Обзор новостей информационной безопасности с 17 по 23 марта 2023 года

Андрей Жаркевич
редактор


Артемий Богданов
технический директор


Сергей Волдохин
выпускающий редактор

Киберкампании

Новая фишинговая схема с использованием легитимных серверов SharePoint используется для кражи логинов и паролей к различным почтовым аккаунтам, в том числе Yahoo!, AOL, Outlook, Office 365.

Как действуют мошенники

1. Сотруднику приходит стандартное уведомление SharePoint о том, что кто-то поделился с ним файлом.

2. Сотрудник кликает на ссылку и попадает на реальный сервер SharePoint, на котором действительно открывается заявленный файл OneNote.

3. Внутри он выглядит как еще одно извещение о файле и содержит здоровенную иконку PDF. Получатель воспринимает это как еще один шаг для скачивания данных и кликает на ссылку — а вот она уже фишинговая.

4. По ссылке открывается стандартный фишинговый сайт, имитирующий вход на OneDrive, на котором злоумышленники готовы украсть учетные данные для Yahoo!, Aol, Outlook, Office 365 или любого другого типа почтового ящика.

Особая опасность данной кампании заключается в том, что злоумышленники не просто спрятали фишинговую ссылку на сервере SharePoint, но и распространяют ее при помощи родного механизма для рассылки нотификаций. Все, что нужно сделать злоумышленникам, это получить доступ к чьему-то серверу SharePoint (при помощи аналогичной или любой другой фишинговой уловки).

После этого они могут загрузить туда свой файл со ссылкой и добавить список адресов людей, с которыми этой ссылкой следует поделиться. А дальше SharePoint сам услужливо разошлет нотификации. Причем письма с нотификациями будут иметь безупречную репутацию — ведь они придут от имени легитимного сервиса настоящей компании.

Операторы банковского трояна Mispadu проводят несколько спам-кампаний в Боливии, Чили, Мексике, Перу и Португалии и других странах, с целью кражи учетных данных и доставки другого вредоносного ПО.

Как действуют преступники

1. Цепочка атак включает в себя электронные письма, призывающие получателя открыть поддельные просроченные счета.
2. Когда жертва открывает HTML-вложение, Mispadu проверяет, что файл был открыт с настольного компьютера, а затем перенаправляет жертву на удаленный сервер для загрузки вредоносного архива.
3. Архив RAR или ZIP использует поддельные цифровые сертификаты, один из которых представляет собой вредоносное ПО Mispadu, а другой — установщик AutoIT для декодирования и запуска трояна с использованием легитимной утилиты командной строки certutil.
4. Mispadu собирает список установленных антивирусных решений, перехватывает учетные данные из Google Chrome и Microsoft Outlook и загружает дополнительные вредоносные программы, среди которых обфусцированный VBS-дроппер, предназначенный для доставки полезной нагрузки с жестко закодированного домена.
5. Доставляемая полезная нагрузка представляет из себя:

• инструмент удаленного доступа на основе .NET, который может выполнять команды, получаемые с C2-сервера;
• загрузчик, написанный на Rust, который запускает PowerShell-загрузчик для запуска файлов непосредственно из памяти.

Использование «certutil» позволил Mispadu обойти обнаружение широким спектром антивирусов и собрать более 90 000 учетных данных онлайн-банков с более 17 500 уникальных веб-сайтов.

Атаки и уязвимости

Разработана бесшумная атака, направленная на уязвимости голосовых ассистентов Apple Siri, Google Assistant, Amazon Alexa или Microsoft Cortana.

«Околоультразвуковой бесшумный троян» («Near-Ultrasound Inaudible Trojan», NUIT) наглядно демонстрирует, как хакеры могут использовать самую обычную экосистему умного дома против её владельца.

Для проведения атаки с использованием NUIT злоумышленник может использовать обычное видео, загруженное на YouTube, или даже онлайн-созвон через условный Zoom. Главное, чтобы звук выводился на колонки и воспринимался голосовым ассистентом.

В ходе атаки на динамики жертвы передаётся обычная команда для голосового ассистента, многократно ускоренная для мгновенного выполнения. Она воспроизводится в близком к ультразвуку частотном диапазоне, чтобы человеческое ухо её не зафиксировало. Таких команд может быть несколько, и наиболее эффективными они являются как раз при последовательном выполнении.

Например, «OK, Google, установи громкость мультимедиа на 0» (чтобы жертва не услышала ответов ассистента), затем «ОК, Google, выключи свет во всей квартире» или «OK, Google, открой входную дверь» и т. д.

