Мы собрали наиболее важные новости из мира кибербезопасности за неделю.

Южная Корея выявила подозрительные криптовалютные операции на $680 млн 

Служба финансового надзора Южной Кореи (FSS) в очередной раз обнаружила сомнительные валютные операции на сумму $680 млн.

По заявлению ведомства, большинство денежных переводов связаны с криптовалютами. Местные компании получали транзакции с биткоин-бирж, а затем отправляли средства за границу. 

82 корпорации, включая туристические и косметологические фирмы, до сих пор замешаны в незаконных финансовых операциях, утверждает регулятор.

Новые факты установлены в ходе продолжающегося расследования предполагаемого содействия местных банков — Shinhan Bank и Woori Bank — зарубежным переводам на криптобиржи в объеме $6,5 млрд, которые ассоциировались с «кимчи-премией». Таким образом совокупная сумма подозрительных операций на текущий момент составляет $7,2 млрд.

По данным FSS, 72% денежных переводов ($5,18 млрд) отправлены в Гонконг, 15% ($1,09 млрд) – в Японию и 5% ($360 млн) – в Китай. На доллары США приходилось 81,8% аномальных транзакций, на японские иены и гонконгские доллары – 15,3% и 3,1% соответственно.

Регулятор намерен завершить сбор доказательств по делу к октябрю.

Rockstar Games подтвердила утечку исходного кода и геймплея GTA VI

18 сентября хакер получил доступ к исходному коду и видеороликам находящейся в разработке игры Grand Theft Auto VI. Достоверность утечки подтвердила компания Rockstar Games.

Злоумышленник под ником teapotuberhacker заявил, что взломал серверы Rockstar в Slack и Confluence. Он выложил на форуме RAR-архив, содержащий 90 украденных видео. На них показаны различные функции в игре, включая ракурсы камеры, отслеживание NPC и локации в Vice City. 

Позднее хакер также опубликовал 9500 строк исходного кода GTA 6, по-видимому, связанного с выполнением сценариев для различных внутриигровых действий.

Rockstar Games подтвердила достоверность похищенных данных из внутренней сети компании.

«В настоящее время мы не ожидаем каких-либо сбоев в работе наших игровых сервисов или другого долгосрочного эффекта на развитие наших текущих проектов», – добавили разработчики.

Rockstar Games разослала DMCA-уведомления в Twitter, YouTube и на другие площадки, пытаясь удалить отснятый материал. Однако видео и скриншоты уже завирусились в сети.

Кибератака на Revolut раскрыла личные данные десятков тысяч пользователей

Финтех-стартап Revolut подтвердил, что подвергся целенаправленной кибератаке, которая позволила хакерам получить доступ к личным данным десятков тысяч клиентов. Об этом пишет TechCrunch.

По словам представителя Revolut, «неавторизованная третья сторона получила доступ к сведениям о небольшом проценте (0,16%) клиентов в течение короткого периода времени». Компания обнаружила вредоносный доступ поздно вечером 11 сентября и изолировала атаку к утру.

Количество пострадавших не сообщается. Тем не менее в отчете, представленном властям Литвы, компания уведомила, что атака затронула 50 150 клиентов, в том числе 20 687 клиентов в Европейской экономической зоне и 379 граждан Литвы.

В Revolut отказались уточнить, к каким типам данных хакер получил доступ, однако подчеркнули, что кражи средств не произошло. В сообщении, отправленном пострадавшим клиентам на Reddit, компания добавила, что утечка также не касалась «данных карт, PIN-кодов или паролей». 

По предположению команды, с помощью методов социальной инженерии хакеры, вероятно, получили частичный доступ к данным платежных карт, а также к именам клиентов, адресам, электронной почте и номерам телефонов.

В качестве меры предосторожности Revolut сформировал специальную команду, которой поручено следить за безопасностью клиентских счетов.

Львовские хакеры продали россиянам данные 30 млн аккаунтов украинцев и граждан ЕС

СБУ во Львове пресекла деятельность хакерской группировки, которая похищала персональную информацию из аккаунтов пользователей из Украины и Евросоюза.

Конфиденциальные данные злоумышленники продавали в даркнете. Оплату принимали через платежные системы ЮMoney, Qiwi и WebMoney.

По предварительным данным, продажа 30 млн аккаунтов принесла им почти 14 млн гривен (около $380 000).

В СБУ добавили, что взломанные аккаунты использовали для распространения дезинформации по общественно-политической ситуации в Украине и ЕС.

Правоохранители изъяли жесткие диски, компьютеры, мобильные телефоны, сим-карты и флешки. 

Организатора подозревают в несанкционированном распространении информации с ограниченным доступом. Следствие продолжается.

Google Tag Manager использовали для заражения e-commerce сайтов вредоносами

Хакеры используют контейнеры Google Tag Manager (GTM) для внедрения электронных скиммеров, которые затем воруют данные банковских карт и личную информацию покупателей на сайтах электронной коммерции. Об этом сообщили аналитики Recorded Future.

GTM применяют для сбора различных метрик, отслеживания клиентов и прочих маркетинговых целей. Контейнеры также позволяют встраивать JavaScript и другие ресурсы на сайты. Злоумышленники научились скрывать внутри них вредоносные скрипты.

В совокупности инцидент затронул 569 доменов. 314 из них оказались заражены GTM-скиммерами, остальные 255 отправляли украденные данные на вредоносные домены, связанные со злоупотреблением GTM.

«В настоящий момент в даркнете размещены данные более 165 000 платежных карт, принадлежащих жертвам атак», — пишут исследователи. 

По их словам, для устранения взлома администраторам в среднем требуется более трех месяцев.

66% пострадавших сайтов базируются в США. Остальные находятся в Канаде, Великобритании, Аргентине, Индии, Италии, Австралии, Бразилии, Греции, Индонезии и других странах.

Эксперты обнаружили троян для кражи паролей через корпоративную почту

С апреля по август 2022 года специалисты «Лаборатории Касперского» зафиксировали около 740 000 случаев почтовой рассылки, содержащей трояна-шпиона Agent Tesla. Адресатами писем являлись организации по всему миру. 

Программа умеет красть логины и пароли из браузеров и других приложений, делать скриншоты, а также собирать данные с веб-камер и клавиатур. Полученные данные хакеры могут продавать в даркнете или использовать в дальнейших целевых атаках на те же компании.

Зловред распространяется в виде архива через письма якобы от поставщиков или контрагентов. В этой спам-кампании злоумышленники используют названия существующих фирм, копируют стиль письма и подпись отправителя. 

Хакеров выдают странные адреса отправки с использованием слова «newsletter». Как правило, подобные адреса типичны для новостных рассылок, а не для переписки по закупкам. Доменное имя отправителя также отличается от официального названия компании на логотипе.

Все сообщения приходят с ограниченного набора IP-адресов, что указывает на единый центр организации атаки.

Также на ForkLog:

• Хакеры похитили у маркетмейкера Wintermute активы на $160 млн.
• Взломанный Twitter индийской биткоин-биржи использовали для фейковой рекламы XRP.
• Аналитики выявили атаку повторного воспроизведения с токенами PoW-форка Ethereum.

Что почитать на выходных?

На этой неделе ForkLog подробно разобрал кейс миксера Tornado Cash и причины его блокировки.