PUMAKIT: Нов руткит за Linux, който е почти невъзможно да бъде открит

https://www.kaldata.com/it-новини/pumakit-нов-руткит-за-linux-който-е-почти-невъзмо-535261.html

Някой да има инфо за този фишинг във фейса ?

преди 2 часа, adersa написа:

Някой да има инфо за този фишинг във фейса ?

Може да не е фишинг.   Крадат акаунти.   Следва да се преценява.

преди 3 минути, attj написа:

Може да не е фишинг.   Крадат акаунти.   Следва да се преценява.

Ще следя и ще докладвам днеска ми излезе на стената като четох коментарите и други са опаткали 

До колкото разбрах става чрез фалшив профил бот , който праща покани за приятелство и ако не се приеме ти блокирва завинаги профила 

преди 2 часа, adersa написа:

 ти блокирва завинаги профила 

Това е възможно единствено при откраднат профил с променени име с парола и телефон.   Пиеш студена вода и си регистрираш нов профил.     Няма възможно завинаги.     Може да го издирваш такъв башпират и какво ще му направиш,  ако въобще го намериш?   

Здравейте ,

 

Искаме да Ви информираме, че срокът на валидност на Вашия документ за самоличност, предоставен в ДСК, е изтекъл.

 

Съгласно изискванията на Закона за мерките срещу изпиране на пари (ЗМИП) .

и свързаните с него разпоредби, е необходимо да поддържаме актуална информация за всички наши клиенти.

 

Молим Ви да актуализирате

 

Актуализирайте данните си тук

 

 

Благодаря 

С уважение,

Екипът на ДСК

 

 

  Нямат спиране и продължават.  Пишат и на неклиенти на банката.

 

 

Редактирано 18 декември 20241 г. от Underwater
UnLink (преглед на промените)

Системата за сигурност на АБВ Поща е засякла нерегламентирано влизане във Вашата електронна пощенска кутия. Във връзка с това временно е блокирана възможността за изпращане на писма от нея. Можете да проверите дали има нерегламентирани влизания в електронната Ви поща през Вашата история.

Ако забележите влизания от непознати за Вас IP адреси, незабавно сменете паролата си за достъп и актуализирайте данните си за възстановяване на парола. Тази промяна автоматично ще възстанови възможността за изпращане на писма.                                                       Някои като мен сами се поставят в подобно положение - за да бъдат посещавани.       Занимавки са си това.     

 

Статиите са малко стари, но гледам в reddit са зачестили случаите на заразени след посещение на сайтове за кракове показваши фалшиви прозорци на Captcha-та.

Никога не натискайте изисканата от тях клавишна комбинация Win + R, Ctrl + V и Enter за да пуснете зловредния скрипт. Най-често за PowerShell.

https://www.kaspersky.com/about/press-releases/new-cyber-campaign-targets-pc-users-with-fake-captchas-and-browser-errors

https://www.mcafee.com/blogs/other-blogs/mcafee-labs/behind-the-captcha-a-clever-gateway-of-malware/

https://safecomputing.umich.edu/security-alerts/fake-captcha-initiates-malware

Хакнати са цели 30 разширения за Chrome – засегнати са милиони потребители

За щастие нямам такива, които са в списъка, но като се увеличи ще видим.

https://www.kaldata.com/it-новини/хакнати-са-цели-30-разширения-за-chrome-засег-538165.html

 

 

В момента има и активна кампания за кражба на акаунти. Засегнати са основни играчи на PoE 2. Но има и компрометирани Steam акаунти, пощи и прочие. За всеки случай не е зле да си смените всички пароли. Може да е имало някой теч на данни. Разработчиците май са в отпуска. Кофти съвпадение или просто хакерите са изчакали точно това. Но се шуми здраво и от по форумите (reddit, steam) и от разните му тай стриймъри и ифлуенсъри (в тубата и туич).

Compromised PoE Accounts: Stolen Items and Hacked Accounts - Discussion and Leads

https://www.pathofexile.com/forum/view-thread/3667200/page/1

на 31.12.2024 г. в 12:20, B-boy/StyLe/ написа:

В момента има и активна кампания за кражба на акаунти. Засегнати са основни играчи на PoE 2. Но има и компрометирани Steam акаунти, пощи и прочие. За всеки случай не е зле да си смените всички пароли. Може да е имало някой теч на данни. Разработчиците май са в отпуска. Кофти съвпадение или просто хакерите са изчакали точно това. Но се шуми здраво и от по форумите (reddit, steam) и от разните му тай стриймъри и ифлуенсъри (в тубата и туич).

