С миру по нитке - голому рубаха, хотя голым теперь точно не назовешь оператора вредоносного ПО Crackonosh, которому удалось заработать больше 2 миллиона долларов.

Подсчитать прибыль злоумышленников смог Даниэль Бенеш из Avast: в отчете вирусный аналитик сообщил о том, что проэксплуатировав более 222000 зараженных систем под управлением Windows хакерам удалось добыть более 9000 монет Monero.

Закрепиться на тачках Crackonosh удалось благодаря жадности пользователей, загрузивших malware вместе с инсталляцией пиратских и взломанных копий популярного программного обеспечения. Большинство из жертв проживают в США, Бразилии, Индии, Польше и на Филиппинах.

Crackonosh подменяет системные файлы serviceinstaller.msi и maintenance.vbs, что позволяет ему скрывать свое присутствие в системе, деактивируя Защитник Windows (в том числе и другие установленные решения) и Центр обновлений Windows. Кроме того, для сокрытия вредоносная программа также устанавливает муляж защитника MSASCuiL.exe и средства обнаружения виртуализации среды. Добычу крипты при этом реализует программный пакет XMRig.

Но больше всего радует реакция Microsoft, руководство которой фактически поощряет распространение контрафактного ПО с бонусом в виде майнера. IT-гигант ограничился кратким сообщением: «злонамеренный администратор может делать гораздо худшие вещи», а сама проблема и вовсе не заслуживает внимания. Спасибо на том, что пока кешбек хакерам не выплачивают.

А вы знали, что на протяжении 3 лет база данных данным клиентов и пользователей DreamHost (хостинг WordPress под управлением DreamPress), была общедоступна в Интернете?

И мы не знали, пока оплошность не была засвечена публично специалистами Website Planet. Как оказалось разработчики просто забыли установить пароль.

ТТХ вероятной утечки такие:
- общий размер: 86,15 ГБ / записей: 814 709 344
В доступе: информация об администраторе учетных записей DreamPress для продуктов WordPress (в том числе: URL-адрес для входа в систему, имя и фамилия, адрес электронной почты, имя и категория пользователя).
- журнал записей «действий», таких как регистрации и продление доменов.
- адреса электронной почты внутренних и внешних пользователей (среди прочих, примечательны адреса доменов .gov и .edu).
- IP-адреса и временные метки хостов, информация о сборке и версии, подробная информация о плагине и теме, включая информацию о конфигурации или безопасности.

После дружественного пинка еще в апреле, админы DreamHost в течение нескольких часов установили необходимую защиту и поблагодарили исследователей. Но вот в чем загвоздка: неясно, как долго база данных была публично раскрыта или кто еще мог получить доступ к ее записям.

Есть и положительный момент в этой истории: это первый громкий инцидент с безопасностью, затронувший Dreamhost почти за десятилетие после того, как в 2012 году пользователь PasteBin слил в сеть дамп информации с сервера компании.

​​Пошли новости от Microsoft про новую активность хакерской группы, которую они называют Nobelium.

И мы решили такие новости больше даже не рассматривать. И вот почему.

Nobelium, ответственная за компрометацию SolwarWinds группа, изначально приравнивалась к российской APT 29 aka Cozy Bear. Хотя никаких TTPs не было предоставлено - пипл и так хавает. И единственная попытка атрибутировать стоящего за взломом актора, которую мы видели, была сделана экспертами Лаборатории Касперского, нашедшими совпадения в бэкдоре Sunburst со старым RAT Kazuar, предположительно (опять же) принадлежащим российской APT Turla aka Uroburos.

Но для более конкретных утверждений было необходимо зафиксировать отсутствие таких же пересечений с кодами других вредоносов - работа, требующая времени и усилий, за которую никто так и не взялся.

И вот спустя ПОЛГОДА никаких "многочисленных доказательств" связи Nobelium (или UNC2452 по классификации FireEye) с Россией, а также ее финансирования государством, так и не предоставлено. Несмотря на дурные заявления Microsoft про "тысячи инженеров", которые сидят в российской разведке и ломают SolarWinds и прочий подобный информационный шлак.

Товарищи, это не инфосек и уж тем более не инфосек журналистика, а наглая профанация.

И еще раз - мы не отрицаем наличия в России APT. Если бы это было так, то все силовое руководство государства надо было бы отправить в начальные классы учить чудную науку арифметику и осваивать абак. Прогосударственные хакерские группы в наше время - признак высокого уровня технической подготовки государства, принимающего на себя роль не объекта, а субъекта международных политических процессов. Даже Вьетнам и тот завел себе Ocean Lotus и периодически устраивает такой цирк с конями, что хоть святых выноси. Или Южная Корея со своими скиловаными азиатами из Dark Hotel.

