T.Hunter | информационная безопасность

#news Схема северокорейцев по трудоустройству в западные компании принесла в бюджет КНДР не менее $88 миллионов за последние шесть лет. К такому выводу пришёл Госдеп, делящийся подробностями хитрой киберпреступной аферы. Северокорейские засланцы работали из двух подставных фирм. В них сидели больше 130 человек, внутри компании их именовали «IT-солдатами». Задача северокорейского IT-солдата — зарабатывать $10 тысяч в месяц на благо партии и стягивать проприетарный код для шантажа. ФБР же предупреждает, что это лишь верхушка айсберга: КНДР обучила тысячи айтишников под эту схему, и они грозят американским компаниям каждый день, а случаи кражи и слива данных учащаются. Превращение КНДР в лихую киберпанковскую Тортугу — пожалуй, самое смешное событие в индустрии за последние годы. @tomhunter

#news Под конец года в опенсорсе наметился тревожный тренд: мейнтейнеры тонут под горой низкокачественных репортов по BugBounty-программам, сгенерированных языковыми моделями. Пока LLM-ки делают первые детские шаги в этом направлении в контролируемой среде, общедоступные модели просто галлюцинируют, выдумывая уязвимости, которые затем закидывают на ревью. Что в свою очередь отнимает время у мейнтейнеров, вынужденных продираться через стены псевдосодержательного текста и прогонять фальшивые проверки концепции, сочинённые моделью. На фоне растущей проблемы разработчики пишут первые гайдлайны, которые сводятся к «Закрывайте ИИ-репорты, игнорируйте ИИ-посты, не отвечайте ИИ-постерам». И вполне справедливо: как выглядят репорты восходящей звезды BB-сцены, вооружённой только слабоумием и ChatGPT, можно подсмотреть здесь. Спойлер: выглядят они удручающе. @tomhunter

#news Исследователи обнаружили незадокументированную спайварь, на этот раз китайскую. В отличие от стран эльфов, где софт с сомнительной репутацией выводят в частный сектор для правдоподобного отрицания и прочей цифровой экспертизы, в Китае с этим всё просто: С2 висят на доменах полиции. А админ-панель зовётся «Система правового поддержания стабильности». Чего им стесняться-то. Спайварь используют минимум с 2017-го года, в активной разработке, под Android и iOS. Стягивает записи звонков, контакты, сообщения с мессенджеров, геоданные и файлы, пишет экран и аудио. С установкой тоже не заморачиваются: спайварь накатывают при изъятии устройства при обыске. Иными словами, рекомендации по деловым поездкам в Китай с одноразовыми телефонами и пустыми ноутами — это не чрезмерная осторожность, а насущная необходимость. Подробнее о находке в отчёте. @tomhunter

#news Вернувшийся год назад на киберпреступную сцену ZLoader продолжает эволюционировать: в свежей версии он обзавёлся DNS-туннелированием для связи с С2-сервером, а также новыми фичами для обхода обнаружения и анализа. Между тем в последние месяцы его активно распространяет Black Basta, чьи методы тоже не стоят на месте. Злоумышленники используют бомбардировку почты потенциальных жертв с помощью подписок на кучу рассылок. Затем они выходят на связь, представляясь сотрудниками техподдержки целевой кампании, и предлагают установить софт для удалённого доступа, с помощью которого доставляют ZLoader. Так что в целом по итогам года идёт сдвиг от массовых спам-рассылок с вредоносом в сторону таргетированных атак со звонками и социнженерией. И сотрудникам техподдержки на созвонах вдобавок к своим невесёлым будням теперь ещё доказывать, что они не злые русские хакеры. Подробнее о старой угрозе на новый лад в отчётах здесь и здесь. @tomhunter

#news Любопытные детали по работе Fog Data Science — брокера из США, специализирующегося на геолокационных данных. О том, что их софт — инструмент для массовой слежки, известно давно. Теперь к журналистам попала анкета для полиции с запросом данных. И выглядит она не очень. Компания запрашивает имя, псевдонимы, пол, религию и прочие маркеры на искомых лиц, включая засвеченные геометки в соцсетях. Плюс список мест, которые разыскиваемый может посещать: спортзалы, общепит, дома друзей и родственников, кабинеты врачей и адвокатов. И всё это затем прогоняется через базы с данными за три последних года, позволяющие отслеживать перемещения по слитым геолокациям. Иными словами, привычная оперативная работа, но выкрученная на максималки и помимо прочего решающая проблему незасвеченных телефонов. В сухом остатке единственным вариантом избежать этого вектора слежки становится не владеть смартфоном. Что в наши дни, конечно, задача нетривиальная. @tomhunter

#news Октябрьский взлом DeFi-платформы Radiant Capital приписали северокорейским хакерам. Так что это ещё $50 миллионов на закрытие бюджета стратегических братушек в стремительно приближающемся 2025-м. По итогам взлома выяснили, что устройства трёх разработчиков были заражены вредоносом, с помощью которого подписали мошеннические транзакции. Radiant перекладывает вину на «безупречную, технически сложную атаку», которую не смогли остановить даже их первоклассные методы защиты с симуляцией транзакций и прочими проверками. Впрочем, сам вектор атаки назвать сложным язык не повернётся: банальная социнженерия по разрабу от лица бывшего подрядчика, который затем ещё и разослал вредоносный архив по коллегам, тоже словившим бэкдор, через который шла атака. Так что самым слабым звеном привычно оказался кожаный мешок на ножках, а не недостаточная защита транзакций. @tomhunter

