Без регистрации и СМС

Полгода жители и гости Астрахани могли смотреть порно, не отходя от исторических зданий города. Еще осенью кто-то обнаружил, что QR-коды на табличках с информацией о памятниках архитектуры ведут на порносайт. Эту историю обсуждал весь город, о ней писали местные СМИ, но таблички провисели аж до середины марта.

И.о. министра культуры и туризма Астраханской области Галина Зотеева считает произошедшее дерзкой хакерской атакой.

Лысый из BRAZZERS отрицает свою причастность к произошедшему.
@In4security

Астраханские власти еще осенью заявляли, что ссылки на порно заблокированы, но вот вам фото 2012 года. Сканируем QR-код и... попадаем на сайт qirme.org с весьма специфичным контентом.
Но как такое могло случиться? Все просто. Qirme - стартап бизнес-инкубатора МГИМО. Это мобильный гид по городам мира, развивающийся за счет франшизы. Но что-то пошло не так и 19 июня 2018 года некто перекупил освободившийся домен, после чего разместил на нем порносайт.

Вот и вся кибератака! К слову, Qirme делал путеводитель не только для Астрахани. Интересно, в каких еще городах найдутся такие QR-коды?
@In4Security

Несекретные агенты 2, или возвращение Кацкова!

Все вы помните новость об адвокате, чей номер записан в Numbuster, как «Педофил Кацков» и «Педо Тема» (https://t.me/in4security/143). Думали, на этом все закончится? Ловите продолжение. Кстати, упомянутый нами адвокат закрыл свой номер в Numbuster, но, как вы понимаете, это просто совпадение.

А теперь бомба: в 2013 году Виталий Кацков защищал в суде… участников созданного Максимом Марцинкевичем, известным как Тесак, движения «Оккупай-педофиляй»! Да, тех самых, словивших хайп на видосиках с унижениями педофилов в Youtube. В распоряжении нашего канала оказался нотариально заверенный скриншот (пруф прилагаем), на котором участники краснодарской ячейки движения благодарят адвоката за помощь и надеются на светлое будущее. Зря надеются, всего спустя год движение благополучно разогнали, а активистов посадили.

Мы никого не обвиняем, пусть этим занимаются правоохранительные органы, но согласитесь, отличная пища для размышлений, не правда ли? Адвокат, бывший сотрудник прокуратуры и СК, защищает в суде радикальных антипедофилов. Защищает вроде бы успешно, но их все равно в итоге сажают, а имя адвоката спустя 6 лет всплывает в скандальной педо-истории…

Быть может участники этой истории руководствовались принципом «держи друзей близко, а врагов еще ближе». Но вот только кто в этой истории друг, а кто просто неразборчив в сношениях?
@In4security

Во имя всеобщего блага.
Из Австралии периодически прилетают любопытные новости. То там принимают закон, по сравнению с которым пакет Яровой кажется детским лепетом, а теперь, вот, Управление радиотехнической обороны, в состав которого входит Австралийский центр кибербезопасности, заявляет о том, что оно на протяжении многих лет занимается выявлением уязвимостей.

Казалось бы, что в этом такого? Уязвимости сейчас только ленивый не ищет. К тому же представители управления гордо заявляют: «Когда мы выявляем уязвимость, мы немедленно сообщаем о ней вендору!»

Но все самое интересное как обычно написано мелким шрифтом. Да, Управление сообщает об уязвимости вендору, но только в том случае, если эта уязвимость не представляет интереса для разведки. В противном случае её существование сохраняется в тайне, и она бережно эксплуатируется во имя безопасности австралийского народа.

Остается лишь порадоваться за профессиональных багхантеров, правительство Австралии, оставляет им возможность заработать себе на хлеб.
@In4security

Кто из вас без греха, пусть первый снимет наклейку с веб-камеры.

Слышали про Sextortion? Это шантаж на сексуальной почве. За последние 10 лет он эволюционировал от «приходи в мой видеочатик, пошалим» до «я взломал ваш компьютер и видел, чем вы занимались прошлым вечером».

За годы своего существования схема максимально упростилась. Если изначально реальные девушки разводили жертв в скайпе (гуглите интерполовскую операцию Strikeback), то теперь все ограничиваются рассылкой спама.

В прошлом году прошла целая волна адресных рассылок: злоумышленники брали пароли из баз утечек и вставляли их в письма в качестве подтверждения того, что они действительно взломали компьютер жертвы.

