​​Если помните, в самом конце прошлого года, когда Дед Мороз уже раздавал хорошим детям подарки, представители финского парламента заявили, что осенью 2020 года несколько учетных записей электронной почты парламента были скомпрометированы в результате хакерской атаки со стороны неизвестной прогосударственной APT.

Финское Национальное бюро расследований (NBI) заявило тогда, что это был акт кибершпионажа и, возможно, он был проведен в интересах некоего государства.

Подавляющее большинство инфосек журналистов тогда начали писать про "поразительно похожий инцидент со взломом почты парламента Норвегии", за который, якобы, ответственны русские хакеры. А значит и в случае со взломом парламента финского виноваты российские APT.

Сегодня, однако, оказалось, что все совсем не так и за атаками стояли китайцы из APT 31 aka Zirconium. По крайне мере, именно об этом заявила финская Полиция безопасности (Supo).

Zirconium - это именно та китайская APT, работающая на МГБ Китая, которая переделала украденный у АНБшной группы Equation эксплойт EpMe в свой собственный эксплойт Jian.

Кстати, в январе Федеральная служба по защите конституции Германии (BfV), немецкий аналог ФСБ, выпустила предупреждение для правительственных агентств ФРГ, в котором сообщила, что они могут быть целью для кибератак со стороны китайской группы APT 31 aka Zirconium. Возможно атака на финский парламент была частью киберкампании китайцев по компрометации государственных информационных ресурсов стран ЕС.

Ахъ, какой пассажъ!

​​В январе команда Google Project Zero начала публиковать материалы серии "В дикой природе" про свою новую программу выявления эксплуатации 0-day уязвимостей в этой самой дикой природе.

В цикле из шести статей исследователи рассказали про обнаруженную в рамках этой программы в первом квартале 2020 года киберкампанию по заражению пользователей Windows и Android через атаку на водопой. Тогда хакеры использовали сразу четыре 0-day уязвимости, что само по себе весьма круто.

Никаких данных по атрибуции автора этой атаки Google тогда не привели. Судя по всему, исследователи нашли кусок активности какой-то крутой и хорошо обеспеченной хакерской группы, вероятнее всего прогосударственной APT. Но так и не смогли сделать хоть какие-то выводы относительно источника и целей вскрытой киберкампании.

Вчера Google Project Zero выпустили новый отчет, в котором рассказали про новую киберкампанию этой же хакерской группы, которая была обнаружена ими в октябре прошлого года. И в этот раз APT (а мы будем предполагать, что это именно прогосударственная APT) использовала уже семь (!) 0-day.

Project Zero нашли несколько скомпрометированных в ходе атаки на водопой легальных сайтов, которые перенаправляли посетивших их пользователей на один из двух серверов эксплойтов. Каждый из этих серверов использовал свою цепочку эксплойтов в зависимости от того, из-под какой системы работало пользовательское устройство.

Сервер эксплойтов №1 первоначально заражал только пользователей с iOS и Windows, однако когда второй сервер был отключен (судя по всему самими хакерами, обнаружившими проявление к ним интереса со стороны инфосек исследователей) он начал применять эксплойт CVE-2020-16009 к Android. Оставался активным более недели с того момента, как ресерчеры стали извлекать эксплойты.

Сервер эксплуатации №2 атаковал пользователей Android и оставался активным лишь 36 часов после обнаружения, после чего был отключен.

Всего Project Zero смогли собрать следующие эксплойты:
1. Одна полная цепочка эксплойтов, нацеленная на полностью обновленную Windows 10 с Google Chrome.
2. Две частичные цепочки, нацеленные на полностью обновленный Android с Google Chrome или Samsung Browser.
3. Эксплойты RCE и повышения привилегий для iOS 11-13.

При этом исследователи говорят, что устройства под управлением других ОС они не тестировали, поэтому нельзя сказать однозначно были или не были на серверах эксплойты, например, для Linux.

Всего ProjectZero нашли семь эксплойтов 0-day уязвимостей. При чем не факт, что это все эксплойты, которые использовались неизвестными хакерами. В одном случае хакеры продемонстрировали возможность "налету" менять один эксплойт в цепочке другим (CVE-2020-15999 на CVE-2020-16009), когда соответствующая уязвимость была исправлена производителем ПО.

Никаких новых догадок в отношении того, кто стоит за киберкампаниями, не появилось. Единственное что сказали исследователи, это обозначили возможность того, что за серверами эксплойтов стояли разные акторы, которые, тем не менее, работают скоординировано.

Каких-либо данных в отношении профилирования целей Google Project Zero по каким-то причинам не предоставляют. И это только прибавляет загадок всему происходящему.

Плюс одинадцать 0-day меньше чем за год. Рептилоиды?