Compromised PoE Accounts: Stolen Items and Hacked Accounts - Discussion and Leads

https://www.pathofexile.com/forum/view-thread/3667200/page/1

Оказа се. че и моя акаунт е бил пробит. За щастие не са могли да вземат достъп, заради другите защити, а само са успели да се логнат. Все пак бе неприятно усещане.

VPN-а е фалшива тревога от мои login с ProtonVPN-a. Долното обаче не е от мен.

Викам си да не би да съм влизал от телефона и да е сбъркана геолокацията (често на Steam геолокацията е бъгава), но тогава щеше да дава - 400 - APP, не - 700.

Иначе по това време не съм бил на компа:

Реално дори всичко ми е с 2FA, Steam Guard и прочие. Отписвам се след всяка сесия и т.н. Чудно как ли е открадната сесията и е заобиколила 2FA (щото нямах известия) като оторизираните устройства бяха само компа и телефона. Няма и използвани API KEYs. Нито гък от Comodo. Не прилича на скрипт или FileLess атака. В браузърите са пуснати FPI (First-party cookies Isolation, Enhanced Tracking Protection), uBlock Origin и NoScript (за XSS). Направих малко forensic  analysis и видях евентуалния вектор на атаката. Един недоверен (но легитимен сертификат). Същия се ползва обаче и от доста infostealer-и като Medusa и Exodus. Но няма гаранция, че е от него разбира се. Може вектора на атака да е сървъра на PoE 2. Защото ми я подариха на 13.12.24. А пробива е 10 дни по-късно. Не мисля, че е съвпадение. Та по-скоро тук не става въпрос за malware атака, а за пробити token-и на PoE 2 сървъра. Догадки, докато GGG разработчиците не пишат нещо по въпроса. За щастие при мен няма ядове с акаунта. Не е придобит достъп, а само успешно логване. Аз и не държа средства в Steam Wallet-а, инвентара не е толкова ценен, но също е непокътнат. Нито игрите, приятелите в списъка и т.н. А PoE 2 инвентара също е беден, защото няма смисъл да "гриндя" за предмети след като след 6 месеца ще има зануляване на сървърите като приключи ранния достъп. Все пак съм сменил всички пароли и на асоциираните пощи и съм махнал оторизацията на всичко още веднъж.

Това е въпросния сертификат:

Sectigo Public Code Signing Root R46

Ето линка към VirusTotal-a на dll-то използвано от CryptoStealer-a в мода за Cities SkyLine 2. В секцията behavior може да се види и този сертификат горе.

https://www.virustotal.com/gui/file/8c6c3f9b3fd8497322cd9e798790aa3485a44f9c5418bb4aa97b630a3fb8cead/behavior

https://www.paradoxinteractive.com/games/cities-skylines-ii/news/traffic-breach-statement

Лошото е, че малко програми сканират все още за недоверени сертификати. Такава е все още Comodo. Иначе преди време и Zemana го правеше. Както и отделно самостоятелни инструменти като RootIQ и RCC от svenfaw.

Comodo отива дори по-далеч като следи и за съмнителни Vendor-и.

Обаче интересното в случая е, че Sectigo на практика е Comodo и те ги издават. Преди имаха проблеми с malware използващ техни сертификати за подпис и ги бяха revoke-нали. Сега точно Comodo си го засече при мен.

Интересното е, че самата гадина може просто да използва тези методи за заблуда, че е легитимна програма. И да изпраща само заявки без да тегли и инсталира въпросните сертификати. Нямам идея.

 

Защо казвам всичко това....защото за мен тази година най-големия бич са infostealer-ите. Вижте и тази статия:

Киберпрестъпността през 2024 година: Най-значимите случаи през годината

https://www.kaldata.com/it-новини/киберпрестъпността-през-2024-година-най-538614.html

Тези дни някакви тарикати ме увещаваха да им отговарям чрез платени SMS -и  за по няколко лв.     Падат твърде ниско.    Вероятно разчитат хиляди  будали да клъвнат.   Нищо няма да показвам -не заслужават да ги рекламирам.  Очевидно много  хора се лъжат и са недоосведомени.  Дори за наглед много дребни неща.