И, признаться честно, кибероперация по компрометации SolarWinds - это вершина кибершпионажа. По крайне мере из тех операций, которые всплыли в паблик. Есть еще, конечно, Stuxnet, но там про конкретные гадости на особо опасном производстве, а значит несчитово. Поэтому те, кто стоит за планированием и реализацией кампании Sunburst, - это без приукрашивания элита государственных хакеров. И было бы неплохо иметь таких специалистов на своей стороне (как аккуратно выразились).

Но все это не имеет никакого значения пока нет TTPs. А их, пардоньте, нет, зато есть "сложившийся информационный фон". А мы в такие игры не играем.

В Великобритании запретили работу Binance

Этот запрет уже вступил в силу, и до вечера 30 июня компания должна отчитаться об удалении всех рекламных и финансовых предложений.

Также, правительство Великобритании обязало сервис указать на сайте, что он больше не работает в этой стране.

Все операции, проводимые в дальнейшем через Binance, должны будут письменно согласованы с регулятором.

Он же, к слову, отметил, что Binance и подобные сервисы часто используются в мошенничестве и отмывании денег.

В продолжение сегодняшнего поста про великих инфосек расследователей из Microsoft.

На прошлой неделе аналитик Карстен Хан из немецкой G Data обратил внимание на подозрительный драйвер Netfilter имеющий подпись Microsoft. Оказалось, что он связывается с управляющими центрами в Китае.

Проведя исследование немцы выяснили, что под видом драйвера скрывается руткит, информацию о чем они передали в Microsoft, а те незамедлительно начали расследование как он мог оказаться подписанным официальной подписью.

И эти люди запрещают ковыряться нам в носу.

Кевин Бомонт нашел вчера конструктор ransomware Babuk Locker. С его помощью можно создавать полноценные пользовательские версии Babuk, а также генерировать соответствующие дешифраторы.

Непонятно как именно вымогатель утек от своих владельцев, но кто-то загрузил его на VirusTotal, где он и был обнаружен Бомонтом.

Напомним, что полтора месяца назад группа-владелец Babuk выложила в сеть украденные у Управления полиции Вашингтона данные, в которых, в числе прочего, содержались материалы полицейских разработок по организованной преступности.

А параллельно вымогатели объявили о том, что отходят от дел и будут специализироваться на создании нового опенсорсного вымогателя, а исходники старого передадут дружественной хакерской группе, которая будет работать под другим названием. Видимо передача кода не задалась. А может решили сделать опенсорсным сам Babuk.

Теперь любой начинающий хакер сможет отбабучить какую-нибудь незащищенную сеть.

В Москве сегодня сильный ливень. Настолько, что офис Лаборатории Касперского подмок.

Теперь понятно, что делать офис на Водном стадионе - не самая лучшая затея. Хуже может быть разве только Речной вокзал, тогда бы точно всем кагалом уплыли.

Ну а если серьезно, то пожелаем Касперским мужества в борьбе со стихией.

Говорят, что Илья Константинович, апеллируя к тому, что он хоть и не граф Толстой, но все же глава сингапурской компании, предложил Евгению Валентиновичу (tm) засеять офис на Водном рисом...

Vx-underground дает ссылку на утекший в паблик конструктор ransomware Babuk Locker, про который мы писали сегодня. Конкретный пост мы не приводим, сами найдете, а то еще обвинят нас в распространении вредоносов, как одного товарища.

Если качаете - то на свой страх и риск и исключительно в целях изучения сей гадости. С другой стороны, мы уверены, что все нубохакеры уже скачали себе это вымогательское творение.

Появилась информация про новую атаку на цепочку зависимостей, которая зацепила Microsoft.

Напомним, что эта атака использует недостатки в работе менеджеров пакетов, которые отдают предпочтение загрузке пакета из открытого репозитория перед аналогичной загрузкой частной сборки. Таким образом, если пакет с определенным именем отсутствует в открытом репозитории, то хакер может залить туда поддельный, являющийся на самом деле вредоносом. А тот в свою очередь будет подтянут как вполне легальный.

В феврале этот трюк позволил Алексу Бирсану условно скомпрометировать сети более 35 крупных технологических компаний, включая Microsoft, Apple, PayPal и др.

В этот раз исследователь Рикардо Ирамар дос Сантос изучал опенсорсный пакет SymphonyElectron и наткнулся на зависимость в виде подгружаемого пакета swift-search, который отсутствовал в npmjs .com. Дос Сантос зарегистрировал собственный пакет с тем же именем, который скидывал на его PoC-сервер параметры системы, подтянувшей пакет.

