Ну и ещё немного, расскажем вам о реальных достоинствах и прелести умных домов. В жизни максимальные бонусы от девайсов получают не только их жители, но и незванные гости.

Which совместно с NCC Group и Global Cyber Alliance выяснили, что современный умный дом за одну неделю подвергается 12 000 кибератак. Узнать об этом исследователи смогли благодаря эксперименту, в рамках которого был создан полигон с многочисленными устройствами IoT, включая телевизоры, термостаты, интеллектуальные системы безопасности и пр.

За неделю наблюдений удалось зафиксировать 12 807 попыток взломов и сканирований, подавляющее большинство из которых происходили из США, Индии, Китая и Нидерландов.

Наиболее распространенным методом была попытка входа в систему с использованием слабых имен пользователей и паролей по умолчанию, таких как admin: всего было совершено 2435 попыток перебора или же 14 в час. При этом большинство устройств показали высокую защищенность. Сплоховала беспроводная камера ieGeek от Amazon, к управлению которой злоумышленник получил полный доступ. Сразу после эксперимента устройство было снято с продажи на площадках Amazon, несмотря на почти 8 500 положительных отзывов покупателей.

Стоит отметки, что многие производители обезопасили будущих владельцев, следуя политике применения уникальных паролей по умолчанию. Отличились Epson, Yale, Samsung.

По оценкам Which, 97% всех атак на интеллектуальные устройства преследовали цель добавления их в ботнет Mirai, состоящий из множества небезопасных сетевых устройств и представляющий собой мощный хакерский инструмент. Например, только в 2016 году с его помощью были положены Twitter, Amazon и другие известные веб-сайты.

Ну вот, и отличное занятие нарисовалось на вечер пятницы: желаем поскорее добраться до админок и потереть заводские пароли к своим умным вещам, а самым замороченным - накатить свежие update.

​​В пятницу вечером банда вымогателей REvil (или кто-то из их операторов) устроила дебош и провокацию. Первая информация свидетельствовала, что они сломали американского производителя и поставщика информационных технологий Kaseya (кто сказал SolarWinds?) и стали распространять вредоносное обновление для его VSA (Virtual System Administrator) серверов, через которое в сети клиентов компании развертывалось само ransomware.

Уже в этот же день появилась информация о том, что были взломаны около 40 VSA серверов, использовавшиеся MSP (Manage Service Provider), а через них зашифрованы сети от 200 до 10000 предприятий. Предъявленная сумма выкупа - от 50 тыс. до 5 млн. долларов. Kaseya призвали клиентов отключить VSA сервера и закрыли свое облако.

Вчера исследователи из Голландского университета раскрытия уязвимостей (DIVD) сообщили, что Kaseya как раз находились в процессе устранения 0-day уязвимости CVE-2021-30116, которую голландцы нашли за несколько недель до инцидента. Технических подробностей со стороны DIVD не было предоставлено, но в сети появились данные о том, что эксплуатация дырки приводит к обходу аутентификации в веб-интерфейсе VSA. Каким образом информация о CVE-2021-30116 попала в руки вымогателям - никто не сообщает.

После таких откровений первоначальную версию об атаке на цепочку поставок, ясное дело, можно ставить под сомнение. А Kaseya тем временем наняли FireEye, чтобы те помогли им расследовать инцидент.

И вчера же REvil сообщили, что в ходе атаки на ПО Kaseya было зашифровано более миллиона систем (тут они считают, имхо, не только сети, но и отдельные машины, отсюда такое большое число). И потребовали 70 млн. долларов за универсальный дешифратор.

Заплатят им такую сумму или нет мы говорить не беремся, но, как нам кажется, безымянный исследователь из DIVD или сотрудник Kaseya, сливший хакерам данные об уязвимости, недавно стал долларовым миллионером.

Выйдем немного за пределы инфосека.

Тут редакция Незыгаря провела опрос среди своих подписчиков и выяснила, что из них 34% за обязательную вакцинацию, а 66% - за введение локдауна.

На основании этой информации журналисты вывели целую теорию про базовые потребности, коллективную безопасность, поляризацию общественных настроений и прочие умные вещи.

Мы же, в силу узконаправленности своего поля зрения, поняли лишь то, что в опрос к Незыгарю набежали боты.

Feel the difference, как говорится.

​​Поскольку, несомненно, в ближайшие дни информационным поводом №1 в инфосеке будет взлом ПО от Kaseya бандой вымогателей REvil, то вот вам еще одна короткая новостишка.