преди 5 минути, attj написа:

Тези дни някакви тарикати ме увещаваха да им отговарям чрез платени SMS -и  за по няколко лв.     Падат твърде ниско.    Вероятно разчитат хиляди  будали да клъвнат.   Нищо няма да показвам -не заслужават да ги рекламирам.  Очевидно много  хора се лъжат и са недоосведомени.  Дори за наглед много дребни неща.

Да, но моето не беше с СМС=и ако го сравняваш де. Дори нямам идея как ме е изгърмяло. Сигурно продънени server-и на PoE 2. Макар да съм trade-вал само с двама приятели. Факта, че е бил активен само 1 мин. означава едно. Търсил е DIVINE ORBS. Такива мисля се търгуват за по 2.50$ на пазара. Ама за щастие не съм развивал героя за такива, защото след 6 месеца ще има заличаване на сървърите. Но има потребители в нета със загуби на по 900 divine orbs и повече. Това си е бизнес. Както и при скиновете за Counter Strike 2.

Не сравнявам.  Обикновено крадат данни от браузъри.    Няма как ежеминутно ръчно да си трия историята.    Сканерът на Софос например дори бисквитката на Калдата все я класифицира като вредоносна и я трие.     Свиква се.

преди 2 минути, attj написа:

Не сравнявам.  Обикновено крадат данни от браузъри.    Няма как ежеминутно ръчно да си трия историята.    Сканерът на Софос например дори бисквитката на Калдата все я класифицира като вредоносна и я трие.     Свиква се.

Те да си крадат, но аз в Steam не съм се логвал през браузъра. А и като се отпишеш сесията става невалидна. Самите такива са криптирани. И затова са там настройките за enhanced tracking, first-party cookies isolation и прочие. Не са панацея де. Но казвам, че ако само един ползва системата и то зад стена/прокси е една идея по-трудно да се снифят. Не е невъзможно де. То затова лека по-лека занапред ще отпадат. Все повече ще навлизат хадуерните токени.

Харесва ми цялата Менделеева таблица - обаче усвояването в подробности все ми е невъзможно и ми идва в повече.     Внуците да растат и да се дозанимават. При желание.

https://www.segabg.com/hot/category-technologies/apple-shte-plati-95-mln-zaradi-podslushvaneto-prez-sirп

на 3.01.2025 г. в 20:45, B-boy/StyLe/ написа:

Оказа се. че и моя акаунт е бил пробит. За щастие не са могли да вземат достъп, заради другите защити, а само са успели да се логнат. Все пак бе неприятно усещане.

VPN-а е фалшива тревога от мои login с ProtonVPN-a. Долното обаче не е от мен.

Викам си да не би да съм влизал от телефона и да е сбъркана геолокацията (често на Steam геолокацията е бъгава), но тогава щеше да дава - 400 - APP, не - 700.

Иначе по това време не съм бил на компа:

Реално дори всичко ми е с 2FA, Steam Guard и прочие. Отписвам се след всяка сесия и т.н. Чудно как ли е открадната сесията и е заобиколила 2FA (щото нямах известия) като оторизираните устройства бяха само компа и телефона. Няма и използвани API KEYs. Нито гък от Comodo. Не прилича на скрипт или FileLess атака. В браузърите са пуснати FPI (First-party cookies Isolation, Enhanced Tracking Protection), uBlock Origin и NoScript (за XSS). Направих малко forensic  analysis и видях евентуалния вектор на атаката. Един недоверен (но легитимен сертификат). Същия се ползва обаче и от доста infostealer-и като Medusa и Exodus. Но няма гаранция, че е от него разбира се. Може вектора на атака да е сървъра на PoE 2. Защото ми я подариха на 13.12.24. А пробива е 10 дни по-късно. Не мисля, че е съвпадение. Та по-скоро тук не става въпрос за malware атака, а за пробити token-и на PoE 2 сървъра. Догадки, докато GGG разработчиците не пишат нещо по въпроса. За щастие при мен няма ядове с акаунта. Не е придобит достъп, а само успешно логване. Аз и не държа средства в Steam Wallet-а, инвентара не е толкова ценен, но също е непокътнат. Нито игрите, приятелите в списъка и т.н. А PoE 2 инвентара също е беден, защото няма смисъл да "гриндя" за предмети след като след 6 месеца ще има зануляване на сървърите като приключи ранния достъп. Все пак съм сменил всички пароли и на асоциираните пощи и съм махнал оторизацията на всичко още веднъж.

