🙂Охота на охотников:

как элитных безопасников на DEF CON пытались развести через Google Docs

Нападать на ИБ-специалистов прямо во время культовых хакерских консилиумов Black Hat и DEF CON - верх наглости, но киберпреступников это не смутило. ⚡️Злоумышленники развернули целевую фишинговую кампанию против участников тусовки, прикрываясь брендом CoinDesk и фейковыми предложениями о сотрудничестве. Однако сотрудник компании Huntress раскусил скамера с первых секунд, подыграл ему и записал весь Kill Chain до мельчайших деталей. 🔍Схема строилась вокруг интерактивных документов Google Docs с кастомным Apps Script:

🟦Интерактивная ловушка: Жертве присылали ссылку на документ и секретный "ключ расшифровки". Вбитый ключ ожидаемо выдавал ошибку, после чего скрипт на лету определял ОС и предлагал жертве "восстановить доступ".

🟦Удар по macOS: Пользователям яблочной системы подсовывали вредоносный образ под видом обновления Google API или команду для Терминала. Внутри прятался инфостилер Atomic macOS Stealer (AMOS), выгребающий связку ключей Keychain, криптокошельки, сессии Telegram и заметки.

🟦Взлом Windows: Под винду скамеры раздавали поддельный установщик со скомпрометированным сертификатом Discord. Софт ставил скрытый модуль NetSupport RAT, искал локальные приложения Ledger и подменял обращения к VirusTotal через локальный прокси, чтобы антивирусные проверки выдавали фальшивый "чистый" отчет.

Для целевой социальной инженерии не существует неприкасаемых. Даже когда по ту сторону экрана сидит опытный реверс-инженер или пентестер, атакующие не стесняются использовать банальные трюки с фейковыми ошибками доступа, рассчитывая на усталость и невнимательность жертвы. 🦔 CyberYozh

😈 LOL. VC мне заблокировала аккаунт на котором я писал статьи с 2022 года за то, что я у них написал о том, что у них на платформе фишинговые ссылки. Я причем сделал статью даже "замазав" аккаунт где этот фишинг был и привел ссылку на статью Habr где об этом писали (не обвиняя никого конкретно) - эти челики просто меня заблокировали 😁 Причем в уведомлении ссылка на нарушение п.5 правил Он касается создания или использования дополнительных аккаунтов для обхода ранее наложенных ограничений (банов, скрытия из лент и т.п.). Я никогда не создавал повторных (дополнительных) аккаунтов и не использовал какие-либо другие профили для обхода ограничений. У платформы не может быть доказательств обратного, поскольку таких действий с моей стороны не было. Позорище)))) Мне даже интересно стало Если кто-то поможет эту информацию распространить и предать огласке дополнительно - буду крайне признателен (лайк/шэр/кот и запускай гусей кароче 😅)

😈 Как статья на VC может украсть вашу крипту? Я уже писал про базовый кибербез (в том числе про Wi-Fi). Кажется, что юристу далеко до информационной безопасности. На самом деле нет. За 10 лет насмотрелся на самые разные инциденты, и почти всегда паттерн один: залет происходит не из-за суперзлодеев в капюшонах, а из-за дурости, самонадеянности и отсутствия элементарной информационной гигиены. Сейчас многие слышат модное слово AML. Крипта не зачисляется, перевод висит, кошелек «подсветился» - и сразу появляется соблазн загуглить «как проверить кошелек на AML». И вот здесь уже сидит свежий скам 😆 На VC (где и я публикую статьи) почти полгода висела статья с подмененной ссылкой на AML-сервис. Есть история человека, у которого заблокировали небольшой перевод, он потом нашел материал про проверку AML в топе Google (это для поисковиков трастовый част поэтому им часто пользуются при паразитном SEO), перешел по ссылке, подключил кошелек… и через некоторое время потерял больше 10 000 USDT. Проверка, разумеется, показала, что баланс теперь «стерильно чистый» 🤣 Как это было устроено - ссылка в статье сначала была нормальная (видимо чтобы пройти модерацию и поднабраться траста) - потом была заменена на скам (там так можно) - и далее шла через промежуточный сервис Детям морожение - бабе цветы. Модератору витрина - мамонту касса)) Статью в итоге с VC убрали, но аккаунт автора продолжил публиковать материалы. Почему вы спросите - а потому что аккаунт платный и каждый месяц платит площадке 50+ тысяч рублей 😅 Друзья - даже на уважаемых площадках с UGC ссылки нужно проверять дважды. Особенно когда речь про подключение кошелька и подпись транзакций. «Проверить на AML» - сейчас одна из самых удобных приманок. Ни ОДИН AML проверятор НЕ БУДЕТ ВАС ПРОСИТЬ НИЧЕ НИКУДА ПОДКЛЮЧАТЬ (ну вы спросите того самого друга который за крипту шарит прежде чем куда-то тыкать) Спросите у тех, кто этим занимается профессионально. Берегите себя и сид-фразы 😇🤝

