Microsoft предупреждают, что наблюдают многочисленные фишинговые кампании, в ходе которых злоумышленники используют поддельные страницы логина Azure AD.

Azure AD - облачное решение для управления единой точкой доступа (SSO), используемое, как правило, корпоративными клиентами. Новая страница логина была анонсирована в феврале и начала использоваться в апреле. Учитывая это можно говорить о достаточно оперативной реакции хакеров на изменения ПО, которое они пытаются подделать.

Если кто-то использует Azure AD - предупредите пользователей. чтобы были аккуратны.

​​Elexon, британская электросетевая компания, подтвердила, что подверглась кибератаке, которая затронула ее IT-системы.

Elexon является оператором Кода баланса и расчетов (BSC Central System), который отвечает за распределение энергии в британских электросетях.

Атака затронула внутреннюю сеть оператора, включая почтовый сервер и часть компьютеров сотрудников. Технологическая часть сети Elexon осталась в целости, системы, управляющие транзитом электроэнергии, не пострадали.

Компания не раскрывает подробностей атаки, но эксперты полагают, что это была ransomware. Ранее инфосек фирма Bad Packets отмечала, что Elexon использует устаревшую версию Pulse Secure в качестве корпоративного VPN, которая могла послужить точкой компрометации ее сети.

Этот инцидент еще раз напоминает о важности грамотного сегментирования сетей в компаниях критической инфраструктуры, без которого Великобритания вполне могла словить блэкаут. Ну и конечно, о необходимости своевременного апдейта имеющегося ПО.

И еще одна кибератака на промышленного гиганта.

Австралийский металлургический концерн BlueScope официально заявил, что его ресурсы пострадали от кибератаки, которая изначально была направлена на один из заводов в США.

В результате инцидента на некоторых предприятиях концерна, в том числе в Австралии и США, были нарушены производственные(!) и логистические процессы. В итоге часть производства была приостановлена, отправка же стали осуществляется в ручном режиме.

BlueScope имеет более 16 тыс. сотрудников, которые работают на предприятиях в Австралии, Северной Америке, Азии и Новой Зеландии. Доход концерна в 2016 году составил почти 6 млрд. долларов.

Это, в отличие от кейса с Elexon, наглядный пример того, что бывает когда наряду с брешами в информационной безопасности ответственные подразделения не могут качественно сегментировать сеть и защитить ее технологический сегмент.

Мы, конечно, те еще металлурги. Но подозреваем, что остановка производственного процесса в металлургии чревата миллионами (если не десятками миллионов) долларов потерь. Зато на инфосеке сэкономили.

Западные эксперты обсуждают принятый Госдумой закон, разрешающий дистанционное голосование в условиях эпидемии коронавируса.

SecAtor вне политики, но мы не могли пройти мимо фразы "Putin and the blockchain will rule forever".

​​А пока мы тут плюшками балуемся на этой неделе началась интересная история, которая еще не понятно чем закончится.

12 мая хакеры взломали ресурсы нью-йоркской юридической конторы Grubman Shire Meiselas & Sacks и увели 756 Gb конфиденциальных документов ее клиентов. Основатель фирмы Аллен Грубман является самым известным адвокатом индустрии развлечений, который работает, в числе прочих, с Мадонной, Леди Гагой, Элтоном Джоном, Робертом Де Ниро и U2.

Тогда же хакеры потребовали выкуп в размере 21 миллиона долларов. Расследованием занялось ФБР. При этом федералы сообщили, что этот взлом является актом международного терроризма (?!), а с террористами они переговоры не ведут и выкуп платить не будут. Виновными во взломе назвали группу, являющуюся оператором ransomware Sodinokibi.

Однако в четверге ситуация изменилась. Хакеры заявили, что прошерстили украденный массив данных и обнаружили там "грязное белье" Президента США Трампа, поэтому сумма выкупа увеличивается в два раза - до 42 миллионов долларов.

Взломанная юридическая фирма называет виновными во взломе "иностранных киберпреступников". А также говорит, что ФБР запретили им платить выкуп, поскольку это "нарушение федерального законодательства".

Да неужели? А когда Travelex заплатили 2,3 млн. долларов попав под ту же Sodinokibi, то это нарушением законов США не было. Похоже, ФБР не против, чтобы "грязное белье" Трампа оказалось в паблике.