Това е въпросния сертификат:

Sectigo Public Code Signing Root R46

Ето линка към VirusTotal-a на dll-то използвано от CryptoStealer-a в мода за Cities SkyLine 2. В секцията behavior може да се види и този сертификат горе.

https://www.virustotal.com/gui/file/8c6c3f9b3fd8497322cd9e798790aa3485a44f9c5418bb4aa97b630a3fb8cead/behavior

https://www.paradoxinteractive.com/games/cities-skylines-ii/news/traffic-breach-statement

Лошото е, че малко програми сканират все още за недоверени сертификати. Такава е все още Comodo. Иначе преди време и Zemana го правеше. Както и отделно самостоятелни инструменти като RootIQ и RCC от svenfaw.

Comodo отива дори по-далеч като следи и за съмнителни Vendor-и.

Обаче интересното в случая е, че Sectigo на практика е Comodo и те ги издават. Преди имаха проблеми с malware използващ техни сертификати за подпис и ги бяха revoke-нали. Сега точно Comodo си го засече при мен.

Интересното е, че самата гадина може просто да използва тези методи за заблуда, че е легитимна програма. И да изпраща само заявки без да тегли и инсталира въпросните сертификати. Нямам идея.

 

Защо казвам всичко това....защото за мен тази година най-големия бич са infostealer-ите. Вижте и тази статия:

Киберпрестъпността през 2024 година: Най-значимите случаи през годината

https://www.kaldata.com/it-новини/киберпрестъпността-през-2024-година-най-538614.html

По-рано днес като проверявах в историята и видях -1 от 3 януари, a преди 2 дена(на 3ти вечерта) смених паролата и премахнах всички устройства.

Имам около 30 на -700 от октомври миналата година 💔 Вход/Изход през няколко минути на 8 окт(не съм сигурен дали всички са от 8 окт. тъй като в момента нямам достъп до Историята, просто ми показва "Error").

Между другото всичките логове са от BG.

В интернет намерих леко противоречива информация и не пълна. На едно място пише, че -700 е уеб браузър, на второ уеб чата им(ползвам им приложението за чат), на трето -1 е уеб брузър. Най-преобладаващ е 16(който бил Windows 10 - уж).

А най-тъпото е че всичко се показва в историята до 24 часа след дадено събитие... и ако реша да следя за дадена активност трябва да си записвам в колко часа кое съм изпозвал..., и да гледам в Историята в стийм след 1-2 дена.

преди 38 минути, PenguinOfDarkness написа:

По-рано днес като проверявах в историята и видях -1 от 3 януари, a преди 2 дена(на 3ти вечерта) смених паролата и премахнах всички устройства.

Имам около 30 на -700 от октомври миналата година 💔 Вход/Изход през няколко минути на 8 окт(не съм сигурен дали всички са от 8 окт. тъй като в момента нямам достъп до Историята, просто ми показва "Error").

Между другото всичките логове са от BG.

В интернет намерих леко противоречива информация и не пълна. На едно място пише, че -700 е уеб браузър, на второ уеб чата им(ползвам им приложението за чат), на трето -1 е уеб брузър. Най-преобладаващ е 16(който бил Windows 10 - уж).

А най-тъпото е че всичко се показва в историята до 24 часа след дадено събитие... и ако реша да следя за дадена активност трябва да си записвам в колко часа кое съм изпозвал..., и да гледам в Историята в стийм след 1-2 дена.

Доста кофти. Предполагам си пуснал Steam Guard-a и ползваш телефона за удостоверител? Виж дали нямаш регистриран API KEY и ако имаш го изтрий.

https://steamcommunity.com/dev/apikey

Иначе няма значение дали са от BG. Важното е да са от твоя град.

За историята можеш да ползваш програми като ManicTime. Има я в каталога на главната страница на kaldata.

За Error-a и на мен ми го показа след като проверих историята. Чак писах на Steam поддръжката. Но се оправи сам на другия ден и си затворих заявката. Но мои познати нямаха този проблем след проверката на активността. Аз затова си помислих, че моя може още да е компрометиран. Или просто е някакъв бъг и след като провериш историята и има някакъв период на изчакване. Но не говоря за периода от 24 часа за опресняването на новата активност.

