В пятницу мы писали про загадочную историю в массовым удалением данных и сброса к заводским настройкам сетевых накопителей My Book от Western Digital.
Тогда мы предположили, что это провозвестник воли зародившегося в недрах сети SkyNet и уже приготовились ему поклоняться, для чего сделали алтарь из старого EC-1066, пририсовав еще одну шестерку к названию модели. Однако реальность оказалась прозаичнее.
Исследователи Censys установили, что злоумышленники использовали при атаке на My Book недокументированную пока 0-day уязвимость в прошивке, которая позволяет осуществить сброс настроек устройства любому, имеющему к нему удаленный доступ.
Параллельно с этим обнаружилось, что другие хакеры эксплуатируют достаточно старую CVE-2018-18472 для того, чтобы засадить в My Book бота, являющегося частью ботнета Linux.Ngioweb.27.
Эксперты Censys полагают, что массовый сброс к заводским настройкам был одним из элементов борьбы между ботоводами за кормовую базу, то есть это была попытка зачистить уже имеющиеся на устройствах боты и заразить его своими.
Ботоводы дерутся, а у пользователей чубы трещат.
Тогда мы предположили, что это провозвестник воли зародившегося в недрах сети SkyNet и уже приготовились ему поклоняться, для чего сделали алтарь из старого EC-1066, пририсовав еще одну шестерку к названию модели. Однако реальность оказалась прозаичнее.
Исследователи Censys установили, что злоумышленники использовали при атаке на My Book недокументированную пока 0-day уязвимость в прошивке, которая позволяет осуществить сброс настроек устройства любому, имеющему к нему удаленный доступ.
Параллельно с этим обнаружилось, что другие хакеры эксплуатируют достаточно старую CVE-2018-18472 для того, чтобы засадить в My Book бота, являющегося частью ботнета Linux.Ngioweb.27.
Эксперты Censys полагают, что массовый сброс к заводским настройкам был одним из элементов борьбы между ботоводами за кормовую базу, то есть это была попытка зачистить уже имеющиеся на устройствах боты и заразить его своими.
Ботоводы дерутся, а у пользователей чубы трещат.
Censys
CVE-2018-18472: Western Digital My Book Live Mass Exploitation
BleepingComputer сообщают о том, что "русские хакеры" взломали и имели доступ к сети Центрального банка Дании в течение 7 месяцев.
Этот самый доступ "русские хакеры" (догадались уже кто? Nobelium) получили в результате кибероперации Sunburst по атаке на цепочку поставок в виде компании SolarWinds, про которую мы все прекрасно знаем (а если кто не знает, ищите SolarWinds у нас на канале, мы много про этом писали).
Свое отношение к этим самым "русским хакерам" как исключительно информационному явлению мы подробно описали здесь, приведя соответствующие аргументы.
А вот то, что в сети датского ЦБ больше полугода сидел бэкдор и никто ничего не увидел - это тревожный звонок для инфосека датского ЦБ.
Дежурные камлания "согласно проведенному анализу, атака не имела каких-либо реальных последствий" прилагаются.
Этот самый доступ "русские хакеры" (догадались уже кто? Nobelium) получили в результате кибероперации Sunburst по атаке на цепочку поставок в виде компании SolarWinds, про которую мы все прекрасно знаем (а если кто не знает, ищите SolarWinds у нас на канале, мы много про этом писали).
Свое отношение к этим самым "русским хакерам" как исключительно информационному явлению мы подробно описали здесь, приведя соответствующие аргументы.
А вот то, что в сети датского ЦБ больше полугода сидел бэкдор и никто ничего не увидел - это тревожный звонок для инфосека датского ЦБ.
Дежурные камлания "согласно проведенному анализу, атака не имела каких-либо реальных последствий" прилагаются.
BleepingComputer
Russian hackers had months-long access to Denmark's central bank
Russian state hackers compromised Denmark's central bank (Danmarks Nationalbank) and planted malware that gave them access to the network for more than half a year without being detected.
Голландцы из инфосек компании Tesorion выпустили бесплатный дешифратор для очередного штамма ransomware Lorenz, который появился совсем недавно в апреле этого года, но от него уже пострадали больше десятка жертв.
К сожалению дешифратор работает не со всеми типами файлов, а только с наиболее распространенными - PDF, Office, некоторые форматы изображений и видео.
Дешифратор можно скачать с NoMoreRansom. Там же можно найти другие бесплатные дешифраторы для ransomware, поэтому рекомендуем запомнить ссылку.
К сожалению дешифратор работает не со всеми типами файлов, а только с наиболее распространенными - PDF, Office, некоторые форматы изображений и видео.
Дешифратор можно скачать с NoMoreRansom. Там же можно найти другие бесплатные дешифраторы для ransomware, поэтому рекомендуем запомнить ссылку.
