T.Hunter

#news Vercel, разработчика Next[.]js и облачного провайдера, взломали. Затронуты внутренние системы, у части клиентов, они же “limited subset of customers” на корпоративном, скомпрометированы креды. И всё это в погожий воскресный денёк.

Взлом через стороннюю ИИ-приблуду Context[.]ai одного из сотрудников, у которого стянули доступ к аккаунту на Google Workspace. Оттуда пошёл доступ к части сред, не помеченных как “чувствительные”. И одним Vercel дело не ограничивается — утверждают, что затронуты и другие компании с этим ИИ-инструментом и компрометацией его OAuth-приложения. Злоумышленник, конечно же, “highly sophisticated” — за взлом от кого-то не очень sophisticated было бы стыдно. При этом в деле интрига: взломщики говорят, что они ShinyHunters и требуют $2 миллиона. SH же утверждают, что они не при делах — на фоне этого Vercel бодрится и отказывается платить фейкам. Но по итогам дня клиентам-то будет без разницы, под каким брендом утекли их ключи.

@tomhunter

#news На Украине арестовали некоего члена киберпреступной группировки, разыскиваемого ФБР. Имя не обозначено, но сумма изъятий солидная: имущество на $11 миллионов, включая $3 миллиона в крипте.

Разыскиваемого приняли в Ужгороде, он обозначен как часть синдиката, деплоящего малварь для сбора данных и последующего вымогательства в США и Европе. В общем, у нас сайберкрайм, возможно, рансомварь. Не обошлось и без восточноевропейского колорита: персонаж имел на своё имя свидетельство о смерти и жил по поддельным документам. Но фокус с преувеличенными слухами о его преждевременной кончине не удался. Судя по отсутствию публичности и суммам изъятых активов, могли арестовать кошелёк чей-то операции, но пока деталей нет, следствие идёт, и на очереди, скорее всего, увлекательное путешествие в финальный пункт назначения — экстрадиция.

@tomhunter

#news Вчера вечером криптобиржа Grinex заявила о взломе. Больше миллиарда рублей были похищены 15 апреля, работа биржи приостановлена. В Grinex заявили, что их ломают спецслужбы недружественных стран, но на диверсию криптоагентов-007 взлом не похож.

Grinex в своём репертуаре: атаку скоординировали ни много ни мало “с целью нанесения прямого ущерба финансовому суверенитету России”. Зачем недружественным спецслужбам взламывать наше всё от мира крипты вместо того, чтобы по запросу морозить кошельки от Tether — вопрос открытый. И уж тем более выводить скромные $13 миллионов со своей масштабной операции через De-Fi шарашку SunSwap. Но прикрыть дырявую инфру (а то и инсайдерскую работу) громкими заявлениями надо, прецеденты по шатанию суверенитета имеются, так что здесь уж, как водится, сам господин реал-политик сценарий пиар-отделу подсказал. Думаю, наш финансовый суверенитет этот страшный удар как-нибудь переживёт.

@tomhunter

#news NIST скорректировал свои амбиции по добавлению информации об уязвимостях в NVD. Раньше они обновляли все CVE в каталоге описанием и оценкой, но больше занимающийся этим отдел просто не справляется с бесконечным потоком.

Изменения в работе грядут серьёзные: подробную информацию оперативно будут добавлять в записи о CVE из каталога активно эксплуатируемых CISA плюс в уязвимости от продуктов в критическом и стоящем в американской госухе ПО. Остальное расписывать не будут; более того, бэклог до 1 марта 2026-го отправляется в печь — добивать недоделанное тоже не хотят. А разгадка проста: за 3 месяца 2026-го новых CVE на треть больше, чем годом ранее; а в 2025-м они обработали 42к записей — почти наполовину больше, чем в 2024-м. И всем этим занимаются 21 человек. Так что понять бедолаг можно: погожим весенним деньком один в сердцах произнёс: “А может, ну их к чёрту эти ваши CVE?”, и остальные 20 с энтузиазмом согласились.

