​​Наверняка все уже видели вчерашнюю новость, что администрация Colonial Pipeline оказывается заплатила таки 5 миллионов долларов владельцам ransomware Darkside в качестве выкупа, однако расшифровка данных пошла не по плану и в результате имеем что имеем.

Но мы не про это - у нас тут обострение информационного фона случилось. Наталья Ивановна Касперская заявила, что не исключена причастность к атаке на Colonial Pipeline спецподразделения ЦРУ, которое замаскировалось под вымогателей дабы напрячь ̶б̶у̶л̶к̶и̶ международную обстановку.

И все это после того, как появилась новость про 5 млн. долларов выкупа, после того как владельцы Darkside сами признали свою причастность к взлому трубопровода.

Вообще говоря, у нас есть ощущение, что каждый раз, когда Наталья Ивановна совершает очередной ошеломляющий камингаут, пиарщики тру Касперского седеют, лысеют и бухают. Скоро колоться будут.

Надо им в качестве мести в Лабораторию Ашманова переименоваться и начать нести всякую дичь.

​​XSS запретил всю продажу и рекламу ransomware.

Как мы и говорили, связь с бандами ransomware становится токсичной. Прорекламировав очередного вымогателя теперь можно нарваться не только на перехват доменного имени, например, но и на визит вежливости от скромных ребят из, скажем, Equation или Lamberts (если кто забыл - это внутренние хакерские группы АНБ и ЦРУ).

Но принципиально это ничего не изменит, переместятся товарищи в даркнет полностью. Хотя объекты атаки фильтровать, наверняка, станут тщательнее.

В это же время очередной жертвой вымогателей стала Национальная служба здравоохранения Ирландии (HSE), в результате чего часть сервисов была отключена. Хорошо еще, что неотложная медицинская помощь в порядке, но амбулаторное лечение в некоторых больницах, к примеру, пришлось отменить.

И хотя название вымогателя пока не объявлялось, к гадалке не ходи, виноватой (и, скорее всего, объективно) окажется русскоязычная банда ransomware. Образ страны, совершенно неспособной разобраться с киберпреступностью на своей территории, будет прирастать к России все прочнее.

А между тем на свободу выходит Forb, один из зачинщиков такого положения вещей.

Google Cloud заключила контракт со Starlink

Согласно известной информации, SpaceX установит наземные терминалы системы Starlink в центрах обработки данных Google.

Причём, установлены они будут как в США, так и по всему миру.

Эти терминалы должны обеспечить подключение к спутникам, а так же бесперебойный доступ в Интернет с помощью имеющейся у Google инфраструктуры.

По словам обеих компаний, эта услуга будет доступна как государственным, так и частным компаниям.

К слову, в прошлом Microsoft также заключила со SpaceX подобное соглашение, подключив к спутникам сервисы Azure.

​​The Record с подачи своего штатного корреспондента, бывшего хакера Дмитрия Смилянца, пишут, что у владельцев Darkside увели всю публичную инфраструктуру, а также часть денег в криптовалюте, которая была переведена на неизвестный кошелек.

Оказывается, что таки можно бороться с вымогателями. Надо только захотеть.

​​Актуальные вопросы информационной безопасности больших инфраструктурных объектов

На фоне ушатывания владельцев ransomware Darkside американцами с ноги прямо в щщи забеспокоились их коллеги по вымогательскому бизнесу.

Unknown, представитель группировки REvil, заявил, что вымогатели вводят новые ограничения на допустимые для атаки цели:
- запрещается атаковать объекты социальной сферы (здравоохранение, учебные заведения);
- запрещается атаковать государственные организации.

И это, пардон, те самые REvil, которые в интервью Смилянцу в марте важно заявляли, что их операторы имеют доступ к системе запуска баллистических ракет, к крейсеру ВМС США, к атомной электростанции и к оружейному заводу. А также "мы в силах начать войну, но это нам не выгодно".

Положительно, хакеры не переносят возможной угрозы физического насилия. Особенно со стороны замотивированных и не обращающих внимание на моральные стороны вопроса представителей государственных спецслужб (что западных, что российских).

P.S. Заметим, что Colonial Pipeline, из-за которого, собственно, вся буча и началась, не является ни объектом социальной сферы, ни государственным учреждением. Так что REvil тут пальнули мимо. Хотя, с другой стороны, возможно они так отреагировали на выступление британского министра иностранных дел Рааба.

Французские инфосек исследователи из консалтинговой компании Sogeti выпустили отчет по результатам своих экзерсисов в отношении скандального ransomware Babuk, владельцы которого на днях выкинули в сеть украденные у Управления полиции Вашингтона данные (не сторговались с копами).

Кроме явных интересных находок, например ошибок в настройках их сайта для утечек (которые, правда, ничего толком не дали), французы попытались в OSINT. И, само собой, кроме "тысячи чертей" ничего не вышло.

