Малварь BazarCall использует для распространения подпольные колл-центры

Малварь BazarCall (или BazaCall) впервые была обнаружена в январе 2021 года. Такое название вредонос получил из-за того, что на первых порах с его помощью распространялся BazarLoader. И хотя теперь BazarCall распространяет уже другую малварь, название прижилось.

Операторы BazarCall действуют по простой, но очень эффективной схеме. Всё традиционно начинается с фишинговых писем, и чтобы привлечь внимание будущей жертвы, хакеры используют приманки, связанные бесплатными пробными версиями различных продуктов и якобы истекающими подписками на медицинские, ИТ или финансовые услуги (которые нужно срочно отменить, во избежание списания средств). При этом все письма содержат инструкцию, согласно которой, для отмены подписки получатель должен позвонить по указанному номеру телефона.

Позвонив по такому номеру, пользователь связывается с колл-центром, англоговорящий оператор которого проведет пошаговый инструктаж для жертвы. Сначала оператор вынудит доверчивого пользователя сообщить уникальный идентификатор клиента, указанный в письме. Таким образом в колл-центре определят, что говорят именно с жертвой кампании BazarCall. Если сообщить неверный номер, оператор скажет, что подписка уже отменена и попрощается.

Если номер актуален, звонящего вынудят посетить вредоносный сайт и загрузить оттуда файл Office (обычно Excel или Word), якобы содержащий форму для отмены подписки. Затем понадобится отключить функции безопасности и разрешить работу макросов в документе, которые и загрузят BazarLoader. В некоторых случаях оператор также может попросить жертву отключить антивирус.

Эти спам-кампании почти всегда нацелены на пользователей с корпоративными email-адресами или адресами в зоне .edu. То есть хакеры почти не атакуют рядовых пользователей, которые используют бесплатные почтовые сервисы, включая Gmail, Hotmail и Yahoo. Очевидно, конечной целью злоумышленников является заражение крупных корпоративных сетей.

Из-за экзотического метода распространения малварь имеет низкий уровень обнаружения на VirusTotal, ведь она не распространяется публично и плохо обнаруживается антивирусами.

В настоящее время BazarLoader используется для распространения таких вредоносов, как TrickBot, IcedID, Gozi IFSB и так далее. В свою очередь Trickbot применяется для развертывания шифровальщиков Ryuk или Conti, а IcedID раньше использовался для развертывания вымогателей Maze и Egregor.

Интересно, что связь между BazarCall и TrickBot ранее уже обнаруживал известный ИБ-эксперт Виталий Кремез, — считается, что оба образца малвари созданы одной хак-группой. Однако с другими вредоносами из числа перечисленных выше BazarCall не связан.

В релизе говорится, что Virgin Galactic начнет наземные испытания VSS Imagine, а поднять аппарат в воздух планирует летом. Пока идут испытания, Virgin Galactic продолжит разработку еще одного корабля третьего поколения — VSS Inspire. Virgin Galactic намеревается достичь уровня 400 полетов на орбиту в год с каждого космопорта — то есть чаще, чем один раз в день. Следующий тестовый полет модели предыдущего поколения Virgin Galactic, VSS Unity, запланирован на май 2021 года.

Исследователи заработали 20 000 долларов на побеге из песочницы Chrome

Эксперты из китайской компании Qihoo 360, Гуан Гон (Guang Gong) и Ликрасо (Leecraso), обнаружили уязвимость в браузере Chrome, которая позволяла выйти за пределы песочницы. В итоге выпущенное на этой неделе обновление Chrome до версии 89 содержит восемь исправлений безопасности, в том числе для шести уязвимостей, о которых сообщили сторонние исследователи.

За свою находку аналитики Qihoo 360 удостоились наивысшей награды по программе bug bounty: 20 000 долларов США. Найденная уязвимость получила идентификатор CVE-2021-21194, и эксперты описывают ее как use-after-free, связанную с захватом экрана.

Этот баг позволял выйти за пределы песочницы Chrome, а его эксплуатация становилась возможной в сочетании с другой проблемой, связанной с рендерингом, после чего удаленный атакующий мог осуществить побег из песочницы и выполнить произвольный код.