​​Гражданин России Егор Крючков, который был арестован в США в августе прошлого года за попытку подкупить сотрудника завода Tesla для внедрения вредоноса в сеть завода и последующего вымогательства, пошел на сделку с американским следствием.

Хотя изначально Крючков говорил о своей невиновности, теперь он решил соскочить на американский особый порядок и признал вину. В результате ему грозит срок от четырех до десяти месяцев и небольшой штраф в пользу Tesla.

А как дышал...

Как можно с помощью дешевой рации вывести из строя IP-камеру? Да очень просто, знакомьтесь - EMFI-атака.

MalwareHunterTeam обнаружили новый сэмпл ransomware REvil aka Sodinokibi, который может перезагружать атакованную машину в безопасный режим и уже там спокойно себе шифровать локальные файлы, что позволит лучше скрываться от антивирусного ПО.

Правда при этом требуется, чтобы пользователь залогинился в систему в процессе перезагрузки в безопасном режиме.

И в конце трудной рабочей недели немного юмора.

​​Мы неоднократно писали, что исследователи Positive Technologies весьма успешно потрошат микрокод процессоров Intel.

Например, в октябре они достали ключи шифрования, которые используются для защиты обновлений. Мы тогда предположили, что дальнейшие исследования в этой области вполне могут привести к встроенным бэкдорам АНБ в процессорах Intel. И возможно мы оказались правы.

Ермолов, Скляров и Горячий нашли в платформе Apollo Lake две недокументированные инструкции, позволяющие путем доступа к шине управления модифицировать микрокод. По мнению исследователей, эти инструкции присутствуют на всех процессорах Intel.

Правда для этого процессор должен быть в режиме Red Unlocked, то есть хакер должен иметь доступ к управлению Intel Management Engine. По умолчанию он залочен и доступ есть только у Intel. Но в некоторых процессорах есть дыры, позволившие его получить.

Да, Intel, по идее, может это все пропатчить. Нет, это будет не быстро.

Что имеем в итоге - недокументированные инструкции, позволяющие взять CPU (а значит и всю систему) под контроль, доступ к которым (по идее) имеют только Intel (или некоторые товарищи стоящие за ними).

Пилят, вот точно АНБшный бэкдор!

​​Ориентировочно 14 марта тайваньская компания Acer попала под каток ransomware REvil.

Acer - это действительно один из компьютерных гигантов, который имел в 2019 году почти 8 млрд. долларов прибыли.

REvil потребовали от тайваньцев выкуп в 50 млн. долларов, самый большой публичный выкуп в истории, а также выложили на свой сайт утечек изображения якобы украденных файлов.

BleepingComputer получили в свое распоряжение переписку представителей Acer с вымогателями, в ходе которой REvil дали тайваньцам странное предупреждение "не повторять судьбу SolarWinds". Что это значит - непонятно.

Со слов Виталия Кремеза из Advintel, его командой была обнаружена атака оператора REvil на сервер Microsoft Exchange, принадлежащий Acer. Вполне возможно, что вымогатели использовали ProxyLogon для компрометации целевой сети. Если это так, то подразделению ИБ Acer можно смело ставить кол за отсутствие грамотной процедуры обновления своих ресурсов, поскольку внеочередной патч для Exchange вышел еще 2 марта.

REvil потребовали от тайваньцев выкуп в 50 млн. долларов, самый крупный публичный выкуп на данный момент, и выложили на свой сайт утечек изображения якобы украденных файлов.

Исследователь Маркус Хатчинс пишет, что поймал на ханипот атаку со стороны ransomware BlackKingdom по использованию уязвимостей ProxyLogon в Microsoft Exchange. При этом вредоносный PowerShell-бэкдор не пытался шифровать файлы, а только оставлял записку о выкупе.

Однако, ID Ransomware заявили, что начиная с 18 марта фиксируют очередную волну атак BlackKingdom, в том числе, на сервера Microsoft Exchange. Сумма выкупа составляет 10 тыс. долларов в BTC.

Таким образом, BlackKingdom стал вторым штаммом ransomware после DearCry, в котором зашит функционал использования CVE из набора ProxyLogon. Это если не считать тот факт, что оператор REvil использовал, судя по всему, дырки в Microsoft Exchange для атаки на сеть Acer.

Впрочем, в этой истории нет ничего нового. Достаточно вспомнить как владельцы ransomware использовали дырки в необновленных Pulse VPN и другие похожие уязвимости.

​​Больше года назад израильская партия Ликуд, возглавляемая премьер-министром Нетаньяху, ухитрилась скомпрометировать персональные данные почти 6,5 млн. своих сторонников через дырку в мобильном приложении Elector. Причем прямо перед выборами.