Листаешь ленту, и бац — сообщение: «Ты выиграл приз — для получения подтверди данные!» 🎁 Звучит как удача, да? А на деле — это ловушка, которую умело плетут для тебя мошенники. «Только сейчас», «не говори родителям, это секрет», «успевай, иначе подарок сгорит», а затем — чёткий план действий: скинь данные карты, введи код из СМС, переведи «страховку». Если видишь такое — просто остановись: ✔️ Не скидывай никакую личную информацию. ✔️ Не делай переводы и не выполняй чужие задания. ✔️ Если давят — прекращай диалог и блокируй. И главное, помни: лёгкие деньги часто оказываются самой дорогой ошибкой. Выдохни и расскажи взрослому, которому доверяешь. Перешли ролик другу — пусть и он будет в безопасности! 😉

🗣Как северокорейская Kimsuky строит ИИ-конвейер для кибератак ⚡️Северокорейские правительственные хакеры выводят социальную инженерию на промышленный уровень. 🔍Исследователи из Genians Security Center вскрыли внутреннюю инфраструктуру известной группировки Kimsuky: киберпреступники развернули автономный ИИ-стек, чтобы автоматизировать подготовку целевого фишинга, обход антивирусов и анализ украденных данных. ⚡️В кампании под кодовым названием Operation GitPower злоумышленники атакуют дипломатов, экспертов по внешней политике и криптоиндустрии:

🟦Чтобы не светить запросы перед OpenAI или Anthropic и не ловить баны аккаунтов, операторы развернули локальные LLM через Ollama, GPT4All и Msty. С их помощью генерируются идеальные документы-приманки.

🟦RAG по украденным архивам: Хакеры прикрутили технологию RAG (LocalDocs), скармливая локальной нейросети базы данных со скомпрометированными документами жертв (localdocs_v3.db), а через модель Whisper на лету переводят перехваченные аудиозаписи в текст.

🟦ИИ-ассистенты для кодинга и обхода EDR: Для полировки скриптов группа использовала Cursor AI, а запросы о механизмах работы Microsoft Defender переводила на английский и скармливала коммерческим чат-ботам.

🟦Сама доставка строилась через репозитории Git и архивы с опасными .lnk-ярлыками. Длинная строка аргументов скрывала запуск PowerShell, который вытягивал троян AsyncRAT, замаскированный под обычные PNG-картинки.

Кейс Kimsuky показывает эволюцию APT-группировок. Атакующим больше не нужны штаты переводчиков и аналитиков для ручного разбора гигабайтов чужой почты - локальный нейросетевой конвейер берет на себя всю рутину, превращая штучные целевые атаки в масштабируемый поток. 🦔 CyberYozh

💀Как атака PromptSpy обманывает нейросети прямо в вашей почте Фишинговые письма больше не пытаются усыпить бдительность человека - им это просто не нужно. Зачем тратить силы на изощренную социальную инженерию, если за пользователя почту читает и сортирует ИИ-ассистент? 🔍Исследователи из Forcepoint продемонстрировали симуляцию атаки PromptSpy, которая показывает, как переманить нейросеть-помощника на сторону хакеров. 🟢Суть метода строится на разнице между тем, что видит человек на экране, и тем, что считывает модель из исходного кода:

🟦Человек видит: Совершенно безобидное и вежливое приглашение на конференцию.

