Пост Лукацкого

29 ноября 2023 16:12

Свежий проект RULER (Really Useful Logging and Event Repository) про то, какие логи и какие события в них наиболее полезны при расследовании инцидентов. Проект только в самом начале своего развития и пока там данные только по антивирусам (из наших там только Каспер) и средствам удаленного администрирования. Автор приглашает всех участвовать.

ЗЫ. Как пишет автор, проект не про то "что надо регистрировать", а про то, что включено по умолчанию и приносит пользу.

#soctech

Пост Лукацкого

29 ноября 2023 12:31

Коллекция публичных отчетов об инцидентах с индикаторами компрометации, раскрытых самими компаниями-жертвами или с их согласия. Нечасто компании признают факт инцидента ИБ у себя, а уж выложить детальные результаты расследования тем более 😎

#soctech

Пост Лукацкого

29 ноября 2023 05:40

Вся ИБ решений Unitronics на сайте производителя 🤠

Пост Лукацкого

29 ноября 2023 05:40

Сначала сломали американскую Idaho National Lab, занимающуюся ядерной энергетикой. Потом хакнули китайскую China Energy Engineering Corporation и почти в тоже самое время словенскую Holding Slovenske elektrarne (HSE). Электроэнергетике приходится несладко, как и вообще предприятиям, которые раньше считали себя неуязвимыми. "Кто будет ломать АСУ ТП? Это же надо в ней разбираться!", - говорили они. "Да у нас вообще никаких открытых протоколов, только проприетарные, что делает нас более защищенными!" И вот история начинает показывать, кто был прав.

Иранская хакерская группа Cyber Av3ngers взломала систему Муниципального управления водоснабжением города Аликвиппы в штате Пенсильвания. Взлому подверглась система АСУ ТП израильской Unitronics, решения которой используется преимущественно в США, Австралии и Италии, но есть заказчики и в России. Unitronics строила свое решение на базе проприетарного протокола PCOM, который позволяет удаленно управлять промышленными контроллерами (TCP-порт 20256). И как это часто бывает, PCOM не содержит ни механизма шифрования, ни аутентификации, без которых можно не только перехватывать управляющий трафик, но и вмешиваться в него - можно менять конфигурацию устройств и даже прерывать взаимодействие между ПЛК и управляемыми датчиками и исполнительными устройствами.

Доступность многих устройств Unitronics через Интернет и наличие модуля в Metasploit делает компании, использующие решения израильского вендора, легкой мишенью. И ладно, если бы речь шла о какой-нибудь 0-Day. Но нет. В апреле этого года уже было зафиксировано несколько атак в рамках кампании #OpIsrael, направленной против организаций из Земли Обетованной, которые использовали решений Unitronics. После 7-го октября атаки вновь повторились и мы видели немало заявлений про-палестинских группировок о взломе/проникновении в системы промышленной автоматизации Израиля. Были среди них и решения Unitronics.

Пост Лукацкого

28 ноября 2023 15:59

Каково это быть чуваком, которого будут звать «коровьим хакером» или «коровьим пентестером»? 🐄

Но вообще странно. Они пишут, что они первые провели анализ IoT-протокола в сенсорах, висящих на коровах. Но я про это рассказывал (а про что я еще не рассказывал и не писал?) еще в году 2010-м или около того, опираясь на известные уже тогда исследования по взлому датчиков, отслеживающих местоположение и «здоровье» коров 🐄

Угнать стадо коров, подменив геолокацию, это вам не шутки. В Техасе за такое и грохнуть могут 🤠

Пост Лукацкого

28 ноября 2023 08:59

Выложены все видео-записи с прошедшей Moscow Hacking Week:
🔤 Standoff 101 (28 видео)
🔤 Standoff 12 (42 видео)
🔤 Standoff Talks (19 видео)
🔤 Standoff Hacks (standoff365/featured">скоро)

Пост Лукацкого

27 ноября 2023 19:13

С дня благодарения (четвертый четверг ноября) в США начинается праздничный сезон, длящийся до Нового года. А у хакеров начинается предрождественский и предновогодний чёс 🎁

Будьте внимательны! Самое время провести повышение осведомленности среди сотрудников, фишинговые симуляции 💌 и вот это вот все. И помните, что «Черной пятницей» все не заканчивается!

