Cynosure // Hack News

Хакеры используют TikTok для распространения вредоносного ПО через «ClickFix» 🛡 Новая угроза: — Злоумышленники загружают в TikTok фейковые видео (сгенерированные ИИ), предлагающие «активацию» Windows, Office, Spotify и CapCut. — При запуске PowerShell-команд из роликов жертвы заражаются StealC и Vidar (информационные стилеры). 📌 Детали: • Видео набирали до 500K просмотров (аккаунты уже заблокированы). • Метод ClickFix позволяет запускать вредоносный код прямо в памяти, минуя защиту. 💻 Другие атаки мая 2025: Latrodectus — малвар-загрузчик (преемник IcedID), распространяется через поддельные сайты с PowerShell-командами. Фейковый Ledger Live — троянизированные DMG-файлы крадут seed-фразы кошельков (атакуют macOS через AMOS и Odyssey). Подписывайтесь на @cynosurenews, чтобы не пропускать новые посты!

Уязвимость в Windows Server 2025 позволяет атаковать Active Directory Исследователи Akamai обнаружили критическую уязвимость в Windows Server 2025, которая позволяет злоумышленникам эскалировать привилегии и компрометировать любого пользователя в Active Directory (AD). Уязвимость связана с новой функцией Delegated Managed Service Accounts (dMSA), добавленной в Windows Server 2025 для защиты от атак Kerberoasting. Однако её реализация создаёт риск эскалации привилегий. Как это работает? dMSA позволяет заменить устаревшие сервисные аккаунты, перенимая их права. Во время аутентификации Kerberos система передаёт не только SID нового dMSA, но и все SID старого аккаунта и его групп. Злоумышленник может создать поддельный dMSA, указав его как "наследника" любого пользователя (включая администраторов домена), и получить его права. Насколько это опасно? Атака тривиальна в исполнении и работает в конфигурации по умолчанию. В 91% проверенных сред есть пользователи с достаточными правами для её выполнения. Уязвимость получила название BadSuccessor. Что делает Microsoft? Компания оценила уязвимость как "умеренную" и пока не выпустила экстренный патч, так как для атаки нужны специфические права на объект dMSA. Однако исправление уже разрабатывается. Даже без активного использования dMSA домен Windows Server 2025 может быть уязвим. Организациям стоит проверить настройки AD и минимизировать риски.

Китайские хакеры атакуют компании через уязвимости в Ivanti EPMM Группа UNC5221, связанная с Китаем, активно использует две уязвимости в Ivanti Endpoint Manager Mobile (EPMM) для атак на организации в Европе, Северной Америке и Азиатско-Тихоокеанском регионе. Какие уязвимости эксплуатируются? CVE-2025-4427 (5.3 CVSS) и CVE-2025-4428 (7.2 CVSS) позволяют выполнять произвольный код без аутентификации. Уязвимости были исправлены Ivanti на прошлой неделе, но атаки начались ещё 15 мая 2025 года. Кто стоит за атаками? Группа UNC5221 известна атаками на сетевые устройства и ранее использовала уязвимости в SAP NetWeaver (CVE-2025-31324). Как работает атака? Взлом через API Хакеры атакуют эндпоинт /mifs/rs/api/v2/, получая обратную оболочку (reverse shell). Загрузка вредоносного ПО Используется KrustyLoader (Rust-лоадер) для доставки дополнительных payload-ов, например, Sliver C2. Кража данных из базы EPMM Через жестко прописанные MySQL-креды злоумышленники получают доступ к данным: Управляемым мобильным устройствам Учетным записям LDAP Токенам Office 365 Разведка и перемещение по сети Применяются замаскированные shell-команды и Fast Reverse Proxy (FRP) — популярный у китайских хакеров инструмент. Какие отрасли под ударом? Здравоохранение Телекоммуникации Авиация Финансовый сектор Государственные учреждения Оборона Связь с другими китайскими операциями: Обнаружен C2-сервер (146.70.87[.]67:45020), ранее использовавшийся бекдором Auto-Color, который атаковал университеты и госструктуры в 2024 году.

Уязвимые роли IAM в AWS: как злоумышленники могут захватить ваш облачный аккаунт Исследователи кибербезопасности обнаружили опасные умолчательные роли IAM в Amazon Web Services, которые позволяют злоумышленникам повышать привилегии, манипулировать другими сервисами AWS и даже полностью компрометировать аккаунты. В чём проблема? Некоторые сервисы AWS (например, SageMaker, Glue, EMR и Lightsail) автоматически создают роли с избыточными правами, такими как полный доступ к S3. Эти роли, изначально предназначенные для конкретных задач, на деле открывают лазейки для атак: Перемещение между сервисами – злоумышленник может использовать одну уязвимую роль для доступа к другим ресурсам в том же аккаунте. Эскалация привилегий – например, через подмену шаблонов CloudFormation или скриптов EMR. Полный контроль – в худшем случае атакующий получает возможность управлять всем аккаунтом AWS. Допустим, злоумышленник загружает вредоносную модель машинного обучения в Hugging Face. Когда её импортируют в SageMaker, выполняется произвольный код, который может похитить IAM-ключи или внедрить бэкдор в сервис Glue. Дальше – поиск уязвимых S3-бакетов и дальнейшее повышение прав. Что сделал AWS? Компания изменила политики AmazonS3FullAccess для стандартных ролей и обновила документацию, рекомендуя ограничивать права вручную. Однако проблема шире: многие организации по-прежнему полагаются на настройки по умолчанию, не проверяя их безопасность