Как сказано в стенограмме Белого Дома, в субботу Президент США Байден заявил журналистам во время мероприятия в штате Мичиган, что:

- он поручил Разведсообществу США разобраться с произошедшей на Kaseya атакой;

- возможно будет встречная кибератака на российские ресурсы со стороны США, если подтвердится, что российское правительство как-то связано с нападением на Kaseya (тут не до конца понятно, что именно подразумевает Байден под этой связью, но его вообще тяжело понять временами).

Подскажем, что Разведсообщество США - это 17 американских ведомств, среди которых такие товарищи, как ЦРУ, АНБ, ФБР, РУМО (а кто Tor сделал, вспоминаем) и много-много других.

Вечер перестает быть томным.

Тем временем Wizard Spider тестирует новые разработки, развернув ботнет TrickBot с новым штаммом вымогателей под названием Diavol.

Аномалию заметили в FortiGuard Labs, которые обнаружили Diavol в ходе изучения неназванного инцидента у одного из их клиентов, на системах которого были развернуты полезные нагрузки программ-вымогателей Diavol и Conti.

Особенностью нового штамма вредоносного ПО являются асимметричные алгоритмы шифрования. Еще одним отличительным аспектом программы-вымогателя является то, что она эффективно скрывает свой код в виде растровых изображений, откуда подпрограммы загружаются в буфер с разрешениями на выполнение. Перед блокировкой файлов и изменением обоев рабочего стола с сообщением о выкупе Diavol реализует: регистрацию устройства жертвы на удаленном сервере, завершение запущенных процессов, поиск локальных дисков и файлов в системе для шифрования и предотвращение восстановление путем удаления теневых копий.

К аналогичной атрибуции ПО пришли специалисты Kryptos Logic Threat Intelligence, по мнению которых Wizard Spider стали все еще активнее переоснащать свой арсенал вредоносных программ.

Этих ребят не остановить.

​​Как мы и предсказывали - новости про взлом Kaseya захавали весь доступный инфосек эфир и стали распространяться дальше.

В Швеции розничная сеть Coop закрыла 800 магазинов (20% шведской розничной торговли продуктами) из-за того, что их поставщик терминалов (по всей видимости, это Extenda Retail) работал с MSP, который использовал ПО от Kaseya. Пострадали местные аптечные сети и шведский ж/д оператор SJ.

Один из таких MSP, норвежская компания Visma EssCom, являющаяся клиентом Kaseya, заявила, что атака вымогателей является "глобальной кибератакой, затрагивающей розничную торговлю". В результате взлома фактически выведены все их устройства в розничных сетях, а таковых среди клиентов Visma EssCom немало.

Из последнего, что мы смогли найти - судя по сообщениям в сети уязвимость являла собой логическую ошибку в коде скрипта аутентификации VSA сервера. Кевин Бомонт пишет, что коду в обед 15 лет. Комментаторы задаются риторическим вопросом - а, собственно, где были пентестеры? Понятно, что ответить можно в рифму.

А в завершении - наиболее соответствующая текущему моменту картинка.

Соцсеть сторонников Трампа Gettr взломали в первый день запуска

К тому моменту, как был взломан целый ряд аккаунтов пользователей Gettr, на площадке уже успело зарегистрироваться около 500 тыс. пользователей.

Взлому, в основном, подверглись аккаунты верифицированных пользователей — в том числе, бывших помощников Дональда Трампа.

Взломщики, когда получили доступ к этим аккаунтам, на всех из них изменили никнеймы на «@ JubaBaghdad was here :) ^^ free palestine ^^».

К счастью, «попытку» взлома (хотя, скорее, именно взлом, а не его попытку) смогли обнаружить и исправить уже в первые несколько минут.

Голландский MSP Velzart, пострадавший от взлома Kaseya, на своем сайте ведет блог, в котором специалисты описывают все подробности и процесс восстановления.

Интересно почитать (хоть блог и на голландском).

И снова про взлом Kaseya (а мы предупреждали, что про это все новости и будут в ближайшие дни).

Оказывается одним из требований для нормального функционирования продуктов от Kaseya было внесение их рабочих папок и приложений в исключения антивирусов.

Что-то это нам напоминает - NMS Orion, отключение сканирования антивирусными решениями, SolarWinds...

Богоспасаемый ProtonMail демонстрирует отрасли как надо относиться к вопросам приватности и безопасности пользователей:

- откройте код своих приложений;
- привлекайте независимых исследователей и пентестеров для проведения регулярных аудитов;
- публикуйте результаты аудитов своего ПО.