"Да, Ваше Благородие, а еще он Вам в штаны насрал" (с)
Twitter
Alexey Lukatsky
Эксперт-криминалист Виталий Вехов по радио заявил, что в мошеннические колл-центры и «службы безопасности Сбербанка» персданные россиян поставляют спецслужбы стран НАТО! Вот оно как!
Ой, бля....
Тут пишут, что июньский патч безопасности от Microsoft не закрыл CVE-2021-1675 aka PrintNightmare, про которую мы писали вчера и к которой на днях появился PoC.
Напомним, что CVE-2021-1675 - это приводящая к удаленному выполнению кода (RCE) уязвимость в диспетчере очереди печати spoolsv.exe (Print Spooler) в Windows. По умолчанию Print Spooler включен на всех машинах.
Имеем - критическая неисправленная RCE-уязвимость и оказавшийся в паблике PoC ее эксплуатации. Казалось бы, что может пойти не так?
А теперь серьезно - если это правда (а мы узнаем об этом, полагаем, в ближайшие часы), то это пиздецкий пиздец. Вы знаете, мы нечасто материмся, но это именно тот самый случай. Последний раз мы такое в Stuxnet видали.
Рекомендуем профилактически отрубить spoolsv.exe.
P.S. Пока мы писали пост несколько твитов про то, что патч не исправляет CVE-2021-1675 пропали, хотя другие остались. Это очень странно.
Тут пишут, что июньский патч безопасности от Microsoft не закрыл CVE-2021-1675 aka PrintNightmare, про которую мы писали вчера и к которой на днях появился PoC.
Напомним, что CVE-2021-1675 - это приводящая к удаленному выполнению кода (RCE) уязвимость в диспетчере очереди печати spoolsv.exe (Print Spooler) в Windows. По умолчанию Print Spooler включен на всех машинах.
Имеем - критическая неисправленная RCE-уязвимость и оказавшийся в паблике PoC ее эксплуатации. Казалось бы, что может пойти не так?
А теперь серьезно - если это правда (а мы узнаем об этом, полагаем, в ближайшие часы), то это пиздецкий пиздец. Вы знаете, мы нечасто материмся, но это именно тот самый случай. Последний раз мы такое в Stuxnet видали.
Рекомендуем профилактически отрубить spoolsv.exe.
P.S. Пока мы писали пост несколько твитов про то, что патч не исправляет CVE-2021-1675 пропали, хотя другие остались. Это очень странно.
Twitter
Will Dormann
This is very important! If you have the "Print Spooler" service enabled (which is the default), any remote authenticated user can execute code as SYSTEM on the domain controller. Stop and Disable the service on any DC now! twitter.com/gentilkiwi/sta…
🦾9 июля пройдет международный онлайн-тренинг по кибербезопасности Cyber Polygon 2021
BI.ZONE уже в третий раз проводит масштабные киберучения на виртуальной инфраструктуре, моделирующей архитектуру и сервисы коммерческих компаний. Благодаря тренингу организации со зрелыми процессами получают реальный опыт защиты от атак и расследования инцидентов без сопряженного с этим финансового ущерба.
Для тренинга BI.ZONE готовит сценарии атак, с которыми приходилось иметь дело, поэтому они всегда актуальны, и участники получают знания и навыки, которые могут пригодится им уже завтра.
Главная тема в этом году — безопасное развитие экосистем и отражение supply chain attack (или атак на цепочку поставок).
На тренинг зарегистрировалось уже более 160 организаций из 47 стран. Среди них — Сбер, «Тинькофф», Home Credit bank, TimeWeb, SB Crédito, Ventum Consulting, OZON, Агентство кибербезопасности Сингапура, UZCERT и многие другие.
Зарегистрировать свою команду можно по ссылке. У вас есть еще несколько дней, чтобы присоединиться к тренингу.
Обратите внимание:
☝️заявки принимаются только от корпоративных команд
☝️на прохождение сценариев тренинга нужно заложить сутки
Также вас ждет экспертный трек с техническими докладами от Сергея Голованова из Лаборатории Касперского, Ивана Новикова из Wallarm, Кирилла Касавченко из Netskope, Артема Синицына из Microsoft и других.
👉За новостями тренинга можно следить в канале организатора Cyber Polygon — компании BI.ZONE.
Присоединяйтесь (если не хотите быть как SolarWinds).
BI.ZONE уже в третий раз проводит масштабные киберучения на виртуальной инфраструктуре, моделирующей архитектуру и сервисы коммерческих компаний. Благодаря тренингу организации со зрелыми процессами получают реальный опыт защиты от атак и расследования инцидентов без сопряженного с этим финансового ущерба.
Для тренинга BI.ZONE готовит сценарии атак, с которыми приходилось иметь дело, поэтому они всегда актуальны, и участники получают знания и навыки, которые могут пригодится им уже завтра.
