​​Ориентировочно 14 марта тайваньская компания Acer попала под каток ransomware REvil.

Acer - это действительно один из компьютерных гигантов, который имел в 2019 году почти 8 млрд. долларов прибыли.

REvil потребовали от тайваньцев выкуп в 50 млн. долларов, самый большой публичный выкуп в истории, а также выложили на свой сайт утечек изображения якобы украденных файлов.

BleepingComputer получили в свое распоряжение переписку представителей Acer с вымогателями, в ходе которой REvil дали тайваньцам странное предупреждение "не повторять судьбу SolarWinds". Что это значит - непонятно.

Со слов Виталия Кремеза из Advintel, его командой была обнаружена атака оператора REvil на сервер Microsoft Exchange, принадлежащий Acer. Вполне возможно, что вымогатели использовали ProxyLogon для компрометации целевой сети. Если это так, то подразделению ИБ Acer можно смело ставить кол за отсутствие грамотной процедуры обновления своих ресурсов, поскольку внеочередной патч для Exchange вышел еще 2 марта.

REvil потребовали от тайваньцев выкуп в 50 млн. долларов, самый крупный публичный выкуп на данный момент, и выложили на свой сайт утечек изображения якобы украденных файлов.

Исследователь Маркус Хатчинс пишет, что поймал на ханипот атаку со стороны ransomware BlackKingdom по использованию уязвимостей ProxyLogon в Microsoft Exchange. При этом вредоносный PowerShell-бэкдор не пытался шифровать файлы, а только оставлял записку о выкупе.

Однако, ID Ransomware заявили, что начиная с 18 марта фиксируют очередную волну атак BlackKingdom, в том числе, на сервера Microsoft Exchange. Сумма выкупа составляет 10 тыс. долларов в BTC.

Таким образом, BlackKingdom стал вторым штаммом ransomware после DearCry, в котором зашит функционал использования CVE из набора ProxyLogon. Это если не считать тот факт, что оператор REvil использовал, судя по всему, дырки в Microsoft Exchange для атаки на сеть Acer.

Впрочем, в этой истории нет ничего нового. Достаточно вспомнить как владельцы ransomware использовали дырки в необновленных Pulse VPN и другие похожие уязвимости.

​​Больше года назад израильская партия Ликуд, возглавляемая премьер-министром Нетаньяху, ухитрилась скомпрометировать персональные данные почти 6,5 млн. своих сторонников через дырку в мобильном приложении Elector. Причем прямо перед выборами.

Но завтра, 23 марта, в Израиле очередная итерация политического цикла - внеочередные выборы в Кнессет, местный парламент, а значит настало время для очередной утечки данных. И опять из Elector. На Ghostbin некая группа (или человек) под ником Israeli Autumn, делится обновленной базой избирателей партии Ликуд.

Очевидно, что вся эта движуха происходит в рамках внутривидовой еврейской предвыборной борьбы, но это не отменяет факта крайней криворукости создателей приложения Elector.

Паны дерутся, а у холопов чубы трещат.

Бен Хоукс, руководитель Google Project Zero, оставил в своем Twitter сообщение, в котором рассказал, что есть признаки того, что уязвимость CVE-2020-11261 в графическом компоненте Qualcomm для Android используется для проведения ограниченных целевых атак.

Уязвимость, представляющая собой переполнение буфера, была исправлена в январе этого года. Технических подробностей в ее отношении нет, но странно, что Google считает ее критичность высокой, а вот сам Qualcomm - средней. Предположим, что уязвимость приводит к выполнению произвольного кода, но в связи с необходимостью локального доступа для ее использования критичность была серьезно снижена.

Теперь же, как видим, она используется в дикой природе - по всей видимости, вредоносный код хакеры доставляют на атакуемое устройство посредством другой дырки.

По этой ссылке можно найти список чипсетов, подверженных CVE-2020-11261. Для некоторых может потребоваться исправление вручную.