И в подтверждение своих statements швейцарцы выложили в паблик отчет по результатам проведенного инфосек компанией Securitum аудита (доступен по приведенной ссылке), который показал, что серьезных дырок в ProtonMail нет.

Российский ТГ может спать спокойно.

Отвлечемся на секунду и порадуемся: тайваньский производитель сетевых хранилищ QNAP исправил критическую ошибку в приложении резервного копирования и аварийного восстановления.

CVE-2021-28809 была обнаружена Ta-Lun Yen из TXOne IoT/ICS Security Research Labs в системе HBS 3 Hybrid, реализующей аварийное восстановление и резервное копирование данных.

Основная проблема безопасности обусловлена недостатками в организации контроля доступа, которые позволяют злоумышленнику повышать привилегии, удаленно выполнять команды или читать конфиденциальную информацию без авторизации.

Компания заявляет, что ошибка исправлена в версиях HBS: QTS 4.3.6: HBS 3 v3.0.210507; QTS 4.3.4: HBS 3 v3.0.210506; QTS 4.3.3: HBS 3 v3.0.210506 и новее, устройства QNAP под управлением QTS 4.5.x с HBS 3 v16.x не содержат уязвимости и не подвержены атакам.

Все хорошо, но есть нюанс, прямо как в анекдоте: успешно отчитались об исправлении, а примечания к продукту HBS 3 Hybrid Backup Sync содержат последние упоминания о модификациях кода, датированные 14 маем 2021. Печальный опыт эксплуатации вымогателями Qlocker и eCh0raix уязвимостей в HBS 3 Hybrid Backup Sync до сих пор снится в кошмарах владельцам хранилищ QNAP.

​​Microsoft в кои-то веки оперативно отреагировали на попавшую в паблик 0-day уязвимость CVE-2021-34527 aka PrintNightmare и выпустили внеочередное обновление безопасности.

PrintNightmare позволяет осуществить RCE с позиции любого аутентифицированного пользователя через ошибку в службе spoolsv.exe. Так что всем срочно обновляться!

Никогда мы не доверяли менеджерам паролей. Даже от известных инфосек вендоров. И, как оказывается, правильно делали.

Жан-Батист Бедрун, исследователь Ledger Donjon, раскрыл технические подробности уязвимости CVE-2020-27020, которая была найдена в Kaspersky Password Manager (KPM) в июне 2019 года и исправлена спустя четыре месяца.

Итак, реализация KPM содержала в себе несколько упущений, но главная из них заключалась в использовании генератора псевдослучайных чисел (ГПСЧ) Mersenne Twister, который генерит пароль только лишь на основании текущего системного времени в секундах. Таким образом, каждый экземпляр KPM в мире генерирует один и тот же пароль в каждую конкретную секунду.

Всего за год, например, KPM мог сгенерить чуть больше 31,5 млн. паролей, брутфорс которых займет минуты, особенно если злоумышленник приблизительно знает время создания учетной записи (например, на форуме).

Как мы уже сказали, Касперские довольно оперативно устранили дырку, а вот уведомление пользователей о необходимости повторной генерации паролей вышло лишь спустя год.

Надеемся, ответственные за этот факап товарищи уже выпнуты с голым афедроном на негостеприимные российские морозы.

Бесплатный сыр только в мышеловке: но как выяснилось для некоторых пользователей Android - за мышеловку все же пришлось заплатить, только сыра в ней не оказалось.

Исследователи инфсеккомпании Lookout обнаружили, что более 93000 пользователей, загрузивших себе на смартфоны приложения для майнинга криптовалюты, стали жертвами аферы.

Lookout нашли 172 платных приложения BitScam и CloudScam, в том числе 25 доступных в Google Play, с фейковыми функциями облачного майнинга. Разработчики «пустышек» заработали на ожиданиях предприимчивых пользователей более 350 000 долларов (300 000 долларов на продажу приложений и 50 000 долларов на поддельные обновления). При этом, как отмечают исследователи, приложения вредоносного кода не содержали.

Играя на алчности юзеров приложений, мошенники продавали за отдельный прайс дополнительные услуги, подписки и обновления через прямые переводы крипты на свои кошельки или возможности Play Store.

Некоторые из приложений до сих пор выставлены на продажу в популярных магазинах приложений по всему Интернету.