Через несколько часов после публикации исследователь обнаружил, что ̶е̶г̶о̶ ̶в̶ы̶з̶ы̶в̶а̶е̶т̶ ̶Т̶а̶й̶м̶ы̶р̶ ему отвечает игровой сервер Microsoft Halo. Эксперт сообщил данную информацию в Microsoft, а дальше начались обычные ритуальные танцы "я не я, баг а не фича" (сам дос Сантос называет решение сообщить об ошибке в MSRC "ужасной ошибкой").

Сначала они ответили, что это не их дело вообще, а вопрос к поддержке SymphonyElectron. Через час они попросили дос Сантоса воспроизвести компрометацию. А потом затянули стандартную бесконечную бессмысленную переписку, после чего исследователь опубликовал таки информацию об уязвимости в своем блоге.

Остается заметить, что дырку Microsoft таки оперативно прикрыли.

В конце прошлой недели NVIDIA выпустили обновление 3.23 для GeForce Experience, которым исправили уязвимость CVE-2021-1073 с оценкой критичности 8,3 по CVSS.

Путем эксплуатации ошибки хакер с помощью вредоносной ссылки мог перехватить токен сессии, с помощью чего получить доступ к информации пользователя. Критичность уязвимости была снижена, поскольку жертва должна самостоятельно перейти по вредоносной ссылке, что усложняет предполагаемую атаку.

Известных эксплойтов ошибки пока нет, об использовании в дикой природе не сообщается.

Тем не менее, поскольку GeForce Experience устанавливается по умолчанию со всеми картами NVIDIA, рекомендуем обновиться.

The Record пишет, что сегодня трое китайских исследователей из Sangfor опубликовали на GitHub полное техническое описание CVE-2021-1675 и соответствующий PoC. Ошибку они назвали PrintNightmare.

CVE-2021-1675, исправленная в июньском патче Windows, представляет собой дырку в диспетчере очереди печати spoolsv.exe. Эксплуатация уязвимости приводит к удаленному выполнению кода (RCE) и позволяет фактически взять атакованную систему под полный контроль.

Вчера китайцы из QiAnXin опубликовали в своем Twitter GIF в плохом разрешении, на котором был показан эксплойт ошибки. Из-за этого первичные китайцы из Sangfor решили выложить свой PoC, который, по их словам они разработали самостоятельно для участия в соревновании Tianfu Cup.

Спустя несколько часов они одумались и удалили материалы из GitHub, но за это время технические подробности и PoC уже успели растащить. В связи с этим ожидаем появления эксплойта CVE-2021-1675 в паблике в ближайшее время.

Вывод, собственно, один - если не обновили свои Windows, то сделайте это как можно быстрее. RCE - это вам, знаете ли, не выступление сборной России по футболу смотреть, а гораздо больнее.

​​В пятницу мы писали про загадочную историю в массовым удалением данных и сброса к заводским настройкам сетевых накопителей My Book от Western Digital.

Тогда мы предположили, что это провозвестник воли зародившегося в недрах сети SkyNet и уже приготовились ему поклоняться, для чего сделали алтарь из старого EC-1066, пририсовав еще одну шестерку к названию модели. Однако реальность оказалась прозаичнее.

Исследователи Censys установили, что злоумышленники использовали при атаке на My Book недокументированную пока 0-day уязвимость в прошивке, которая позволяет осуществить сброс настроек устройства любому, имеющему к нему удаленный доступ.

Параллельно с этим обнаружилось, что другие хакеры эксплуатируют достаточно старую CVE-2018-18472 для того, чтобы засадить в My Book бота, являющегося частью ботнета Linux.Ngioweb.27.

Эксперты Censys полагают, что массовый сброс к заводским настройкам был одним из элементов борьбы между ботоводами за кормовую базу, то есть это была попытка зачистить уже имеющиеся на устройствах боты и заразить его своими.

Ботоводы дерутся, а у пользователей чубы трещат.

BleepingComputer сообщают о том, что "русские хакеры" взломали и имели доступ к сети Центрального банка Дании в течение 7 месяцев.

Этот самый доступ "русские хакеры" (догадались уже кто? Nobelium) получили в результате кибероперации Sunburst по атаке на цепочку поставок в виде компании SolarWinds, про которую мы все прекрасно знаем (а если кто не знает, ищите SolarWinds у нас на канале, мы много про этом писали).

Свое отношение к этим самым "русским хакерам" как исключительно информационному явлению мы подробно описали здесь, приведя соответствующие аргументы.

А вот то, что в сети датского ЦБ больше полугода сидел бэкдор и никто ничего не увидел - это тревожный звонок для инфосека датского ЦБ.