Естественно, никто ничего не взламывал – это чистый блеф. Но работает. Достаточно намекнуть человеку на то, что он занимался какими-то непотребствами перед монитором, а дальше он уже сам все додумает.

Британская фирма Digital Shadows проанализировала поступления на кошельки, указанные в нескольких спам-рассылках, и обнаружила, что за год злоумышленники получили более 300 тысяч долларов. Средняя сумма, которую перечисляла жертва, составила примерно 540 долларов.

Как видите, эволюция иногда идет по пути упрощения.
@In4security

Волки и овцы.
Помните старую притчу о мальчике-пастухе, который кричал: «Волки!», будоража всю деревню? Когда волки действительно пришли, уставшие жители решили, что это очередная шутка и не пришли ему на помощь.

Похоже кто-то решил подшутить подобным образом над жителями двух техасских городков. На прошлой неделе в половине третьего утра неизвестные взломали систему предупреждения о Торнадо, запустив 30 уличных сирен. Чтобы вы понимали, сирены воют с такой силой, чтобы наверняка разбудить людей, спящих в своих домах, так что жителям мало не показалось.

Рев продолжался до 4 часов утра и прекратился лишь после того, как специальные службы отключили систему предупреждения.

Что характерно, подобные атаки уже случались ранее. В апреле 2017 года были взломаны 156 сирен в Далласе, где почти полтора миллиона человек провели бессонную ночь (после этого инцидента власти внедрили систему шифрования сигнала). А в январе 2018 года жители Гавайев были вынуждены спешно скрываться в бомбоубежищах из-за срабатывания предупреждения о ракетном нападении.

Остается надеяться, что такие шутники не доберутся до систем управления оружием массового уничтожения.
@In4security

Открытый код не терпит суеты.
Согласно статистике, большую часть сайтов взламывают благодаря уязвимостям. Причем эти уязвимости могут присутствовать в самых неожиданных компонентах.

На этой неделе исследователь с ником Polict описал способ атаки на ресурс с использованием популярной библиотеки TCPDF, позволяющей “на лету” генерировать PDF-файлы. В результате атаки злоумышленник получает возможность удаленного выполнения кода на скомпрометированном ресурсе.

Примечательно то, что уязвимость зарепортили еще в августе 2018 года, но лишь сейчас вышла долгожданная исправленная версия TCPDF.
Это еще раз доказывает, что процесс исправления ошибок в open source-проектах не особо отличается от историй вокруг проприетарного софта.

К тому же, практика показывает, что для предотвращения взломов недостаточно одного лишь выпуска новой версии, ведь сайты, использующие необновленную библиотеку будут существовать в сети еще долгие годы.
@In4security

Новый взгляд на конфиденциальность.

Пароли сотен миллионов пользователей Facebook и Instagram на протяжении нескольких лет хранились в компании в виде открытого текста и были доступны сотрудникам компании.

Когда думаешь, что Facebook уже ничем не может удивить, появляется вот такая новость. Впрочем, в компании Цукерберга не считают произошедшее чем-то из ряда вон выходящим. Мол, доказательств компрометации нет, а все остальное – инсинуации! Facebook планирует просто уведомить о данном факте пользователей, чьи пароли хранились подобным образом, полагая, что тем самым инцидент будет исчерпан.

Ну а нам остается менять пароли и радоваться, что Facebook не хранил их в Дропбоксе или другом облачном файлообменнике.
@In4security

The Good the Bad and the Ugly

Слово bank остается весьма популярным у тех, кто регистрирует домены, каждую неделю стабильно появляется несколько тысяч подобных имен.

Лидер на этой неделе не менялся, им остается "Сбербанк" с несколькими сотнями доменных имен. Большая часть из них так или иначе связана с несуществующими бонусами и опросами, причем встречаются вполне любопытные варианты.

