небольшой срок и был отпущен прямо в зале суда, а его другу Дринкману впаяли 12 лет крытой. Такая разница в наказаниях объяснялась "правоохранительными интересами".

Теперь Смилянец - инфосек блогер и журналист.

Apple, похоже, планирует перейти на доставку обновлений безопасности, отдельную от других апдейтов.

Портал 9to5mac .com проанализировал код новой беты iOS 14.5, которая была выпущена для разработчиков, и нашел ссылки на новый метод доставки обновлений безопасности для пользователей iOS и iPadOS. Пользователь сможет сам выбрать, будет ли он устанавливать только патч безопасности или полный апдейт. Скорее всего эта фишка заработает начиная с iOS 15, кода пользователь сможет не обновлять iOS 14.5, устанавливая при этом новые патчи безопасности. Похожую функцию Apple уже ввели для macOS.

И это хорошо.

Со вчерашнего дня по инфосек аккаунтам Twitter активно разгоняется переделанный из старого русского видео мем про аналитика, который узнал, что в сети нет серверов Microsoft Exchange.

Мы бы тоже посмеялись, но вовремя вспомнили про две критических уязвимости, найденных в Office 365.

Bloomberg, похоже, придумали новое тупое сравнение для описания "разрушительных кибератак".

Забудьте про "Кибер 9/11" и "Кибер Фермопилы" (да, кто-то использовал такой термин для описания атаки на Solar Winds). Новый тренд - это "взлом Франца Фердинанда", который приведет к глобальной войне.

Франц Фердинанд в данном случае - это тот самый австрийский эрцгерцог, с убийства которого 28 июня 1914 года в Сараево началась Первая мировая война.

Joe Slowik в своем бесподобном репертуаре - https://twitter.com/jfslowik/status/1371912856149487617

Чилийская Комиссия по финансовому рынку (CMF) сообщила, что ее сервер Microsoft Exchange был скомпрометирован злоумышленниками с использованием эксплойт-кита ProxyLogon.

CMF регулирует банковские и финансовые учреждения Чили и подчиняется местному Министерству финансов.

Судя по IoC, хакеры развернули на скомпрометированном ресурсе веб-шелл China Chopper, а следовательно чилийцы стали жертвой китайских APT, а не свежего ransomware DearCry, также использующего ProxyLogon для проникновения в атакуемую сеть.

Однако, китайские APT работают с размахом. Полагаем, с ресурсов Комиссии по финансовому рынку можно добыть много разведывательной информации.

​​Какие-то хулиганы вчера взломали и отдефейсили два правительственных сайта в Польше, а также Twitter-аккаунт польского журналиста, пишущего о России и Восточной Европе.

На сайтах Национального агентства по атомной энергетике (нахрена такое агентство Польше, в которой только одна недостроенная АЭС, да и та заброшена еще в 1990, не до конца ясно) и Министерства здравоохранения было опубликовано сообщение об утечке ядерных отходов в соседней Литве, которая может угрожать польским гражданам. Такое же сообщение появилось и во взломанном Twitter.

Дефейсы быстро устранили, а в случившемся привычно обвинили русских хакеров. Потому что все это "выглядело как типичная попытка России посеять подозрения и раскол среди западных союзников", как сказал Станислав Жарын, пресс-секретарь Министра-координатора спецслужб Польши.

Кошка бросила котят - русский хакер виноват!

Вообще говоря, ситуация с инициативой о передаче данных сотовых операторов Роскомнадзору весьма странная.

Во-первых, озвучиваемые причины усиления борьбы с серыми SIM-картами в виде предотвращения банковского мошенничества и ложных сообщений об угрозе террористических актов не выдерживает никакой критики.

Многие из тех, кто сталкивается со звонками мошенников видят на своих устройствах телефонные номера из пула стационарных, а не мобильных диапазонов. Почему-то Роскомнадзор не в состоянии регулировать деятельность множества мелких операторов, которые и предоставляют свои диапазоны фродстерам.