@tomhunter

#news В Северной Ирландии пару недель назад произошла атака по школьной IT, положившая доступ к нацсистеме по всему региону. А следом поймали злоумышленника: вместо рансомвари за компрометацией стоял местный 16-летний пацан.

По следам взлома сбросили пароли всех юзеров, так что школы и ученики остались без доступа к своим аккаунтам. А большая часть школ в регионе подключена к единой системе на 20к учителей и 300к учеников, так что охват получился приличный. Судя по всему, юное дарование получило доступ к внутренним системам, скажем, нарыв где-то повторно использованный пароль, и в порядке ответа на возможную утечку админка решила снести все пользовательские креды. И образовательная система прихворала — всё онлайн же. С одной стороны, хотя бы не страшные русские хакеры, стянувшие данные на наше всё. С другой, любознательный школьник, конечно, нервы им потрепал изрядно. Будущий пентестер подрастает!

@tomhunter

#news В App Store очередной громкий кейс с дрейнером под видом криптокошелька. Криптаны лишились ~9,5 миллионов долларов, скачав фейковое приложение Ledger Wallet под macOS, две недели висевшее в магазине.

Огоньку добавляет, что это крупные кражи: три четверти суммы пришлись на трёх жёртв, потерявших по $2-3 миллиона. Один бедолага жалуется на тяжёлый день — лишился своих пенсионных 6 битков, “случайно” накатив дрейнер. Миксер, в который ушла крипта, для проформы их заморозил, но через 5 дней разморозит, если не будет официальных запросов от органов. К слову, Ledger под macOS в App Store нет — только под iOS, а под на маки на официальном сайте. Казалось бы, если у тебя миллионы долларов в крипте, какие-то базовые представления о кибербезе надо иметь. Но нет, идут в App Store и качают первое попавшееся без задней мысли, и с тех пор у них каждый день тяжёлый. Необучаемые же.

@tomhunter

#news У криптобиржи Kraken инсайдерский инцидент: компанию шантажируют сливом видео внутренних систем, хостящих пользовательские данные. И источник утечки предсказуемый: конечно же, это техподдержка.

Причём инцидент для Kraken не первый: в феврале 2025-го им сообщили, что на сайберкрайм-форумы утекло видео с демонстрацией доступа к системам техподдержки. Тогда они поймали сотрудника саппорта, купленного злоумышленниками, и, как обычно, тихонько уволили. Теперь всплыло видео новее. Доступ закрыли, юзеров уведомили — на видео засветились около 2к аккаунтов. Ну и, само собой, усилили контроль. На самом деле, нет: пока на всех этих криптопомойках и в прочих перспективных стартапах сидит техподдержка за рубежом с зарплатой в виде ветки, подобные инциденты будут повторяться. Да и парочка инсайдерских кейсов в год всё ещё дешевле, чем нанимать саппорт в первом мире на нормальный оклад.

@tomhunter

#news Новости запретных интернетов со всего света, чтобы не так обидно было. Опрос в Австралии показал, что запрет соцсетей среди подростков недостаточно эффективен: почти две трети продолжают сидеть по Тиктокам, Ютубам и Инстаграмам. Возмутительно, не правда ли?

Вот и проводивший опрос фонд из Великобритании возмущён: говорят, дети и родители заслуживают нормального бана, а не этих полумер, создающих ложное чувство безопасности. Виноваты, конечно же, компании, которые не прикладывают достаточно усилий для удаления подростковых аккаунтов. А значит, UK нужны более эффективные запреты для соцсетей, и надо бы пресловутый Online Safety Act обновить, чтобы всё было запрещено как следует. Так и пишут: нам нужен OSA круче прежнего, чтобы техгиганты знали своё место. Как выглядит заботушка о детях в исполнении ястребов онлайн-запретительства, можно почитать здесь. Верификацию возраста во все поля в ЕС проталкивают вот под таким сердобольным соусом. Как уж тут отказаться?

