В конце марта американский производитель накопителей данных Western Digital был вынужден заявить, что подвергся хакерской атаке, в результате которой часть информации из облачных сервисов компании была похищена. Отключив в целях безопасности ряд корпоративных информационных систем, компания только сейчас начала возвращать их в строй. Одновременно предупреждаются пользователи, чьи данные могли попасть в руки злоумышленников.

Источник изображения: Western Digital

Как отмечается в заявлении на сайте Western Digital, сейчас основная часть отключенных ранее систем возобновила работу, а предприятия по выпуску накопителей продолжали работать даже во время активной фазы расследования инцидента, поставки продукции не прекращались. Сейчас компания продолжает проверять на достоверность данные, ставшие достоянием общественности в результате действий хакеров. О полученных выводах WDC обещает информировать пользователей и клиентов в полном объёме.

Компания возобновила работу сервиса My Cloud, который пострадал от атаки, доступ клиентов к нему будет полностью возобновлён с 15 мая этого года. По сути, на устранение проблем с его функционированием у компании ушло более месяца. Частные клиенты сервиса тоже пострадали, поскольку злоумышленникам стали известны их имена, номера телефонов и часть номеров банковских карт, которые хранились в системе. Сейчас компания связывается с пострадавшими клиентами с целью минимизации дальнейшего ущерба.

В результате недавней хакерской атаки на сетевые ресурсы корпорации Western Digital, как предполагается, были похищены более 10 Тбайт служебной и пользовательской информации. Ресурсу TechCrunch удалось пообщаться с предполагаемыми организаторами этой атаки и выяснить, что они требуют у компании крупный выкуп за похищенные данные и условные гарантии дальнейшей безопасности.

Источник изображения: Western Digital Corporation

Как удалось узнать изданию TechCrunch, организаторы атаки на инфраструктуру Western Digital выбрали цель произвольно, при этом они не только похитили данные, но и сохранили доступ к важным информационным ресурсам. В качестве доказательства успешности атаки специалистам были продемонстрированы цифровые сертификаты, позволяющие подписывать документы от лица руководства Western Digital, а также служебные номера телефонов высокопоставленных сотрудников корпорации. Попытки дозвониться до них сопровождались включением автоответчика, который упоминал имена руководителей компании, идентифицируемые хакерами. Наконец, злоумышленники продемонстрировали снимок экрана служебной видеоконференции с участием руководителя подразделения WDC, отвечающего за информационную безопасность. Кроме того, хакеры получили доступ к определённым корпоративным информационным системам и хранилищам данных.

Шифровать скомпрометированные данные авторы атаки не стали, а теперь они рассчитывают на получение единовременного крупного выкупа, измеряемого десятками миллионов долларов США. В обмен на деньги они готовы отказаться от доступа к инфраструктуре Western Digital и указать компании на слабые места в системах защиты. Естественно, невыполнение этих требований грозит компании дальнейшими неприятностями, которые могут усугубиться при попытках пострадавшей стороны найти и наказать организаторов атаки. Если последние не получат выкуп к определённому времени, то похищенные данные будут выложены на сайте одной из хакерских группировок, к которой они сами прямого отношения не имеют. Организаторы атаки также не склонны никак идентифицировать свою группу. По их словам, до сих пор представители Western Digital на контакты с ними старались не идти. Хакеры признались, что получили доступ к учётной записи Western Digital в облачной инфраструктуре Microsoft Azure с привилегиями администратора, а также добрались до внутренних корпоративных ресурсов. Акции компании на фоне подобных новостей упали в цене на 2,95 %.

Исследователи из нескольких компаний, работающих в сфере информационной безопасности, сообщили о масштабной хакерской атаке на пользователей приложений для VoIP-телефонии компании 3CX Phone. Злоумышленники из группировки Labyrinth Chollima, которая предположительно связана с правительством Северной Кореи, сумели интегрировать троян в приложения 3CX для Windows и macOS, которые используют свыше 600 тыс. компаний по всему миру.

Источник изображения: Pixabay

Согласно имеющимся данным, хакерам удалось скомпрометировать систему сборки программного обеспечения 3CX, которая используется для создания и распространения новых версий программных продуктов компании для платформ Windows и macOS. Контроль над этой системой дал злоумышленникам возможность скрыть троян в легитимных приложениях для VoIP-телефонии, которые были подписаны с помощью валидного сертификата 3CX. Из-за этого под ударом могут оказаться миллионы пользователей, поскольку приложения 3CX используют компании из разных стран мира, в том числе American Express, Mercedes-Benz, Price Waterhouse Cooper и др.