Также в Роскомнадзорe, видимо, не слышали про VoIP, не говоря уже о сервисах подмены входящего номера через возможности ОКС-7.

Это же относится и к ложным сообщениям об угрозах теракта. Если нам не изменяет наша старческая память, во всех последних громких историях с минированием различных объектов на территории России фигурировали иностранные VoIP-сервисы. И нигде не было упоминаний про серые SIM-карты.

Во-вторых, встает резонный вопрос - каким боком к серым SIM-картам относятся биллинги абонентов российских сотовых операторов? Невнятное блеяние представителей Роскомнадзора о том, что при получении такой информации не раскрывается содержание телефонных переговоров и SMS-переписок является не более чем грубым передергиванием. Потому что согласно российскому законодательству детализация телефонных соединений относится к тайне телефонных переговоров и точка.

Короче история крайне мутная, а ее бенефициары не ясны. Зато можно с уверенностью говорить, что если биллинги будут в автоматизированном режиме выгружаться на сторону Роскомнадзора, то совершенно точно часть из них окажется на черном рынке. Потому что - а) никто не отменяет человеческого фактора, а сотрудники РКН - не рыцари в сияющих доспехах. А б) - возникают конкретные угрозы информационной безопасности, когда данные биллингов могут быть перехвачены на стадии передачи, либо выдернуты из баз данных самого Роскомнадзора. Как госорганы защищают свои базы мы все прекрасно знаем, в Даркнете можно найти много предложений о продаже принадлежащей им информации.

Видимо, Роскомнадзор решил следовать правилу "не можешь победить - возглавь". Такое себе.

​​Если помните, в самом конце прошлого года, когда Дед Мороз уже раздавал хорошим детям подарки, представители финского парламента заявили, что осенью 2020 года несколько учетных записей электронной почты парламента были скомпрометированы в результате хакерской атаки со стороны неизвестной прогосударственной APT.

Финское Национальное бюро расследований (NBI) заявило тогда, что это был акт кибершпионажа и, возможно, он был проведен в интересах некоего государства.

Подавляющее большинство инфосек журналистов тогда начали писать про "поразительно похожий инцидент со взломом почты парламента Норвегии", за который, якобы, ответственны русские хакеры. А значит и в случае со взломом парламента финского виноваты российские APT.

Сегодня, однако, оказалось, что все совсем не так и за атаками стояли китайцы из APT 31 aka Zirconium. По крайне мере, именно об этом заявила финская Полиция безопасности (Supo).

Zirconium - это именно та китайская APT, работающая на МГБ Китая, которая переделала украденный у АНБшной группы Equation эксплойт EpMe в свой собственный эксплойт Jian.

Кстати, в январе Федеральная служба по защите конституции Германии (BfV), немецкий аналог ФСБ, выпустила предупреждение для правительственных агентств ФРГ, в котором сообщила, что они могут быть целью для кибератак со стороны китайской группы APT 31 aka Zirconium. Возможно атака на финский парламент была частью киберкампании китайцев по компрометации государственных информационных ресурсов стран ЕС.

Ахъ, какой пассажъ!

​​В январе команда Google Project Zero начала публиковать материалы серии "В дикой природе" про свою новую программу выявления эксплуатации 0-day уязвимостей в этой самой дикой природе.

В цикле из шести статей исследователи рассказали про обнаруженную в рамках этой программы в первом квартале 2020 года киберкампанию по заражению пользователей Windows и Android через атаку на водопой. Тогда хакеры использовали сразу четыре 0-day уязвимости, что само по себе весьма круто.

Никаких данных по атрибуции автора этой атаки Google тогда не привели. Судя по всему, исследователи нашли кусок активности какой-то крутой и хорошо обеспеченной хакерской группы, вероятнее всего прогосударственной APT. Но так и не смогли сделать хоть какие-то выводы относительно источника и целей вскрытой киберкампании.