И еще один важный момент. Создатели Sodinokibi, которой называют группу Pinchy Spider, ранее являвшейся автором другого ransomware GandCrab, работают по схеме RaaS - Ransomware as a Service. Соответственно за атакой на Grubman, по логике вещей, может стоять кто угодно.

Как скучно мы живем...

https://twitter.com/ryancolin1/status/1261618582661849089

Как пишет ZDNet, на прошедшей неделе несколько европейских суперкомпьютеров были взломаны и заражены вредоносами для майнинга криптовалюты.

В понедельник о взломе суперкомпьютера ARCHER заявил Эдинбургский университет. В тот же день немецкая организация BwHPC сообщила о том, что пять суперкомьютеров в немецких университетах закрываются из-за "инцидентов безопасности".

В среду стало известно о закрытии суперкомпьютера в Барселоне. В четверг были отключены еще 4 суперкомпьютера в Германии. В субботу - по одному в Германии и Швейцарии.

Также вчера стало известно, что взлом суперкомпьютеров был осуществлен с помощью компрометации учеток SSH университетов в Канаде, Китае и Польше, которым был открыт легальный доступ. После взлома хакеры развернули на суперкомпьютерах ПО для майнинга криптовалюты Monero.

Масштаб внушает. Воровать, как известно, - так миллион.

​​Когда мы писали несколько дней назад о возросшей активности индийских хакерских групп, направленной на Пакистан, то сделали предположение, что намечается обострение противостояния Пакистана и Индии.

Похоже оказались правы - https://twitter.com/kashmirosint/status/1262170513364922370

По данным Infosecurity Magazine, румынские полицейские задержали группу хакеров Pentaguard, специализировавшуюся на распространении ransomware.

Как сообщило Румынское управление по расследованию организованной преступности и терроризма (DIICOT), группа, состоящая из трех граждан Румынии и одного молдаванина, была сформирована в начале года. В ближайшее время хакеры планировали зарансомить ряд медицинских учреждений, используя в качестве приманки документы про COVID-19.

По местам жительства подозреваемых были проведены обыски, а сами они, как мы полагаем, посажены на кичу. И поделом.

ZDNet пишет, что ФБР выпустило предупреждение о новом ransomware ProLock, под которое уже попал один из крупнейших производителей банкоматов Diebold Nixdorf.

Ранее на прошлой неделе о ProLock сообщила Group IB.

Рансомварь доставляется в скомпрометированную систему с помощью трояна Qbot. Впервые ProLock был зафиксирован в марту 2020 года.

Но интересно в ProLock следующее - как говорит ФБР, ransomware написано с ошибками, в силу чего при расшифровке может испортить зашифрованные файлы размером больше 64Мб. Сдается нам, платить операторам ProLock будут неохотно.

Однако самым интересным приемом, от которого в осадок выпали все инфосек эксперты, стала возможность вредоносов Equation по перепрошивке жестких дисков. Malware меняла стоковую прошивку и выделяла для своих нужд скрытую часть диска, где могла хранить себя и краденные данные (помечала как битые сектора). Таким образом, вредонос не только создавал скрытое надежное хранилище, но самое главное – его практически невозможно было убрать с зараженного HDD. Только физическим удалением диска или его перепрошивкой. Ни переустановка операционной системы, ни форматирование жесткого диска не помогали.

Одна из поздних версий GrayFish, например, могла перепрошивать жесткие диски 12 брендов, среди которых – Western Digital, Samsung, Seagate, Maxtor и другие. Но самый сок в том, что вредоносы в ряде случаев для перепрошивки использовали множество недокументированных команд, о которых знали только производители. И снова две версии имеют право на жизнь – либо АНБ получали данные от производителей, пользуясь административными рычагами, либо Equation совершали глубокие проникновения в сети вендоров, добывая конфиденциальную информацию из скомпрометированных систем.

Активность Equation также впечатляла – Касперские говорили о 2000 целевых заражениях в месяц, кибероперации были направлены против ресурсов более чем 30 стран. В инфраструктуру хакеров входило более чем 300 доменов на более чем 100 серверах.

Отдельный интерес вызвало присутствие признаков того, что Equation была способна атаковать не только системы под управлением Windows. В частности, хакеры взламывали компьютеры с Mac OS X (ныне macOS), а также iPhone. И никакие GreyKey не нужны.