Специалисты Qihoo 360 далеко не впервые обнаруживают подобные ​​проблемы в Chrome. Только за последний год они получили более 150 000 долларов в рамках bug bounty за различные баги в браузере Google, а их имена упоминаются как минимум в 17 бюллетенях безопасности.

Отмечу, что последнее обновление Chrome принесло исправления и для других багов, включая несколько уязвимостей с высокой степенью серьезности: use-after-free в JavaScript-движке V8, два переполнения хипа в TabStrip, проблему out-of-bounds чтения за в IPC, и ошибку use-after-free в Ауре.

В протоколе 5G найдены баги, позволяющие отслеживать местоположение и устраивать DoS-атаки

Специалисты компании AdaptiveMobile опубликовали отчет о новых уязвимостях в протоколе 5G, благодаря которым можно выводить из строя сегменты сети (DoS) и похищать пользовательские данные, включая информацию о местоположении.

Выявленные проблемы связаны с механизмом разделения сетей 5G, который позволяет операторам дробить свою инфраструктуру на более мелкие блоки, предназначенные для конкретных сфер использования (например, автомобилестроение, здравоохранение, критическая инфраструктура и развлечении и так далее).

Обнаруженные уязвимости могут использоваться в гибридных мобильных сетях, где 5G смешивается с более старыми технологиями. Именно такие варианты будут встречаться в реальном мире в ближайшие годы, когда технология 5G будет постепенно заменять собой остальные.

Атаки возможны в силу недостатков маппинга между идентификаторами application и транспортного уровней, что позволяет потенциальным злоумышленникам выдать себя за легитимные сетевые функции в гибридных сетях 5G.

В итоге, если злоумышленнику удастся скомпрометировать периферийное сетевое оборудование оператора, он может злоупотребить функциями 5G для реализации DoS-атак против других сегментов сети или извлечения информации из соседних сегментов сети, включая данные абонентов (например, данные о местоположении). Также исследователи предупреждают, что возможны сценарии, когда партнеры оператора, которым предоставлен доступ к сегментам сети, могут злоупотреблять своими привилегиеями для атак на другие части сети.

Специалисты AdaptiveMobile уже уведомили о проблемах консорциум 3GPP (отвечающий за разработку стандарта 5G), организацию GSMA и отраслевую группу операторов мобильной связи. Эксперты говорят, что для защиты от описанных атак может потребовать разработка некоторых крупных функций, которые могут войти в Release 17.

Release 17 (или Rel-17) — это версия стандарта 5G, которая в настоящее время находится в разработке и должна быть выпущена в середине 2022 года .

Apple начала бороться с приложениями, тайно собирающими данные пользователей

Apple начала отклонять обновления для приложений, которые не соответствуют новым правилам конфиденциальности компании. Это приложения, которые тайно собирают данные пользователей.
По новым правилам, приложения должны запрашивать разрешение на доступ к рекламному идентификатору пользователя iPhone, чтобы собирать данные в интересах рекламодателей. Apple запрещает приложениям использовать методы обхода для отслеживания пользователей.

В связи с нововведениями Apple отказала в размещении в App Store некоторым приложениям, в том числе InnoGames. В перспективе это может затронуть до 50 000 приложений. Дело в том, что указанные приложения используют набор для разработки программного обеспечения от Adjust, а эта компания собирает мобильные данные.

Новые функции по защите пользовательских данных должны заработать в полном объёме в iOS 14.5.

Обнаружены 30 образов Docker с кодом для скрытной добычи криптовалюты

Исследователь из Palo Alto Networks нашел на Docker Hub три десятка образов, распространяемых в рамках криптоджекинг-кампаний. На счету этих упакованных в контейнер приложений суммарно числилось 20 млн загрузок.

Веб-сервис Docker Hub располагает богатейшей коллекцией контейнеризированных программ, предоставляемых в общее пользование производителями софта, участниками opensource-проектов и членами Docker-комьюнити. В настоящее время пользователям репозитория доступны свыше 100 тыс. образов контейнеров, которые можно использовать для развертывания приложений на Linux и Windows.

Вовлеченные в криптомайнинг образы были привязаны к десяти аккаунтам Docker Hub. Внедренный в них сторонний код (в 90% случаев — скрипт XMRig) предназначался для скрытной добычи Monero. Половина вредоносных образов использовали один и тот же аккаунт в майнинг-пуле; доступная информация о нем позволила исследователям сделать вывод, что криптоджекинг-кампания за два года принесла мошенникам $200 тысяч.