Но завтра, 23 марта, в Израиле очередная итерация политического цикла - внеочередные выборы в Кнессет, местный парламент, а значит настало время для очередной утечки данных. И опять из Elector. На Ghostbin некая группа (или человек) под ником Israeli Autumn, делится обновленной базой избирателей партии Ликуд.

Очевидно, что вся эта движуха происходит в рамках внутривидовой еврейской предвыборной борьбы, но это не отменяет факта крайней криворукости создателей приложения Elector.

Паны дерутся, а у холопов чубы трещат.

Бен Хоукс, руководитель Google Project Zero, оставил в своем Twitter сообщение, в котором рассказал, что есть признаки того, что уязвимость CVE-2020-11261 в графическом компоненте Qualcomm для Android используется для проведения ограниченных целевых атак.

Уязвимость, представляющая собой переполнение буфера, была исправлена в январе этого года. Технических подробностей в ее отношении нет, но странно, что Google считает ее критичность высокой, а вот сам Qualcomm - средней. Предположим, что уязвимость приводит к выполнению произвольного кода, но в связи с необходимостью локального доступа для ее использования критичность была серьезно снижена.

Теперь же, как видим, она используется в дикой природе - по всей видимости, вредоносный код хакеры доставляют на атакуемое устройство посредством другой дырки.

По этой ссылке можно найти список чипсетов, подверженных CVE-2020-11261. Для некоторых может потребоваться исправление вручную.

Как сообщает DarkTracer, владельцы ransomware Babuk (оно же Babyk) заявили на своем сайте для утечек, что украли более 700 Гб данных у американской компании PDI Group. Это один из ведущих американских разработчиков и производителей систем управления оружием и вспомогательного оборудования для американских ВВС, ВМС и Командования спецопераций.

Babuk - это появившийся в начале года вымогатель, владельцы которого не любят BLM и ЛГБТ.

​​Словаки из ESET показали статистику атак на открытые сервера Microsoft Exchange. Естественно с целью эксплуатации уязвимостей из набора ProxyLogon.

На пике 5 марта - 6,5 тысяч попыток. Масштаб внушает.

​​Что-то опять операторы ransomware разбушевались.

Cl0p поломали университеты Колорадо и Майями через дырку в Accellion FTA. Одна из крупнейших американских страховых компаний CNA Financial, имеющая годовой доход в 10 млрд. долларов, пострадала от атаки вымогателя, в результате которой были приостановлены ее бизнес-операции. И даже производитель отказоустойчивых серверов Stratus Technologies словил ransomware и был вынужден отключить часть систем, чтобы предотвратить распространение вредоноса.

Кстати, интересный факт, в своем заявлении Stratus сообщили, что после изолирования зараженного сегмента сети они "приступили к выполнению мероприятий плана по обеспечению непрерывности бизнеса". Это как раз то, про что мы говорили еще в прошлом году - назрела необходимость создания в крупных компаниях отдельного направления в рамках функционала подразделений Business Continuity Management (BCM), которое будет предусматривать отработку процедур восстановления бизнеса в случае атаки вымогателя.

Но круче всех выступил крупный канадский производитель IoT Sierra Wireless (нет, это не те богоспасаемые Sierra Entertainment, которые авторы The Incredible Machine и Phantasmagoria), который ухитрился запустить ransomware в технологический сегмент своей сети, в результате чего встало производство на всех его площадках. При этом еще не понятно, получили ли хакеры доступ к чувствительным данным.

Концепция "ИБ за мелкий прайс" победно шагает по планете с подачи эффективных менеджеров. А то, что потом финансовые прогнозы приходится пересматривать, - так то ерунда. Главное успеть бонус за срезание костов освоить.

Мы как-то нелиепа (сборная КВН Санкт-Петербурга рулит, да) пропустили знаковый отчет швейцарской инфосек компании PRODAFT, в котором исследователи описали инфраструктуру новой APT, названную ими SilverFish.

Если вкратце, то они сумели распотрошить один из управляющих центров атаки Sunburst на компанию SolarWinds, в которой американские власти обвиняют APT, работающие на российские спецслужбы. А после этого обнаружили часть большой вредоносной инфраструктуры, которая, судя по IoC, была задействована на некоторых этапах атаки Sunburst.

А потом установили, что вредоносная инфраструктура SilverFish пересекается с вредоносной инфраструктурой Evil Corp и даже нашли связь между участвовавшими в атаке на SolarWinds серверами и ransomware WastedLocker, принадлежащем тем же Evil Corp.

Конечно, швейцарцы говорят об этой связи очень осторожно, чтобы не противоречить официальной версии о причастности к атаке Sunburst хакерских групп с "Bear" в названии.