Возьмем, например, сайт sberbank.world, при попытке зайти на ресурс нас переадресовывает на http://dfbrtb566.site, где располагается классический мошеннический сайт, предлагающий до 3000 евро за ответы на вопросы. Все бы ничего, но на сайте нет ни одного упоминания "Сбербанка", зато написано, что опрос проводится компанией Control Service совместно с международной акцией почтовых сервисов. Неужели это вообще работает? Кстати, на сайте висит медаль с гордой надписью "Лучшая акция 2019 года".
Но есть и более интересные домены. Обратим внимание на зарегистрированный на этой неделе autovazbank.ru. Заголовок гласит: "Автовазбанк - официальный сайт", в футере же написано мелким шрифтом, что это "не официальный информационный сайт" (орфография оригинала сохранена). Но самое любопытное не это, а то, что АО «Автовазбанк» прекратило свое существование 7 марта этого года, став частью банка "Траст".

И о мировых трендах. Испаноязычная аудитория наверняка оценит появление доменов:
mundialbank2014.net
mundialbank2015.net
mundialbank2016.net
mundialbank2017.net
mundialbank2018.net
mundialbank2019.net

Интересно, почему отсчет ведется с 2014 года?
Также в сети были зарегистрированы недвусмысленные dropbank.sale и dumpbank.sale, думаем, не стоит объяснять, что такое дропы и дампы.

Кроме того, некто, уставший от банков, зарегистрировал доменные имена nobankplease.net и nobanksplease.net. Ну и апофеозом стало появление доменного имени badbankofindia.com
Видимо, и вправду неважный банк...
@In4security

Нечего скрывать.
Госучреждения в разных странах порой допускают совсем уж глупые случаи утечки информации. В России в последние дни не повезло пациентам: в Ростовской области просто выбросили на помойку карточки с их персональными данными, а в Липецкой пошли дальше и разместили данные пациентов (с диагнозами) на сайте госзакупок. Кстати, на портале госзакупок уже не первый раз по ошибке выкладывают нечто подобное.

Но нам трудно поспорить с заокеанской державой, ведь США умеют продемонстрировать всему миру свое желание быть первыми во всем. Даже в утечках персональных данных. Недавно выяснилось, что Федеральное агентство по управлению в чрезвычайных ситуациях случайно передало некоему подрядчику сведения о двух с половиной миллионах граждан, пострадавших от природных катаклизмов (включая и данные об их финансовом положении).

Иногда пословица о том, что беда не приходит одна, бывает вполне справедлива.
@In4security

Незапланированное обновление.

Вот живете вы спокойно, придумываете сложные пароли, пользуетесь антивирусами, файерволами, переходите только по безопасным ссылкам. Думаете, что вам ничего не угрожает? А вот и нет, если производитель вашего софта или железа не поступает так же.

На днях вскрылась схема со взломом сервера компании ASUS, в результате которого пользователи получили в место обновления софта троян-бекдор. ASUS стоически отреагировал на случившееся, сообщив лишь о том, что проблема решена. Но если она решена у ASUS, это еще не значит, что она решена у их клиентов.

По имеющимся сведениям, троян вместо апдейта предположительно получило более миллиона пользователей ASUS. Но на данный момент выявлено всего порядка 600 MAC-адресов устройств, засветившихся в связи с данным незапланированным обновлением. Что интересно, часть из этих MAC-адресов не принадлежит продукции ASUS, так что кто прав, а кто виноват, еще предстоит узнать.

Что мы имеем в итоге? ASUS молчит и не отвечает на запросы журналистов. Точное число жертв до сих пор достоверно неизвестно. Интересно, как такой колоссальный удар скажется на репутации компании? Хотя в наш век утечек людей уже сложно чем-то удивить.
@In4security

Трудности перевода.

Сегодня на ряде зарубежных сайтов появилась новость о том, что украинский хакер заразил свой собственный сайт трояном-шифровальщиком. Если прочитать чуть дальше заголовка, становится понятно, что он не заражал свой сайт, а использовал администрируемые им ресурсы для распространения шифровальщика. Журналисты награждают этот троян эпитетом «wannacry-подобный» и пишут, что в подготовке материала им помогали Google.Translate и русскоязычный коллега по имени Олег.

В статье приводится даже число потерпевших – более миллиона в месяц. И вот эта цифра сразу настораживает – 1 миллион зашифрованных компьютеров в месяц – это эпидемия куда похлеще WannaCry, почему же о ней еще не раструбили на весь мир?

Видимо потому, что русскоговорящий Олег и Google не справились со своей задачей, ведь в исходном материале на украинском языке на сайте киберполиции Украины говорится не о трояне-шифровальщике, а о скрипте для майнинга криптовалюты, который злоумышленник размещал на управляемых им сайтах.