Главная тема в этом году — безопасное развитие экосистем и отражение supply chain attack (или атак на цепочку поставок).
На тренинг зарегистрировалось уже более 160 организаций из 47 стран. Среди них — Сбер, «Тинькофф», Home Credit bank, TimeWeb, SB Crédito, Ventum Consulting, OZON, Агентство кибербезопасности Сингапура, UZCERT и многие другие.
Зарегистрировать свою команду можно по ссылке. У вас есть еще несколько дней, чтобы присоединиться к тренингу.
Обратите внимание:
☝️заявки принимаются только от корпоративных команд
☝️на прохождение сценариев тренинга нужно заложить сутки
Также вас ждет экспертный трек с техническими докладами от Сергея Голованова из Лаборатории Касперского, Ивана Новикова из Wallarm, Кирилла Касавченко из Netskope, Артема Синицына из Microsoft и других.
👉За новостями тренинга можно следить в канале организатора Cyber Polygon — компании BI.ZONE.
Присоединяйтесь (если не хотите быть как SolarWinds).
Cyber Polygon
Тренинг
В ходе онлайн-тренинга Cyber Polygon 2021 участники отработают действия команды реагирования при таргетированной атаке на цепочку поставок (supply chain) в рамках корпоративной экосистемы
История с критичной уязвимостью PrintNightmare становится все чудесатее и чудесатее, как сказала бы кэрроловская Алиса.
Изначально исследователи китайской Sangfor, которые выложили технические детали и PoC ошибки, предполагали, что найденная ими уязвимость именно CVE-2021-1675 и есть. А CVE-2021-1675 была уже закрыта июньским патчем от Microsoft.
Однако, согласно появившейся информации, найденная китайцами дырка уязвимостью CVE-2021-1675 вовсе не является, это совершенно самостоятельная 0-day. Если это так, то это объясняет вчерашний кейс, когда на полностью пропатченных Windows эксплуатация PrintNightmare продолжала работать.
Кстати, Делпи уже продемонстрировал успешный эксплойт ошибки, а следовательно - до ее использования в Mimikatz осталось недолго.
Напомним, что PrintNightmare позволяет осуществить RCE с позиции любого аутентифицированного пользователя. Так что рекомендация, собственно, та же, что и была вчера - срочно отрубить spoolsv.exe, особенно на контроллерах домена.
Изначально исследователи китайской Sangfor, которые выложили технические детали и PoC ошибки, предполагали, что найденная ими уязвимость именно CVE-2021-1675 и есть. А CVE-2021-1675 была уже закрыта июньским патчем от Microsoft.
Однако, согласно появившейся информации, найденная китайцами дырка уязвимостью CVE-2021-1675 вовсе не является, это совершенно самостоятельная 0-day. Если это так, то это объясняет вчерашний кейс, когда на полностью пропатченных Windows эксплуатация PrintNightmare продолжала работать.
Кстати, Делпи уже продемонстрировал успешный эксплойт ошибки, а следовательно - до ее использования в Mimikatz осталось недолго.
Напомним, что PrintNightmare позволяет осуществить RCE с позиции любого аутентифицированного пользователя. Так что рекомендация, собственно, та же, что и была вчера - срочно отрубить spoolsv.exe, особенно на контроллерах домена.
Twitter
Mitja Kolsek
Before this gets too confusing: PrintNightmare is NOT the same as CVE-2021-1675. CVE-2021-1675: Fixed in June updates PrintNightmare: 0day
Как мы и предсказывали, нубохакеры добрались до конструктора ransomware Babuk, который на днях оказался в паблике.
Как сообщает BleepingComputer, 30 июня количество обращений к ID Ransomware от жертв Babuk возросло в десятки раз. При этом сумма выкупа составляет смешные 210 долларов, а для связи злоумышленник использует адрес электронной почты на Tutanota. Ну и жертвами являются не корпоративные структуры, а обычные пользователи, подцепившие вымогатель через зараженный кряк для антивируса.
Именно так забивают гвозди микроскопом.
Как сообщает BleepingComputer, 30 июня количество обращений к ID Ransomware от жертв Babuk возросло в десятки раз. При этом сумма выкупа составляет смешные 210 долларов, а для связи злоумышленник использует адрес электронной почты на Tutanota. Ну и жертвами являются не корпоративные структуры, а обычные пользователи, подцепившие вымогатель через зараженный кряк для антивируса.
Именно так забивают гвозди микроскопом.
BleepingComputer
Leaked Babuk Locker ransomware builder used in new attacks
A leaked tool used by the Babuk Locker operation to create custom ransomware executables is now being used by another threat actor in a very active campaign targeting victims worldwide.
Check Point опубликовали отчет, в котором рассказали про выявленную киберкампанию китайской APT IndigoZebra, направленную на членов Совета национальной безопасности (СНБ) Афганистана.