Чтобы от подобной атаки был реальный вред, квартира потенциальной жертвы должна быть буквально напичкана умными устройствами

Инциденты

В открытом доступе появилась вторая часть дампа, полученного из мобильного приложения бонусной программы «СберСпасибо».

Структура второго «слива» совпадает с первой утечкой, опубликованной в начале марта 2023 года. В дампе содержатся номера телефонов, даты рождения, регистрации в сервисе, дата последнего входа, а также хэшированные номера карт.

По информации DLBI, новый файл содержит:

• телефоны (4,5 млн уникальных номеров);
• хешированные (SHA1 без соли) номера банковских карт (основной карты и дополнительных);
• даты рождения;
• даты создания и обновления записи (с 05 июня 2022 по 22 января 2023);

Теперь в общей сложности были обнародованы 51 977 405 уникальных номеров телефонов и 3 298 456 уникальных email-адресов.

Выборочная проверка номеров банковских карт (через переводы с карты на карту) показала, что часть карт действительны, и перевод на них возможен, а на часть карт, видимо, уже неактивны, так как перевод на них невозможен.

Журналист и ведущий Ecuavisa был ранен, после того как получил по почте USB-флешку, а она взорвалась при подключении к компьютеру. Такие же устройства были отправлены еще как минимум пяти эквадорским журналистам.

В результате взрыва USB-накопителя пострадавший журналист Ecuavisa, Ленин Артиеда (Lenin Artieda), получил травмы рук и лица, больше никто не пострадал. По данным полиции, взорвалась только половина заложенного в USB-накопитель заряда, и исход мог быть более печальным, если бы все прошло, как планировали злоумышленники.

Также сообщается, что активация взрывного устройства могла произойти от электрического заряда, который флешка получила при подключении. По словам Льерены, накопитель мог содержать гексоген, хотя это пока не подтверждено лабораторным анализом.

Организация по защите интересов прессы и свободы слова, Fundamedios, осудила это нападение и сообщила в официальном заявлении, что еще минимум трое журналистов, в том числе из TC Televisión, Teleamazonas и радио Exa FM, получили по почте такие USB-накопители и письмами с угрозами.

У медиакомпании Lionsgate произошла утечка данных.

Нарушение касается платформы потокового видео Lionsgate Play, которая оставила открытым экземпляр базы данных ElasticSearch с пользовательскими данными. Эксперты обнаружили 20 ГБ незащищенных журналов сервера (логи), которые содержали почти 30 млн. записей, самая старая из которых датирована маем 2022 года.

Записи содержали:

• IP-адреса пользователей сервиса и информация об их устройствах, операционной системе и веб-браузере;
• данные об использовании платформы, которые обычно используются для аналитики и отслеживания производительности;
• URL-адреса, содержащие заголовки и идентификаторы контента, который пользователи просматривали на платформе, а также поисковые запросы, введенные пользователями;
• неопознанные хэши с зарегистрированными HTTP GET запросами. Поскольку эти хэши были включены в HTTP-запросы, они могли использоваться в качестве секретов для аутентификации или просто идентификаторов пользователей.

Неизвестный хакер украл личные данные клиентов Ferrari и требует выкуп.

Компания объявила об инциденте на своём сайте 20 марта и отметила, что не уступит требованиям хакера:

«Согласно политике, Ferrari не будет платить выкуп, поскольку выкуп финансирует преступную деятельность и позволяет злоумышленникам увековечивать свои атаки».

Вместо уплаты выкупа Ferrari уведомила клиентов о потенциальном раскрытии данных. Компания заявила, что после получения требования выкупа Ferrari начала расследование в сотрудничестве со сторонней ведущей глобальной фирмой по кибербезопасности. Автопроизводитель заявил, что инцидент не повлиял на операции компании.

Ferrari сообщила, что раскрытая информация включает имя, адрес проживания, адрес электронной почты и номер телефона. Компания не нашла доказательств того, что финансовая информация и данные о купленных автомобилях были скомпрометированы.

В результате кибератаки на крупного поставщика услуг аутентификации для Latitude Financial произошла масштабная утечка персональных данных клиентов компании.

Инцидент вынудил Latitude Financial отключить свои сети и прекратить обслуживание клиентов, а также приостановить торговлю своими акциями. Latitude Financial до сих пор не удалось определить пострадавшего поставщика.