Как сообщает DarkTracer, владельцы ransomware Babuk (оно же Babyk) заявили на своем сайте для утечек, что украли более 700 Гб данных у американской компании PDI Group. Это один из ведущих американских разработчиков и производителей систем управления оружием и вспомогательного оборудования для американских ВВС, ВМС и Командования спецопераций.

Babuk - это появившийся в начале года вымогатель, владельцы которого не любят BLM и ЛГБТ.

​​Словаки из ESET показали статистику атак на открытые сервера Microsoft Exchange. Естественно с целью эксплуатации уязвимостей из набора ProxyLogon.

На пике 5 марта - 6,5 тысяч попыток. Масштаб внушает.

​​Что-то опять операторы ransomware разбушевались.

Cl0p поломали университеты Колорадо и Майями через дырку в Accellion FTA. Одна из крупнейших американских страховых компаний CNA Financial, имеющая годовой доход в 10 млрд. долларов, пострадала от атаки вымогателя, в результате которой были приостановлены ее бизнес-операции. И даже производитель отказоустойчивых серверов Stratus Technologies словил ransomware и был вынужден отключить часть систем, чтобы предотвратить распространение вредоноса.

Кстати, интересный факт, в своем заявлении Stratus сообщили, что после изолирования зараженного сегмента сети они "приступили к выполнению мероприятий плана по обеспечению непрерывности бизнеса". Это как раз то, про что мы говорили еще в прошлом году - назрела необходимость создания в крупных компаниях отдельного направления в рамках функционала подразделений Business Continuity Management (BCM), которое будет предусматривать отработку процедур восстановления бизнеса в случае атаки вымогателя.

Но круче всех выступил крупный канадский производитель IoT Sierra Wireless (нет, это не те богоспасаемые Sierra Entertainment, которые авторы The Incredible Machine и Phantasmagoria), который ухитрился запустить ransomware в технологический сегмент своей сети, в результате чего встало производство на всех его площадках. При этом еще не понятно, получили ли хакеры доступ к чувствительным данным.

Концепция "ИБ за мелкий прайс" победно шагает по планете с подачи эффективных менеджеров. А то, что потом финансовые прогнозы приходится пересматривать, - так то ерунда. Главное успеть бонус за срезание костов освоить.

Мы как-то нелиепа (сборная КВН Санкт-Петербурга рулит, да) пропустили знаковый отчет швейцарской инфосек компании PRODAFT, в котором исследователи описали инфраструктуру новой APT, названную ими SilverFish.

Если вкратце, то они сумели распотрошить один из управляющих центров атаки Sunburst на компанию SolarWinds, в которой американские власти обвиняют APT, работающие на российские спецслужбы. А после этого обнаружили часть большой вредоносной инфраструктуры, которая, судя по IoC, была задействована на некоторых этапах атаки Sunburst.

А потом установили, что вредоносная инфраструктура SilverFish пересекается с вредоносной инфраструктурой Evil Corp и даже нашли связь между участвовавшими в атаке на SolarWinds серверами и ransomware WastedLocker, принадлежащем тем же Evil Corp.

Конечно, швейцарцы говорят об этой связи очень осторожно, чтобы не противоречить официальной версии о причастности к атаке Sunburst хакерских групп с "Bear" в названии.

А мы вспомним, что как только началась движуха с атакой на FireEye, которая потом оказалась частью компрометации SolarWinds, уважаемый датский инфосек исследователь Петер Крузе заявил, что FireEye стали жертвой Evil Corp и у в отношении этого есть определенные доказательства. Правда потом Крузе почему-то притих.

Связаны ли эти два факта? Действительно ли автором Sunburst является Evil Corp или аффилированная с ней группа? Мы не знаем. По крайней мере, пока.

Но если из-за проделок кибермошенников разразится новая холодная (а может и потеплее) война, то это будет ярчайшей насмешкой над тем миром, в котором мы живем сегодня.

​​Команда сайта обзоров WizCase рассказала о крупномасштабной утечке информации онлайн-брокера FBS, которую они обнаружили в октябре 2020 года.