Пост Лукацкого

27 ноября 2023 12:25

Если бы я был хакером, взломавшим предприятие, занимающееся ядерными вооружениями, ИБ АСУ ТП, строительством 50+ атомных реакторов, радиологической медициной, климатом и кучей других, в том числе секретных проектов, последнее, что я бы крал, - это список сотрудников 💻

Вообще, всегда удивляло, почему все так носятся с этими давно уже всем известными краденными персданными. Что там вообще бывает интересного? ИНН/SSN, возраст, место жительства, уровень образования и другая малополезная инфа? Где доносы на коллег, компрометирующие фотки с корпоративов, сведения об интрижках с коллегами и другое персональное грязное белье? Последнего же ничего нет в утечках обычно. Почтовые архивы перестали почти выкладывать.

Когда публикуются только дампы с ПДн организаций, у которых есть гораздо более ценные активы, у меня сразу возникает несколько предположений:
🔤 Это просто сродни надписи «Здесь был Вася» и вообще детский сад (но именно за это будут впаивать оборотные штрафы) 🙏
🔤 Это поматрошенные и брошенные выпотрошенные данные, никому уже ненужные (значит инцидент случился задолго до) 💻
🔤 Это прикрытие и отвлечение внимания от более ценной украденной информации (у INL точно, что было брать) 🤑
🔤 Это прикрытие более серьезных действий (внедрение закладок в разрабатываемый код, кража денег, перехват управления…) и инцидент еще даст о себе знать, но спустя какое-то время и не там, где это все ждут 😎
🔤 Все хакеры проходили один и тот же тренинг «Как взломать организацию», в рамках отработки заданий все крали данные, а на домашку ни у кого уже не хватило желания. Вот и творчт только то, что уже делали под руководством инструктора 🖕

Пост Лукацкого

26 ноября 2023 19:15

Что он хочет сделать паяльником с батарейкой? Зарядить ее? Закрепить в слоте? Обнулить BIOS? Стереть логи? 💻

ЗЫ. Есть, правда, знатоки, уверяющие, что холодным паяльником удобно втыкать CMOS-батарейку, не оставляя отпечатков пальцев 🖕

Пост Лукацкого

26 ноября 2023 14:49

Мда... OpeAI реально открыл ящик Пандоры 📦 С одной стороны, они позволяют почти всем желающим сделать себе персонального ассистента, который, получив доступ к почте, календарю, приложениям по здоровью, банковскому счету и т.п., начинает подсказывать, советовать, напоминать и делать жизнь чуточку проще. А с другой... Прайваси в топку. А если это все сломают, то кто-то получит безграничные возможности по манипулированию людьми через API.

ЗЫ. О, я даже название для этого придумал - APIкалипсис!

Пост Лукацкого

26 ноября 2023 07:40

Главное управление разведки МинОбороны Украны заявляет о проведении кибероперации против Росавиации ✈️, краже большого объема конфиденциальных документов (можно скачать) 🤫 и выкладывает доказательства ✈️

ЗЫ. Интересно, это связано как-то с летними новостями про кражу данных из Росавиации сотрудницей с украинским гражданством? Это ГУР затянуло с публикацией или очередной новый инцидент?

Пост Лукацкого

25 ноября 2023 17:03

А хакеры еще не придумали вместо внедрения вредоносного ПО для распределенного майнинга заниматься распределенным обучением ML-моделей? Думаю не за горами реализация идеи…

Пост Лукацкого

25 ноября 2023 15:04

Для тех, у кого нет подписки на Kion, выложили весь сериал на Youtube. Сам пока не смотрел. Отзывы противоречивые.

Пост Лукацкого

25 ноября 2023 07:40

А ведь до сих пор находятся те, кто попадаются на удочку авторов Шнобелевской премии по литературе. Да-да, нигерийские спамеры 💻 в 2005-м году получили эту премию за создание целой плеяды колоритных персонажей, чьи родственники были миллионерами, чьим наследством все эти "принцы", "директора банков", "космонавты" готовы были поделиться со всеми доверчивыми желающими... 🙈

Пост Лукацкого

24 ноября 2023 16:01

Я не раз писал, что подводить итоги года и оценивать ключевые события ИБ года уходящего в ноябре и тем более в октябре - дело неблагодарное, так как даже в последних числах декабря может произойти всякое (SolarWinds и Log4Shell, привет). Но вот что-нибудь спрогнозировать на год грядущий, это вполне можно. Так что ловите блиц-прогноз на год выборов трех президентов.