#news В Канаде арестовали хакера из группировки «Com», связанной с нашумевшим взломом 165 компаний через облачный сервис Snowflake весной, а также сваттингом, криптограбежами и прочими развлечениями западной киберпреступной молодёжи. За онлайн-персоной Waifu скрывался 25-летний канадец. Профиль как и в случае с многими другими западными киберпреступниками говорящий. Аутист, школу не окончил из-за травли, жил с дедушкой. Там, где в СНГ средний киберпреступник — это уважаемый кабанчик с вертолётом, Ламборджини и связями, англоязычные сплошь и рядом оказываются трудными подростками, сидящими на горе крипты перед двумя мониторами. Товарищ Waifu отметился ещё и тем, что до самой поимки вёл регулярную переписку с Кребсом, предлагая обыграть его в шахматы в обмен на честный разговор. По следам ареста WSJ вспоминает глубинный лор Кребса, включая то, как Вовненко героин ему присылал. Самое время освежить в памяти классику. @tomhunter

#news В сетевых дебрях ещё одна оперативно замеченная атака на цепочку поставок: на этот раз скомпрометировали популярную ИИ-модель Ultralytics YOLO11. В код двух версий затесался майнер XMRig. Расследование инцидента пока идёт, при этом неясно, не перепал ли юзерам попутно и инфостилер. Что занятно, на этом атака не закончилась: пока разработчики разбирались в произошедшем, угнали ещё пару версий. Судя по всему, разрабы забыли отозвать токены после первой атаки, да и та была банальным перехватом плохо защищённого аккаунта. В комментариях на Гитхабе тоже классика опенсорса: помогите разрабу понять, как злоумышленник скомпрометировал код, прежде чем заражённые версии уйдут на PyPI в третий раз. В сущности последние несколько дней YOLO — это присказка скачивающих свежие релизы. @tomhunter

#news Оригинальный случай кибермошенничества из Казани: злоумышленник использовал уязвимость на сайте сети доставки цветов «Русский букет» для занижения стоимости товаров и их последующей перепродажи. Причём делал он это с рабочего компьютера. Эксплойт был элементарный: при оплате мошенник возвращался на предыдущую страницу, останавливал загрузку страницы и менял стоимость заказа. В итоге на сайт уходили данные о полной оплате, а списывались символические суммы. До поимки злоумышленник успел оформить больше полусотни покупок. По итогам он признал вину, выплатил ущерб в миллион рублей и получил год условно. Плюс увольнение по собственному желанию за оригинальный подход к рабочему времени. Цветочный барон легко отделался: за мошенничество в особо крупном размере ему грозило до 10 лет. Но в сухом остатке у нас просто забавная история про миллион алых роз из эксплойта. @tomhunter

#news Пятничная схема криптоджекинга от человека из Небраски. Товарищ решил подзаработать на угоне вычислительных мощностей под майнинг, но вместо скучных методов со взломом и опсеком просто выкупал их у Amazon и Microsoft под подставными именами. И использовал не по назначению. Известный как CP3O майнер выбивал новые ресурсы и отсрочки платежей, попутно уклоняясь от ответа на вопросы о подозрительном использовании данных и неоплаченных счетах. Полученную крипту он отмывал через биржи, NFT-маркетплейсы и платёжные сервисы, тратя на роскошную жизнь. В результате намайнил он 970 тысяч долларов. А неоплаченных счетов набежало на 3,5 миллиона. Просчитался, но где? Где-то в хитрую схему закралась неувязочка. Остап Джекер был арестован и признал вину, свои несколько лет заключения он по итогам, скорее всего, получит. @tomhunter

#cve По итогам ноября у нас снова россыпь серьёзных уязвимостей. Десяточкой по CVSS отметился Cisco Unified Industrial Wireless Software, поставив под угрозу промышленные системы. Критическая уязвимость на обход аутентификации также была исправлена в PAN-OS. Microsoft в свой патчевый вторник исправила четыре нулевых дня, в 7-Zip обнаружили уязвимость на произвольный код, а в OC Android — на повышение привилегий. В нескольких устройствах от D-Link критические и высокие уязвимости; исправлений ввиду EOL не планируется, а эксплойт уже идёт. За подробностями об этих и других интересных CVE ноября добро пожаловать на Хабр! @tomhunter

#news iVerify, разработавшая софт для обнаружения спайвари, делится результатами работы. Из 2,500 проверенных ими устройств 7 оказались скомпрометированы Pegasus. Число может показаться невысоким, особенно с учётом целевой аудитории софта, но сам факт того, что невыборочный скан нашёл заражения, уже тревожный. Самое интересное в отчёте другое. Среди жертв оказались не только журналисты и оппозиция, но и бизнесмены, управленцы, госслужащие. Иными словами, грязная репутация «спайвари по найму, которую абьюзят для слежки за активистами» — это ещё не предел для NSO Group. И по итогам анализа вполне может оказаться, что профиль работы Pegasus в сущности ничем не отличается от средней госхакерской группировки или MaaS-операции. Как водится, дно — это новый фронтир. Впрочем, поднимите руку, кого удивит, если «бывшие» разведчики на коротком поводке у Моссада работают в формате APT. @tomhunter