По данным источника, угрозу могут представлять версии приложений, выпущенные в марте этого года. Речь идёт о версиях под номерами 18.12.407 и 18.12.416 для Windows, а также под номерами 18.11.1213, 18.12.402, 18.12.407 и 18.12.416 для macOS. Механизм атаки запускается, когда пользователь скачивает MSI-установщик с сайта 3CX или производит загрузку пакета обновления. В процессе установки осуществляется извлечение нескольких вредоносных DLL-файлов, необходимых для проведения следующего этапа атаки. Хотя сам исполняемый файл установщика не является вредоносным, упомянутые библиотеки используются для загрузки, извлечения и выполнения зашифрованной полезной нагрузки.

Источник изображения: CheckPoint

После этого производится скачивание из репозитория GitHub файлов ICO с дополнительными строками кода, которые используются для доставки финальной полезной нагрузки на устройства жертв. Источник отмечает, что первые файлы ICO были добавлены на GitHub в декабре прошлого года. Что касается самой вредоносной программы, то речь идёт о неизвестном ранее трояне, предназначенном для кражи информации, включая логины и пароли, хранящиеся в веб-браузерах.

Генеральный директор 3CX Ник Галеа (Nick Galea) написал сообщение на форуме компании, в котором принёс извинения за произошедший инцидент. Он также порекомендовал пользователям удалить версии приложений, которые скомпрометированы злоумышленниками, и временно перейти на использование веб-версии софтфона.

Компания GoTo, занимающаяся разработкой программного обеспечения для совместной работы и IT-сегмента, а также являющаяся владельцем сервиса LastPass, объявила, что вместе с данными пользователей менеджера паролей в ходе прошлогодней хакерской атаки была похищена информация клиентов других сервисов компании. Инцидент, в рамках которого злоумышленникам удалось получить доступ к IT-системам GoTo, произошёл в ноябре прошлого года.

Источник изображения: lastpass.com

GoTo, которая в прошлом была известна как LogMeIn, впервые сделала заявление с момента обнаружения «необычной активности» в своих IT-системах 30 ноября 2022 года. Согласно имеющимся данным, в результате хакерской атаки были скомпрометированы данные клиентов многих корпоративных продуктов GoTo, включая Central, joim.me, Hamachi и RemotelyAnywhere.

В сообщении компании сказано, что хакеры «украли зашифрованные резервные копии из стороннего облачного хранилища» и получили ключи шифрования для расшифровки некоторых из них около двух месяцев назад. Характер похищенных данных зависит от конкретного продукта. В руки хакеров могли попасть логины пользователей сервисов компании, хешированные пароли, данные о двухфакторной аутентификации и настройках программных продуктов, а также информация о лицензировании. Отмечается, что зашифрованные базы данных клиентов GoToMyPC и Rescue не попали в руки злоумышленников, но некоторые данные об использовании двухфакторной аутентификации незначительной части пользователей этих сервисов были похищены.

По данным источника, GoTo связывается напрямую с каждым клиентом, чьи данные были скомпрометированы в результате упомянутого инцидента кибербезопасности. Помимо уведомления о случившемся компания даёт рекомендации для смягчения последствий утечки. Также известно, что пароли всех учётных записей, затронутых проблемой, будут сброшены.

Американский оператор сотовой связи T-Mobile объявил, что в ходе хакерской атаки были похищены данные 37 млн клиентов компании. Отмечается, что злоумышленникам не удалось получить доступ к конфиденциальной информации, такой как номера банковских карт и полисов социального страхования.

Источник изображения: Pixabay

Согласно имеющимся данным, инцидент произошёл 5 января. Специалистам T-Mobile удалось оперативно заблокировать доступ к информационным системам компании. В настоящее время ещё не завершено внутреннее расследование, но уже известно, что злоумышленники получили разовый доступ во внутреннюю сеть оператора.

В сообщении сказано, что в руки злоумышленников попали разные данные клиентов T-Mobile, включая ФИО, адреса электронной почты и номера телефонов, а также адреса выставления счетов за услуги связи. Эти данные могут использоваться для проведения фишинговых атак или попыток взлома учётных записей клиентов T-Mobile на других ресурсах.

В заявлении T-Mobile отмечается, что вся украденная информация «широко доступна в маркетинговых базах данных и каталогах». «Основываясь на нашем расследовании, на сегодняшний день можно утверждать, что счета и денежные средства клиентов не подверглись непосредственному риску из-за произошедшего события», — сказано в заявлении T-Mobile, которое было направлено в Комиссию по ценным бумагам и биржам США. Компания также уведомила об инциденте правоохранительные органы и начала уведомлять клиентов, чьи данные могли попасть в руки хакеров.