Более подробно про них, а также про другие прогнозы на год грядущий, можно будет скоро прочитать в новом выпуске Positive Research, для которого я написал большой текст.

Пост Лукацкого

29 ноября 2023 14:33

Индусы вдруг ищут...

Пост Лукацкого

29 ноября 2023 08:58

В «украденной» в одном непубличном канале блок-схеме действий в случае инцидента не хватает одного варианта отмазки - «там не все данные клиентов, а только малая часть».

Вот и Okta по этому пути пошла. Сначала она заявила об утечке данных всего 1% клиентов. А теперь выясняется, что утекли данные всех 100% заказчиков.

Вы же знаете, что делать, если у вашего подрядчика, особенно в области ИБ, утечка?

Пост Лукацкого

29 ноября 2023 05:40

Что сделает нормальный ИБшник, когда узнает о том, что на компании, использующие такие же, как и у него решения, были совершены кибернападения и они были успешны? Конечно, же начнет сокращать площадь атаки:
1️⃣ прикроет доступные извне порты PCOM-устройств,
2️⃣ поменяет пароли, особенно заданные по умолчанию (у Unitronics нет MFA в решениях),
3️⃣ настроит периметровые средства сетевой безопасности для блокирования доступа к известным портам,
4️⃣ поставит инфраструктуру на дополнительный мониторинг,
5️⃣ обновит все ПО и будет отслеживать его целостность (как на ПЛК и HMI, так и на других компонентах АСУ ТП)
6️⃣ по возможности обеспечит целостность сетевых коммуникаций (хоть наложенными средствами)
7️⃣ запросит у вендора рекомендации по ИБ его оборудования
8️⃣ проведет киберучения для своей команды по реагированию на инциденты.

Но нет, американские ИБшники не такие; они думают, что палестинско-израильский конфликт их не коснется и что океан, разделяющий их и пропалестинских хакеров, является надежным препятствием для кибератак. Но нет...

Пост Лукацкого

28 ноября 2023 19:03

Вот у отдельных индивидуумов 💻 жизнь интересная. Жаловаться на мои заметки в Telegram ✈️ и потом со мной делиться сим достижением.

А я чего? Я ничего. Продолжаю писать о том, что мне интересно. Подстраиваться под чужие ожидания в отношении меня, которым я не соответствую, я не планирую 🖕

Пусть человек хоть так сублимирует свою энергию 🐇 и мелкую моторику развивает в процессе написания жалоб. Так, глядишь, настрополится и можно в кибердружинники или Лигу безопасного Интернета попроситься - там барабанщики такой тонкой душевной организации нужны 🖕

Пост Лукацкого

28 ноября 2023 12:31

Скромненькая, почти двухсотстраничная презентация с анализом использования легитимных коммерческих средств удаленного доступа (AnyDesk, TeamViewer, ConnectWise, FileZilla, WinSCP и т.п.) в деятельности хакеров. Артефакты, индикаторы, примеры...

#soctech

Пост Лукацкого

28 ноября 2023 07:09

У хакеров тоже «черная пятница» и «киберпонедельник» 🤑

Пост Лукацкого

27 ноября 2023 15:57

Американские и английские регуляторы по ИБ начали койны 🪙 выдавать отдельным экспертам, работающим во благо государства. Англичане выдают койн от имени NCSC, а американцы - от имени директора CISA. А у нас дают медали 🏅 «За укрепление…». Вроде еще и грамоты дают или просто в «зал славы» на сайте включают. А иногда именное табельное оружие вручают; ну или, как минимум, серебряный кинжал 🗡

ЗЫ. Как по мне, так койн - это что-то между ведомственной медалью и грамотой 🏅 Сделать проще, жирными от селедки пальцами не заляпаешь, и не надо морочиться с бюрократической машиной, как с медалями.

Пост Лукацкого

27 ноября 2023 08:59

Чем закончилась утечка из «Здравсити»

Если компания заявляет, что утечки данных не было, стоит ли ей верить на слово?

1 февраля на одном хакерском форуме появилось сообщение о взломе онлайн-сервиса по заказу лекарств «Здравсити». Злоумышленник выставил на продажу данные почти 9 миллионов клиентов, включая имена, даты рождения, телефоны, email'ы и пр. Для подтверждения был опубликован небольшой фрагмент похищенной базы.