Вся эта история напоминает фильм «День радио», в котором баркас, перевозивший цирк-шапито, превратился в огромный плавучий зоопарк с редкими видами животных.
@In4security

Во Франции задержали банду топливных хакеров.

По ночам они подъезжали к небольшим заправкам, подключали к ним сервисный пульт и перекачивали топливо в свои баки. Похищенный бензин злоумышленники продавали, размещая объявления на форумах.

Таким образом им удалось украсть 120 тысяч литров топлива, заработав на этом порядка 150 тысяч евро.

Причина успеха злоумышленников крылась в том, что многие владельцы заправок не удосужились поменять пароли доступа к контроллерам управления насосом, оставив дефолтное значение 0000.

Как видите, безопасность АСУ ТП иногда не сильно отличается от вебкамер...
@In4security

Мечтают ли андроиды о доменных именах?
Что там у нас творится с доменами?
В целом, все как обычно. На первом месте уверенно идет Сбербанк с примерно тремя десятками доменных имен. Что характерно, доменные имена других банков из первой десятки рейтинга на этой неделе практически не попадаются. Даже удивительно. Зато в сбербанковских доменах есть любопытный улов.

Вот, например, сайт: http://sberbank-on.site/ - классический опрос-развод, который переадресовывает нас на ресурс https://pools2019.inf. Заметьте, мошенники освоили HTTPS и сертификаты от Let’s Encrypt. Как обычно бывает, благой в общем-то идеей стали активно пользоваться всякие проходимцы, и сейчас нужно с крайней осторожностью относиться к сертификатам, выданным Let’s Encrypt.

Из любопытного: кто-то зарегистрировал 39 доменных имен, содержащих слова Cypher bank. Ради чего все это было сделано, пока не понятно, посмотрим через пару недель, вдруг эти домены начнут использоваться?

Еще можно отметить некого любителя двоичной системы исчисления, зарегистрировавшего имена от best00001bank.site до best11111bank.site, использовав практически все комбинации нолей и единиц. Кто знает, может это скучающий электронный мозг?

Но пятница это точно не повод скучать, не правда ли?
@in4security

Первое апреля, никому не верь.
Как словить хайп на новости, интересной, по сути, только кругу профессионалов? Просто подменить понятия и придумать красивый заголовок.

Сегодня в одном уважаемом издании вышла статья о том, что персональные данные покупателей утекают на сторону. Виной всему перепрограммированные кассовые аппараты, отсылающие фискальные данные третьим лицам. Только вот фискальные данные не содержат ПД покупателей, в них присутствует максимум их email или телефон (в случае покупки через интернет), зато они содержат ПД продавца.

Эти сведения могут быть использованы в интересах конкурентной разведки, например, для оценки оборота торговой точки и т.д. Но людей не особо волнуют проблемы ритейлеров, а вот безопасность их собственных персональных данных их очень даже беспокоит. Так вот изящно авторы статьи подменили одно понятие другим.

Понятное дело, современные аналитические инструменты позволяют отслеживать в том числе и поведение покупателей, чем нередко промышляют сами операторы фискальных данных. Только вот утечками ФД из пары магазинов тут точно не обойтись, нужен комплексный анализ Big Data.

Хотя, конечно, факты, изложенные в статье, дают повод задуматься. Ведь речь идет как минимум о нарушении правил обработки фискальных данных, которые должны передаваться на сервер ОФД в зашифрованном виде. Но, как понимаете, хайп на этом не словишь.
@In4security

Британские хакеры сродни британским ученым.
В 2016 году 16-летний британец Элиотт Гантон взломал сервис TalkTalk. К тому же на его компьютере обнаружили детское порно. Его осудили и поместили под наблюдение. Согласно условиям программы предупреждения преступлений на сексуальной почве офицеры полиции периодически мониторили его компьютерную активность и проверяли содержимое ноутбука.

На протяжении двух лет Эллиот послушно предъявлял свой ноут стражам порядка. В ходе одного из таких визитов они обнаружили, что тот посещал хакерские форумы, но не придали этому особого значения. Полицейские не использовали никакого специального софта, а об их визитах Эллиоту было известно заранее, так что контроль носил формальный характер.