🚨 Новая кампания криптоджекинга атакует серверы Redis Исследователи кибербезопасности обнаружили новую кампанию #RedisRaider, нацеленную на публично доступные серверы Redis. 😎 Вредонос использует команды Redis для внедрения cron-заданий и загружает Go-модуль, устанавливающий майнер XMRig. 😎 Распространяется на другие серверы Redis, расширяя масштабы атаки. 😎 Злоумышленники также запустили веб-майнер Monero, увеличивая прибыль. Параллельно Guardz выявили атаку на Microsoft Entra ID через устаревшие протоколы аутентификации, позволяющие обходить MFA.

Новый ботнет HTTPBot атакует игровую и IT-сферу с точными DDoS-атаками Исследователи кибербезопасности обнаружили новый ботнет под названием HTTPBot, который целенаправленно атакует игровую индустрию, технологические компании и образовательные учреждения в Китае. 🟦 Что известно? HTTPBot использует HTTP-протокол для точечных DDoS-атак, обходя традиционные системы защиты. Написан на Golang, но атакует Windows-системы, что редкость для ботнетов. С апреля 2025 года запущено более 200 атак на игровые сервисы, платежные системы и образовательные порталы. 😎 Особенности атак Ботнет действует с «хирургической» точностью, атакуя критические бизнес-процессы: Имитирует легитимный трафик через скрытые сессии Chrome. Использует HTTP/2 и WebSocket, чтобы увеличить нагрузку на серверы. Манипулирует куками и сессиями, а не просто заваливает трафиком. ⚙️ Как работает? Скрывает интерфейс, чтобы избежать обнаружения. Прописывается в реестре Windows для автозапуска. Подключается к C2-серверу и получает команды для атак. 🟦 Почему это важно? HTTPBot меняет подход к DDoS: вместо «грубой силы» — точечное воздействие на бизнес-логику, что делает его особенно опасным для онлайн-сервисов.

😎 Новые уязвимости Intel: утечки памяти и атаки Spectre v2 Исследователи ETH Zürich и VUSec обнаружили критические уязвимости в процессорах Intel, позволяющие злоумышленникам обходить защиту и получать доступ к конфиденциальным данным. Ключевые уязвимости: Branch Privilege Injection (BPI, CVE-2024-45332) Воздействует на все современные CPU Intel Позволяет читать кеш-память и оперативную память других процессов Оценка CVSS: 5.7 Training Solo (CVE-2024-28956, CVE-2025-24495) Spectre v2-подобные атаки с утечкой данных до 17 Кб/с Ломают изоляцию между процессами (user-user, guest-host) Затронуты: Intel Core 9–11 поколений, Xeon 2–3 поколений Процессоры с архитектурой Lion Cove Что делать? 🟦 Установите микрокод-патчи от Intel (выпущены 13 мая 2025) 🟦 Обновите ОС – исправления уже включены в последние версии 🟦 Отслеживайте аномальную активность – атаки требуют локального доступа AMD также предупредила о рисках, связанных с cBPF (classic Berkeley Packet Filter).

😎 Утечка данных в Coinbase: злоумышленники получили доступ через сотрудников Криптобиржа Coinbase сообщила о компрометации данных части пользователей. Инцидент произошёл из-за доступа к внутренним инструментам поддержки: Затронуто менее 1% клиентов (из 9.7 млн активных пользователей) Утекшие данные: имена, контакты, частичные реквизиты, сканы документов, история транзакций Средства и приватные ключи не скомпрометированы Детали инцидента: • Злоумышленники использовали финансовые стимулы для доступа к данным • Сотрудники поддержки, вовлечённые в инцидент (Индия), уволены • Coinbase опровергает утверждения о длительном доступе злоумышленников Меры защиты: 🟦 Включите двухфакторную аутентификацию 🟦 Активируйте allow-listing для вывода средств 🟦 Будьте осторожны с фишинговыми запросами Компания предлагает $20 млн за информацию о злоумышленниках и возместит убытки пострадавшим.