2 февраля об утечке сообщил телеграм-канал «Утечки баз данных». На это обратили внимание СМИ, а вскоре отреагировал и руководитель маркетплейса:

«Информация о взломе онлайн-сервиса "Здравсити" не соответствует действительности. На текущий момент мы проводим тщательное расследование инцидента. Первые выводы свидетельствуют о том, что появившаяся информация носит провокационный характер. Из пробных строк выгрузки, приведенных в качестве примера подтверждения, определенно видно, что база неактуальная».

На этом опровержении публичная история утечки закончилась. Ничего интересного.

Но не расходитесь. Из материалов судебного дела можно узнать, что было дальше.

14 февраля, спустя почти две недели, компания «Проаптека», которая, очевидно, отвечает за развитие сервиса, уведомила Роскомнадзор «о неправомерной или случайной передаче персональных данных, повлекшей нарушение прав субъектов персональных данных», а 17 февраля направила в ведомство ещё одно уведомление. Причиной инцидента был назван «несанкционированный доступ к базе данных, расположенной у внешнего подрядчика, скачивание базы данных пользователей – участников программы лояльности клиентов через создание пользователя с административными правами посредством команд API».

Через пять месяцев, 17 июля, Роскомнадзор составил по этому поводу протокол об административном правонарушении. А ещё через два месяца суд признал компанию виновной по ч.1. ст. 13.11 КоАП и назначил штраф в 60 тысяч. Представитель компании в суде с правонарушением согласился, правда, как часто бывает в таких делах, просил ограничиться предупреждением.

Но, напомню, публичная история утечки закончилась опровержением. Теперь вот и вы в курсе.

К сожалению, это, скорее, типичная история, чем исключение. Организации могут говорить что угодно, уточнять информацию их никто не обязывает, оповещать клиентов тем более. Наиболее распространённая стратегия реагирования — сидеть тише воды, ниже травы. А пока подробности инцидента остаются тайным знанием узкого круга, злоумышленники аналогичным образом ломают и другие организации. Не особо способствует повышению осведомлённости о причинах и последствиях утечек и Роскомнадзор, в основном ограничиваясь рапортами о количестве составленных протоколов (то есть о своих успехах).

Стоит ли удивляться скепсису граждан относительно способности государства и бизнеса защищать персональные данные?

Пост Лукацкого

26 ноября 2023 17:03

Ничего необычного, просто пресс-релиз хакерской группировки, отчитывающейся о своей деятельности… ✍️

Пост Лукацкого

26 ноября 2023 11:13

Прекрасное 🎮

ЗЫ. Спасибо подписчику, который порадовал сим прекрасным видео, показывающим сколь важна роль грамотных юристов в «кибер»-делах 👩‍⚖️👨‍⚖️

Пост Лукацкого

25 ноября 2023 19:01

Раз уж у нас киновыходные, то вот вам еще один фильм про хакеров и киберугрозы будущего, но снятый почти 40 лет назад 😂 Речь об анимэ «Призрак в доспехах», в котором кибертеррористы взламывали нейронные имплантаты, вживленные в людей, в том числе и в мозг человека 🤯 (Илон, привет), что приводило к смерти человека. Само анимэ было снято по мотивам одноименной манги 1985-го года, а потом уже, в 2017-м, появился полнометражный фильм с Скарлетт Йоханссон в главной роли.

ЗЫ. А вообще было несколько одноименных анимэ 🥡, продолжающих изначальную серию.

Пост Лукацкого

25 ноября 2023 15:04

Вышел документальный сериал про информационную безопасность «Невидимая война», все серии доступны в YouTube. Можно послушать мнения экспертов об актуальных угрозах и узнать о работе в сфере ИБ.

Пост Лукацкого

25 ноября 2023 11:26

Еще один документальный фильм на Kion 🎥 На этот раз про различные анонимные каналы в Телеграм и откуда их авторы берут очень чувствительную и конфиденциальную информацию 🤫, часто сопряженную со взломом и другими нарушениями в области кибербеза 👨‍💻

ЗЫ. Сам пока не смотрел 🍿

Пост Лукацкого

24 ноября 2023 19:01

Эмблема Техасского саммита по кибербезу. Почему у них русские слова на эмблеме?!

Пост Лукацкого

24 ноября 2023 12:28

Видеозапись моего выступления с Standoff про киберугрозы на горизонте 5-10 лет.