Для внедрения майнеров злоумышленники, по всей видимости, использовали возможность обновления Docker-образов с отметкой в индивидуальном реестре. Загружая в репозиторий новую версию образа, пользователь создает для нее специальный тег.

Примечательно, что теги некоторых вредоносных образов указывали на наличие версий, заточенных под разные ОС и CPU с различной архитектурой, а также вариантов, обеспечивающих выбор кода для добычи криптовалюты. Таким образом, авторы криптоджекинг-кампании могли по желанию расширять спектр своих мишеней, подбирая для каждой оптимальный майнер.

Данные более 533 млн пользователей Facebook попали в открытый доступ

Данные были выложены на хакерском форуме. Об этом в субботу сообщил портал Business Insider.

По его сведениям, в открытом доступе оказалась информация пользователей из 106 стран, в том числе учетные записи 32 млн жителей США, 11 млн пользователей в Великобритании и 6 млн жителей Индии. На форум были выложены полные имена пользователей, их местонахождение, даты рождения, биографии, мобильные номера и в некоторых случаях адреса электронной почты.

Такой массив данных может стать ценной информацией для киберпреступников, которые используют подобного рода записи для мошеннических схем, предупреждают эксперты. "База данных такого размера, содержащая такую личную информацию, как телефонные номера большого числа пользователей Facebook, определенно приведет к тому, что злоумышленники воспользуются этими данными, чтобы устраивать хакерские атаки", - приводит издание слова Алона Гала, одного из основателей компании Hudson Rock, занимающейся выявлением киберпреступлений.

В компании Facebook объяснили утечку данных временной уязвимостью, устраненной два года назад. "Это старые данные, о которых сообщалось в 2019 году. Мы обнаружили и устранили эту проблему в 2019 году", - говорится в сообщении представителя Facebook, направленном в ответ на запрос ТАСС.

По большинству запросов в Google ничего не находится

Согласно информации SimilarWeb, 65% всех поисковых запросов не заканчиваются кликом ни по одной ссылке. Компания называет это «Zero-Click Searches». Компания проанализировала почти 5,1 трлн запросов в Google, сделанных в период с января 2020 по декабрь 2020 года.

По графику видно, что 33,59% запросов привели к кликам по органическим, или естественным, ссылкам. На рекламные ссылки пришлось лишь 1,59%.

Также аналитики выяснили, что поиски с Zero-Click чаще всего происходят на мобильных устройствах, чем на компьютерах. Отметим, что при изучении статистики нельзя исключать тех случаев, когда пользователь не кликнул ни на какую ссылку потому, что прочитал нужную информацию сразу в результатах выдачи.

Драйверы сторонних производителей в ОС Windows 10 будут изолированы

Источники в компании Microsoft сообщают о том, что разработчик операционных систем готовит крупное обновление для Windows 10, которое выйдет только к концу 2021 года. Среди основных изменений в ОС планируют полностью отделить сторонние драйверы, которые теперь будут попадать в специально созданную для них папку.

Такое изменение должно произойти в версии 21H2 знаменитой «десятки». Системные драйверы будут находиться в своей папке, утверждают специалисты.

Разработчики полагают, что разделение системных и сторонних драйверов позволит улучшить стабильность работы самой операционки. Особенно это заметят те пользователи, которые проводят многочисленные установки оборудования и программного обеспечения, в результате чего до сих пор могли происходить нежелательные конфликты.

"Яндекс" и Mail.ru Group заявили, что не собирают персональные данные россиян

Представители "Яндекса" и Mail.ru Group заверили россиян, что они не ведут сбор персональных данных пользователей. Возможен сбор только технической обезличенной информации.

Об этом сотрудники "Яндекса" и Mail.ru Group рассказали в интервью для РИА Новости. Газета "Коммерсант" ранее опубликовала статью, в которой идет речь о возможной передаче пользовательских данных за рубеж. Под "угрозой" якобы оказываются те юзеры, которые используют гаджеты с предустановленным софтом.

"Яндекс" внимательно относится к данным пользователей и тщательно защищает их", — рассказал один из сотрудников компании Иван Черевко.