Вчера Google Project Zero выпустили новый отчет, в котором рассказали про новую киберкампанию этой же хакерской группы, которая была обнаружена ими в октябре прошлого года. И в этот раз APT (а мы будем предполагать, что это именно прогосударственная APT) использовала уже семь (!) 0-day.

Project Zero нашли несколько скомпрометированных в ходе атаки на водопой легальных сайтов, которые перенаправляли посетивших их пользователей на один из двух серверов эксплойтов. Каждый из этих серверов использовал свою цепочку эксплойтов в зависимости от того, из-под какой системы работало пользовательское устройство.

Сервер эксплойтов №1 первоначально заражал только пользователей с iOS и Windows, однако когда второй сервер был отключен (судя по всему самими хакерами, обнаружившими проявление к ним интереса со стороны инфосек исследователей) он начал применять эксплойт CVE-2020-16009 к Android. Оставался активным более недели с того момента, как ресерчеры стали извлекать эксплойты.

Сервер эксплуатации №2 атаковал пользователей Android и оставался активным лишь 36 часов после обнаружения, после чего был отключен.

Всего Project Zero смогли собрать следующие эксплойты:
1. Одна полная цепочка эксплойтов, нацеленная на полностью обновленную Windows 10 с Google Chrome.
2. Две частичные цепочки, нацеленные на полностью обновленный Android с Google Chrome или Samsung Browser.
3. Эксплойты RCE и повышения привилегий для iOS 11-13.

При этом исследователи говорят, что устройства под управлением других ОС они не тестировали, поэтому нельзя сказать однозначно были или не были на серверах эксплойты, например, для Linux.

Всего ProjectZero нашли семь эксплойтов 0-day уязвимостей. При чем не факт, что это все эксплойты, которые использовались неизвестными хакерами. В одном случае хакеры продемонстрировали возможность "налету" менять один эксплойт в цепочке другим (CVE-2020-15999 на CVE-2020-16009), когда соответствующая уязвимость была исправлена производителем ПО.

Никаких новых догадок в отношении того, кто стоит за киберкампаниями, не появилось. Единственное что сказали исследователи, это обозначили возможность того, что за серверами эксплойтов стояли разные акторы, которые, тем не менее, работают скоординировано.

Каких-либо данных в отношении профилирования целей Google Project Zero по каким-то причинам не предоставляют. И это только прибавляет загадок всему происходящему.

Плюс одинадцать 0-day меньше чем за год. Рептилоиды?

​​Гражданин России Егор Крючков, который был арестован в США в августе прошлого года за попытку подкупить сотрудника завода Tesla для внедрения вредоноса в сеть завода и последующего вымогательства, пошел на сделку с американским следствием.

Хотя изначально Крючков говорил о своей невиновности, теперь он решил соскочить на американский особый порядок и признал вину. В результате ему грозит срок от четырех до десяти месяцев и небольшой штраф в пользу Tesla.

А как дышал...

Как можно с помощью дешевой рации вывести из строя IP-камеру? Да очень просто, знакомьтесь - EMFI-атака.

MalwareHunterTeam обнаружили новый сэмпл ransomware REvil aka Sodinokibi, который может перезагружать атакованную машину в безопасный режим и уже там спокойно себе шифровать локальные файлы, что позволит лучше скрываться от антивирусного ПО.

Правда при этом требуется, чтобы пользователь залогинился в систему в процессе перезагрузки в безопасном режиме.

И в конце трудной рабочей недели немного юмора.

​​Мы неоднократно писали, что исследователи Positive Technologies весьма успешно потрошат микрокод процессоров Intel.

Например, в октябре они достали ключи шифрования, которые используются для защиты обновлений. Мы тогда предположили, что дальнейшие исследования в этой области вполне могут привести к встроенным бэкдорам АНБ в процессорах Intel. И возможно мы оказались правы.