FBS - это один из крупнейших онлайн-брокеров на Forex, который работает с 16 млн. трейдеров.

Осенью WizCase нашли криво настроенный Elasticsearch-сервер, принадлежащий FBS, который содержал в общей сложности 20 Тб данных в виде 16 миллиардов записей о клиентах брокера. Среди них - полные ФИО, электронная почта, физические адреса, номера телефонов, IP-адреса, фотографии паспортов и банковские карты и пр.

Плюс там были идентификаторы клиентов FBS, незашифрованные пароли в base64, логи входов и ссылки для сброса пароля. Соответственно все сведения были открыты для публики.

Сколько точно по времени это происходило - непонятно. WizCase нашли сервер 1 октября, сообщили в FBS, а 5 октября брокер все исправил.

Протекло так протекло.

Очень странную историю мы нашли на просторах сети. Может быть, что фейк, но не похоже.

Итак, в течение двух ночей 14 и 15 июля 2019 года группа американских эсминцев - USS Kid, USS Rafael Peralta, USS Russel, USS John Finn и USS Paul Hamilton, находясь в районе островов Чаннел недалеко от побережья Калифорнии, столкнулась с группой неопознанных дронов (БПЛА), которые летали вокруг кораблей. При этом расстояние до берега составляло около 100 морских миль.

Всего американские моряки насчитали до 6 дронов, которые маневрировали со скоростью, достигавшей 45 миль в час (более 72 км/ч), в течение нескольких часов. Как мы уже писали, 14 июля 2019 года эсминцы находились на расстоянии около 100 километров от берега, 15 июля они были ближе. При этом видимость в ночное время составляла не более одной морской мили, а в одном из эпизодов дрон завис над палубой корабля, двигавшегося со скоростью 16 узлов (около 30 км/ч), что логично позволяло бы предположить нахождение оператора в пределах прямой видимости. Однако, такового не наблюдалось.

Спустя несколько дней, ночью 25 и 30 июля, инциденты с БПЛА повторились.

Проведенным расследованием было установлено, что находящиеся в этом районе гражданские корабли не были причастны к инциденту. Представители самого американского ВМФ также отрицали работу в это время военных БПЛА.

Это могло быть частью программы секретных испытаний. Но хочется все-таки надеяться на рептилоидов. Потому что человеки не в состоянии поправить положение в области информационной безопасности.

Компания Facebook сообщила, что вскрыла и заблокировала сеть аккаунтов, принадлежащих китайской APT EvilEye aka Earth Empusa aka Poison Carp, которую хакеры использовали в киберкампании, нацеленной на уйгурских диссидентов как внутри Китая, так и за его рубежами.

Поддельные аккаунты использовались преимущественно для направления целям ссылок на вредоносные сайты, а также заранее скомпрометированные хакерами легальные ресурсы (т.е. атака на водопой). В частности, EvilEye использовали вредоносы INSOMNIA для заражения мобильных устройств.

Команда Facebook говорит о четком таргетировании жертв, которые проходили многофакторную проверку перед непосредственно заражением.

Интересное - исследователи называют две китайские компании Beijing Best United Technology (Best Lh) и Dalian 9Rush Technology (9Rush) как разработчиков некоторых вредоносных инструментов для Android, которые применялись APT EvilEye в ходе киберкампании.

APT EvilEye наблюдается с 2018 года, хакерская группа нацелена преимущественно на уйгурских и тибетских диссидентов, а также на Тайвань. Возможно является подразделением более крупной и известной APT.

Напомним, что в декабре 2020 года Facebook сообщала о пресечении киберкампании APT Ocean Lotus aka APT 32, работающей на правительство Вьетнама. Тогда, кстати, исследователи также называли конкретную фирму - IT-компанию CyberOne Group из вьетнамского города Хо Ши Мин, - сотрудничающую с хакерами.

Attention! Сайт telegram-us .com распространяет вредоносы под видом установок Telegram.