Первичное заражение осуществлялось посредством фишинговых писем от лица Администрации Президента Афганистана сотрудникам афганского СНБ. Во вложенном архиве содержится дроппер, который подтягивает бэкдор BoxCaon, использующий Dropbox в качестве управляющего центра, что позволяет маскировать связь малвари с С2. После закрепления на атакованной машине актор начинает проводить разведку с помощью BoxCaon.
Проведя поиск по образцам исследователи обнаружили, что самый ранний из схожих датируется еще 2014 годом. Один из найденных образцов упоминался в отчете Лаборатории Касперского 2017 года под названием xCaon и атрибутировался как принадлежащий китайской APT IndigoZebra. Исходя из этого Check Point предположили, что найденный ими вредонос явлется обновленным вариантом xCaon.
Другие найденные штаммы, использующие для связи с управляющим центром HTTP, были нацелены на государственные структуры Киргизстана и Узбекистана.
Китайцам интересно все. Что же, при таком количестве и качестве активных APT они могут себе это позволить.
Первичное заражение осуществлялось посредством фишинговых писем от лица Администрации Президента Афганистана сотрудникам афганского СНБ. Во вложенном архиве содержится дроппер, который подтягивает бэкдор BoxCaon, использующий Dropbox в качестве управляющего центра, что позволяет маскировать связь малвари с С2. После закрепления на атакованной машине актор начинает проводить разведку с помощью BoxCaon.
Проведя поиск по образцам исследователи обнаружили, что самый ранний из схожих датируется еще 2014 годом. Один из найденных образцов упоминался в отчете Лаборатории Касперского 2017 года под названием xCaon и атрибутировался как принадлежащий китайской APT IndigoZebra. Исходя из этого Check Point предположили, что найденный ими вредонос явлется обновленным вариантом xCaon.
Другие найденные штаммы, использующие для связи с управляющим центром HTTP, были нацелены на государственные структуры Киргизстана и Узбекистана.
Китайцам интересно все. Что же, при таком количестве и качестве активных APT они могут себе это позволить.
Check Point Research
IndigoZebra APT continues to attack Central Asia with evolving tools - Check Point Research
Introduction Check Point research recently discovered an ongoing spear-phishing campaign targeting the Afghan government. Further investigation revealed this campaign was a part of a long-running activity targeting other Central-Asia countries, including…
Итак, логичное продолжение истории с уязвимостью PrintNightmare в диспетчере очереди печати Windows spoolsv.exe.
Microsoft таки выдали ошибке новый CVE-2021-34527, фактически подтвердив информацию о том, что это совершенно свежая дырка, отличная от CVE-2021-1675, которая таки была закрыта июньским патчем безопасности. Параллельно Microsoft сообщили, что уязвимость актуальна для всех версий Windows, а также то, что PrintNightmare уже эксплуатируется хакерами в дикой природе (еще бы, PoC-то уже давно в паблике).
Официальные рекомендации Microsoft по снижению уязвимости есть по приведенной ссылке.
Microsoft таки выдали ошибке новый CVE-2021-34527, фактически подтвердив информацию о том, что это совершенно свежая дырка, отличная от CVE-2021-1675, которая таки была закрыта июньским патчем безопасности. Параллельно Microsoft сообщили, что уязвимость актуальна для всех версий Windows, а также то, что PrintNightmare уже эксплуатируется хакерами в дикой природе (еще бы, PoC-то уже давно в паблике).
Официальные рекомендации Microsoft по снижению уязвимости есть по приведенной ссылке.
Telegram
SecAtor
История с критичной уязвимостью PrintNightmare становится все чудесатее и чудесатее, как сказала бы кэрроловская Алиса.
Изначально исследователи китайской Sangfor, которые выложили технические детали и PoC ошибки, предполагали, что найденная ими уязвимость…
Изначально исследователи китайской Sangfor, которые выложили технические детали и PoC ошибки, предполагали, что найденная ими уязвимость…
По всем новостным лентам понеслась информация от АНБ о том, что русские хакеры из ГЦСС ГРУ задействовали Kubernetes для брутфорса учетных данных сотрудников американских и европейских правительственных и коммерческих организаций еще с середины 2019 года. ГЦСС, если кто забыл, считается альма-матер APT 28 aka Fancy Bear.
Если кому интересно - то оригинал здесь. TTPs, как обычно, никаких - АНБ вообще товарищи на технические подробности скупые.
И что-то больше никаких новостей особо нет. Разве что Альперович радуется, что, по словам американского заместителя советника по нацбезопасности Энн Нойбергер, "Белый Дом вскоре официально возложит ответственность за масштабные атаки на Microsoft Exchange". На кого Нойбергер ответственность возложит в явном виде не сказано, но подразумевается, что на китайскую APT Hafnium. В обратную сторону подразумевается, что Китай положит на то, что Нойбергер что-то на кого-то возложит.