Видимо, в разрабы переквалифицировались, раньше эффективно пылесосы впаривали, передвигаясь по квартирам доверчивых бабулей и дедулей, а теперь - на удаленке. Всем увлеченным облачным майнингом рекомендуем внимательно изучить доклад👇

​​Продолжается реакция американских властей на атаку банды вымогателей REvil на американского поставщика IT-услуг и производителя ПО Kaseya.

Первая реакция от Президента США последовала еще в субботу, тогда Байден заявил, что поручил Разведсообществу США разобраться в ситуации, а также пробурчал что-то невнятное в отношении установления связи вымогателей с Россией.

Вчера пресс-секретарь Белого Дома небезизвестная Джейн Псаки заявила на очередной пресс-конференции в ответ на вопрос про атаку на Kaseya, что на встрече с Путиным американский Президент дал понять, что если российские власти не будут принимать меры против находящихся на территории страны киберпреступников, то США примут меры сами или оставят за собой право действовать по своему усмотрению.

Что скрывается за этой формулировкой неясно, не морских котиков же пришлют хакеров воровать - это casus belli в чистом виде. Но можем предположить, что в логике нынешней администрации Белого Дома (как красиво излагаем, прямо как общественно-политический канал какой) действия по своему усмотрению будут представлять демонстративные кибератаки по площадям - типа, Unknown живет в Саратове (это мы к примеру, мы не знаем где он живет, может вообще на Украине), поэтому мы сломали весь Саратов. Чтобы хакер не мог пользоваться сетью - мы потушили провайдеров, чтобы не баловался мобильной data - мы положили медный таз на коммутаторы сотовых операторов, а до кучи выключили саратовский водоканал, чтоб воды не пил.

Конечно же мы утрируем, эти хулиганства американцы делать вряд ли будут. Тем не менее, нам почему-то кажется, что направление их мышления именно таково - на показ бить намеренно широко по возможно имеющим хоть какое-то отношение к вымогателям объектам - хостингам, провайдерам и пр.

Как обычно - будем посмотреть.

​​Microsoft не были бы сами собой, если бы опять не накосячили.

Как оказалось, вчерашнее внеочередное обновление KB5004945 для Windows, которое должно было исправить уязвимость PrintNightmare, на самом деле ее не исправляло. Точнее исправляло, но не до конца.

Сначала Уилл Дорман из CERT/CC сообщил, что патч устранил возможность RCE, но повышение локальных привилегий до SYSTEM путем эксплуатации ошибки по-прежнему возможно. Однако в дальнейшем выяснилось, что при определенных условиях (включение политики "Point and Print Restrictions" и при выключенном уведомлении о запросе на повышение прав в параметре "When installing drivers for a new connection") все еще возможно и RCE.

И уже ночью Microsoft выпустили новый патч KB5004948 для устранения уязвимости в Windows 10 1607 и Windows Server 2019, который, как мы понимаем, для остальных версий проблемы не решает.

А мы-то уж было обрадовались, что Microsoft исправляются со своими срочными фиксами дырок. Но нет, мелкомягкие верны себе! Опять Print Spooler выключать надо...

Большой брат следит за тобой, а между наблюдениями периодически получает за это, в этот раз прилетело конкретно.

Группа технологических компаний, ориентированных на конфиденциальность, в том числе Vivaldi Technologies, Fastmail Pty, Conva Ventures Inc, Fathom Analytics, Proton Technologies, Tutao, DuckDuckGo, Disconnect, Mojeek Limited, Ecosia, Startpage & StartMail, Nextcloud, Kobler, Strossle International, Mailfence, опубликовали открытое письмо с просьбой к регулирующим органам ЕС и США принять меры и запретить рекламные технологии, нарушающие конфиденциальность пользователей в сети.

Практика слежения в рекламной индустрии стара как сам Интернет и последнее время с развитием цифровизацией вызывает все больше критики. Помимо защиты прав и личных свобод пользователей на неприкосновенность частной жизни IT-альянс аппелирует к необходимости ограничения монополии крупных технологических гигантов в рекламной экосистеме, выступая с инициативой введения запретов на законодательном уровне.

Кроме того, подписанты разразились обвинениями в злоупотреблении доминирующими игроками своим положением для продвижения собственных услуг и сервисов, а также в манипуляциях рынком. При этом альянс не ограничился сугубо экономикой, приплели и политику: по их мнению, основанная на слежке реклама используется для влияния на общественное мнение, допускает масштабную дискриминацию, и применяется для кибератак и шпионажа.

Борьба за конфиденциальность в мире набирает обороты, а значит некоторым компаниям (все поняли) на отечественном рынке стоит начинать волноваться.