Утечка данных Steam: что произошло? Valve сообщает, что утечка старых SMS с одноразовыми кодами Steam не связана со взломом платформы. Данные включают номера телефонов и коды, которые уже недействительны (действовали только 15 минут). 😎 Что известно? Пароли, платежные данные и другие личные данные не пострадали. Утечка могла произойти на уровне операторов связи (SMS передаются в незашифрованном виде). Использовать старые коды для взлома невозможно. Источник: официальное уведомление Steam

🚨 Внимание: новая уязвимость высокой степени опасности в Google Chrome уже активно используется злоумышленниками CVE-2025-4664 позволяет злоумышленникам похищать конфиденциальные данные, такие как учетные данные, с помощью специально созданных HTML-страниц и изображений-ловушек. Уязвимость затрагивает версии Chrome ниже 136.0.7103.113 — а также, вероятно, и другие браузеры на базе Chromium.

Утечка данных Steam: эксперт разоблачил реальный масштаб инцидента 🟦 По данным специалиста по кибербезопасности из heise, утечка 89 миллионов аккаунтов Steam на самом деле представляет собой смесь старых данных и журналов доставки SMS. Изучив архив, эксперт пришел к выводу: 1. У злоумышленников есть временные коды, номера телефонов (в основном португальских пользователей) и метаданные сотовых операторов. 2. Основной риск касается бразильцев — в сети появились 53 миллиона уникальных номеров. 3. SteamDB сообщает, что Twilio (партнер Steam по двухфакторной аутентификации) не обнаружил следов взлома. Выводы: 😎 Утечка не содержит свежих паролей или полных данных аккаунтов. 😎 Наибольший ущерб может быть нанесен пользователям из Бразилии и Португалии. 😎 Двухфакторная аутентификация (Steam Guard) остаётся надёжной защитой. Рекомендации: 1. Если ваш номер телефона привязан к Steam, проверьте настройки конфиденциальности. 2. Включите Steam Guard, если ещё этого не сделали.

Добавил чат для обсуждения

Ставьте пожалуйста реакции, чтобы понимать, что это вам интересно)

Утечка данных Steam: в Darknet попали данные 89 миллионов аккаунтов По неподтвержденным данным, в Darknet появилась информация о 89 миллионах аккаунтов Steam. Безопасность могут сохранить только пользователи с двухфакторной аутентификацией. Продавец под ником Machine1337 предлагает купить базу за $5000. Valve уже расследует инцидент — утечка может быть реальной. Что известно на данный момент? Valve и партнеры (включая Twilio, отвечающий за двухфакторную аутентификацию) заявляют, что утечка произошла не из их систем. Возможная причина — сторонняя кибератака, в результате которой злоумышленники получили доступ к данным. Что делать, если у вас нет двухфакторной аутентификации? 1. Перейдите в настройки безопасности Steam. 2. Смените пароль на новый и более сложный. 3. Включите Steam Guard — это защитит аккаунт от взлома.

Хакеры взломали LockBit и слили данные 60 000 BTC-адресов Злоумышленники получили доступ к инфраструктуре вымогательской группировки LockBit и опубликовали: 59 975 биткоин-адресов (возможно, аффилированных лиц) 4 442 переговора с жертвами о выкупе Конфигурации атак и логи серверов Данные 75 администраторов с паролями в открытом виде Детали: Взлом произошел 29 апреля через уязвимость в PHP 8.1.2 На форумах появилось сообщение: «Не занимайтесь преступлениями. xoxo из Праги» Разработчик LockBitSupp подтвердил утечку, но отрицает компрометацию приватных ключей Контекст: В феврале 2024 года NCA арестовало 200 криптокошельков группы. Стиль атаки совпадает со взломом даркнет-площадки Everest — возможно, одни и те же хакеры.

Мошенники атакуют бизнес-аккаунты Meta через фишинг Обнаружена масштабная кампания Meta Mirage — злоумышленники создали 14 000+ поддельных страниц, имитирующих уведомления Meta Business Suite. Как это работает? Рассылают фальшивые предупреждения о блокировке или нарушении правил Используют доверенные платформы (GitHub, Firebase), чтобы обойти защиту браузеров — 78% ссылок не блокируются Крадут логины, пароли, OTP-коды и куки, получая полный доступ к аккаунтам Чем опасны взломанные аккаунты? Мошенники запускают вредоносную рекламу Получают доступ к платежным данным и клиентской базе Как защититься? 🔒 Входите в аккаунт только через официальный сайт/приложение 🔒 Включите двухфакторную аутентификацию 🔒 Проверяйте URL перед вводом данных Источник

🖥 › Раскройте тайны интернета с CynosureLogger! Кто скрывается за кликом? — CynosureLogger покажет! Получите IP-адрес любого пользователя, перешедшего по вашей ссылке. CynosureLogger – это: 1) Мгновенное определение IP-адреса! 2) Невероятно простая утилита в использовании, а так же с приятными ценами! 3) Информация, которая поможет вам принимать более эффективные решения! 🟦 CynosureLogger – приоткройте завесу тайны!