Для "скорого возложения" американской администрации понадобилось всего-то полгода - атаки ProxyLogon начались в январе этого года, а Microsoft официально прикрыла четыре 0-day уязвимости, которые эксплуатировались Hafnium, спустя два месяца. Для сравнения - про "причастность русских хакеров" к атаке Sunburst на SolarWinds американская администрация заявила чуть ли не раньше, чем FireEye рассказала о самой атаке.
Если кому интересно - то оригинал здесь. TTPs, как обычно, никаких - АНБ вообще товарищи на технические подробности скупые.
И что-то больше никаких новостей особо нет. Разве что Альперович радуется, что, по словам американского заместителя советника по нацбезопасности Энн Нойбергер, "Белый Дом вскоре официально возложит ответственность за масштабные атаки на Microsoft Exchange". На кого Нойбергер ответственность возложит в явном виде не сказано, но подразумевается, что на китайскую APT Hafnium. В обратную сторону подразумевается, что Китай положит на то, что Нойбергер что-то на кого-то возложит.
Для "скорого возложения" американской администрации понадобилось всего-то полгода - атаки ProxyLogon начались в январе этого года, а Microsoft официально прикрыла четыре 0-day уязвимости, которые эксплуатировались Hafnium, спустя два месяца. Для сравнения - про "причастность русских хакеров" к атаке Sunburst на SolarWinds американская администрация заявила чуть ли не раньше, чем FireEye рассказала о самой атаке.
Ну а в конце рабочей недели прекрасная история про монгольский инфосек. На конях и с Тамерланом. А поведала нам ее компания Avast.
В конце марта текущего года Avast обнаружили бэкдор, который, как выяснилось, был загружен с официального сайта MonPass - одного из основных центров сертификации в Монголии. Исследователи связались с MNCERT и MonPass, после чего центр сертификации скинул им образ своего веб-сервера для изучения.
Результаты были интересные - сервер был взломан предположительно 8 раз, поскольку эксперты Avast обнаружили 8 разных веб-шеллов и бэкдоров. Кроме того, в период с 8 февраля по 3 марта этого года доступный к загрузке клиент MonPass также был заряжен бэкдором на основе Cobalt Strike. В медицине такое называется "суперраспространитель", а в народе "трисичуха" - "трипер, сифилис, чума, холера".
В начале мая Avast сообщили о результатах исследования в MonPass, а к концу июня монгольские кибербатыры залатали дыры в своей площадке и уведомили клиентов об их возможной компрометации.
Остается добавить, что ответственных за атаки хакеров Avast не назвали, но, судя по геополитическому раскладу в этом районе Азии, можно с большой долей уверенности утверждать, что это таки Китай.
В конце марта текущего года Avast обнаружили бэкдор, который, как выяснилось, был загружен с официального сайта MonPass - одного из основных центров сертификации в Монголии. Исследователи связались с MNCERT и MonPass, после чего центр сертификации скинул им образ своего веб-сервера для изучения.
Результаты были интересные - сервер был взломан предположительно 8 раз, поскольку эксперты Avast обнаружили 8 разных веб-шеллов и бэкдоров. Кроме того, в период с 8 февраля по 3 марта этого года доступный к загрузке клиент MonPass также был заряжен бэкдором на основе Cobalt Strike. В медицине такое называется "суперраспространитель", а в народе "трисичуха" - "трипер, сифилис, чума, холера".
В начале мая Avast сообщили о результатах исследования в MonPass, а к концу июня монгольские кибербатыры залатали дыры в своей площадке и уведомили клиентов об их возможной компрометации.
Остается добавить, что ответственных за атаки хакеров Avast не назвали, но, судя по геополитическому раскладу в этом районе Азии, можно с большой долей уверенности утверждать, что это таки Китай.
Avast Threat Labs
Backdoored Client from Mongolian CA MonPass - Avast Threat Labs
Follow us in our journey analyzing Mongolian certificate authority breach and certificate client backdoored with Cobalt Strike.
Ну и ещё немного, расскажем вам о реальных достоинствах и прелести умных домов. В жизни максимальные бонусы от девайсов получают не только их жители, но и незванные гости.
Which совместно с NCC Group и Global Cyber Alliance выяснили, что современный умный дом за одну неделю подвергается 12 000 кибератак. Узнать об этом исследователи смогли благодаря эксперименту, в рамках которого был создан полигон с многочисленными устройствами IoT, включая телевизоры, термостаты, интеллектуальные системы безопасности и пр.
За неделю наблюдений удалось зафиксировать 12 807 попыток взломов и сканирований, подавляющее большинство из которых происходили из США, Индии, Китая и Нидерландов.