В Mail.ru Group также подтвердили, что не осуществляют сбор персональных данных граждан. Все используемые внешние инструменты проходят строгий аудит внутренней безопасности. То же самое касается и трекеров, уточнил руководитель по корпоративным коммуникациям Mail.ru Group Сергей Лучин.

LG прекратила производство смартфонов

Южнокорейская компания LG Electronics Inc. объявила о своем уходе с рынка мобильных телефонов из-за убыточной работы и высокой конкуренции.

Отмечается, что компания обсуждала продажу производства смартфонов с вьетнамским конгломератом Vingroup и немецким автоконцерном Volkswagen, однако соглашения достичь не удалось.

По данным агентства, мобильный бизнес LG начал нести убытки в 2015 году, а в прошлом году их общая сумма достигла $4,4 млрд.

О планах LG прекратить выпускать смартфоны стало известно 22 марта. Сообщалось, что компания уже заморозила разработку телефонов с гибкими дисплеями. Кроме того, были отложены все ранее запланированные на первое полугодие презентации новых смартфонов.

LG Group — четвертая по величине южнокорейская финансово-промышленная группа. Основные направления деятельности компании — электроника, химическая продукция и телекоммуникационное оборудование.

Google собирает в 20 раз больше телеметрии с Android, чем Apple с iOS,Samsung начал устанавливать на смартфоны неудаляемые сервисы «Яндекса», новый Android-вирус маскируется под обновление операционной системы и другие IT новости в нашем еженедельном обзоре.

Пользователи iPhone в США тратят $138 в год на приложения

Аналитическая компания Sensor Tower проанализировала, сколько пользователи iPhone из США потратили на приложения и внутриигровые покупки за прошедший год. Данные отчёта основаны на оценке количества активных устройств iPhone в Соединенных Штатах с 2015 по 2020 годы.

Средняя сумма, потраченная в приложениях на один активный iPhone в США, выросла до $138 что на 38% больше, чем в 2019 году. Самый большой годовой рост был зафиксирован в 2016 году – 42%. В 2019 средняя сумма, потраченная на приложения выросла с $79 (2018) до $100 – 27% роста по сравнению с 2018 годом.

Кроме того, в 2020 году резко возросли расходы на мобильные игры в расчёте на каждое устройство: с $53,80 (в 2019 году) до $76,80. Таким образом рост в годовом исчислении составил 43%, тогда как в 2019 году внутриигровые расходы выросли на 22%.

Исследование, проведённое Sensor Tower показало, что больше всего пользователи iPhone в США тратили на головоломки, в среднем по $15,50 в категории, которая включает такие игры, как Candy Crush Saga и Gardenscapes. В играх из категории «Казино» расходы пользователей в среднем составили $13,10, за ней следует игры из категории «Стратегия» – $12,30.

Банк «Дом.РФ» заявил об утечке данных из заявок физлиц на кредит

Банк "Дом.РФ" выявил утечку данных из дистанционных заявок физических лиц на получение кредита наличными, но безопасности счетов клиентов ничего не угрожает, говорится в сообщении кредитной организации.

"Служба безопасности совместно с IT-подразделением банка "Дом.PФ" выявили уязвимость в работе канала дистанционной подачи первичных заявок на получение продукта "Кредит наличными". Безопасности счетов клиентов ничего не угрожает", - говорится в сообщении.

Уязвимость была быстро устранена, все системы банка функционируют в штатном режиме, заверили в кредитной организации. В других системах банка нарушений выявлено не было.

Кредитная организация заверила, что "утечка случилась не из учетных систем банка". "Это первый случай, когда злоумышленникам удалось найти частичный доступ к внешним заявкам банка, при этом наши службы намерены провести работы по предотвращению распространения данных о желающих получить кредит наличными", - добавили в банке.

CNN: Российские хакеры пытались взломать американских госслужащих, отвечающих за противодействие хакерам

Российские хакеры пытались взломать американских госслужащих, отвечающих за противодействие хакерам, передает канал CNN. В течение нескольких месяцев, пока официальные лица США не знали о кибератаке на американские госучреждения через программное обеспечение SolarWinds, российские хакеры определили нескольких ключевых аналитиков Министерства внутренней безопасности, которые должны были стать одними из первых, кто отреагирует на обнаружение взлома. После этого хакеры пытались получить доступ к их электронной почте. Удалось ли им это или нет, источники канала не уточняют.