Може да се намерили начин за заобикалят Steam Guard-a с похищение на сесиите по някакъв начин. Но да му мислят тези с ценен инвентар (като скинове) или вътре в самите игри (като PoE 1/2). Отделно нямам и нищо в Steam Wallet-a, нито запаметени банкови карти за пазаруване. Също акаунта ми не е линкнат към други услуги (макар, че ще се наложи да го линкна сигурно към PSN акаунта, ако искам да цъкам Remastered версията на Hoziron Zero Dawn. Също така отказвам и заявките за приятелство от непознати и съмнителни акаунти (особено такива на по 1 година с инсталирани 2-3 безплатни игри). Такива са акаунти ползвани за социално инженерство най-често.

преди 1 час, B-boy/StyLe/ написа:

Доста кофти. Предполагам си пуснал Steam Guard-a и ползваш телефона за удостоверител? Виж дали нямаш регистриран API KEY и ако имаш го изтрий.

https://steamcommunity.com/dev/apikey

Иначе няма значение дали са от BG. Важното е да са от твоя град.

За историята можеш да ползваш програми като ManicTime. Има я в каталога на главната страница на kaldata.

За Error-a и на мен ми го показа след като проверих историята. Чак писах на Steam поддръжката. Но се оправи сам на другия ден и си затворих заявката. Но мои познати нямаха този проблем след проверката на активността. Аз затова си помислих, че моя може още да е компрометиран. Или просто е някакъв бъг и след като провериш историята и има някакъв период на изчакване. Но не говоря за периода от 24 часа за опресняването на новата активност.

Може да се намерили начин за заобикалят Steam Guard-a с похищение на сесиите по някакъв начин. Но да му мислят тези с ценен инвентар (като скинове) или вътре в самите игри (като PoE 1/2). Отделно нямам и нищо в Steam Wallet-a, нито запаметени банкови карти за пазаруване. Също акаунта ми не е линкнат към други услуги (макар, че ще се наложи да го линкна сигурно към PSN акаунта, ако искам да цъкам Remastered версията на Hoziron Zero Dawn. Също така отказвам и заявките за приятелство от непознати и съмнителни акаунти (особено такива на по 1 година с инсталирани 2-3 безплатни игри). Такива са акаунти ползвани за социално инженерство най-често.

Да, ползвам Steam Guard и телефона за удостоверител. Нямам регистриран API KEY. Не се вписвам от чужди устройва, дори и на роднини да са.

Благодаря за програмата, инсталирах я и ще я разуча. 🍺

Имам PoE 1 в Steam, но никога не съм я инсталирвал/пускал, а и като цяло нямам нищо ценно в инвентара, което пак не пречи да се опитат да ти гепят акаунта.

Също не държа нищо в Steam портфейла и нямам запаметени карти, както и не е линкван към други услуги. Като цяло гледам да съм предпазлив, на моменти даже прекалено(не отварям линкове от всякакви имейли - дори и легитимните xD)

Благодаря за информацията!

 

https://www.dnevnik.bg/sviat/2025/01/08/4726355_telegram_veche_predava_danni_za_potrebiteli_na_vlasti/

https://www.forbes.com/sites/daveywinder/2025/01/17/fbi-confirms-it-deleted-files-from-4258-us-based-computers/

FBI решили да спомогнат малко на админите и зачистили малко китайски вирус от 4258 US базирани компютри- отдалечено. Обзалагам се че повече от половината собственици не са разбрали за тази помощ.

преди 8 часа, kosyo написа:

https://www.forbes.com/sites/daveywinder/2025/01/17/fbi-confirms-it-deleted-files-from-4258-us-based-computers/

FBI решили да спомогнат малко на админите и зачистили малко китайски вирус от 4258 US базирани компютри- отдалечено. Обзалагам се че повече от половината собственици не са разбрали за тази помощ.

Щом веднъж са се заразили и след това не са взети мерки, голям смисъл от "чистенето" няма. А и интереса не е към Сульо или Пульо и даните им в компютрите. 

Чудно само как са пропуснали да изчистят и компютъра/лаптопа на Джанет Йелън, та китайците малко го изтърашили.😄

Нова версия на Java - Version 8 Update 441 (Release date: January 21, 2025)

Цитат

Bug Fixes

This release also contains fixes for security vulnerabilities described in the Oracle Critical Patch Update. For a more complete list of the bug fixes included in this release, see 8u441 Release notes.

https://www.java.com/en/download/java8_update.jsp