Исходя из того, что на Raidforums представитель банды использует ник biba99, исследователи нашли аналогичный Telegram-ID пользователя "Бейбарыс Султан". А потом нашли кучу Бейбарыс Султанов в сети, что характерно - среди казахов. Один из таких Инстаграм-аккаунтов, владелец которого служит в казахской военной полиции, неизвестно чем привлек их внимание, в результате чего они решили, что это может быть тот самый biba99 из Babuk. Хотя там невооруженным взглядом видно, что он даже на Бейбарыс Султана из Телеграма не похож, не говоря уж про Бибу с Raidforums. В общем плохо французы разбираются в казахских аспектах физиогномики.

Дополнительным "подтверждением" того, что вымогатели это мусульмане родом из Казахстана, послужил факт их нелюбви к ЛГБТ и BLM (о чем мы ранее неоднократно паисали). В общем, в OSINT исследователи из Sogeti не умеют. Так что если вы увидите в новостях, что владельцы Babuk - казахи, не верьте.

А вот что действительно любопытно, так это то, что в Babuk французы не обнаружили функции, предотвращающей заражение русскоязычных пользователей, которая часто встречается среди ransomware.

​​На прошлой неделе Microsoft выпустили очередной месячный апдейт безопасности, которым, среди прочего, закрыли критическую уязвимость CVE-2021-31166, которую оценили в 9,8 по шкале критичности CVSS.

Ошибка находится в стеке HTTP Microsoft IIS и при эксплуатации может привести к повреждению памяти и, как следствие, к удаленному выполнению кода в ядре ОС.

Microsoft заявили, что эта уязвимость может привести к созданию сетевого червя, который будет распространяться по серверам IIS.

А вчера исследователь Алекс Суше представил Proof of Concept для CVE-2021-31166, а значит до рабочего эксплойта в руках хакеров осталось всего ничего.

Поэтому если у вы используете Microsoft IIS - обновитесь, нечего червей плодить.

​​В оборот группы вымогателей Avaddon попал страховой гигант AXA. Филиалы страхового гиганта, расположенные в Таиланде, Малайзии, Гонконге и на Филиппинах, подверглись кибератаке.

ОБ инциденте заявили сами хакеры на своем сайте, сообщив о хищении более 3 ТБ конфиденциальных сведений азиатских подразделений компании, а также обрушив на ее сайты массированный DDoS. О своей тактике склонения к диалогу жертв группировка официально предупреждала еще в январе 2021 года.

Скомпрометированные Avaddon данные включают медицинские отчеты клиентов (раскрывающие диагноз сексуального здоровья), копии удостоверений личности, выписки с банковского счета, платежные записи, контракты и многое другое.

Внимание злоумышленников AXA привлекла своим громким объявлением об отказе возмещения ущерба от неправомерных действий с использованием ransomware по полисам киберстрахования во Франции.

Avaddon предоставил 10-дневный срок для урегулирования вопроса по выплате выкупа, в противном случае банда намерена начать публиковать похищенные клиентские данные.

Тем временем, в AXA очень серьезно отнеслись к случившемуся и подключили к расследованию специальную рабочую группу с привлечением внешних экспертов, проинформировали надзорные инстанции и партнеров. AXA пока не называли сумму выкупа, которую требует Avaddon.

Примечательно, что на этой неделе Федеральное бюро расследований (ФБР) и Австралийский центр кибербезопасности (ACSC) предупреждали о потенциальной активности программ-вымогателей Avaddon. Надо было прислушаться, как минимум застраховать риски.

Полагаем, что компания после инцидента будет проявлять большую солидарность к жертвам банд вымогателей, а если нет - то, вероятно, их научат это делать Робины Гуды современности.

Правительство Японии решило отреагировать на возрастающий уровень киберугроз, в том числе в качестве реакции на взлом Colonial Pipeline, и объявило что введет новые правила для 44 частных и государственных секторов.

В их число входят - телекоммуникации, электроэнергетика, финансы, железные дороги, госуслуги, здравоохранение и пр.

Основное нововведение - отныне японское правительство сможет устанавливать требования для коммерческих компаний в части использования иностранного оборудования и сервисов (например, облачных решений). И, если госорганам что-то не понравится, напрямую запрещать их применение.

Все происходящее вполне в духе стремительного развития Кластернета. Но, с другой стороны, желание японцев максимально сократить количество неподконтрольных им железок и услуг в критически важных областях народного хозяйства, с учетом последних тенденций развития киберугроз, вполне себе понятно.

Что же касается самой "деспотичной диктатуры в Европе" (это мы про Россию, если кто не понял, а не про Бацьку), то тут, в отличие от демократичных японцев, наши телеком операторы, например, на счет раз вышвыривают из тендеров российские инфосек компании ради их иностранных конкурентов. И если кто-то подумал про конкретную организацию, то вы ошибаетесь, - мы знаем подобных случаев минимум 4.

