T.Hunter

2021-11-01 08:19:06 #news Практически все компиляторы - программы, преобразующие читаемый человеком исходный код в компьютерно-исполняемый машинный код - уязвимы для атаки, при которой злоумышленник может ввести целевые уязвимости в любое программное обеспечение, не будучи обнаруженным. Речь идет о компоненте стандарта кодирования цифрового текста Unicode , который позволяет компьютерам обмениваться информацией независимо от используемого языка.

В частности, слабость заключается в двунаправленном алгоритме Unicode или алгоритме Bidi, который обрабатывает отображение текста, включающего смешанные скрипты с разным порядком отображения, например арабский, который читается справа налево, и английский (слева направо). Переопределения двунаправленного текста позволяют отображать даже символы одного скрипта в порядке, отличном от их логической кодировки. Как отмечают исследователи, этот факт ранее использовался для маскировки расширений файлов вредоносных программ, распространяемых по электронной почте.

@tomhunter Открыть/Комментировать

2021-10-31 15:33:36 #OSINT #Auto Всем счастливого Хеллоуина!!! Сегодня расскажу вам об источниках для проверки автомобилей. Акцент на российские авто и идентификацию их владельцев. Начинаем...

AVinfoBot (Check Service)
smartsearchbot (Check Service)
eyeofgod (Check Service)
avtocod (Check Service)
гибдд (Check Service)
vin01 (VIN Check)
autocheck (VIN Check)
vinformer (VIN Check)
migalki (Car Photo)
nomerogram (Car Photo)
@Quick_OSINT_bot (Car Photo)
@AntiParkonBot (Сar Abuse)
avto-nomer (Сar Abuse)
duraki (Сar Abuse)
reestr-zalogov (Pledged Car)
гибдд (Traffic Violation)
sudrf (Traffic Violation)

@tomhunter Открыть/Комментировать

2021-10-30 21:15:30 #news На орехи перепало и великовозрастным детишкам в среде офисного планктона. Chaos Ransomware шифрует устройства Windows-игроков с помощью альтернативных Minecraft-ов, продвигаемых на игровых форумах.

При шифровании жертв Chaos добавляет четыре случайных символа или цифры в качестве расширения к зашифрованным файлам. Он также оставляет записку под названием «ReadMe.txt», в которой требует 2000 иен (~17,56 доллара США) в качестве выкупа.

@tomhunter Открыть/Комментировать

2021-10-30 13:39:14 #news В маркетинговом WordPress-плагине OptinMonster, который используется для создания форм подписки, обнаружили критическую уязвимость. Плагин очень популярный — он установлен на более чем 1 миллионе сайтов.

Всё дело в не лучшим образом реализованных эндпоинтах API. Особенно проблемен /wp-json/omapp/v1/support: через него можно вытянуть кучу данных, включая ключи API. Получив ключи, злоумышленник может внедрить на сайт произвольный JavaScript-код, изменить настройки плагина, поставить зловредные редиректы и сделать много прочих неприятных вещей. Аутентификации тоже никакой не нужно — её очень просто обойти. Технические подробности есть в отчете WordFencе.

Исследовательница, заметившая уязвимость, посоветовала плагину полностью переработать API. Разработчики, к счастью, придерживаются того же мнения, поэтому займутся этим в ближайшие недели. А сейчас стоит обновить плагин до безопасной версии и сгенерировать новые API-ключи — на всякий случай.

@tomhunter Открыть/Комментировать

2021-10-29 18:24:28 #news Европол объявил об аресте 12 человек, которые, как считается, были связаны с атаками программ-вымогателей против 1800 жертв в 71 стране. Злоумышленники использовали штаммы вымогателей, такие как LockerGoga, MegaCortex и Dharma, а также вредоносные программы, такие как Trickbot, и инструменты для постэксплуатации, такие как Cobalt Strike. Аресты произошли в Украине и Швейцарии 26 октября 2021 года, и в результате одновременных рейдов полиция изъяла пять роскошных автомобилей, электронные устройства и 52 тысячи долларов наличными.





@tomhunter Открыть/Комментировать

2021-10-29 10:55:25 #OSINT #Security Сегодня изучим общедоступные источники, предназначенные для анализа иностранных контрагентов. Полезно для служб безопасности, да и юристам пригодится. Поехали...

├inttax (World Tax)
├opencorporates (Service)
├kompany (Service)
├bvdinfo (Service)
├dnb (Service)
├offshoreleaks (Offshore DB)
├occrp (Offshore DB)
├youcontrol (Ukraine)
├kartoteka (Belarus)
├legat (Belarus)
├contragento (Belarus)
└kompra (Kazakhstan)

З.Ы. О проверке и мониторинге российских контрагентов читайте в моих прошлых постах.

@tomhunter Открыть/Комментировать

2021-10-29 09:58:32 #news В августе корпорация Майкрософт выпустила обновление безопасности для CVE-2021-34484 - «уязвимости службы профилей пользователей Windows, связанной с повышением привилегий». Однако обновление оказалось недостаточным и легко обходилось исследователями.

Хорошая новость заключается в том, что эксплойт требует, чтобы злоумышленник знал имя и пароль другого пользователя, чтобы активировать уязвимость, поэтому он, скорее всего, не будет широко использоваться в атаках.

@tomhunter Открыть/Комментировать

2021-10-28 20:49:46 #news Немецкие следователи опознали члена банды вымогателей REvil. Вероятнее всего, речь идет об Unknown. Известно, что идентифицировать киберпреступника смогли при помощи анализа и сопоставления транзакций криптовалюты, полученной от деятельности вымогателя, а также контактным данным. Имя преступника, разумеется, не "Николай К." - этот псевдоним специально сообщался СМИ, чтобы не афишировать реальную личность злоумышленника. Профиль "Николая" в соцсетях закрыт, но можно прочитать его статус: In Crypto we trust. В ходе расследования также была подтверждена тесная связь между REvil и GandCrab, о которой неоднократно говорили частные расследователи и журналисты.

@tomhunter Открыть/Комментировать

2021-10-28 17:05:31 #news Прямо беда какая-то с npm в последнее время. У библиотеки noblox.js обнаружились два зловредных фейка: noblox.js-proxy и noblox.js-proxies. Сначала разработчик опубликовал «здоровый» пакет, а затем уже обновил его вирусом: добавил .bat-скрипт, который скачивает с Discord CDN малварь. Малварь отключает антивирусы, ворует данные из браузеров и даже догружает бинарники-вымогатели.

К счастью, библиотеки быстро заметили и прикрыли, но свои несколько сотен загрузок фейки получить успели.

Недавно я публиковал исследование о Discord CDN, рассказывающее, почему его так любят использовать для хостинга всякие зловреды.

@tomhunter Открыть/Комментировать

2021-10-28 12:30:43 #news С начала октября в интернете было зарегистрировано 294 доменных имени, использующих наименование, схожее с официальным доменом портала Госуслуг (прим. уже больше). Для чего используются подобные домены?

Распространение фишинговых рассылок от лица портала Госуслуг. Пример одной из таких рассылок в ВирусТотале прилагаю. Оцените уровень вредоносности.

Подделка ПЦР-тестов и сертификатов о вакцинации. Примеры таких фейковых тестов, имитирующих официальные лаборатории Гемотест, Инвитро и Архимед.

Не исключается также, что при продаже фейковых сертификатов, на устройство покупателя может скачиваться вредоносное программное обеспечение.

@tomhunter Открыть/Комментировать