Обзор инцидентов безопасности за период с 28 января по 3 февраля 2019 года

Коротко о самых значимых событиях прошедшей недели.

В Сети продолжают появляться массивы, содержащие миллиарды ранее утекших данных. К примеру, на прошлой неделе специалисты обнаружили беспрецедентный архив из 2,2 млрд уникальных имен пользователей и паролей, распространяемый на хакерских форумах и торрент-трекерах. Массив данных объемом 845 ГБ, получивший название Сollections #2–5, содержит 25 млрд записей — в три раза больше, чем архив Collection #1, обнаруженный в середине января нынешнего года. Миллионы клиентов крупнейшего государственного банка в Индии State Bank of India (SBI) оказались под угрозой из-за не защищенного паролем сервера системы SBI Quick, позволявшего любому желающему получить доступ к финансовой информации. Неизвестно, как долго сервер оставался открытым, однако этого времени хватило на то, чтобы его обнаружили исследователи в области безопасности.

В середине прошлой недели компания Airbus сообщила об «инциденте безопасности», который привел к утечке профессиональных контактных данных некоторых сотрудников производителя в Европе. Ведется расследование инцидента.

Американская компания Rubrik, специализирующаяся на информационной безопасности и управлении облачными данными, допустила масштабную утечку информации своих клиентов. На незащищенном сервере Amazon Elasticsearch была обнаружена база данных, включавшая десятки гигабайтов информации об именах клиентов, контактных сведениях, номерах телефонов, должностях, содержимом электронных писем и в некоторых случаях данных о настройках и конфигурациях систем клиентов. По словам представителей компании, причиной инцидента послужила ошибка сотрудника, не изменившего на сервере установленные по умолчанию настройки.

Исследователь безопасности из Нидерландов Виктор Геверс (Victor Gevers) обнаружил учетную запись, используемую злоумышленниками в качестве бэкдора для доступа к серверам местных и зарубежных компаний, работающих в России. Учетная запись была обнаружена в доступных через интернет незащищенных базах данных MongoDB. Любой обнаруживший ее киберпреступник мог беспрепятственно получить доступ к серверам тысяч компаний на территории РФ.

Киберпреступники продолжают выводить средства с новозеландской криптовалютной биржи Cryptopia, первая атака на которую была осуществлена 14 января. Тогда злоумышленникам удалось похитить $16 млн в криптовалюте, после чего они затихли. Однако 29 января транзакции возобновились и киберпреступникам удалось похитить 1675 ETH из 17 тыс. криптовалютных кошельков.

В ходе совместной операции сотрудники правоохранительных органов Украины, Федерального подразделения по борьбе с компьютерной преступностью Бельгии, Европола, ФБР и Налоговой службы США ликвидировали популярную торговую даркнет-площадку xDedic, предлагавшую учетные данные для доступа к взломанным серверам. Киберпреступники взламывали серверы через протокол RDP и продавали доступ к ним по цене $6-10 тыс. за один сервер.

Эксперты предупредили о новой мошеннической кампании, направленной на посетителей ресурсов с контентом «для взрослых». Злоумышленники рассылают жертвам письма с требованием выплатить $969 в биткойнах, в противном случае угрожая опубликовать компрометирующее видео.

Специалисты компании FireEye раскрыли подробности о деятельности предположительно связанной с Ираном группировки, окрещенной АРТ39. Для атак на целевые объекты киберпреступники используют украденные у туристических агентств и операторов связи данные. В основном группировка использует бэкдоры SEAWEED и CACHEMONEY, а также вариант бэкдора POWBAT. Чаще всего злоумышленников интересуют организации в странах Ближнего Востока, в частности, в Катаре, Саудовской Аравии и пр.