В декабре 2020 года американские СМИ сообщили о кибератаке на госучреждения США через программное обеспечение подрядчика Microsoft SolarWinds. Она затронула Госдеп, Минфин, министерства торговли и энергетики и другие ведомства. По данным газеты New York Times, взлому подверглись более 250 федеральных агентств и предприятий.

В атаке обвиняют хакерскую группировку Cozy Bear, которую связывают с российскими спецслужбами. Москва отрицает причастность к кибератакам.

Минцифры запустило каталог российских приложений APP List

Минцифры РФ сообщило о создании и успешном запуске специализированного приложение APP List. Оно представляет собой каталог приложений, который полностью состоит из российских приложений. Пока приложение доступно только для Android

Все они бесплатны и безопасны, - сообщили в ведомстве.

Американский суд взыскал 20 миллионов долларов с русского хакера

Суд штата Нью-Йорк взыскал 20 миллионов долларов с россиянина Андрея Тюрина. В начале года его приговорили к 12 годам тюрьмы за киберпреступления в отношении американских компаний. Обвинение утверждало, что Тюрин причастен к самой масштабной краже личных данных клиентов банков в истории США.

В 2018 году Тюрина экстрадировали в Штаты из Грузии. Американская сторона обвинила его во взломах систем финансовых структур, брокерских компаний и экономических СМИ. Ущерб, который нанесли Тюрин и его сообщники, оценили в сотни миллионов долларов.

Сам россиянин изначально не признавал вину, но позже пошел на сделку со следствием. Он признал вину по нескольким эпизодам и избежал максимально сурового наказания: отмечается, что его могли приговорить аж к 90 годам заключения.

Согласно новому решению суда, Тюрин должен выплатить 19 952 861 долларов компаниям и физлицам, пострадавшим от его действий. Список «жертв» не раскрывается, равно как и нынешние финансовые возможности россиянина.

Злоумышленники злоупотребляют инфраструктурой GitHub для майнинга криптовалюты

По данным SecurityAffairs, платформа хостинга кода Github проводит расследование серии атак, направленных на злоупотребление своей инфраструктурой для незаконной добычи криптовалюты.

Злоумышленник выполняет свой собственный вредоносный код для добычи криптовалюты на инфраструктуре Github, и в некоторых случаях может развернуть сотни майнеров за одну атаку, которая оказывает значительное влияние на вычислительную мощность инфраструктуры.

О подобных атаках сообщалось как минимум с конца 2020 года, когда некоторые разработчики программного обеспечения сообщали о вредоносной активности в своих репозиториях.

«На меня напал пользователь github, который создал вредоносное действие github для запуска программы крипто-майнинга внутри выполнения действия. Он запустил его в моих действиях на github благодаря дерьмовому запросу на вытягивание», - говорится в сообщении о подобной атаке.

The Record сообщает, что злоумышленники злоупотребляют функцией GitHub Actions, которая была реализована для автоматического выполнения программных рабочих процессов.

Эксперты предупреждают, что злоумышленники нацелены на репозитории, в которых включена эта функция, для добавления вредоносных действий GitHub и выполнения вредоносных запросов Pull для выполнения кода злоумышленника.

Голландский инженер по безопасности Джастин Пердок сказал, что по крайней мере один злоумышленник нацелен на репозитории GitHub, где могут быть включены действия.

«Атака включает в себя разветвление легитимного репозитория, добавление вредоносных действий GitHub к исходному коду, а затем отправку запроса на извлечение с исходным репозиторием для слияния кода обратно с исходным», - сообщил Пердок.

При этом атака не зависит от первоначального владельца проекта, одобряющего вредоносный запрос на слияние. Пердок сказал, что для атаки достаточно просто отправить запрос на слияние.

Пердок сообщил , что он идентифицировал по крайней мере одну учетную запись, ответственную за создание сотен запросов на извлечение, содержащих вредоносный код.

Эксперт также стал жертвой аналогичной атаки.
GitHub сообщил, что расследует атаки.

