Хакеры украли данные кредитных карт покупателей косметики

Британский сайт косметической компании Lush прекратил свою работу: сделать такой шаг его владельцев вынудили хакерские атаки, в результате которых произошла утечка данных о кредитных картах клиентов. Компания в ближайшее время откроет временный сайт для онлайн-заказов, причём первоначально оплата будет приниматься исключительно через PayPal.

Подробности атаки не сообщаются, разве что, судя по сообщению издания The Register, известно, что в компании Lush впервые обнаружили вторжение ещё в конце декабря (в настоящий момент сообщение на главной странице сайта Lush изменилось, и упоминания о декабрьской атаке там нет). Попытки "повторного входа" со стороны злоумышленников продолжаются и сейчас.

Компания разослала своим клиентам электронной почтой сообщение о взломе, рекомендуя всем, кто делал онлайн-заказы в период с 4 октября 2010 по 20 января 2011 года, связаться со своими банками по вопросу о том, что данные их платёжных карт могли быть украдены. В Lush уточняют, что решили перестраховаться и расширить предполагаемый период утечки, с тем чтобы наверняка "накрыть" всех пострадавших.

Количество украденных карт не сообщается, равно как и не уточняется, что именно специалисты Lush делали с конца декабря и по 20 января, когда они наконец решили поделиться информацией о взломе со своими клиентами.

ZeuS Tracker отключил 9 российских "пуленепробиваемых" хостеров

При активном участии эксперта по кибербезопасности Романа Хюссе в этом месяце удалось отключить 9 "пуленепробиваемых" российских автономных систем, в которых нашли пристанище десятки контролирующих центров ZeuS-ботнетов. Кроме того, в январе были отключены ещё 5 украинских "пуленепробиваемых" хостеров.

Хюссе специализируется на ZeuS-ботнетах: его сервис ZeuS-трекер известен по всему миру. В марте прошлого года в поле зрения Хюссе попал хостинг-провайдер VLine Telecom (AS31500), который начал предоставлять услуги неким лицам, использовавшим мощности провайдера для размещения центров управления ZeuS-ботнетами.

По данным ZeuS-трекера, в прошлом году через VLine Telecom осуществлялось управление более чем 140 ботнетами. И это лишь если учитывать непосредственный хостинг, потому что VLine также начал перенаправлять трафик ряду автономных систем, которые, как считает Хюссе, оказались "самыми худшими преступными сетями в мире".

По каждой из этих AS имеется весьма неприглядная запись в Spamhaus. Репутация Spamhaus далеко не безупречна, здесь порой заносят в чёрные списки целые страны, однако от деятельности этой организации бывает и положительный эффект. Так случилось и на этот раз, после того как в конце ноября минувшего года Spamhaus занёс в черные списки питерский GlobalNet. VLine Telecom в то время подключался к Сети именно через этого провайдера.

Вполне естественно, что в GlobalNet зашевелились. Хюссе также вышел на контакт с питерцами в декабре; по его словам, GlobalNet сперва отказался отключать VLine Telecom, ссылаясь на российские законы, однако, изучив предоставленные швейцарским экспертом улики, заблокировал нехорошие IP-адреса.

В конце декабря, когда выяснилось, что VLine Telecom не принимает никаких мер, в том числе профилактических, в отношении центров управления ботнетами, GlobalNet по просьбе Хюссе надавил на этого провайдера. В результате VLine Telecom отключил одного из "пуленепробиваемых" хостеров.

Победу, однако, праздновать было рано. В начале января VLine Telecom внезапно ушёл от GlobalNet к Федеральной университетской компьютерной сети России RUNNet вместе со всеми низлежащими преступными хостерами. Кроме того, VLine Telecom вышел на связь с Хюссе и попросил впредь обращаться к нему напрямую со всеми подобными жалобами.

Хюссе "решил дать им шанс" и приложил к ответному письму подробный список всех нарушителей с описанием их деятельности. VLine Telecom тут же отреагировал, заверив швейцарца, что все 9 нарушителей отключены от Сети. Как выяснилось через несколько часов, в действительности эти сети перестали быть видны с IP-адреса Хюссе, а кроме того, ими блокировался и трафик с ZeuS Tracker.