Ермолов, Скляров и Горячий нашли в платформе Apollo Lake две недокументированные инструкции, позволяющие путем доступа к шине управления модифицировать микрокод. По мнению исследователей, эти инструкции присутствуют на всех процессорах Intel.

Правда для этого процессор должен быть в режиме Red Unlocked, то есть хакер должен иметь доступ к управлению Intel Management Engine. По умолчанию он залочен и доступ есть только у Intel. Но в некоторых процессорах есть дыры, позволившие его получить.

Да, Intel, по идее, может это все пропатчить. Нет, это будет не быстро.

Что имеем в итоге - недокументированные инструкции, позволяющие взять CPU (а значит и всю систему) под контроль, доступ к которым (по идее) имеют только Intel (или некоторые товарищи стоящие за ними).

Пилят, вот точно АНБшный бэкдор!

​​Ориентировочно 14 марта тайваньская компания Acer попала под каток ransomware REvil.

Acer - это действительно один из компьютерных гигантов, который имел в 2019 году почти 8 млрд. долларов прибыли.

REvil потребовали от тайваньцев выкуп в 50 млн. долларов, самый большой публичный выкуп в истории, а также выложили на свой сайт утечек изображения якобы украденных файлов.

BleepingComputer получили в свое распоряжение переписку представителей Acer с вымогателями, в ходе которой REvil дали тайваньцам странное предупреждение "не повторять судьбу SolarWinds". Что это значит - непонятно.

Со слов Виталия Кремеза из Advintel, его командой была обнаружена атака оператора REvil на сервер Microsoft Exchange, принадлежащий Acer. Вполне возможно, что вымогатели использовали ProxyLogon для компрометации целевой сети. Если это так, то подразделению ИБ Acer можно смело ставить кол за отсутствие грамотной процедуры обновления своих ресурсов, поскольку внеочередной патч для Exchange вышел еще 2 марта.

REvil потребовали от тайваньцев выкуп в 50 млн. долларов, самый крупный публичный выкуп на данный момент, и выложили на свой сайт утечек изображения якобы украденных файлов.

Исследователь Маркус Хатчинс пишет, что поймал на ханипот атаку со стороны ransomware BlackKingdom по использованию уязвимостей ProxyLogon в Microsoft Exchange. При этом вредоносный PowerShell-бэкдор не пытался шифровать файлы, а только оставлял записку о выкупе.

Однако, ID Ransomware заявили, что начиная с 18 марта фиксируют очередную волну атак BlackKingdom, в том числе, на сервера Microsoft Exchange. Сумма выкупа составляет 10 тыс. долларов в BTC.

Таким образом, BlackKingdom стал вторым штаммом ransomware после DearCry, в котором зашит функционал использования CVE из набора ProxyLogon. Это если не считать тот факт, что оператор REvil использовал, судя по всему, дырки в Microsoft Exchange для атаки на сеть Acer.

Впрочем, в этой истории нет ничего нового. Достаточно вспомнить как владельцы ransomware использовали дырки в необновленных Pulse VPN и другие похожие уязвимости.

​​Больше года назад израильская партия Ликуд, возглавляемая премьер-министром Нетаньяху, ухитрилась скомпрометировать персональные данные почти 6,5 млн. своих сторонников через дырку в мобильном приложении Elector. Причем прямо перед выборами.

Но завтра, 23 марта, в Израиле очередная итерация политического цикла - внеочередные выборы в Кнессет, местный парламент, а значит настало время для очередной утечки данных. И опять из Elector. На Ghostbin некая группа (или человек) под ником Israeli Autumn, делится обновленной базой избирателей партии Ликуд.

Очевидно, что вся эта движуха происходит в рамках внутривидовой еврейской предвыборной борьбы, но это не отменяет факта крайней криворукости создателей приложения Elector.

Паны дерутся, а у холопов чубы трещат.