Замедление Twitter продлено до 15 мая

С 10 марта 2021 года работа Twitter на территории России замедлена на 100% с мобильных устройств и на 50% со стационарных устройств по решению Роскомнадзора. Это связано с тем, что, по утверждениям представителей ведомства, «Twitter в период с 2017 года по настоящее время не удаляется контент, склоняющий несовершеннолетних к совершению самоубийств, содержащий детскую порнографию, а также информацию об использовании наркотических средств».

При этом в конце марта представители Роскомнадзора сообщали, что не дождались от руководства Twitter какого-либо ответа на замедление, и предупреждали, что в будущем ведомство и вовсе может рассмотреть возможность полной блокировки сервиса. Также в начале апреля социальную есть оштрафовали в общей сложности на 8,9 млн рублей из-за отказа удалить информацию с призывами к несовершеннолетним принять участие в несанкционированной акции.

Как теперь пишут представители ведомства, за прошедшее время социальная сеть удалила около 1900 из 3100 не удалявшихся с 2017 года запрещенных в России материалов с детской порнографией, пронаркотического и суицидального контента.

В итоге в ведомстве решили не переходить к следующей мере — полной блокировке работы соцсети на территории страны, и вместо этого продлили замедление до 15 мая 2021 года. Сообщается, что «компании Twitter предоставляется дополнительное время на удаление из соцсети всего запрещенного контента и приведение своей деятельности в полное соответствие с законодательством нашей страны».

Подчеркивается, что «соблюдение российского законодательства в полном объеме позволит снять меры по замедлению трафика и исключить блокировку работы сервиса в России».

Домен Coinhive используется для предупреждения пользователей о взломанных ресурсах

Создатель сервиса Have I Been Pwned Трой Хант использует домены закрытого в 2019 году криптоджекингового сервиса Coinhive, чтобы предупреждать пользователей о сайтах, которые все еще занимаются скрытым майнингом.

Напомню, что Coinhive появился осенью 2017 года и тогда позиционировался как альтернатива классической баннерной рекламе. В итоге же Coinhive лишь породил масштабное явление, которое ИБ-специалисты назвали криптоджекингом, или браузерным майнингом. Пользователям стало достаточно «неудачно» зайти на какой-либо сайт, в код которого встроен специальный JavaScript Coinhive (или другого аналогичного сервиса, коих вскоре появились десятки), и ресурсы машин жертв уже использовались для добычи криптовалюты Monero. Хотя операторы Coinhive признавались, что совсем не желали создавать инструмент для обогащения киберпреступников и прямо осуждали действия злоумышленников.

На пике своей популярности Coinhive был внедрен в 200 000 маршрутизаторов, в расширения для браузера, в приложения из Microsoft Store и даже на правительственные сайты.

Однако в конечном итоге, весной 2019 года сервис закрылся года после хардфорка Monero, так как хэшрейт упал более чем на 50%. Кроме того, на решение разработчиков Coinhive повлиял общий «обвал» криптовалютного рынка, так как тогда XMR потеряла около 85% стоимости.

Как теперь рассказывает в блоге ос­нователь агрегатора утечек Have I Been Pwned (HIBP) Трой Хант, ему бесплатно предоставили доступ к coinhive.com и другим связанным доменам, при условии, что он сделает с ними что-то полезное.

Так как домены размещаются за Cloudflare, Хант использовал встроенную аналитику и обнаружил, что огромное количество посетителей все еще пытается загрузить JavaScript с Coinhive.

Анализируя сайты, которые по-прежнему направляют трафик на домены Coinhive, Хант заметил, что скрипты активны в основном на сайтах Китая и России. Большая часть этого трафика может быть связана с взломанными маршрутизаторами MikroTik, которые продолжают внедрять скрипты Coinhive, когда пользователи посещают любые сайты.

В итоге эксперт решил, что использует домен coinhive.com, чтобы перенаправлять людей на свой пост в блоге, посвященный Coinhive. Так, если люди посещают сайты со скриптами Coinhive, они видят диалоговое окно, которое предупредит их: «Этот сайт попытался запустить криптомайнер в вашем браузере». Причем предупреждение — это ссылка, по которой пользователи могут кликнуть и узнать о Coinhive больше.

Хотя Хант делает доброе дело, пример Coinhive наглядно показывает, что злоумышленники могут использовать заброшенные домены для внедрения скриптов в браузеры ничего не подозревающих посетителей.