Тогда Хюссе, по его признанию, разозлился и вышел на связь с RUNNet. Там за один час вникли в ситуацию и прекратили транзитить VLine Telecom. А ещё через 4 минуты VLine Telecom написал в RUNNet и Хюссе о перекрытии кислорода всем 9 проблемным автономным системам.

В настоящий момент VLine Telecom опять подключился к GlobalNet, при этом, по данным Хюссе на 22 января, ни один из 9 "пуленепробиваемых" хостинг-провайдеров не поднялся. Эксперт считает это серьёзным успехом, хотя и уверен, что в действительности VLine Telecom также следовало наказать полным отключением.

Он, правда, отмечает, что, по его ощущениям, в VLine Telecom иногда "не знали, что они делали (с технической точки зрения), и... не понимали, что я хотел им сказать (языковая проблема)". В то же время Хюссе выражает благодарность GlobalNet и RUNNet и — наполовину в шутку, наполовину всерьёз — заявляет, что главным уроком, который он вынес из этой истории, является осознание того, что "не каждый русскоговорящий парень — киберпреступник".

PandaLabs раскрыла секреты черного IT-рынка

Лаборатория PandaLabs опубликовала отчет о результатах расследования ситуации на черном IT-рынке. В нем PandaLabs раскрывает информацию о преступных сетях, которые занимаются продажей похищенных банковских реквизитов и другой незаконно полученной информации в Интернете.
PandaLabs обнаружила обширную сеть, которая продает реквизиты похищенных банковских карт наряду с другими видами продуктов в форумах и более 50 Интернет-магазинах. Этот рынок очень быстро растет, и кибер-преступники похищают все больше личной информации для получения в дальнейшем финансовой прибыли. После того как специалисты Panda Security проникли в сеть под видом преступников, PandaLabs сделала некоторые важные выводы.
Чёрный рынок кибер-преступности, который традиционно сосредоточен на продаже похищенных банковских и карточных реквизитов, сменил свою основную бизнес-модель в 2010 году. Теперь на рынке представлен гораздо более широкий выбор похищенной конфиденциальной информации, включая банковские учетные данные, логины, пароли, поддельные кредитные карты и многое другое. Хотя эта информация и кажется открытой и доступной, PandaLabs обнаружила, что её можно заполучить только через личный контакт с хакерами, которые предлагают свои услуги через форумы и чаты.
Процесс продажи
Имея доступ к банковской информации, преступники могут легко воспользоваться ею задолго до того, как будут обнаружены. Вызывает тревогу тот факт, что эти данные можно приобрести по смешной цене - всего 2$ за информацию об одной карте. Однако за такую цену вы не получите никакой дополнительной информации или доступ к проверке счёта. Если покупатель хочет быть уверенным в том, что на банковском счёте действительно есть деньги, то он может приобрести:
- за 80$ данные о счете, на котором не очень большая сумма;
- за 700$ - данные о счете, на котором лежит больше 82 000$.
Если со счета переводились деньги для оплаты покупок в Интернет-магазинах или проводились операции через платежные системы, например, PayPal, то цена за информацию о таком счете будет еще выше.
Специалисты PandaLabs обнаружили, что стоимость данных о счетах колеблется от 10$ до 1500$ в зависимости от платформы и гарантии имеющихся средств. Кроме того, кибер-преступники предлагают так называемые клонированные кредитные / дебетовые карты (от 180$), устройства для клонирования карт (200$ - 1000$), и даже поддельные банкоматы (от 3500$ в зависимости от модели). Дополнительные услуги, такие как отмывание денег (посредством банковских переводов или обналичивания чеков) доступны по цене, составляющей от 10 до 40 % работы. Если покупатели хотят использовать похищенные банковские реквизиты, чтобы купить продукты через Интернет, но боятся, что их вычислят через адрес доставки, кибер-преступники могут сделать это за них. Стоимость такой услуги составляет от 30$ до 300$ (в зависимости от выбранного продукта).
Для более «продвинутых» кибер-мошенников, которые хотят создать свой собственный поддельный Интернет-магазин и с помощью мошеннических методов выманивать данные пользователей, а также зарабатывать деньги, продавая ничего не подозревающим пользователям поддельные антивирусные программы, также существует ряд услуг. Например, дизайн, разработка Интернет-магазина, создание сайта «под ключ» и даже его позиционирование в поисковых системах. В этом случае цена зависит от объема работ.
Кибер-преступники предлагают также арендовать бот-сети для рассылки спама (с использованием инфицированных компьютеров-зомби). Стоимость зависит от числа используемых компьютеров, количества спама, которое нужно разослать, или периода аренды. Цены колеблются от 15$ до 20$ за аренду серверов SMTP или VPN, которые позволяют оставаться анонимным.
Ниже представлен список существующих услуг и примерные цены:

Большой бизнес
Чёрный рынок кибер-преступности, как и любой другой бизнес, существует до тех пор, пока в нем есть потребность у клиентов. Поскольку конкуренция в этой отрасли достаточно высока, преступники назначают конкурентоспособные цены, а операторы даже предлагают скидки для «оптовых» покупателей. Покупателям предлагают воспользоваться пробным периодом использования похищенных банковских реквизитов, а также гарантируют возврат денег или обмен услуги.
Однако, поскольку это всё-таки черный рынок, есть некоторые детали, которые отличают его от традиционного бизнеса. Так как анонимность имеет первостепенное значение, многие продавцы используют «подпольные» форумы для продвижения продукции. Роль офиса успешно выполняет Интернет, доходит даже до того, что мошенники пишут график работы своего «офиса». Некоторые из них действуют более открыто и заводят страницы на Facebook и Twitter, которые они используют в качестве витрины. Для обеспечения анонимности преступники общаются всегда через программы обмена мгновенными сообщениями или с помощью электронной почты.
Как только контакт установлен, операция проводится через сайт, созданный продавцом. При этом используются имя пользователя и пароль, которые, как и в любом Интернет-магазине, позволяют покупателям просматривать и заполнять свою «корзину». Оплата всегда осуществляется по авансовой схеме через платежи Western Union, Liberty Reserve и WebMoney.

В инфраструктуре проекта Fedora зафиксировано вторжение злоумышленника

Лидер проекта Fedora сообщил детали произошедшего 22 января инцидента, в результате которого злоумышленники смогли проникнуть на некоторые серверы проекта под одним из пользовательских аккаунтов. В сообщении с разбором ситуации утверждается, что параметры доступа были получены вследствие внешней атаки (например, взлом машины разработчика или сниффинг), а серверы инфраструктуры не были взломаны напрямую.

Поверхностная проверка показала, что злоумышленники не вышли за пределы скомпрометированного аккаунта и не воспользовались функциями формирования сборок и обновлений. Тем не менее, мейнтейнерам пакетов рекомендовано регулярно анализировать журналы внесения изменений в пакеты и информировать администрацию (admin at fedoraproject.org) о любой подозрительной активности. Участникам проекта при доступе к инфраструктуре Fedora настоятельно рекомендуется использовать надежные пароли и не применять эти же пароли в других проектах, особенно на web-сайтах, не использующих шифрование.

Проникновение злоумышленника было выявлено после обращения одного из разработчиков, обеспокоенного получением системного письма с уведомлением об изменении параметров аккаунта. Администраторы проекта немедленно приступили к разбору ситуации и выяснили, что действительно под аккаунтом обратившегося пользователя были осуществлены факты входа постороннего лица.

Скомпрометированный аккаунт не входил в группу системных администраторов и команды по подготовке релизов, но обладал следующими привилегиями:

• Возможность входа на серверы fedorapeople.org и pkgs.fedoraproject.org с правами непривилегированного пользователя;
• Доступ к помещению новых пакетов в систему управления исходными текстами Fedora;
• Право на выполнение сборки пакетов и формирования обновления к ним.

В ближайшее время администраторами проекта будет проведён детальный анализ инцидента и выполнен дополнительный аудит безопасности серверов. Из уже проведенных мероприятий отмечается выполнение следующих действий:

• Блокирование скомпрометированного аккаунта;
• Создание снапшотов всех файловых систем на серверах на которых присутствовал взломанный аккаунт;
• Аудит логов SSH, FAS, Git и Koji показал, что злоумышленник сменил SSH-ключ аккаунта и вошел на сервер fedorapeople.org, но не пытался поместить изменения в систему управления исходными текстами Fedora, не входил на сервер pkgs.fedoraproject.org, не генерировал koji-сертификат, не выполнял сборки пакетов и не формировал обновления пакетов (примечание: или умело замел следы, чтобы создать иллюзию неудавшегося взлома).