В ходе утечки были раскрыты учетные данные сотрудников, которые использовались для входа в систему двух других поставщиков услуг, которых Latitude использует для проверки личности. Учетные данные использовались для доступа к более 100 000 идентификационных документов от одного поставщика услуг и более 225 000 клиентских записей от другого. Учетные данные позволяют получить доступ к информации о водительских правах, паспортах и ​​картах медицинского страхования клиентов.

Latitude Financial сообщила , что атака продолжается и что она вывела сервисы компании из строя, сделав невозможным обслуживание клиентов и торговых партнеров. Компания надеется постепенно восстановить системы и свою работу в ближайшие дни.

Ведущий производитель криптовалютных банкоматов General Bytes сообщил, что хакеры похитили криптовалюту у самой компании и ее клиентов, используя 0-day уязвимость в платформе BATM.

Хакеры воспользовались уязвимостью нулевого дня, которая теперь получила идентификатор BATM-4780, для удаленной загрузки Java-приложения через главный служебный интерфейс банкомата и последующего запуска приложения с привилегиями пользователя batm.

Группа Play взломала морскую логистическую компанию Royal Dirkzwager.

Группировка объявила о краже украденных личных и конфиденциальных данных, в том числе данные сотрудников, их паспортов и контрактов. Хакеры опубликовали 5 ГБ архив в качестве доказательства взлома и пригрозили выложить полный дамп, если компания не заплатит выкуп.

Генеральный директор компании Джоан Блаас заявил, что атака программы-вымогателя не повлияла на деятельность компании. Компания уведомила Управление по защите данных Нидерландов и подтвердила, что ведет переговоры с киберпреступниками.

Hitachi Energy подтвердила утечку данных своих сотрудников, вызванной эксплуатацией уязвимости нулевого дня GoAnywhere группировкой Cl0p.

Хакеры эксплуатировали уязвимость нулевого дня в Fortra GoAnywhere MFT CVE-2023-0669 (CVSS: 7.2). Hitachi отключила затронутую систему (GoAnywhere MFT) и начала внутреннее расследование, чтобы определить влияние нарушения и количество украденных данных.

Все затронутые сотрудники, соответствующие органы по защите данных и правоохранительные органы были проинформированы об инциденте.

Обзор новостей информационной безопасности с 10 по 16 марта 2023 года

Андрей Жаркевич
редактор


Артемий Богданов
технический директор


Сергей Волдохин
выпускающий редактор

Киберкампании

Вредоносная кампания по распространению инфостилеры Raccoon, RedLine и Vidar использует YouTube-ролики, созданные искусственным интеллектом.

Особенности кампании

1. Видео маскируются под руководства по загрузке взломанных версий Photoshop, Premiere Pro, Autodesk 3ds Max, AutoCAD.
2. Ссылки на вредоносное ПО обычно содержатся прямо в описании под видео, и их часто обфусцируют при помощи сокращателей URL-адресов (Bitly и Cuttly). Вредоносы также могут размещаться в MediaFire, Google Drive, Discord, GitHub и Telegra.ph.
3. Каждый час на YouTube загружается от 5 до 10 таких роликов, при этом злоумышленники используют методы отравления SEO (SEO poisoning), чтобы видео появлялись в верхней части поисковой выдачи.

4. Хакеры используют утечки данных и социальную инженерию для захвата чужих аккаунтов на YouTube, а затем (пока взлом не будет обнаружен) задействуют популярные каналы для распространения своих вредоносов.

5. В последнее время увеличилось количество видео, созданных искусственным интеллектом (с помощью таких платформ, как Synthesia и D-ID). Исследователи поясняют, что давно установленный факт гласит, что видео с участием людей, особенно с определенными чертами лица, кажутся пользователям более привычными и заслуживающими доверия.

Исследователи пишут, что YouTube остается одним из наиболее популярных каналов для распространения вредоносного ПО, причем активность злоумышленников, связанная с распространением стилеров через видеохостинг, в последнее время увеличивается на 200-300% по сравнению с предыдущим месяцем.

Сбербанк предупреждает о набирающих обороты случаях мошенничества, в которых жертву обвиняют якобы в измене Родине.

Схема действий мошенников:

1. Мошенники звонят клиенту, представляются сотрудниками полиции или ФСБ и сообщают, что сотрудник банка, в котором обслуживается клиент, украл его персональные данные и переводит деньги на счета армии Украины.
2. Поскольку ответственность лежит на владельце карты, клиент может быть обвинен в государственной измене и наказан лишением свободы до 20 лет.
3. Затем мошенники подключают «службу безопасности банка» и заставляют клиента переводить деньги на их счета или даже брать кредиты, объясняя это необходимостью вычислить «сотрудника» банка, якобы укравшего персональные данные клиента.