А мы вспомним, что как только началась движуха с атакой на FireEye, которая потом оказалась частью компрометации SolarWinds, уважаемый датский инфосек исследователь Петер Крузе заявил, что FireEye стали жертвой Evil Corp и у в отношении этого есть определенные доказательства. Правда потом Крузе почему-то притих.

Связаны ли эти два факта? Действительно ли автором Sunburst является Evil Corp или аффилированная с ней группа? Мы не знаем. По крайней мере, пока.

Но если из-за проделок кибермошенников разразится новая холодная (а может и потеплее) война, то это будет ярчайшей насмешкой над тем миром, в котором мы живем сегодня.

​​Команда сайта обзоров WizCase рассказала о крупномасштабной утечке информации онлайн-брокера FBS, которую они обнаружили в октябре 2020 года.

FBS - это один из крупнейших онлайн-брокеров на Forex, который работает с 16 млн. трейдеров.

Осенью WizCase нашли криво настроенный Elasticsearch-сервер, принадлежащий FBS, который содержал в общей сложности 20 Тб данных в виде 16 миллиардов записей о клиентах брокера. Среди них - полные ФИО, электронная почта, физические адреса, номера телефонов, IP-адреса, фотографии паспортов и банковские карты и пр.

Плюс там были идентификаторы клиентов FBS, незашифрованные пароли в base64, логи входов и ссылки для сброса пароля. Соответственно все сведения были открыты для публики.

Сколько точно по времени это происходило - непонятно. WizCase нашли сервер 1 октября, сообщили в FBS, а 5 октября брокер все исправил.

Протекло так протекло.

Очень странную историю мы нашли на просторах сети. Может быть, что фейк, но не похоже.

Итак, в течение двух ночей 14 и 15 июля 2019 года группа американских эсминцев - USS Kid, USS Rafael Peralta, USS Russel, USS John Finn и USS Paul Hamilton, находясь в районе островов Чаннел недалеко от побережья Калифорнии, столкнулась с группой неопознанных дронов (БПЛА), которые летали вокруг кораблей. При этом расстояние до берега составляло около 100 морских миль.

Всего американские моряки насчитали до 6 дронов, которые маневрировали со скоростью, достигавшей 45 миль в час (более 72 км/ч), в течение нескольких часов. Как мы уже писали, 14 июля 2019 года эсминцы находились на расстоянии около 100 километров от берега, 15 июля они были ближе. При этом видимость в ночное время составляла не более одной морской мили, а в одном из эпизодов дрон завис над палубой корабля, двигавшегося со скоростью 16 узлов (около 30 км/ч), что логично позволяло бы предположить нахождение оператора в пределах прямой видимости. Однако, такового не наблюдалось.

Спустя несколько дней, ночью 25 и 30 июля, инциденты с БПЛА повторились.

Проведенным расследованием было установлено, что находящиеся в этом районе гражданские корабли не были причастны к инциденту. Представители самого американского ВМФ также отрицали работу в это время военных БПЛА.

Это могло быть частью программы секретных испытаний. Но хочется все-таки надеяться на рептилоидов. Потому что человеки не в состоянии поправить положение в области информационной безопасности.

Компания Facebook сообщила, что вскрыла и заблокировала сеть аккаунтов, принадлежащих китайской APT EvilEye aka Earth Empusa aka Poison Carp, которую хакеры использовали в киберкампании, нацеленной на уйгурских диссидентов как внутри Китая, так и за его рубежами.

Поддельные аккаунты использовались преимущественно для направления целям ссылок на вредоносные сайты, а также заранее скомпрометированные хакерами легальные ресурсы (т.е. атака на водопой). В частности, EvilEye использовали вредоносы INSOMNIA для заражения мобильных устройств.

Команда Facebook говорит о четком таргетировании жертв, которые проходили многофакторную проверку перед непосредственно заражением.

Интересное - исследователи называют две китайские компании Beijing Best United Technology (Best Lh) и Dalian 9Rush Technology (9Rush) как разработчиков некоторых вредоносных инструментов для Android, которые применялись APT EvilEye в ходе киберкампании.

APT EvilEye наблюдается с 2018 года, хакерская группа нацелена преимущественно на уйгурских и тибетских диссидентов, а также на Тайвань. Возможно является подразделением более крупной и известной APT.

Напомним, что в декабре 2020 года Facebook сообщала о пресечении киберкампании APT Ocean Lotus aka APT 32, работающей на правительство Вьетнама. Тогда, кстати, исследователи также называли конкретную фирму - IT-компанию CyberOne Group из вьетнамского города Хо Ши Мин, - сотрудничающую с хакерами.

Attention! Сайт telegram-us .com распространяет вредоносы под видом установок Telegram.

Малварь, кстати, определяется только четырьмя антивирусами, если верить VirusTotal.

​​Новостей интересных нет, вдарим по шуткам.