Вчера Cisco Talos выпустили отчет о новой киберкампании APT SideCopy, направленной на сотрудников индийских правительственных учреждений.

В кибероперации ничего сверхъестественного нет. Фишинг, используемый для доставки дропперов и RAT, четыре из которых исследователи называют авторскими вредоносами SideCopy. Тут более интересен сам актор и используемые им тактики.

Напомним, что SideCopy впервые были замечены в сентябре прошлого года индийскими исследователями из инфосек компании Quick Heal, которые обратили внимание на то, что группа достаточно много копирует TTPs индийской же APT SideWinder (отсюда, собственно, и название - SideCopy).

Некоторые же признаки, в частности использование Crimson RAT, указывали на связь вновь появившихся хакеров с известной пакистанской группой Transparent Tribe aka APT 36, про которую мы писали ранее.

В новой кампании SideCopy продолжили придерживаться той же тактики по имитации цепочек заражения, которые ранее использовали хакеры из SideWinder. Вряд ли это рассчитано на введение исследователей в заблуждение, ведь все уже в курсе существования SideCopy, нам кажется, что это, скорее, эдакий хакерский стеб над индийцами.

Остается добавить, что сама SideWinder - это индийская прогосударственная APT, работающая преимущественно на пакистанском и китайском направлениях. Видели ее и нападающей на афганские объекты, а также на страны Юго-Восточной Азии. У хакерской группы даже есть персональный инфосек присматривающий - это китайская компания Shadow Chaser Group, которая в прошлом году выдала в паблик развернутый материал про активность SideWinder.

Вот такие они, киберстрасти между двумя частями некогда единого государства.

Софта Accellion FTA уже нет, а скомпрометированные с его помощью жертвы до сих разгребают последствия серии атак, которые были предприняты Clop в конце 2020 года.

На этот раз инвестиционная компания Morgan Stanley уведомила генерального прокурора Нью-Гэмпшира об краже пользовательских данных своих клиентов посредством компрометации FTA. Уязвимым элементом оказалась Guidehouse, которая предоставляет услуги по обслуживанию счетов компании Morgan Stanley из числа участников StockPlan Connect.

В Morgan Stanley признались, что в руки злоумышленников попали сведения в отношении 108 жителей Нью-Гэмпшира, а именно: имена, адреса, даты рождения, номера социального страхования и названия компаний. Точнее был украден защищенный файл с личными и контактными данными акционеров, бумаги которых должны были участвовать в торгах. Никто и не сомневался, украденные файлы были зашифрованы, но вот досада: злоумышленник все же смог получить ключ дешифрования во время инцидента из-за уязвимости именно в FTA.

Guidehouse при этом заметили утечку лишь в марте 2021 году и в течение 5 дней закрыли дыру, а проинформировали Morgan Stanley только в мае. После уже полугодовых разборок инцидента все сошлись во мнении: доказательств того, что данные Morgan Stanley были распространены за пределы объекта угрозы. Заметим, что западный инфосек-истеблишмент полагает об обратном.

Дабы погасить скандал компания раздала плюшки жертвам инцидента в Нью-Гэмпшире в виде бесплатных услуг по мониторингу кредитоспособности от Experian и прочих услуг. В целом, грамотные финансисты оперативно зарешали вопрос со всеми интересантами и свели к минимуму репутационыне потери. Не без Clop конечно же: вы ведь помните реальный объём доходов вымогателей.

​​Пока Администрация Президента США угрожает России предпринять жесткие меры в отношении акторов нашумевших кибератак, а специалисты Kaseya судорожно пытаются восстановить работу серверов VSA и SaaS, подвергшихся нападению REvil, мошенники уровнем пониже выкатили свои обновления для клиентов компании.

Malwarebytes обнаружили фишинговые письма, содержащие поддельные информационные сообщения Kaseya, в которых клиентам предлагается загрузить и выполнить вложение под названием SecurityUpdates.exe, чтобы устранить уязвимость в программном обеспечении VSA и защититься от программ-вымогателей.

На самом деле исполняемый файл Windows являлся пакетом Cobalt Strike, а сам образец письма также содержал прямую ссылку на вредоносный исполняемый файл.

К настоящему времени в свете этого потенциального риска безопасности компания отключила своих крикетов от услуг и официально отказалась от использования электронной почты для доставки обновлений. Возобновить работу Kaseya намерены в это в 16:00 по восточному времени.

Ждемс.