Обнаружена новая кибершпионская кампания, нацеленная на дипломатические учреждения и системы, передающие конфиденциальную информацию о политике стран ЕС.

Схема кампании:

1. Цепочка атаки начинается с фишингового электронного письма, содержащего документ-приманку
2. В документе имеется ссылка, ведущая к загрузке вредоносного HTML-файла.
3. Вредоносный HTML-файл представляет собой вариацию дроппера NOBELIUM, отслеживаемую как ROOTSAW (он же EnvyScout). EnvyScout использует технику контрабанды HTML для доставки зловредных «.img» или «.iso» файлов в систему жертвы.
4. Для сохранения постоянства вредоноса в системе создаётся новый раздел реестра HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\DsDiBacks». 5. Файл BugSplatRc64.dll позволяет кибершпионам собирать и эксфильтровать информацию о зараженной системе. А для скрытной связи с C2-сервером злоумышленники использовали API популярного приложения для создания заметок Notion.

Мошенники используют социальную инженерию, чтобы выманивать деньги у сотрудников, недавно присоединившихся к компании.

Схема действий преступников

1. Мошенники пишут письмо якобы от лица начальника или одного из видных лиц в компании, но с совершенно «левого» адреса, с вопросом, может ли сотрудник выполнить новую задачу «прямо сейчас».
2. Новой задачей может оказаться перевод денег некоему исполнителю по контракту или покупка подарочных сертификатов на определенную сумму.
3. Сделать это надо максимально оперативно, деньги начальник обещает вернуть до конца дня. Мошенники специально упирают на срочность, чтобы сотрудник не успел задуматься или задать кому-то дополнительные вопросы.
4. Фигура начальника внушает авторитет, а сотрудник очень хочет быть полезным, поэтому он спешит перевести деньги по указанным реквизитам, о чем успешно отчитывается «начальству» по тому же адресу электронной почты, с которого получено письмо. Опять же, не обращая внимания на то, что адрес далек от настоящего.
5. Мошенник продолжает играть роль большого босса: просит документы, подтверждающие транзакцию, а после их получения хвалит сотрудника и обещает переслать документы исполнителю заказа (это добавляет происходящему «легитимности»).
6. Чтобы создать полное ощущение обычного рабочего взаимодействия, злоумышленник даже обещает сказать, если от незадачливого сотрудника понадобится что-то еще.
7. Через некоторое время сотрудник либо начинает задаваться вопросом, почему эту задачу поручили решать ему, либо обращает внимание на неправильный адрес электронной почты «начальника», либо упоминает эту задачу в разговоре с реальным начальником. И понимает, что перевел деньги мошенникам.

Мошенники предлагают купить маршрутизатор TP-Link NX31 Miner Router с функцией для майнинга и встроенным специализированным процессором (ASIC) за 1990 долларов США.

О старте продаж странных роутеров (полное название звучит как TP-Link NX31 Kadena 31.2 THS Kadena Miner Router) объявила компании TP-Link ASIC. Согласно заявленным характеристикам, этот девайс является как роутером Wi-Fi 7, так и ASIC’ом, который добывает криптовалюту эффективнее, чем Nvidia RTX 4090, и при этом потребляет всего 1200 Вт при полной нагрузке.

На странице продукта отсутствуют многие технические детали, а супер-устройство выглядит в точности как реальный существующему маршрутизатору TP-Link Archer BE900 Wi-Fi 7. С инженерной точки зрения такое попросту невозможно, поскольку втиснуть такие мощности в этот корпус, спиратив дизайн устройства у TP-Link, вряд ли получилось бы физически.

Согласно заявлениям «производителя», майниновый роутер обеспечивает хэшрейт до 31,2 Тх/сек, что намного производительнее GeForce RTX 4090, и полностью окупится за 5-7 месяцев. Однако журналисты подсчитали, что при заявленной мощности 31,2 Тх/сек устройство, даже если бы оно было настоящим, могло бы добывать криптовалюту на сумму около 4 долларов в день при текущем курсе. Но при потребляемой мощности 1200 Вт и тарифе 0,10 доллара за кВт/ч, фактическая прибыль снижается примерно до 1,40 доллара в день, а значит, окупить майнинговый роутер удастся не ранее чем через 1000 дней.

Мошенники начали звонить клиентам попавших под санкции банков с требованием срочно перевести деньги на «безопасный» счет.