Кровавая гэбня и тоталитаризм, куле.

​​Администратор XSS снял с депозита владельцев ransomware Darkside больше 22 BTC (около 1 млн. долларов).

Это произошло из-за жалобы сотрудничавшего с вымогателями оператора, который взломал сеть неназванной компании и разместил в ней Darkside, после чего жертва выплатила его владельцам выкуп. Однако те не смогли перевести оператору 80% от полученной в криптовалюте суммы согласно договоренности из-за того, что средства с их кошелька были выведены (вероятнее всего американцами).

Трест, который лопнул.

Вышел новый выпуск еженедельных новостей от SecurityLab.

Из того, что бросилось в глаза нам - главный маркетолог Позитивов Заполянский пообещал на PHD представить новую концепцию информационной безопасности, в честь чего мероприятие назвали "Начало". Правда ничего не объяснил толком, напустил тумана и позвал всех на PHD.

Главное - чтобы пространство не сворачивали.

Словаки из ESET опубликовали исследование, посвященное безопасности т.н. stalkerware для Android.

Stalkerware - это мобильное ПО, которое устанавливается на целевое устройство с использованием физического доступа и втихаря мониторит его активность. Используется, как правило, для контроля детей и неверных супругов. В иных случаях установка такого ПО - вполне себе подсудное дело (по крайней мере, в России) и, тем не менее, его пытаются использовать и для других целей. Несмотря даже на то, что многие антивирусные решения помечают сталкерское ПО как нежелательное или вредоносное.

Исследователи проанализировали 86 stalkerware для Android. В 58 из них были обнаружены в общей сложности 158 уязвимостей, которые в случае их эксплуатации позволили бы хакеру получить контроль над устройством, захватить учетную запись сталкера или осуществить удаленное выполнение кода.

К примеру, некоторые приложения передают данные мониторинга на сервер ПО по открытому каналу, другие хранят их на внешнем носителе также в открытом виде и пр. и пр. А одно из приложений использует Metasploit для мониторинга.

Теперь к самому печальному - ESET сообщили о выявленных уязвимостях производителям ПО. Только 6 из них исправили ошибки, 7 пообещали, но не исправили, а 44 просто отморозились. Поскольку три месяца с момента направления данных производителям прошло, то словаки решили раскрыть часть данных в своем полном отчете, который можно посмотреть по ссылке.

Компания Elliptic, специализирующаяся на аналитике блокчейна в целях борьбы с финансовыми преступлениями, посчитала сколько владельцы ransomware Darkside получили выкупа за 9 месяцев своей активности.

Сразу заметим, что эта сумма не полностью уходит владельцу, а делится в определенной пропорции - по данным экспертов доля владельца может варьироваться от 10 до 25%.

Ранее Elliptic идентифицировала кошелек Darkside, на который ушли 75 BTC выкупа от Colonial Pipeline. А затем исследователи проанализировали движение криптовалюты через этот кошелек.

В общей сложности Darkside получили выкуп от 47 жертв, общая сумма - более 90 млн. долларов. Из них 15,5 млн. долларов ушли владельцам вымогателя, а 74,7 млн. долларов получили операторы.

Хорошая прибавка к зарплате. Купят женам сапоги.

Позитивная обраточка. Никому ничего объяснять не надо?

P.S. Будете еще санкции вводить - ДНК Гейтса отсеквенируем.

Вчера Google рассказали про новые фишки Android 12, который планируется к выходу осенью.

Всякие обновления дизайна нам не интересны, как и несколько улучшенное быстродействие ОС. Ну серьезно, кто-то просчитывает на смартфонах математические модели?

А вот на что мы всегда обращаем внимание - так это на вопросы безопасности и конфиденциальности. И в случае с Android 12 Google были вынуждены пойти на некоторые меры по усилению приватности пользователей, потому что Apple уже сделали это в iOS 14.

Во-первых, Google наконец-то добавили индикаторы работы микрофона и камеры. Кроме того, в панели быстрых настроек появились переключатели, позволяющие отключить доступ к микрофону или камере для всей системы (кроме АНБ, конечно).

Во-вторых, Android будет показывать уведомления, когда приложения используют буфер, кроме случаев, когда это происходит внутри одного приложения.

В-третьих, также с iOS скопирована функция "приблизительной геолокации", чтобы не передавать лишний раз приложениям, например о погоде, точные координаты нахождения устройства.

Конфиденциальность это хорошо. А еще лучше, что у нас есть такая конкуренция между Apple и Google.

Блокчейн трекер Whale Alert сообщает о произошедшем сегодня платеже в размере 500000 ETH от криптовалютной платформы Binance в адрес неизвестного кошелька.