Наиболее распространенным методом была попытка входа в систему с использованием слабых имен пользователей и паролей по умолчанию, таких как admin: всего было совершено 2435 попыток перебора или же 14 в час. При этом большинство устройств показали высокую защищенность. Сплоховала беспроводная камера ieGeek от Amazon, к управлению которой злоумышленник получил полный доступ. Сразу после эксперимента устройство было снято с продажи на площадках Amazon, несмотря на почти 8 500 положительных отзывов покупателей.
Стоит отметки, что многие производители обезопасили будущих владельцев, следуя политике применения уникальных паролей по умолчанию. Отличились Epson, Yale, Samsung.
По оценкам Which, 97% всех атак на интеллектуальные устройства преследовали цель добавления их в ботнет Mirai, состоящий из множества небезопасных сетевых устройств и представляющий собой мощный хакерский инструмент. Например, только в 2016 году с его помощью были положены Twitter, Amazon и другие известные веб-сайты.
Ну вот, и отличное занятие нарисовалось на вечер пятницы: желаем поскорее добраться до админок и потереть заводские пароли к своим умным вещам, а самым замороченным - накатить свежие update.
Which совместно с NCC Group и Global Cyber Alliance выяснили, что современный умный дом за одну неделю подвергается 12 000 кибератак. Узнать об этом исследователи смогли благодаря эксперименту, в рамках которого был создан полигон с многочисленными устройствами IoT, включая телевизоры, термостаты, интеллектуальные системы безопасности и пр.
За неделю наблюдений удалось зафиксировать 12 807 попыток взломов и сканирований, подавляющее большинство из которых происходили из США, Индии, Китая и Нидерландов.
Наиболее распространенным методом была попытка входа в систему с использованием слабых имен пользователей и паролей по умолчанию, таких как admin: всего было совершено 2435 попыток перебора или же 14 в час. При этом большинство устройств показали высокую защищенность. Сплоховала беспроводная камера ieGeek от Amazon, к управлению которой злоумышленник получил полный доступ. Сразу после эксперимента устройство было снято с продажи на площадках Amazon, несмотря на почти 8 500 положительных отзывов покупателей.
Стоит отметки, что многие производители обезопасили будущих владельцев, следуя политике применения уникальных паролей по умолчанию. Отличились Epson, Yale, Samsung.
По оценкам Which, 97% всех атак на интеллектуальные устройства преследовали цель добавления их в ботнет Mirai, состоящий из множества небезопасных сетевых устройств и представляющий собой мощный хакерский инструмент. Например, только в 2016 году с его помощью были положены Twitter, Amazon и другие известные веб-сайты.
Ну вот, и отличное занятие нарисовалось на вечер пятницы: желаем поскорее добраться до админок и потереть заводские пароли к своим умным вещам, а самым замороченным - накатить свежие update.
Which?
How a smart home could be at risk from hackers - Which? News
We set up our own smart home and detected more than 12,000 scanning or hacking attempts in a single week
В пятницу вечером банда вымогателей REvil (или кто-то из их операторов) устроила дебош и провокацию. Первая информация свидетельствовала, что они сломали американского производителя и поставщика информационных технологий Kaseya (кто сказал SolarWinds?) и стали распространять вредоносное обновление для его VSA (Virtual System Administrator) серверов, через которое в сети клиентов компании развертывалось само ransomware.
Уже в этот же день появилась информация о том, что были взломаны около 40 VSA серверов, использовавшиеся MSP (Manage Service Provider), а через них зашифрованы сети от 200 до 10000 предприятий. Предъявленная сумма выкупа - от 50 тыс. до 5 млн. долларов. Kaseya призвали клиентов отключить VSA сервера и закрыли свое облако.
Вчера исследователи из Голландского университета раскрытия уязвимостей (DIVD) сообщили, что Kaseya как раз находились в процессе устранения 0-day уязвимости CVE-2021-30116, которую голландцы нашли за несколько недель до инцидента. Технических подробностей со стороны DIVD не было предоставлено, но в сети появились данные о том, что эксплуатация дырки приводит к обходу аутентификации в веб-интерфейсе VSA. Каким образом информация о CVE-2021-30116 попала в руки вымогателям - никто не сообщает.
После таких откровений первоначальную версию об атаке на цепочку поставок, ясное дело, можно ставить под сомнение. А Kaseya тем временем наняли FireEye, чтобы те помогли им расследовать инцидент.
И вчера же REvil сообщили, что в ходе атаки на ПО Kaseya было зашифровано более миллиона систем (тут они считают, имхо, не только сети, но и отдельные машины, отсюда такое большое число). И потребовали 70 млн. долларов за универсальный дешифратор.
Заплатят им такую сумму или нет мы говорить не беремся, но, как нам кажется, безымянный исследователь из DIVD или сотрудник Kaseya, сливший хакерам данные об уязвимости, недавно стал долларовым миллионером.