Хотя представители попавших под десятый пакет санкций банков поспешили заявить, что ограничения ЕС никак не отразятся на счетах клиентов, мошенники быстро подхватили информационную повестку и стали звонить людям, представляясь сотрудниками подсанкционных организаций, и заявлять, что их счет якобы «заморожен» и нужно срочно вывести средства на «безопасный».

Как сообщили «Известиям» в финансовом маркетплейсе «Выберу.ру», сотрудники которого провели опрос в социальных сетях, за последние пару недель такие звонки поступали 30% россиян. 21% респондентов заявили, что сразу раскусили мошенников, а 15% — усомнились в их словах, положили трубку и сами перезвонили в банк. Еще 9% россиян всё же поверили преступникам и перевели им свои накопления.

Инциденты

В результате кибератаки вымогателей LockBit 6 марта дистрибьютор канцтоваров Essendant был вынужден остановить все операции.

Из-за инцидента компания не могла обрабатывать и выполнять онлайн-заказы, а клиенты не могли создать заказы или связаться со службой поддержки. Также были приостановлены все поставки.

15 марта администрация дистрибьютора сообщила, что восстановление системы близится к завершению. Однако они так и не признали факт кибератаки LockBit, настаивая, что разрушительные события связаны с массовым сбоем в системах компании.

В результате кибератаки была нарушена работа университетского госпиталя Saint-Pierre (Centre Hospitalier Universitaire Saint-Pierre) в центре Брюсселя (Бельгия).

Ночью 10 марта компьютерные серверы госпиталя стали замедляться и вскоре перестали отвечать. Компьютерные техники несколько часов разбирались в причинах сбоя и пришли к выводу, что имеют дело с кибератакой.

Из сообщений СМИ до конца не ясно, была ли это обычная DDoS-атака или целенаправленный взлом. Однако в целях безопасности серверы госпиталя были временно отключены, а сотрудникам пришлось вернуться к традиционному бумажному документообороту.

Вымогательская группировка Lockbit заявила о взломе компании Maximum Industries, производящей детали для SpaceX, и похищении 3000 проприетарных чертежей, созданных инженерами Илона Маска.

Хакеры угрожают «слить» похищенные данные 20 марта 2023 года, если их требования не будут выполнены, и они не получат выкуп. В этом случае злоумышленники обещают устроить аукцион и продать информацию «другим производителям».

Судя по сообщению хакеров, Maximum Industries не собирается платить вымогателям. И хотя хакеры уверены, что легко продадут украденные чертежи, журналисты отмечают, что чертежи сами по себе могут не представлять большой ценности, ведь детали еще нужно изготовить и затем использовать, при этом не вызвав подозрений.

На популярном хакерском форуме BreachForums продаются конфиденциальные файлы, предположительно украденные группировкой LockBit из Deutsche Bank.

Продавец утверждает, что владеет данными банка Deutsche Bank 50 ГБ и что продаст их тому, кто предложит самую высокую цену. По словам злоумышленника, информация содержит не только данные сотрудников Deutsche Bank, но и исходный код банковского приложения.

В посте также указаны несколько отдельных ссылок «lockbitfile» в качестве доказательства наличия всех файлов. Каждая ссылка разделена по категориям:

• исходный код API;
• корпоративные документы;
• данные о сотрудниках;
• отдел дознания Интерпола;
• данные SQL.

Неизвестный хакер взломал сети страховой компании DC Health Link, которая предоставляет медицинскую страховку законодателям США и жителям Вашингтона. В ходе взлома была раскрыта конфиденциальная информация о 21 действующем члене Конгресса.

Опубликованный взломщиком файл содержит 67 565 уникальных записей и личные данные 56 415 клиентов компании. Набор данных является подлинным и включает:

• имена;
• адреса электронной почты;
• даты рождения;
• адреса проживания;
• номера социального страхования (SSN);
• данные страховых полисов.

Кроме того в файле имеется более 1800 записей, касающихся конгрессменов, их семей и других сотрудников Конгресса. Другая информация, представленная в украденных документах:

• личные данные, относящиеся как минимум к 20 иностранным посольствам и тысячам компаниям (сотрудники некоторых фирм сейчас работают в Белом Доме);
• личные данные бывших сотрудников АНБ и Министерства обороны США;
• данные жителей Вашингтона, которые приобрели страховку — лоббистские фирмы, группы гражданского общества, стоматологические клиники, дизайнерские фирмы и другие.

Хакер заявил, что вектором атаки была открытая и незащищённая база данных. Он получил доступ, просто подключившись к ней: никакой проверки не требовалось. Он добавил, что база, вероятно, была открыта на протяжении более 1 года. Также хакер пригрозил, что через некоторое время выложит больше информации, так как, по его словам, он взломал несколько баз данных.

