T.Hunter

#news Пятничные новости от директора Агентства по кибербезопасности США. На конференции от Mandiant Джен Истерли сделала несколько смелых заявлений. В частности о том, что проблемы в ИБ создают разработчики: подлецы выпускают уязвимый софт. Иными словами, пишите качественный код. Также нужно прекратить гламуризировать киберпреступность: хватит поэтичных названий для группировок, время «Тощих Неприятностей» и «Злых Хорьков». Именовать дыры в безопасности «уязвимостями софта» тоже не комильфо — это теперь «дефекты в продукте». И винить надо не бедных юзеров, не успевающих накатывать исправления, а индустрию дырявого кода и нескончаемых патчей. В общем, у нас нет проблем с кибербезопасностью, есть проблема с качеством софта. И нам нужно больше не продуктов для безопасности, а безопасных продуктов. Логика в этом, конечно, есть. Может быть настоящая ИБ — это «secure by design» софт, который мы напишем по пути? @tomhunter

#news FTC выпустила доклад о сборе информации соцсетями и прочими платформами. Он основан на запросах, отправленных разработчикам сервисов, касаемо их практик по использованию пользовательских данных. В принципе, нового мало. Компании, как известно, собирают огромные объёмы данных. И при этом хранят их бессрочно и не всегда удаляют по запросу юзеров. Некоторые используют пиксель отслеживания под целевую рекламу. Алгоритмы и ИИ активно утилизируют персональные данные — контроль над этим у юзеров минимальный или отсутствует. Отдельно в докладе идёт нарратив «Подумайте о детях»: данные несовершеннолетних также уходят в массивы, обеспечивающие рекламный поток. FTC рекомендует меры по минимизации перемалывания нашего цифрового следа в товар, но перспективы у этого — сами понимаете. В общем, фиксируем дивный новый мир надзорного капитализма. @tomhunter

#news На Github оригинальная кампания по распространению малвари. Злоумышленники открывают тикеты в репозиториях с опенсорсом, утверждая, что в них есть уязвимость. Сообщение призывает перейти на сайт с неким GitHub Scanner. А там малварь. Что интересно, при этом всем подписанным на репозиторий приходят письма с комментарием с легитимного ящика Гитхаба и якобы с наилучшими пожеланиями от Github Security Team. Фишинг, на первый взгляд, относительно убедительный. Но дальше резко сдаёт обороты: на сайте юзеру предлагают впихнуть вредоносный скрипт в Run, чтобы обзавестись Lumma Stealer — целевая аудитория под такой очевидный трюк выбрана немного не та. Так что основная проблема в рассылке комментариев со скриншота прямиком с серверов платформы. Иными словами, у нас очередной находчивый вариант абьюза инфраструктуры GitHub номер сто восемьдесят семь. @tomhunter

#news Европол и компания безопасников в погонах из девяти стран перехватили платформу Ghost — сервис для зашифрованной связи, используемый преступниками, занятых среди прочего в таких почётных сферах бизнеса, как наркоторговля и отмывание денег. За ~5 тысяч долларов в год клиенты получали модифицированный смартфон и техподдержку под него. Расследование по Ghost’у шло с марта 2022-го года. По его итогам были обнаружены сервера во Франции и Исландии, активы на счетах в США, а сами операторы — в Австралии. Им грозит до 26 лет тюрьмы. Арестованы 51 человек, изъяты миллион евро наличных и оружие, попутно найдена нарколаболатория. Таким образом, Ghost отправился по следам Sky ECC, EncroChat и Exlu. А связь у кибер- и не только преступников ждёт дальнейшая фрагментация по местечковым сервисам в попытках избежать правосудия после их перехвата. @tomhunter

#news Вы таки не поверите, но в Ливане продолжение банкета от израильских затейников. Сегодня у «Хезболлы» начали дружно взрываться переносные рации. Взрывы прошли по Бейруту и югу Ливана пару часов назад. Как сообщают СМИ, пострадали сотни человек. Предварительно известно о девяти погибших. Рации якобы были закуплены примерно в то же время, что и пейджеры с подвохом — пять месяцев назад. Иными словами, можно с достаточной уверенностью утверждать, что скомпрометированы они были тем же образом — вероятно, где-то по цепочке поставок в устройства попала взрывчатка. Вовлечены ли во всю эту историю кибератаки с хитрыми манипуляциями прошивкой и перегревом или обошлось активацией по старинке, пока до конца неясно. Но операция в своём роде уникальная — израильская разведка сумела изобретательно и масштабно саботировать всю связь группировки. В общем, на фоне таких происшествий ругать пресловутые баофенги, полагаю, какое-то время будут чуть меньше. Как водится, всё познаётся в сравнении. @tomhunter