Малварь, кстати, определяется только четырьмя антивирусами, если верить VirusTotal.

​​Новостей интересных нет, вдарим по шуткам.

Электромобили Tesla можно купить за биткоины

А Илон Маск обещает не переводить криптовалюту в доллары — об этом он сообщил в своём Twitter.

Причём, при оплате покупатели не будут терять на конвертации в доллары: криптовалюта будет приниматься компанией Tesla напрямую.

К слову, возможность оплаты биткоинами уже появилась на сайте Tesla.

К примеру, комиссию за заказ нового электромобиля в размере $100 уже можно оплатить биткоинами.

Пока это доступно лишь жителям США, но Илон пояснил, что возможность оплаты биткоинами у покупателей из других стран появится позже в этом году.

Кстати, на сайте Tesla показан весь процесс оплаты криптовалютой.

​​Мы писали позавчера про атаку ransomware на одну из крупнейших американских страховых компаний CNA Financial, имеющую годовой доход в 10 млрд. долларов.

BleepingComputer подвез подробностей в отношении этой атаки.

Оказывается CNA Financial стала жертвой нового вымогателя Phoenix CryptoLocker. 21 марта хакеры скомпрометировали сеть страховой компании, развернули вымогатель и зашифровали более 15 тыс. устройств. Причем пострадали даже компьютеры сотрудников, которые работали на удаленке и были подключены к корпоративному VPN.

Так что если вы думаете, что сидя дома на удаленном офисе можете избежать последствий от атак на вашего прекрасного работодателя, то не факт. В наше время прекрасность компании должна оцениваться с точки зрения того, как у нее обстоят дела в области информационной безопасности.

Штамм Phoenix CryptoLocker добавляет к зашифрованным файлам расширение .phoenix и создает записку с требованием выкупа с названием PHOENIX-HELP.txt и изображением Феникса внутри.

Журналисты, со ссылкой на свои источники, утверждают, что Phoenix CryptoLocker является новым штаммом ransomware, принадлежащем Evil Corp. Основой для этого, якобы, служит сходство в коде.

Между тем, как заявили американские исследователи из CrowdStrike, появившееся в декабре прошлого года ransomware Hades является ни чем иным как перелицованным вариантом WastedLocker, принадлежащего тем же Evil Corp. Вымогатель, в частности, был задействован хакерами для атаки на американского транспортного гиганта Forward Air.

По мнению исследователей, таким образом Evil Corp пытаются выйти из под санкций американского Минфина, которые запрещают компаниям в американской юрисдикции каким-либо образом взаимодействовать с Evil Corp, в том числе выплачивать им выкуп за расшифровку файлов после атаки связанных с хакерской группой штаммов ransomware .

The Record сообщают об исследовании компании AdaptiveMobile, посвященном новым уязвимостям стандарта 5G.

Уязвимости касаются механизма разделения сети 5G на части, который может быть использован при постепенной замене старых сетей на новое поколение. По причине "отсутствия сопоставления между идентификаторами прикладного и транспортного уровней" злоумышленник может выдать себя за легитимный узел сотовой сети, благодаря чему осуществить атаку на отказ в обслуживании (не совсем понятно - атаку на абонента или на оборудование оператора), а также получить абонентские данные, например, его геолокацию.

AdaptiveMobile уведомили об уязвимостях GSMA, а также организацию 3GPP, отвечающую за разработку стандарта 5G. Видимо они выразят озабоченность и рекомендуют рассматривать соответствующие запросы как "подозрительные" (сарказм).

Что же, теперь кроме старых дырок в ОКС-7, злоумышленники будут использовать для атак на абонентов еще и новые уязвимости в 5G. Улыбаемся и машем.

Ну и под конец рабочей недели немного конспирологии и здравой паранойи.

Совсем скоро, с 1 апреля производители смартфонов и планшетов должны будут предустанавливать на свои устройства список российского ПО, который был утвержден распоряжением российского Правительства №3704-р от 31 декабря 2020 года.