Хакерская группировка KelvinSecurity опубликовала на хакерском форуме 522 МБ секретных документов, содержащих информацию о разработке вакцины «Спутник V».

Опубликованные данные разбиты на более 300 файлов. Киберпреступники заявили, что они получили данные в результате взлома почтовых ящиков компании-разработчика вакцины — НИИ эпидемиологии и микробиологии им. Гамалеи г. Москва.

По словам хакеров, некоторые документы были засекречены и содержали информацию об этапах разработки вакцины, финансировании и технические детали.

Документы также содержат:

• счета-фактуры и информацию о стоимости испытаний;
• информацию о лабораториях, разрабатывающих вакцину, и уровне их производительности;
• переписки с внешними заказчиками. Например, одна швейцарская компания подала запрос на поставку вакцины «Спутник V» в Швейцарию.

Компания AT&T уведомила около 9 миллионов клиентов о том, что часть их данных была раскрыта из-за взлома стороннего маркетингового поставщика в январе 2023 года.

Представители компании сообщили СМИ, что утекшему набору данных было несколько лет, и он связан с правом на обновление устройств. В компании подчеркнули, что утечка не затронула собственные системы AT&T, так как взлом произошел на стороне неназванного стороннего поставщика.

«Поставщик, услугами которого мы пользуемся в маркетинговых целях, столкнулся с инцидентом безопасности. Была раскрыта сетевая информация, принадлежащая клиентам, например, количество линий, привязанных к счету или данные тарифного плана беспроводной связи. Информация не содержала данные кредитных карт, номера социального страхования, пароли от  учетных записей и другую конфиденциальную информацию», — заявили в компании.

Росбанк 13 марта сообщил о мощной DDOS-атаке.

В телеграм-канале банка отмечалось, что основные системы банка работают в штатном режиме, однако могут наблюдаться временные затруднения в работе приложений, интернет-банка и сайта.

Представители банка заявили, что ситуация под контролем:

«Мы технически готовы к подобным обстоятельствам. Задействованы все специалисты Росбанка по данному направлению. Мы делаем все возможное, чтобы все сервисы вновь были доступны. Мы продлили работу офисов. Там вы можете подать заявления на срочные платежи в бумажном варианте.»

Атаки и уязвимости

Разработан новый вектор атаки CASPER, с помощью которого условный злоумышленник может передать данные с физически изолированных компьютеров на ближайший смартфон со скоростью 20 бит в секунду.

CASPER задействует установленные в целевом компьютере динамики в качестве канала передачи данных. Так ему удаётся отправить высокочастотный звук, который не может распознать человеческое ухо, и передать двоичный код или данные в виде азбуки Морзе на микрофон, расположенный на расстоянии до 1,5 м.

Принимающий информацию микрофон может находиться в смартфоне, который будет записывать звук в кармане злоумышленника. Кроме того, можно поставить ноутбук в комнате с целевым устройством.

Исследователи завязали вектор атаки именно на внутренние динамики изолированного устройства. Как правило, компьютеры с «воздушным зазором» на критически важных объектах не оснащаются внешними динамиками.

Специалисты использовали компьютер на базе Linux (Ubuntu 20.04) в качестве целевого устройства и Samsung Galaxy Z Flip 3 — как принимающий данные девайс. Находящийся на расстоянии 50 см смартфон смог распознать слово «covert» в передаваемых азбукой Морзе данных.

Обзор новостей информационной безопасности с 3 по 9 марта 2023 года

Андрей Жаркевич
редактор


Артемий Богданов
технический директор


Сергей Волдохин
выпускающий редактор

Киберкампании

В Telegram появились мошеннические каналы с продажей техники Apple по крайне низким ценам.

Попытка купить такой iPhone заканчивается не радостью от его получения, а горьким разочарованием и потерей денег.

Как действуют мошенники

1. Выставляют очень низкие цены: например, новый iPhone 14 Pro 128 ГБ предлагают купить всего за 19,9 тыс. рублей вместо 112,9 тыс. рублей (цена гаджета в re:Store), а аналогичную модель Pro Max — за 24,9 тыс. рублей вместо 121,9 тыс. рублей.

2. Такие цены авторы канала объясняют тем, что iPhone были якобы изъяты на таможне у различных фирм и предпринимателей при попытке контрабандного ввоза в Россию. После этого арестованные гаджеты будто бы были выставлены на аукцион в пользу государства, откуда успешно выкуплены «в феврале 2023 года».