@tomhunter

#news ФБР анонсировало перехват фишинговой платформы W3LL и ареста разработчика — разобрали инфру на пару с индонезийской полицией, там же взяли разраба. Дотянулось и в Индонезии кровавое бюро.

W3LL была активна с 2018-го: за 500$ клиенты получали фишинговый кит, заточенный под корпоративные аккаунты Microsoft 365. Сайт также служил в качестве местечкового маркетплейса под продажу скомпрометированных акков. В общем, небольшая операция на $20 миллионов ущерба — за счёт этого и обитания в Индонезии разраб набил почти 10 лет опыта в сайберкрайме: начинал он с инструмента для имейл-спама. Но в 2023-м попал в поле зрения ибшников, и дело против него завертелось. Между тем в анонсе от ФБР приметы эпохи. “Это был не просто фишинг — это комплексная киберпреступная платформа”, — доверительно сообщает агент Грэхэм. Помогите Даше угадать, кто пишет за товарища Грэхэма пресс-релизы.

@tomhunter

#news У Rockstar Games очередная утечка: ShinyHunters стянули аналитические данные от их инстансов на Snowflake. В Rockstar говорят, что ничего серьёзного в сливе нет и большого ущерба не ждут — тот редкий случай, когда корпокоммы даже особо не привирают.

Слабым звеном оказался очередной SaaS: на прошлой неделе злоумышленники стянули токен от платформы для аналитики Anodot и пошли ковыряться по её интеграциям — пострадали десятки компаний, в том числе со Snowflake. Не первый взлом и для неё, и для Rockstar: у последней в 2022-м утекли видеоролики и скрины с ранней версии GTA VI, в декабре 2023-го — официальный трейлер игры за сутки до премьеры. В утёкшем с интеграции SaaS на Snowflake критических ассетов от флагманского продукта не найдётся — там просто аналитические метрики. Но по итогам мы получили третью утечку из Rockstar Games до выхода GTA VI. Менеджменту остаётся только надеяться, что последнюю — до релиза полгода.

@tomhunter

#news В пятницу у CPU-Z и HWMonitor обнаружили компрометацию — злоумышленники скомпрометировали один из API, и сайт доставлял троянизированные установочники с RAT. Были затронуты версии CPU-Z 2.19, HWMonitor 1.63, HWMonitor Pro 1.57 и PerfMonitor 2.04, так что проверяйте.

Провисели они, впрочем, недолго: разраб заявил об окне в 6 часов, у Касперского его обозначили в 19. За атакой стояли те же злоумышленники, что и за доставкой фейковых установочников FileZilla в марте. При этом ИБ-нерды местами негодуют: в атаке повторно использовали C2-инфраструктуру из той кампании, вредоносную нагрузку копипастнули из неё же — тот же RAT, и даже от уже публичных YARA его не почистили. На выходе халтура, мгновенное обнаружение и скукота — верните нам атаки уровня SolarWinds. Что тут скажешь… А может, всё-таки не надо?

@tomhunter

#news Пятничные новости из мира розовых единорогов. Приведём сегодняшний заголовок: “Минфин США провёл экстренное совещание с банками из-за выхода ИИ, который нашёл тысячи неизвестных уязвимостей в ПО”. Глаза закровоточили? Вот-вот.

Непрофильные издания разносят новости про закрытые встречи с сильными мира сего. Что из этой шумихи усвоит общечеловек? Что-то про явление Скайнет народу. Здесь остаётся ещё раз проговорить очевидное-невероятное: никакого супер-ИИ в подвалах Anthropic нет, никаких найденных им “тысяч неизвестных уязвимостей” тоже нет. Есть ИИ-пузырь, запитанный от специфического маркетинга под видом релизов и отчётов, и журналисты, которые превращают их в кликбейтные сенсации. Работа у них такая. Что бы мы видели, если бы болтовня Anthropic соответствовала действительности? Дрожащую от выпуска тысяч CVE и экстренных патчей экосистему. А пока видим только дрожащих СEO. Так что Скайнет откладывается, приходите позже.