Сразу после доклада Лаборатории Касперского в инфосек сообществе начались попытки установить принадлежность Equation, тем более что сама ЛК никакого мнения по сему поводу не высказала.

Тем не менее, часть данных достаточно достоверно указывала на АНБ:
- кейлоггер Grok, принадлежащий Equation, упоминался Сноуденом в своем сливе;
- найденное в коде Equation название StraitShooter также коррелирует с данными Сноудена, документы которого содержали информацию о вредоносе StraitBizarre, который «может превращаться в «shooter».

Был еще ряд признаков, указывающих на связь между Equation и АНБ, в первую очередь, касающихся сходств вредоносов этой группы с кибершпионским ПО Stuxnet, DuQu, Flame и Gauss, использовавшихся в кибероперациях, приписываемых спецслужбам США и их союзников.

Также Виртуальная файловая система, которая эксплуатировалась Equation в более продвинутом виде, использовалась во вредоносе Regin. А Regin, детище разведсообщества FiveEyes, активно применяется в операциях кибершпионажа аж с 2003 года. И да, если вы этого не знаете, именно с помощью Regin в конце 2018 года распотрошили внутреннюю сеть Яндекса – типичная атака на цепочку поставок с целью внедрения своих бэкдоров в стороннее ПО.

Но, все же, однозначный вывод сделать было сложно. Сноуден сказать точно ничего не мог, поскольку был аналитиком и имел доступ только к верхнеуровневым документам, не содержащим технические подробности.

#APT #Equation

Однако, спустя полтора года инфосек сообщество получило подтверждение принадлежности Equation АНБ и это подтверждение вышло очень громким.

13 августа 2016 года в только что зарегистрированной учетке Твиттера shadowbrokers появилось несколько записей, в которых объявлялось о начале аукциона по продаже кибероружия группы Equation, а также приводились ссылки на GitHub и Pastebin, где содержалось обращение хакерской группы Shadow Brokers и примеры украденных данных. В обращении хакеры утверждали, что Equation являются авторами таких вредоносов как Stuxnet, Duqu и Flame.

В течение пяти сливов с августа 2016 по 14 апреля 2017 Shadow Brokers выкинули в паблик большое количество данных об Equation, самыми разрушительными из которых стала информация последнего слива, который хакеры назвали Lost In Translation и который содержал ряд эксплойтов неизвестных до момента вброса уязвимостей.

Спустя месяц, 12 мая 2017 года, весь мир накрыла волна ransomware WannaCry, использующего принадлежащие Equation эксплойт EternalBlue и бэкдор DoublePulsar, содержавшиеся в Lost In Translation (автором WannaCry считается северокорейская APT Lazarus). По всему миру было заражено более 150 тыс. хостов, а ущерб от атаки оценивается в сумму до 4 млрд. долларов.

Интересно, что Microsoft объявили о закрытии уязвимости, эксплуатируемой EternalBlue, на месяц раньше слива Shadow Brockers (как будто заранее что-то знали), но многие забили на своевременный апдейт своих операционных систем.

Но еще более интересно то, что данные АНБ, похоже, утекли к Shadow Brokers еще в 2013 году. То есть более 4 лет существовал ряд неизвестных инфосек индустрии уязвимостей, которые активно использовали Equation. И опять же, может быть два варианта – либо хакеры АНБ настолько гениальны, что скопом находят дырки, которые годами не могут найти другие эксперты, либо эти уязвимости закладываются в ПО на стадии разработки. И почему-то нам кажется более вероятным второе.

И, как вишенка на торте, приблизительно тогда же, в марте 2017 года произошла утечка данных Vault 7, организованная WikiLeaks, в которой содержались сведения про другую американскую хакерскую группу Longhorn aka Lambert, курируемую ЦРУ. И в числе прочего в слитых документах было найдено онлайн-обсуждение, организованное хакерами ЦРУ через два дня после доклада Лаборатории Касперского на SAS, в котором американцы рассуждали о том, что АНБ сделала неправильно и как ЦРУ избежать подобного раскрытия своей хакерской деятельности. После этого стало окончательно ясно, что Equation – это Управление по организации спецдоступа АНБ (ТАО NSA).

После своего громкого разоблачения Equation ушли в тину. Нет, они не перестали работать, но поменяли свои методики и инструменты, так что четких следов их операций на данный момент нет.