Уже в этот же день появилась информация о том, что были взломаны около 40 VSA серверов, использовавшиеся MSP (Manage Service Provider), а через них зашифрованы сети от 200 до 10000 предприятий. Предъявленная сумма выкупа - от 50 тыс. до 5 млн. долларов. Kaseya призвали клиентов отключить VSA сервера и закрыли свое облако.
Вчера исследователи из Голландского университета раскрытия уязвимостей (DIVD) сообщили, что Kaseya как раз находились в процессе устранения 0-day уязвимости CVE-2021-30116, которую голландцы нашли за несколько недель до инцидента. Технических подробностей со стороны DIVD не было предоставлено, но в сети появились данные о том, что эксплуатация дырки приводит к обходу аутентификации в веб-интерфейсе VSA. Каким образом информация о CVE-2021-30116 попала в руки вымогателям - никто не сообщает.
После таких откровений первоначальную версию об атаке на цепочку поставок, ясное дело, можно ставить под сомнение. А Kaseya тем временем наняли FireEye, чтобы те помогли им расследовать инцидент.
И вчера же REvil сообщили, что в ходе атаки на ПО Kaseya было зашифровано более миллиона систем (тут они считают, имхо, не только сети, но и отдельные машины, отсюда такое большое число). И потребовали 70 млн. долларов за универсальный дешифратор.
Заплатят им такую сумму или нет мы говорить не беремся, но, как нам кажется, безымянный исследователь из DIVD или сотрудник Kaseya, сливший хакерам данные об уязвимости, недавно стал долларовым миллионером.
Kaseya
Important Notice August 4th, 2021
August 4, 2021 - 4:00 PM EDT
VSA 9.5.7d Patch Update
Based on feedback, we have merged the functionality that was planned in the next two updates into the 9.5.7d VSA patch and adjusted the release ...
VSA 9.5.7d Patch Update
Based on feedback, we have merged the functionality that was planned in the next two updates into the 9.5.7d VSA patch and adjusted the release ...
Выйдем немного за пределы инфосека.
Тут редакция Незыгаря провела опрос среди своих подписчиков и выяснила, что из них 34% за обязательную вакцинацию, а 66% - за введение локдауна.
На основании этой информации журналисты вывели целую теорию про базовые потребности, коллективную безопасность, поляризацию общественных настроений и прочие умные вещи.
Мы же, в силу узконаправленности своего поля зрения, поняли лишь то, что в опрос к Незыгарю набежали боты.
Feel the difference, как говорится.
Тут редакция Незыгаря провела опрос среди своих подписчиков и выяснила, что из них 34% за обязательную вакцинацию, а 66% - за введение локдауна.
На основании этой информации журналисты вывели целую теорию про базовые потребности, коллективную безопасность, поляризацию общественных настроений и прочие умные вещи.
Мы же, в силу узконаправленности своего поля зрения, поняли лишь то, что в опрос к Незыгарю набежали боты.
Feel the difference, как говорится.
Telegram
НЕЗЫГАРЬ
В нашем опросе приняло участие более 78 тыс. чел. Опрос показывает, что большинство не готово к обязательной вакцинации. 66% респондентов считают, что в условиях возможного ухудшения ситуации с пандемией более предпочтительным является всеобщий локдаун. Этот…
Поскольку, несомненно, в ближайшие дни информационным поводом №1 в инфосеке будет взлом ПО от Kaseya бандой вымогателей REvil, то вот вам еще одна короткая новостишка.
Как сказано в стенограмме Белого Дома, в субботу Президент США Байден заявил журналистам во время мероприятия в штате Мичиган, что:
- он поручил Разведсообществу США разобраться с произошедшей на Kaseya атакой;
- возможно будет встречная кибератака на российские ресурсы со стороны США, если подтвердится, что российское правительство как-то связано с нападением на Kaseya (тут не до конца понятно, что именно подразумевает Байден под этой связью, но его вообще тяжело понять временами).
Подскажем, что Разведсообщество США - это 17 американских ведомств, среди которых такие товарищи, как ЦРУ, АНБ, ФБР, РУМО (а кто Tor сделал, вспоминаем) и много-много других.
Вечер перестает быть томным.
Как сказано в стенограмме Белого Дома, в субботу Президент США Байден заявил журналистам во время мероприятия в штате Мичиган, что:
- он поручил Разведсообществу США разобраться с произошедшей на Kaseya атакой;
- возможно будет встречная кибератака на российские ресурсы со стороны США, если подтвердится, что российское правительство как-то связано с нападением на Kaseya (тут не до конца понятно, что именно подразумевает Байден под этой связью, но его вообще тяжело понять временами).
Подскажем, что Разведсообщество США - это 17 американских ведомств, среди которых такие товарищи, как ЦРУ, АНБ, ФБР, РУМО (а кто Tor сделал, вспоминаем) и много-много других.
Вечер перестает быть томным.