Дежурные камлания "согласно проведенному анализу, атака не имела каких-либо реальных последствий" прилагаются.

Голландцы из инфосек компании Tesorion выпустили бесплатный дешифратор для очередного штамма ransomware Lorenz, который появился совсем недавно в апреле этого года, но от него уже пострадали больше десятка жертв.

К сожалению дешифратор работает не со всеми типами файлов, а только с наиболее распространенными - PDF, Office, некоторые форматы изображений и видео.

Дешифратор можно скачать с NoMoreRansom. Там же можно найти другие бесплатные дешифраторы для ransomware, поэтому рекомендуем запомнить ссылку.

​​"Да, Ваше Благородие, а еще он Вам в штаны насрал" (с)

Ой, бля....

Тут пишут, что июньский патч безопасности от Microsoft не закрыл CVE-2021-1675 aka PrintNightmare, про которую мы писали вчера и к которой на днях появился PoC.

Напомним, что CVE-2021-1675 - это приводящая к удаленному выполнению кода (RCE) уязвимость в диспетчере очереди печати spoolsv.exe (Print Spooler) в Windows. По умолчанию Print Spooler включен на всех машинах.

Имеем - критическая неисправленная RCE-уязвимость и оказавшийся в паблике PoC ее эксплуатации. Казалось бы, что может пойти не так?

А теперь серьезно - если это правда (а мы узнаем об этом, полагаем, в ближайшие часы), то это пиздецкий пиздец. Вы знаете, мы нечасто материмся, но это именно тот самый случай. Последний раз мы такое в Stuxnet видали.

Рекомендуем профилактически отрубить spoolsv.exe.

P.S. Пока мы писали пост несколько твитов про то, что патч не исправляет CVE-2021-1675 пропали, хотя другие остались. Это очень странно.

🦾9 июля пройдет международный онлайн-тренинг по кибербезопасности Cyber Polygon 2021

BI.ZONE уже в третий раз проводит масштабные киберучения на виртуальной инфраструктуре, моделирующей архитектуру и сервисы коммерческих компаний. Благодаря тренингу организации со зрелыми процессами получают реальный опыт защиты от атак и расследования инцидентов без сопряженного с этим финансового ущерба.

Для тренинга BI.ZONE готовит сценарии атак, с которыми приходилось иметь дело, поэтому они всегда актуальны, и участники получают знания и навыки, которые могут пригодится им уже завтра.

Главная тема в этом году — безопасное развитие экосистем и отражение supply chain attack (или атак на цепочку поставок).

На тренинг зарегистрировалось уже более 160 организаций из 47 стран. Среди них — Сбер, «Тинькофф», Home Credit bank, TimeWeb, SB Crédito, Ventum Consulting, OZON, Агентство кибербезопасности Сингапура, UZCERT и многие другие.

Зарегистрировать свою команду можно по ссылке. У вас есть еще несколько дней, чтобы присоединиться к тренингу.

Обратите внимание:
☝️заявки принимаются только от корпоративных команд
☝️на прохождение сценариев тренинга нужно заложить сутки

Также вас ждет экспертный трек с техническими докладами от Сергея Голованова из Лаборатории Касперского, Ивана Новикова из Wallarm, Кирилла Касавченко из Netskope, Артема Синицына из Microsoft и других.

👉За новостями тренинга можно следить в канале организатора Cyber Polygon — компании BI.ZONE.

Присоединяйтесь (если не хотите быть как SolarWinds).

​​Ну и вдогонку к недавнему посту про незакрытую CVE-2021-1675

​​История с критичной уязвимостью PrintNightmare становится все чудесатее и чудесатее, как сказала бы кэрроловская Алиса.

Изначально исследователи китайской Sangfor, которые выложили технические детали и PoC ошибки, предполагали, что найденная ими уязвимость именно CVE-2021-1675 и есть. А CVE-2021-1675 была уже закрыта июньским патчем от Microsoft.

Однако, согласно появившейся информации, найденная китайцами дырка уязвимостью CVE-2021-1675 вовсе не является, это совершенно самостоятельная 0-day. Если это так, то это объясняет вчерашний кейс, когда на полностью пропатченных Windows эксплуатация PrintNightmare продолжала работать.

Кстати, Делпи уже продемонстрировал успешный эксплойт ошибки, а следовательно - до ее использования в Mimikatz осталось недолго.

Напомним, что PrintNightmare позволяет осуществить RCE с позиции любого аутентифицированного пользователя. Так что рекомендация, собственно, та же, что и была вчера - срочно отрубить spoolsv.exe, особенно на контроллерах домена.