Все бы ничего, но по текущему курсу это эквивалентно более чем 1,7 млрд. долларов. Кто-то просто перевел больше половины годового бюджета Молдавии.

Правда в комментах народ делает предположение, что это возможно внутренний перевод Binance. Но это не точно.

​​Исследователи из китайской Tencent Security Keen Lab на протяжении последних лет успешно потрошат электронную начинку автомобилей различных производителей. На их счету - BMW, Toyota и Lexus, а также Tesla.

На сей раз не ушел от цепких китайских рук Mercedes-Benz. Исследователи выпустили отчет (собственно, сам отчет - в конце материала по ссылке), в котором описали процесс взлома медиасистемы MBUX - Mercedes-Benz User Experience. С 2018 года MBUX применяется во всей линейке автомобилей немецкого концерна.

Китайские эксперты обнаружили 5 уязвимостей в MBUX, 4 из которых могут привести к удаленному выполнению кода (RCE). Три уязвимости было найдено в головном устройстве, а две - в т.н. модуле TCU, который отвечает за LTE связь.

Используя комбинацию эксплойтов этих ошибок исследователи осуществили удаленный доступ к MBUX, после чего получили рутовые права и смогли внедрить постоянный бэкдор. Они взяли под контроль головное устройство автомобиля, смогли разблокировать противоугонную систему, а также получили доступ к CAN-шине и выполнили некоторые действия по управлению вторичными функциями автомобиля.

К примеру, они смогли управлять освещением салона, открывать солнцезащитный козырек, изменять изображение на всех экранах машины. К основным функциям управления автомобилем пробиться не удалось

Кто-то может сказать, что в таком случае атака не представляет опасности для водителя и пассажиров, но мы не согласимся. Когда у вас на скорости 120 км/ч на загородной ночной трассе солнцезащитные козырьки начнут косплеить флюгер, освещение салона станет хаотично меняться, а на экранах и в колонках с максимальной громкостью включится какой-нибудь Cannibal Corpse, то вы уйдете в кювет на раз-два.

Остается добавить, что основной причиной возможности проведения атаки послужило использование в MBUX устаревшего ядра Linux. Само собой, что вся информация об уязвимостях была сообщена в Mercedes-Benz и к данному моменту они автопроизводителем исправлены. Ну, конечно, только у тех автовладельцев, которые своевременно обновляют свою MBUX.

Администрация швейцарского мессенджера Threema выиграла дело в высшем суд страны против Министерства юстиции и полиции Швейцарии (FDJP). Таким образом, Федеральный суд Швейцарии подтвердил решение суда низшей инстанции.

Если бы FDJP победило, то Threema была бы признана "поставщиком телекоммуникационных услуг" и была бы обязана идентифицировать всех пользователей и вести соответствующие логи их активности. Но, к счастью, швейцарские судьи не приняли сторону полиции. Можно спокойно продолжать пользоваться Threema дальше.

Небольшая, но важная победа в вопросах конфиденциальности пользователей. Особенно на фоне заявления Австралийской комиссии по преступности (ACIC), что "у законопослушного гражданина нет законных оснований для владения и использования зашифрованной коммуникационной платформы".

Новые стандарты информационной безопасности. Теперь от Израиля.

Как сообщает TheRecord, авиация Израиля разбомбила два объекта на территории сектора Газа, которые использовались ХАМАС для проведения киберопераций.

Об этом израильские ВВС официально заявили в Twitter. Первый объект являлся ЦОДом, а второй - "квартирой-убежищем, которая использовалась террористами для наступательных киберопераций против израильских целей".

Особый цинизм действиям разнузданной израильской военщины придает фраза "Атакованная квартира была размещена рядом с детским садом, что еще раз доказывает, что ХАМАС намеренно подвергает опасности мирных жителей размещая свою военную инфраструктуру в гражданских районах".

Теперь как, можно по NSO Group, которая весь мир ломает, не стесняясь Калибрами заряжать? И может ли Иран с полным осознанием свое правоты разбомбить Подразделение 8200 Управления военной разведки Армии обороны Израиля в качестве ответа на совершенную в мае 2020 года евреями кибератаку на информационные ресурсы иранского портового города Бендер-Аббас, которую бывший глава военной разведки Израиля генерал Амос Ядлин назвал "четким посланием Ирану в ответ на кибератаки на водные ресурсы Израиля" (в чем Иран, кстати, никогда не признавался).

P.S. Оказывается, это не первая физическая атака в качестве ответа на кибероперации. Первую тоже осуществил Израиль в 2019 году, когда взорвал здание, в котором размещалось киберподразделение ХАМАС.

​​Intel вместе с Microsoft решили подкинуть пасхальных яиц в обновления драйверов.

После установки ваш Core i7 превратится в 4-x битный Intel 4004.