3. Для большей убедительности предлагаются отзывы людей, якобы уже купивших смартфоны. Все они написаны с «живых» аккаунтов в Telegram с фотографиями, именами и фамилиями пользователей.

4. Внешне отзывы очень похожи на настоящие: к ним прилагаются домашние снимки гаджета с визиткой онлайн-магазина, а авторы рассуждают о том, что им «было страшно заказывать, но риск оправдался», «продавец всё время был на связи и развеивал сомнения», или радуются тому, что нашли iPhone за «копейки» в подарок жене.

5. В случае сомнений авторам отзывов можно написать — и они сразу отвечают на сообщения и подтверждают, что правда купили «дешевый, но вроде оригинальный гаджет». «Я в этом не разбираюсь, но ребенок проверил, всё в порядке», — написал один из них корреспонденту «Известий».

6. Если найти тех же людей в других социальных сетях, все они удивленно отвечают, что никакие iPhone в Telegram не покупали. А аккаунты в мессенджере им не принадлежат.

Мошенники атакуют мужчин в мессенджерах, предлагая сэкономить на подарках к 8 марта.

Основная “весенняя легенда” мошенников — розыгрыш подарков от известных маркетплейсов или специальные предложения. Праздничные опросы запускают в мессенджерах, за ответы «дарят» подарки и скидки. Жертва оставляет данные банковской карты на вредоносном сайте и теряет деньги.

Первый шаг в такой схеме — опрос, например, в WhatsApp. Клиент отвечает на вопросы, а чтобы получить подарок, должен разослать вредоносную ссылку «на акцию» друзьям и оставить на сайте данные для доставки подарка. Еще один вариант — купить товар или заказать услугу на специальных условиях. Для этого на сайте нужно ввести сведения о банковской карте, включая CVV-код.

Инциденты

В открытый доступ выложили архив с говорящим названием Sberspasibo.zip — данные, полученные предположительно из мобильного приложения бонусной программы «СберСпасибо» (spasibosberbank.ru).

Архив содержит 2 файла. Первый файл — Orders имеет размер 820 мегабайт и включает 6 335 994 строки, содержащие номера телефонов, адреса электронной почты, даты рождения, даты регистрации, хэши карт и прочую служебную информацию.

Анализ файла позволил выделить:

• 1 089 420 уникальных адресов электронной почты
• 1 448 281 уникальный телефонный номер
  Файл охватывает период с 01.04.2017 по 07.02.2022.

Размер второго файла — Users составляет почти 13 гигабайт. В нем содержится 48 387 008 строк:

• 132 749 уникальных адресов электронной почты
• Более 47 миллионов уникальных номеров телефонов.

Хотя номера банковских карт в одном из этих файлов хранятся в виде хеша, из-за использования устаревшей функции хеширования SHA1 без соли, нет никаких проблем «восстановить» их реальные значения прямым перебором всех цифр

По информации экспертов Data Leakage & Breach Intelligence (DLBI), в открытом доступе опубликован дамп онлайн-платформы правовой помощи «СберПраво», содержащий около 115 000 уникальных телефонных номеров и 72 тыс. email-адресов.

В трех опубликованных файлах (user, user2 и userphone) содержатся:

• ФИО;
• телефоны (115 000 уникальных номеров);
• email-адреса (72 000 уникальных адресов);
• даты рождения;
• даты создания записи (с 07сентября 2020 по 08 февраля 2023).

Все три файла имеют одинаковую дату создания: 8 февраля 2023 года.
В компании сообщили, что проверяют информацию об утечке, но отмечается, что подобные сообщения могут исходить от мошенников, которые пытаются продать компиляции старых баз данных под видом оригинальных.

Хакеры выложили в открытый доступ внутренние данные компании Acronis.

В опубликованном массиве данных размером около 12 ГБ содержатся:

• различные файлы сертификатов;
• различные журналы команд;
• системные конфигурации;
• журналы системной информации;
• архивы файловой системы;
• Python-скрипты для базы данных maria.db;
• конфигурация резервного копирования;
• множество снапшотов операций резервного копирования.

Если утечка является подлинной, это может нести как угрозы для безопасности, так и репутационные риски, ведь «Acronis» — это в первую очередь компания, специализирующаяся на разработке ИБ-продуктов, в числе которых

Компания Acer подтвердила, что в середине февраля 2023 года действительно имела место утечка данных.

Злоумышленники взломали сервер, где размещались приватные документы, которыми пользовались специалисты по ремонту, похитили и выставили на продажу более 2800 файлов объемом 160 Гб.