Итак, резюмируем. APT Equation – это подразделение (либо его большая часть) АНБ, которое сейчас переименовалось и называется Управление по компьютерным сетевым операциям (CNO). Хакерская группа функционирует, как минимум, с начала 2000-х, а скорее – с середины 90-х годов. Использует в своей деятельности большое количество аппаратных и программных уязвимостей, часть из которых, как мы полагаем, закладывается при участии АНБ на стадии проектирования. Проводит не только взломы в интересах АНБ, но и сбор разведывательных данных о работе других хакерских групп. И делится своими инструментами и наработками с союзными хакерами из стран Five Eyes и Израиля.

И, напоследок, интересное наблюдение – в своих последних наездах на Huawei американцы продемонстрировали знание некоторых технических подробностей, которые не могли быть получены без глубокого проникновения в китайские сети. Наверняка, Equation сыграла в этом не последнюю роль.

#APT #Equation

NBC нагнетает нервозность.

По опубликованным данным, в распоряжении американских правоохранительных органов появилась возможность разблокировать iPhone подозреваемых без их взлома.

Такая возможность появилась благодаря новому модулю Hide UI программного обеспечения GrayKey американской компании GrayShift, которое предназначено для вскрытия заблокированных iPhone и распространяется исключительно среди правоохранительных органов.

Hide UI устанавливается на заблокированный смартфон, после чего перехватывает вводимый при разблокировке пароль и сохраняет его так, что он может быть получен даже если iPhone будет вновь заблокирован. Сценарий использования Hide UI простой - iPhone с предустановленным ПО передается задержанному, чтобы тот позвонил родным/адвокату/Трампу. Потом смартфон отбирается опять и полиция получает его пароль для разблокировки.

Не исключаем, что рано или поздно GrayKey может попасть и в руки отечественных спецслужб и полицейских. Поэтому если добрый следователь дает вам ваш заблокированный iPhone, чтобы позвонить родственникам, разумнее будет не делать этого. Хотя от наших следователей стоит скорее ожидать, что после разблокировки они тупо отберут смартфон.

На Украине арестовали брокера данных Sanix, которого обвиняют в причастности к торговле ворованными пользовательскими данными.

Sanix'а взяло СБУ в Ивано-Франковске, где он проживал. Злоумышленник занимался своей зловредной деятельностью, как минимум, с 2018 года. Сам украинец ничего не ломал, но собирал и перепродавал данные, полученные в ходе других взломов.

Как сообщается, Sanix был причастен к сборкам данных Collection #1, #2 и т.д., появившимся в январе 2019 года и содержавшим в общей сложности более 3,5 млрд. адресов электронной почты, паролей, номеров телефонов.

Данный арест вполне может быть связан с задержанием в начале месяца пяти польских хакеров из группы Infinity Black, также специализировавшихся на продаже данных (поляки, правда, еще и сами подламывали). В свое время Infinity Black также считали причастными к сборкам Collection.

Очередной скандальчик, связанный с нарушением приватности пользователей компанией Apple.

The Guardian сообщает, что бывший субподрядчик Apple Томас Ле Боннек, который разрабатывал ПО для прослушивания записей Siri, разослал европейским регуляторам письма о несоблюдении американской компанией прав пользователей на частную жизнь и сообщил, что решил открыть свое лицо, чтобы разоблачить Apple.

Ле Боннек перестал сотрудничать с Apple летом прошлого года "из-за этических соображений". Тогда же он дал ряд анонимных интервью, в которых утверждал, что Siri записывает все подряд и потом пересылает аудиоданные на сервера компании. Среди записей - разговоры с врачами, деловые переговоры, секс и пр. При этом все аудио сопровождаются геометкой и контактными данными пользователя.

Apple тогда принесла извинения и пообещал радикальные изменения в работе с аудиозаписями. Но Ле Боннек заявляет, что компания ничего не исправила, поэтому он решил выйти на публику.

Сейчас он говорит, что Apple записывает аудио со всех устройств - iPhone, Apple Watch и iPad, - вне активации Siri. Записывает имена, адреса, разговоры и фоновые шумы.

В заявлении в адрес европейских регуляторов Ле Боннек выразил готовность оказать полное содействие в расследовании противоправной деятельности Apple.

Кажется, шаблон об уважении частной жизни технологическими гигантами в очередной раз треснул.

РБК пишет занятное.