@tomhunter

#news У Microsoft очередной конфуз: разрабы VeraCrypt, WireGuard и других проектов внезапно обнаружили, что им заблокировали аккаунты. А дальше пошли боты, отписки про 60-90 дней, уловки-22 в духе “Для связи нужен акк, а он заблокирован” и всё сопутствующее.

В Microsoft заявили, что предупреждали с октября — нужно пройти верификацию, или будет блокировка. К делу подключился VP и начал разряжать обстановку, но затем аккаунт отлетел у OSR — а верификацию они давно прошли. Конспирологи воют про удар по опенсорсу, публика аплодирует VP, который скачет кабанчиком. Люди поумнее задаются вопросом, почему проблемой уровня саппорт тир-1.5 занимается VP через eX-Твиттер. А в ответе на него вся суть: никаких интриг здесь нет — есть неповоротливая корпорация, парализованная аутсорсом техподдержки в третий мир напополам с глючащими ИИ-болванчиками, которыми оптимизируют низовые отделы. Бритва Хэнлона никогда не подведёт — особенно когда речь идёт о Microsoft.

@tomhunter

#news Вокруг LinkedIn разгорелся скандальчик со вкусом приватности: недавно был опубликован отчёт, обвиняющий платформу в агрессивном сборе данных об установленных расширениях в Chromium-браузерах. Но в процессе выясняется, что не всё так однозначно.

Тему разгоняют под брендом “Browsergate”, и заходы сенсационные: “LinkedIn ведёт массивную, глобальную, нелегальную шпионскую операцию на всех заходящих на сайт компьютерах” — по тексту сразу очевидно, что это чушь, рассчитанная, скажем так, на широкую публику. В реальности идёт обычный фингерпринтинг, хоть и агрессивный, с охватом на ~6к расширений — удивительного всё ещё мало. Попутно выясняется, что за “исследованием” стоит компания, забаненная LinkedIn за скрапинг и неудачно с ними судившаяся. Занавес. Но раз уж выбор стоит между шизофреническим рекрутинговым адом от Microsoft и мелким скрапером-паразитом, занимающимся чёрным пиаром, выбор лучше не делать вовсе — борьба, как водится, была равна.

@tomhunter

#news CNN опубликовала очень странную историю про взлом одного из суперкомпьютеров Китая. Некий хакер стянул ни много ни мало 10 петабайт данных, включая оборонку и хай-тек, и пытается всё это продать. Казалось бы, взлом года, если не десятилетия? Давайте заглянем внутрь.

На поверхности, если судить по тексту, в наличии и хакер, и сэмплы, и изучившие их киберэксперты. И доступ к системам на протяжение многих месяцев — чтобы незаметно стянуть 10 петабайт, ушло всего-то полгода. На деле же есть только пост от ноунейма на BF с сэмплами на Mega и продажей списка файлов за 10 XMR. В качестве эксперта ноунейм с блогом на Substack. Правдоподобно? Скромный опыт в ИБ смутно подсказывает, что утечки такого уровня выглядят иначе. Но когда ты журналист с CNN, мир полон чудес, и щитпост с BF превращается в публикацию об ужасном состоянии кибербезопасности в Китае. Если вынести за скобки простую некомпетентность, с этой целью, видимо, статью и сочинили. Ж — журналистика.

@tomhunter

#news ФБР отчитывается о новых рекордах в своей вотчине: за 2025-й американцы потеряли почти 21 миллиард долларов из-за киберпреступности. Рост стабильный, и цифра на четверть больше, чем годом ранее.

Число жалоб также выросло: с ~800 тысяч до миллиона — в основном это фишинг, вымогательство и мошенничество с инвестициями. На последнее пришлась половина инцидентов, но во главе угла крипта — $11 миллиардов потерь от почти 200 тысяч кейсов. В отчёте впервые отметилось мошенничество с ИИ: почти миллиард долларов потеряли на клонировании голоса и дипфейках. ФБР сообщает, что мужественно борется с проблемой, но успехи здесь — капля в море. Плюс из 4к уведомленных жертв четверо из пяти не понимали, что попались скамерам — с таким блаженным неведением по популяции экстраполировать график на последующие годы нетрудно.