Не будем ломать копья по поводу необходимости самой такой меры, тем более решение уже принято и вот-вот вступит в силу. И если часть ПО из списка, такое как соцсети Вконтакте и Одноклассники (в конце концов, предустановленные Facebook и Twitter никого не возмущают), Госуслуги, MirPay или Kaspersky Internet Security (конкуренция тут, конечно, не проходила, но пусть лучше так, чем никак совсем) мы еще можем понять, то вот к мессенджеру ICQ от Mail .ru Group у нас большие вопросы.

Напомним, что созданная в 1996 году компанией Mirabillis Аська сначала перешла к AOL, а потом в 2010 году ее купил российский фонд DST, созданный Юрием Мильнером, который затем в результате преобразований стал Mail .ru Group.

Уже на момент покупки ICQ была весьма спорным активом - с пика в 100 млн. пользователей в 2001 году мессенджер скатился до немногим более 33 млн. пользователей в 2010. Вдобавок, насколько мы слышали, у DST возникли проблемы с переносом серверов ICQ из США, когда американская SEC под угрозой разрыва сделки настояла, чтобы их оставили "где стояло". Признаемся, правда, что чем закончился этот кейс мы не в курсе.

В итоге, по данным Mediascope, в 2020 году российская аудитория перезапущенной мобильной ICQ New составляла немногим более 400 тысяч.

И вот такое непонятно что включили в список предустановленного ПО. Ясно дело, что этот шаг несомненно поможет Mail .ru Group существенно увеличить аудиторию Аськи, однако у нас есть есть мнение по поводу еще одной причины такого решения.

Дело в том, что множество олдфагов, увидя на своем смартфоне приложение ICQ, станут логиниться под своим старым аккаунтом. И "совершенно случайно" привяжут к своему номеру мобильного телефона всю старую переписку, которую они вели 15-20 лет назад, когда понятия о конфиденциальности в сети сводились к паролям больше 6 знаков и блокированию экрана горячей клавишей "Босс идет". А что там в этой переписке было - и сам пользователь уже не вспомнит.

Следи за собой, будь осторожен (с).

​​Только мы решили расслабиться и пойти игрануть в Квиз в уютном московском баре, как подъехали данные о суперскилованной элитной APT, которую ранее нашли Google Project Zero.

Тогда в рамках своей программы "В дикой природе" исследователи обнаружили две компании неустановленной хакерской группы, вероятно прогосударственной, которая меньше чем за год использовала 11(!) 0-day уязвимостей. При этом хакеры шифровались настолько хорошо, что Project Zero так и не установили ни целей киберопераций, ни кто за ними стоит. Также Google не предоставили никаких TTPs, что само по себе в этой ситуации было весьма необычно.

И вот сегодня в MIT Technology Review вышел материал за авторством главного редактора раздела инфосек Патрика О'Нилла, в котором он раскрывает всю подноготную.

По данным издания, вскрытые исследователями киберкампании проводились неназванной APT, работающей на одно из западных правительств, и были направлены на контртеррористическую борьбу, и Google были в курсе этого.

Тем не менее, учитывая значимость найденных множественных 0-day уязвимостей (а часть из них была к тому же в Google Chrome), Project Zero решили раскрыть публике данные о них, не предоставляя при этом никаких сведений, которые способствовали бы атрибуции стоящей за атаками прогосударственной хакерской группы.

Аплодируем смелости Google стоя!

Теперь, по информации MIT Technology Review, к компании появились вопросы у Разведсообщества США, которые могут превратиться во вполне реальные проблемы для Google, а скорее для некоторых из ее функционеров. Это же намекает, что за кибероперацией с большой долей вероятности стояли Equation либо Lamberts.

Тем временем напомним, что аналогичное раскрытие Касперскими в 2018 году хакерской активности американского Командования специальных операций (SOCOM) в рамках кибероперации Slingshot послужило одним из основных аргументов для окукливания российской компании на рынке США.

А мы ведь знали!

​​Ну и традиционно в самом конце пятницы - немного посмеяться.