The White House
Remarks by President Biden After Visiting King Orchards
King Orchards MarketCentral Lake, Michigan 3:30 P.M. EDT Q Mr. President, let me know if I can ask you a question. THE PRESIDENT: Sure. (Laughter.) Q Right now, sir? THE PRESIDENT: Yeah. Q With the most recent hack by the Russians, would you say that this…
Тем временем Wizard Spider тестирует новые разработки, развернув ботнет TrickBot с новым штаммом вымогателей под названием Diavol.
Аномалию заметили в FortiGuard Labs, которые обнаружили Diavol в ходе изучения неназванного инцидента у одного из их клиентов, на системах которого были развернуты полезные нагрузки программ-вымогателей Diavol и Conti.
Особенностью нового штамма вредоносного ПО являются асимметричные алгоритмы шифрования. Еще одним отличительным аспектом программы-вымогателя является то, что она эффективно скрывает свой код в виде растровых изображений, откуда подпрограммы загружаются в буфер с разрешениями на выполнение. Перед блокировкой файлов и изменением обоев рабочего стола с сообщением о выкупе Diavol реализует: регистрацию устройства жертвы на удаленном сервере, завершение запущенных процессов, поиск локальных дисков и файлов в системе для шифрования и предотвращение восстановление путем удаления теневых копий.
К аналогичной атрибуции ПО пришли специалисты Kryptos Logic Threat Intelligence, по мнению которых Wizard Spider стали все еще активнее переоснащать свой арсенал вредоносных программ.
Этих ребят не остановить.
Аномалию заметили в FortiGuard Labs, которые обнаружили Diavol в ходе изучения неназванного инцидента у одного из их клиентов, на системах которого были развернуты полезные нагрузки программ-вымогателей Diavol и Conti.
Особенностью нового штамма вредоносного ПО являются асимметричные алгоритмы шифрования. Еще одним отличительным аспектом программы-вымогателя является то, что она эффективно скрывает свой код в виде растровых изображений, откуда подпрограммы загружаются в буфер с разрешениями на выполнение. Перед блокировкой файлов и изменением обоев рабочего стола с сообщением о выкупе Diavol реализует: регистрацию устройства жертвы на удаленном сервере, завершение запущенных процессов, поиск локальных дисков и файлов в системе для шифрования и предотвращение восстановление путем удаления теневых копий.
К аналогичной атрибуции ПО пришли специалисты Kryptos Logic Threat Intelligence, по мнению которых Wizard Spider стали все еще активнее переоснащать свой арсенал вредоносных программ.
Этих ребят не остановить.
Fortinet Blog
Diavol - A New Ransomware Used By Wizard Spider?
FortiGuard Labs identified a new ransomware family, Diavol. Learn about the inner workings of Diavol and its possible attribution to the criminal group known as Wizard Spider. …
Как мы и предсказывали - новости про взлом Kaseya захавали весь доступный инфосек эфир и стали распространяться дальше.
В Швеции розничная сеть Coop закрыла 800 магазинов (20% шведской розничной торговли продуктами) из-за того, что их поставщик терминалов (по всей видимости, это Extenda Retail) работал с MSP, который использовал ПО от Kaseya. Пострадали местные аптечные сети и шведский ж/д оператор SJ.
Один из таких MSP, норвежская компания Visma EssCom, являющаяся клиентом Kaseya, заявила, что атака вымогателей является "глобальной кибератакой, затрагивающей розничную торговлю". В результате взлома фактически выведены все их устройства в розничных сетях, а таковых среди клиентов Visma EssCom немало.
Из последнего, что мы смогли найти - судя по сообщениям в сети уязвимость являла собой логическую ошибку в коде скрипта аутентификации VSA сервера. Кевин Бомонт пишет, что коду в обед 15 лет. Комментаторы задаются риторическим вопросом - а, собственно, где были пентестеры? Понятно, что ответить можно в рифму.
А в завершении - наиболее соответствующая текущему моменту картинка.
В Швеции розничная сеть Coop закрыла 800 магазинов (20% шведской розничной торговли продуктами) из-за того, что их поставщик терминалов (по всей видимости, это Extenda Retail) работал с MSP, который использовал ПО от Kaseya. Пострадали местные аптечные сети и шведский ж/д оператор SJ.
Один из таких MSP, норвежская компания Visma EssCom, являющаяся клиентом Kaseya, заявила, что атака вымогателей является "глобальной кибератакой, затрагивающей розничную торговлю". В результате взлома фактически выведены все их устройства в розничных сетях, а таковых среди клиентов Visma EssCom немало.
Из последнего, что мы смогли найти - судя по сообщениям в сети уязвимость являла собой логическую ошибку в коде скрипта аутентификации VSA сервера. Кевин Бомонт пишет, что коду в обед 15 лет. Комментаторы задаются риторическим вопросом - а, собственно, где были пентестеры? Понятно, что ответить можно в рифму.
А в завершении - наиболее соответствующая текущему моменту картинка.