"Минкомсвязь предложила обязать владельцев элементов, входящих в критическую информационную инфраструктуру (КИИ), «преимущественно использовать» российский софт с 1 января 2021 года и российское оборудование — с 1 января 2022 года".

Похоже, через полтора года у нас кончится сотовая связь. Потому что телекоммуникационное оборудование в России не производят от слова совсем (ну, кроме СОРМа, естественно).

По сообщению Reuters, министерство обороны Японии расследует кибератаку, в ходе которой хакеры, возможно, похитили данные в отношении разработок новой сверхзвуковой ракеты.

Атака была проведена на ресурсы Mitsubishi Electric, которая является основным производителем вооружения для японских военных и участвовала в тендере на разработку ракеты. Компания, кстати, его не выиграла.

Mitsubishi Electric летом 2019 года уже была взломана, о чем официально сообщила в начале этого года. Тогда хакеры использовали 0-day уязвимость в антивирусном ПО Trend Micro и похитили около 200 Мб данных, среди которых была и закрытая информация.

В той атаке подозревалась китайская APT Tick, которая работает с 2006 года (по данным Symantec) и специализируется на проникновении в японские сети.

Что ни день - то новый праздник.

Издание Motherboard, журналисты которого пристально следят за судебными тяжбами между Facebook и израильской NSO Group, раскопало очередные подробности не совсем законной деятельности семитов.

В очередной раз напомним, что NSO производит ПО Pegasus, предназначенное для взлома WhatsApp, и продает его all over the world правоохранительным органам, спецслужбам и, немножечко, частным охранным компаниям. По поводу чего имеет иск от Facebook.

На этот раз Motherboard удалось получить информацию от бывшего сотрудника NSO, который на условиях анонимности передал данные в отношении инфраструктуры израильской компании, в частности IP-адрес, использовавшийся для заражения жертвы Pegasus. Оказалось, что в период в 2015-2016 годах к данному IP было привязано несколько доменов. В том числе домены, выдававшие себя за ресурс команды безопасности Facebook и сервис отслеживания посылок FedEx.

Остроты придает еще и тот факт, что этот IP-адрес принадлежит Amazon. То есть израильская NSO использовала фишинговую страницу Facebook чтобы заражать смартфоны с американского сервера.

Ребята, а вы здесь все молодцы. (с)

Symantec выявила большую киберкампанию, проводимую APT Greenbug на информационные ресурсы телекоммуникационных фирм Южной Азии.

Операция Greenbug проводилась с апреля 2019 года по апрель года текущего, но, возможно, продолжается и сейчас. В ходе серии атак хакеры пытались скомпрометировать внутренние сети телеком операторов и закрепиться в них для обеспечения постоянного присутствия, для чего использовали ряд приемов, в том числе туннелирование.

В качестве цели такого проникновения мы видим организацию постоянного доступа к конфиденциальным данным пользователей/абонентов - биллинги, геоданные, содержимое сообщений и трафика и прочее. Либо возможность обрушить телекоммуникационную инфраструктуру в нужный момент (но это уж совсем экстрим).

APT Greenbug активна с 2016 года. В 2017 году она уже работала по телеком операторам Ближнего Востока, а также атаковала государственные ресурсы, отрасли авиации, финансов и образования.

Ряд инфосек вендоров полагают, что группа является иранской хакерской прокси и связана с другой иранской группой Shamoon. Однако, в ходе своих операций в 2017 году Greenbug, в числе прочего, работала и по иранской инфраструктуре. А ее атаки, которые, как полагают некоторые, были подготовкой к действиям Shamoon, могли означать лишь выбор одних и тех же целей разными группами.

В любом случае, APT Greenbug, судя по направлению своей активности, работает на чьи-то спецслужбы.

#APT #Greenbug #Shamoon

Хакерская группа, называющие себя Хакеры Спасителя, отдефейсила сегодня более 1000 израильских сайтов, как сообщило сегодня Национальное киберуправление Израиля (NCD).

Подробностей мало, но NCD говорит, что под атаку попала "определенная операционная система", а ушерб был "незначительным".

Тем не менее, начальные страницы атакованных сайтов заменили слоганом "Обратный отсчет до уничтожения Израиля давно начался" и ссылкой на видео Тель-Авива и других израильских городов в огне.

Скорее всего, Хакеры Спасителя являются палестинской группой, такие забавы в их стиле. По видимости, ребята где-то накопали эксплойт и лучшего применения ему не нашли.