Дамп содержит технические руководства, программные инструменты, сведения о серверной инфраструктуре, документацию по различным моделям телефонов, планшетов и ноутбуков, образы BIOS, файлы ПЗУ, файлы ISO и RDPK (Replacement Digital Product Key).

В качестве доказательства взлома хакер поделился скриншотами, на которым демонстрировались с техническими чертежи Acer V206HQL, документы, характеристики BIOS и так далее.

Также в объявлении говорилось, что дамп будет продан тому, кто предложит самую высокую цену, а к оплате принимается только криптовалюта Monero (XMR).

Группировка Medusa взломала школьный округ Миннеаполиса (Minneapolis Public Schools, MPS) и угрожает опубликовать украденные данные, если школьный округ не заплатит выкуп.

Округ MPS подтвердил кибератаку в феврале и заявил, что IT-системы организации отключились. Сейчас хакеры требуют выкуп в размере 1 млн долларов США за удаление украденных данных.

Группа вымогателей ALPHV/BlackCat вымогает деньги у крупной американской сети здравоохранения LVHN (Lehigh Valley Health Network) в Пенсильвании, публикуя фотографии пациентов, больных раком груди.

LVHN сообщила об атаке в начале февраля и также заявила, что не будет платить выкуп хакерам. Инцидент затронул «компьютерную систему, содержащую клинические изображения онкобольных и другую конфиденциальную информацию».

По словам компании, услуги LVHN, включая онкологический институт и детскую больницу, не затронуты. Однако сайт сети в настоящее время недоступен.

Хакеры из Cyber Legions выложили в открытый доступ БД ресурса для помощи поступающим в ВУЗы «Навигатор Поступления»

Файл users_item.csv содержит 521.353 строк с такими полями как:

• ⭕️ Фамилия Имя/UserName регистранта;
• ⭕️ Эл. почта (520.673 уникальных);
• ⭕️ Телефон (446.082 уникальных);
• ⭕️ Тип пользователя (student/parent/child)
• ⭕️ Школьный класс
• ⭕️ Хэш пароля с солью;
• ⭕️ Техн. информация.

Актуальность данных в файле — 06 марта 2023 года.

Кибератака вымогателей на одну из главных больниц Барселоны Clinic de Barcelona привела к повреждению компьютерной системы центра и вынудила отменить 150 неотложных операций и до 3000 обследований пациентов.

Директор больницы Антони Кастель на пресс-конференции сообщил, что план действий в чрезвычайных ситуациях позволит больнице функционировать в течение нескольких дней, но он надеется, что система будет восстановлена раньше.

По данным регионального агентства кибербезопасности Каталонии, нападение было организовано из-за пределов Испании группой хакеров «Ransom House».

В настоящее время клиника вынуждена вернуться к заполнению документации на бумаге, а новые неотложные случаи перенаправлять в другие больницы города.

Сообщается, что хакеры пока не выдвигали требований о выкупе.

В результате кибератаки злоумышленники получили доступ к внутренним данным компании WHSmith, крупного британского ритейлера.

По предварительной информации, хакеры смогли получить доступ к личным данным существующих и бывших сотрудников, при этом работоспособность сервисов компании не пострадала.

На текущий момент в компании работает более 12 500 сотрудников, а с учётом данных бывших сотрудников, число пострадавших может быть гораздо больше.

Ричард Холлис, генеральный директор компании по кибербезопасности Risk Crew, говорит, что из поредоставленной информации о взломе следует что преступники получили имена, адреса, даты рождения и номера социального страхования сотрудников.

Американская сеть ресторанов быстрого питания Chick-fil-A стала жертвой кибератаки, в результате которой была похищена финансовая информация более 70 тысяч клиентов.

Украденная информация включает имена и номера телефонов клиентов, номера кредитных / дебетовых карт и адреса электронной почты. В некоторых аккаунтах также содержалась идентифицирующая информация, такая как дни рождения и даже домашние адреса.

Хотя в письме с уведомлением о нарушении говорится, что хакеры могли видеть только последние четыре цифры номера карты, на целевой странице для подачи заявления в Генеральную прокуратуру штата Мэн сообщается, что украденная информация включала «Номер финансового счета или номер кредитной / дебетовой карты в сочетании с кодом безопасности, кодом доступа, паролем или PIN-кодом для учетной записи». Компания ещё не ответила на запросы о комментариях по поводу несоответствия информации.

Украденные данные карт клиентов фастфуд уже продаются на хакерском форуме.