@tomhunter

#news Anthropic разгоняет шум вокруг своей Mythos, снова по теме ИБ. “Нашёл тысячи нулевых дней во всех крупных системах, беспрецедентные возможности, революция в мире кибербеза" и так далее. Невероятный прорыв или обычный маркетинг вокруг новой модели? Да как всегда.

Если продраться через пафосные дебри анонса, ничего революционного не произошло. “Находит нулевые дни” — а кто их не находит? “Автономия, побег из песочницы” — высосанный из инструкций хайп. “Слишком опасна для широкой публики” — болтовня. “Тысячи нулевых дней” — пруфы где? В сухом остатке моделька лучше находит уязвимости и пишет эксплойты, остальное — маркетинг и заявления без подтверждений. Соответствуют ли их бенчмарки хайпу? Вряд ли. Но у тех, кто не выкупает, как работает маркетинг на ИИ и читает анонсы с открытым ртом, фантазия бурлит так, что в подвалах Anthropic мерещится AGI с IQ под 200, готовый вот-вот подмять под себя весь мир. На выходе sci-fi фанфики под видом серьёзного анализа. Эх, романтики.

@tomhunter

#news Администрация Трампа планирует урезать бюджет CISA на 2027-й год. Причём сразу на 700 миллионов долларов — это лишит агентство трети бюджета. А это точно поможет Штатам с ИБ? Оптимизаторы утверждают, что так CISA вернётся к своей “ключевой задаче”.

Новая администрация CISA невзлюбила с самого начала: товарищ президент заявляет, что агентство занимается цензурой, а не кибербезопасностью. CISA от обвинений вяло отмахивается, но им не до того — главная ИБ-структура США при Трампе явно не в лучшей форме, и после года сокращений, увольнений и прочих оптимизаций дышит на ладан. При этом за последний год в Штатах несколько масштабных взломов от китайцев, иранцев и прочих киберсущностей, которыми американцев пугают уже лет десять. Так что как сложится у CISA с ключевой задачей в 2027-м — вопрос не праздный. Пока апэтэшечки явно могут быть благодарны обезьяне с гранатой в Белом Доме.

@tomhunter

#digest Подводим итоги марта дайджестом ключевых ИБ-новостей. Месяц выдался богатым на события. Ключевым стала утечка гос-эксплойтов на вторичный рынок — в сетевых дебрях засветились два эксплойт-кита под iOS.

Март в целом не скупился на утечки: у Claude Code случайно слили исходники, а у Cisco утекли исходники из ~300 репозиториев после компрометации Trivy. Другой заметной атакой на цепочку поставок после Trivy стала компрометация Axios на npm. В Бразилии ввели закон о верификации возраста с далеко идущими последствиями, а в США запретили импорт иностранных роутеров. Об этом и других интересных новостях первого весеннего месяца читайте на Хабре!

@tomhunter

#news Исследователь слил PoC к непатченной уязвимости в Windows в свободный доступ, устав бодаться с MSRC по теме раскрытия. Мотивация до конца не ясна, но, похоже, бедолага просто не выдержал общения с корпоративной ибшечкой.

Сам эксплойт под локальную эскалацию привилегий, toctou + path confusion. PoC рабочая, но не на 100% надёжная, и эксплойт не самый простой. Сам исследователь отказывается что-либо объяснять и явно выгорел, устав бодаться с Microsoft: посты сводятся к невнятному вою с ИБ-болот на тему того, какие ужасные люди работают в MSRC. Восстановить ход событий несложно: исследователь раскрывает им баг, он теряется в корпоративных дебрях, его закрывают как non-issue, переоткрывают, молчат, требуют видео с проверкой концепции, закрывают снова. И так месяцами. Взаимодействовать с BB крупных компаний — это не для слабых духом. Помянем бедолагу.

@tomhunter