#news DrWeb раскрыла кибератаку по своим системам. Как сообщает компания, она началась 14 сентября. Также утверждают, что атака была локализована и пользователей не затронула. При этом заявления от DrWeb, скажем так, противоречивы. Серверы были «оперативно отключены»… 16 сентября — признаки «внешнего воздействия» засекли только спустя два дня. Компания вроде как «держала всё под контролем» и «наблюдала за атакой», но при этом инфраструктуру для диагностики по итогам отключили, а вместе с ней на сутки отвалилось и обновление антивирусных баз. Иными словами, пока ничего не ясно, но пробел в два дня между компрометацией систем и реакцией на неё симптоматичный. Остаётся ждать детального отчёта по инциденту и делать ставки по степени, что называется, тактического контроля за глубиной проникновения в системы. @tomhunter

#news Киберпанковые ИБ-новости с фронтов вяло разгорающегося израильско-ливанского конфликта: у членов небезызвестной группировки, действующей на территории Ливана, вчера массово взорвались пейджеры. Минимум шестнадцать человек погибли, почти три тысячи получили ранения, двести критических. «Хезболла» уже заявила, что взрывы стали результатом операции Израиля. Идут сообщения, что могли рвануть литиевые батареи — судя по видео, версия сомнительная. Так что помимо хитрой прошивки мог быть скомпрометирован поставщик с сюрпризом в тротиловом эквиваленте. Некоторые удачливые владельцы якобы успели заметить, что пейджеры греются, и избавились от них до взрыва. Кто в юности зачитывался Гибсоном и Стерлингом, те только покивают. И добавят, что через 10-15 лет в ленте будут новости о взрывающихся в головах у киберджихадистов кустарных нейрочипах, заражённых Pegasus v3. А пока будем надеяться, что в один прекрасный день и айфоны в карманах у кого следует нагреваться не начнут. А то ведь чревато. @tomhunter

#news Министерство финансов США ввело санкции против… нет, не очередной российской компании. На этот раз вновь досталось разработчику спайвари Predator, причём под раздачу попал топ-менеджмент консорциума Intellexa, передав привет одному грустному зелёному мишке. Пять человек и одна компания в санкционном списке за кибердеятельность, угрожающую национальной безопасности. Активы заблокированы, сделки и финоперации запрещены — всё как полагается. Сама Intellexa под санкциями с июля 2023-го, и хотя на операциях компании это поначалу заметно сказалось, по последним данным, под Predator успешно подняли новую инфраструктуру, скрытнее прежней. Отслеживать её и клиентуру стало сложнее, но модус операнди тот же. И с рынком коммерческой спайвари, разросшимся до $12 миллиардов в год, санкциями от Минфина США не обойдёшься. Особенно с учётом того, что среди режимов, где спайварь в почёте, они скорее сойдут за маркетинговый инструмент. @tomhunter

#article В нашей новой статье мы продолжаем говорить об использовании электронных таблиц в работе OSINT-аналитиков. В первой части мы обсуждали автоматизацию генерации дорков. Во второй — коснулись интеграции API для исследования данных. Сегодня раскроем тему скрапинга: разберем основы, сделаем сервис для пробива судимостей и чтения RSS, а также интегрируем поисковые выдачи с сайтов в наши Таблицы. За подробностями добро пожаловать на Хабр! @tomhunter

#news Один из нулевых дней, исправленных Microsoft в сентябре, был замечен в атаках. Уязвимость спуфинга CVE-2024-43461 шла в цепочке атак с другой исправленной уязвимостью, позволяющей злоумышленникам запускать произвольный код в системах через вызов Internet Explorer с того света. Уязвимость использовали в атаках минимум с июня 2024-го и с её помощью подтягивают инфостилер. Злоумышленники используют интересный метод для маскировки файлов: в название включены 26 пробельных символов шрифта Брайля. В окне открытия файла они уводят реальное расширение, .hta, за пределы видимости. И юзер видит только название файла, за счёт которого он выглядит как пдфка. Между тем фикс тянет лишь на костыль: на скриншоте пример до и после. Теперь пользователь видит и название, и расширение после символов. Так что исправление превращает доставку малвари в тест на внимательность. Пройдут его, как водится, не только лишь все. @tomhunter