И даже в таких условиях Эллиот умудрился попасться. Во-первых, в один из визитов полицейские обнаружили у него на компьютере CCleaner. «Ну нет, этому парню нечего скрывать!» - подумали они, но осадочек остался. Во-вторых, копы стали замечать, что юноша как-то слишком хорошо живет, но при этом нигде не работает. Его мама сказала, что он целыми днями сидит у себя в комнате, сам же он пояснил, что играет на бирже и в течение трех лет станет миллионером.

В общем, полицейские решили на всякий случай исследовать его ноутбук в лаборатории, после чего вернулись к нему с обыском. На кухне обнаружился сейф, а в нем новый айфон, Rolex за 10000 фунтов и токен для доступа к криптокошельку, в котором обнаружилось более 100 тысяч долларов.

Теперь парня обвиняют сразу в нескольких преступлениях, включая отмывание денег. Так что через три года он вряд ли станет миллионером. Да и вообще, сколько лет… это теперь суд решит.
@In4security

Униженные и оскорбленные.
Нередко для того, чтобы подпортить кому-то жизнь, достаточно разместить телефон жертвы на каком-нибудь сайте бесплатных объявлений или нетрадиционных знакомств. В случае с публичными людьми все еще проще. Достаточно просто выложить их приватный телефон в общий доступ. Это сейчас и происходит на Украине.

Началось все с того, что журналистка принадлежащего Коломойскому канала «1+1» Ольга Василевская в эфире новостей обнародовала номер мобильного телефона Олега Ляшко, после чего тому посыпались тысячи звонков и СМС.

Ляшко обиделся и в ответ разместил в Фейсбуке телефоны Игоря Коломойского, Владимира Зеленского и главреда канала «1+1» Александра Ткаченко. Обиделись ли они – не знаем, но вот сама Василевская обиделась за то, что в своем сообщении Ляшко назвал ее идиоткой.

Теперь она грозится слить нецензурную переписку Ляшко с влюбленным в него однопартийцем, которая якобы хранится у нее уже 2 месяца. Ляшко уже оказывался в центре гей-скандала, поэтому сам факт переписки никого особо не удивил. Но согласитесь, интересно же, откуда она оказалась у Василевской, ведь статью 182 (Нарушение неприкосновенности частной жизни) Уголовного кодекса Украины пока вроде бы никто не отменял. Хотя кого волнуют такие мелочи?

Впрочем, если дело дойдет до публикации, можно будет попробовать докопаться и до источника утечки.
@In4security

Сегодня полиция Латвии отчиталась о задержании двух граждан, подозреваемых в изготовлении фальшивых паспортов и других документов. По информации полиции, злоумышленники успели продать в даркнете не менее 300 документов, отправляя их как в страны Евросоюза, так и за его пределы, например, в Израиль и Марокко.

В даркнете действительно можно найти немало подобных объявлений. Но если вы просто введете в поиске fake passport, то вы скорее всего наткнетесь на объявления «художников», делающих на заказ скриншоты с левыми документами. Эта услуга дешева и крайне востребована, например, для анонимной регистрации в платежных системах и других сервисах, требующих подтверждения личности. Впрочем, реальные поддельные документы тоже продают, и тоже недорого. См. скриншот.

Правда любая более-менее серьезная проверка полиции сразу выявит такую подделку. А вот настоящие паспорта или их качественные дубликаты, бьющиеся по всем базам, продают уже совсем за другие деньги.
@In4security

Зачем красть персональные данные, если они и так лежат под ногами?

Можно бесконечно смотреть на горящий огонь, текущую воду и… писать об утечках. Мы пишем о них примерно раз в неделю, но поверьте, масштабные утечки случаются буквально каждый день.

Насколько масштабные? Вот, например, в Китае за первые 3 месяца в открытый доступ попало 590 миллионов резюме, содержащих персональные данные соискателей. Не все сразу, конечно, а постепенно, партиями по десятку-другому миллионов.

Причина банальна: хэдхантинговые фирмы забывали правильно настроить права доступа к базам данных, в результате чего те оказывались в свободном доступе.

Самая крупная утекшая база содержала сведения о 129 миллионах граждан КНР (для сравнения: население России – примерно 147 миллионов человек).

Впрочем, новость об утечке из КНР прошла практически незамеченной на фоне информации о том, что благодаря беспечности двух разработчиков мобильных приложений данные 540 миллионов пользователей Facebook хранились в облаке в открытом виде.

И запомните слова пророчества: Facebook нас еще неоднократно удивит.
@In4security