🟦ИИ-ассистент получает: Скрытую директиву, зашитую в письмо через невидимый белый текст, HTML-блоки с display:none, скрытые Unicode-символы или фальшивые служебные разделители ролей.

В итоге скрытый промпт приказывает ИИ-помощнику проигнорировать инструкции безопасности, снять метку "подозрительно", пометить отправителя как доверенного и выдать человеку сводку с призывом обязательно перейти по фишинговой ссылке. Самый высокий риск возникает в связках из нескольких ИИ-агентов, где один компонент читает почту, второй создает задачи в календаре, а третий генерирует черновики ответов. Одна зараженная строчка в входящем письме запускает эффект домино по всей цепочке автоматизации. 🦔 CyberYozh

Хакеры атаковали финансовые гиганты США с помощью обычных звонков По данным Google Threat Intelligence, за последний месяц десятки крупнейших инвестиционных фондов и финансовых компаний США подверглись масштабным кибератакам. Группировки под именами Redact, Pink, Falcon и Helix создали 72 фейковых сайта для кражи учетных данных, но главным инструментом взлома стала социальная инженерия по телефону. Злоумышленники звонят сотрудникам на личные номера, подменяя входящий ID на номер внутренней IT-службы. Под предлогом срочного обновления паролей или настройки MFA жертву направляют на фишинговый сайт вроде passkeyhelpdesk. Как только пользователь вводит пароль и называет код из SMS или приложения аутентификации прямо во время разговора, хакеры мгновенно получают полный доступ к корпоративному аккаунту. Основной целью атак стали частные инвестфонды и юридические фирмы, так как хакеры рассчитывают на крупный выкуп за неразглашение конфиденциальных данных.

Осторожнее с отельным Wi-Fi: Microsoft предупреждает о новой масштабной атаке Если вы часто ездите по IT-конференциям, митапам или просто работаете удаленно из гостиниц, эта новость для вас. Microsoft выявила крупную кампанию хакерской группировки Storm-2945 (подразделение печально известной Midnight Blizzard), нацеленную на инфраструктуру общественных Wi-Fi сетей по всему миру. Главной точкой входа стали captive portals — те самые страницы авторизации, которые перехватывают трафик при первом подключении к публичной сети. По данным Microsoft, злоумышленники взламывают общие сервисы, которые используют сразу несколько операторов Wi-Fi. То есть компрометация одного провайдера дает хакерам доступ к огромному пулу отельных сетей. Когда вы подключаетесь к новой сети, ОС и браузеры автоматически пингуют определенные эндпоинты для проверки наличия интернета (например, http://detectportal.firefox.com/success.txt). В этот момент хакеры незаметно перехватывают процесс и редиректят вас на подконтрольную фишинговую инфраструктуру. Вместо обычной страницы авторизации пользователю подсовывают фальшивое окно с требованием «срочно установить обновление браузера или операционной системы». Под видом апдейта на девайс загружается малварь для кражи кредов (credential theft).

Что делать (база): - Никогда не скачивайте и не устанавливайте обновления софта (особенно браузеров), если вас просит об этом страница авторизации Wi-Fi. - Используйте надежный VPN (желательно с функцией Kill Switch), и включайте его сразу после прохождения captive portal. - Внимательно смотрите на URL страницы, куда вас редиректит при подключении. - Для рабочих поездок лучше вообще использовать мобильный хотспот, где это возможно.

#разное · yt · tg · ig

Прочел про новый вид спама. Это гениально, по-моему. Вам приходит очередное письмо от крупного бренда, Пятерочки или Adidas. Содержание – образец унылого CRM-маркетинга, новые коллекции, новости продукта, прочий бред. Вы машинально пролистываете текст до заветной кнопки “отписаться от рассылки”, кликаете по ней и оказываетесь на фишинговом сайте. А он уже, например, просит логин-пароль от аккаунта – это вполне адекватная просьба при отписке, многие просят, многие вводят. Не надо выдумывать причины кликнуть, обещать миллионы и участие в сомнительных конкурсах. Просто кнопка «отписаться» мелким серым шрифтом внизу. Человек без тени сомнения нажимает сам! Для атаки нужно просто зарегистрировать домен похожий на настоящий. adidas-ecom.com наверняка свободен. Будьте осторожны.

Популярные схемы развода early stage founders 😑 Хоть мы и не пенсионеры чтобы нас разводили телефонные мошенники, развод стартаперов - целая индустрия 😐 Я ежедневно получаю миллионы скамерских писем - от безобидных до очень опасных. Сегодня прилетело еще одно: "инвестор" с личного gmail, без фонда и LinkedIn, "изучил проект" (дословно пересказал наш лендинг) и просит питч-дек 😠 Когда рейзишь - за любое i would like to invest хочется зацепиться, на этом и играют. Каюсь, в начале я и сама попадалась - но к счастью максимум что было слито, это наши древние метрики и планы, которые уже 10 раз поменялись. Собрала схемы по нарастающей - от безобидных до самых стремных: 1. Сбор питч-деков 😈 Фейковый "инвестор" просит дек с метриками. Дек уходит в базы для перепродажи или конкурентам. Деньги не теряются, но данные утекают. Поэтому пока не понятно кто это, то первое касание - только публичный one-pager без цифр. 2. Pay to pitch 💳 "Вы отобраны на закрытый инвест-саммит", "вы попали в топ most influential founders", участие $3k. Но отобраны все, кто открыл письмо 😏 3. Fee за интро, но деньги вперед 🤑 "Познакомлю тебя с фондами за $2-5k". Настоящие интро бесплатны, на крайний случай легальные плейсмент-агенты берут success fee с закрытого раунда, а не предоплату. 4. Платный due diligence ⚖️ Тут уже серьезнее: доходит до терм-шита, все выглядит настоящим, а потом "оплатите наших юристов / аудит / escrow - $10-30k". После оплаты инвестор испаряется, еще и с вашими приватными документами. DD настоящий инвестор оплачивает сам 5. Фейковые фонды 💄 Пишут от имени реального партнера реального фонда, но с gmail или домена-двойника (например a16z-ventures.co вместо a16z.com). Дальше раскручивают на любую из схем выше. Проверяйте домен посимвольно 6. Крипто-развод, выпуск монеты и тд 🤑 "Инвестирую, но переведу в USDT, откройте кошелек на этой платформе". Платформа фейковая, и еще просят верифицировать кошелек своим депозитом. Люди теряли на этом десятки тысяч 7. "Срочно подпиши документ" 🎧 Письмо якобы от знакомого - мне писал "Андрей": срочно открой и подпиши, я на конференции, в центре зала, говорить не могу. Ссылка ведет на фишинговую страницу, которая ворует доступ к почте. А с почтой можно сделать все: написать инвесторам, команде, банку. Срочность + невозможность созвониться это фишинг. Любой "срочный документ" проверяйте голосом и не ходите по ссылкам 🍒Вишенка на торте - разводили уже не нас, а нашего инвестора. Ему на почту прислали "скрин гугл-выдачи": по запросу нашей компании (причем даже неправильно написанной) "замечены в отмывании денег и криптокрайме", подробности конечно же по ссылке. Выглядело как настоящий Google. Прикол в том, что это был просто отрендеренный фейк поисковой страницы - таких результатов не существует, гуглится за 10 секунд. Хорошо, что сперва написали нам, а не открыли ссылку Думаю, что общее правило - у реального инвестора есть фонд, домен, LinkedIn и какой-то след в сети, в идеале - общие коннекты (еще одна причина прокачивать соц сети) а деньги двигаются только в одну сторону - от инвестора к стартапу. Просят заплатить, подписать или даже просто открыть ссылку под давлением срочности - это не инвестор и не партнер. Stay safe и не ведитесь на схемы развода 😡 Сохраняйте, чтобы не попасться и делитесь своими историями в комментариях @neural_prosecco