Нецифровая экономика

Стикер смерти 6 сентября исследовательский коллектив GangExposed сообщил, что его собственный Telegram-чат стал полностью недоступен. При любой попытке открыть группу клиент падал на iOS, Android, десктопе и вебе. При этом группа не была удалена или забанена, инвайт-линк оставался активным. Так работал специально сформированный Lottie-стикер, который прошел серверную валидацию Telegram, но вызвал отказ в обслуживании на стороне клиента. Технически атака выглядит так: злоумышленник отправляет в чат стикер размером всего 269 байт. Внутри Lottie-анимации задается экстремально большое значение геометрического параметра — например, layers[0].shapes[0].pt.k = 10e38. Сервер Telegram принимает такой стикер как валидный. Но когда клиент пытается его отрисовать, рендерер тратит несоизмеримо много ресурсов и падает. Жертве не нужно нажимать на стикер, достаточно просто открыть чат. И пока этот стикер висит в истории, чат остается недоступным для всех участников на всех платформах. То есть 0click для чата и 1click для приложения (до краша). Сейчас стикер по публичным ссылкам найти уже не удается, выдает ошибку. Telegram пока официально тему не комментировал, однако неисключено, что в библиотеку rlottie была проста внесена минорная правка, которая исключает возможность работы этой уязвимости. 🔤🔤Отдельно отметим, что GangExposed — это не просто случайные исследователи. В 2025 году этот же коллектив провел громкую кампанию по разоблачению лидеров Conti и Trickbot. Они опубликовали внутренние файлы, личные данные и установили реальные имена ключевых фигур, включая предполагаемого лидера Виталия Ковалева. GangExposed позиционирует себя как «независимый анонимный исследователь», который сливает информацию не ради денег, а чтобы «избавить общество от преступников». Мол Justice-as-a-Service. И вот теперь кто-то целенаправленно заблокировал их Telegram-чат с помощью стикера. Кстати, GangExposed ранее находил и другие уязвимости в Telegram (включая утечку IP через tg://proxy-ссылки). В происходящем легко увидеть не просто технический инцидент, а вполне адресный ответ. @antiinfosec

Непрерывность 2.0: как компании перестраивают подходы к отказоустойчивости На пленарной сессии конференции IT Elements топ-менеджеры Газпромбанка, «Алросы», «Лукойл-Интер-Кард», ВЭБ.РФ, а также еще одного крупного банка, обсудили, как за последний год изменились подходы к непрерывности бизнеса. Модератором сессии выступил Андрей Янкин, руководитель Дирекции информационной безопасности «Инфосистемы Джет». Компании пересматривают планы восстановления на случай, если одновременно могут выйти из строя несколько площадок, резервные копии окажутся скомпрометированы, а часть процессов — недоступны без центральной инфраструктуры. По словам первого вице-президента Газпромбанка Дмитрия Назипова до недавнего времени, компании было достаточно двух московских ЦОДов, периметровых фаерволов и антивируса. Теперь, как он выразился, «ЦОДы могут внезапно исчезнуть за одну ночь». В сценарии отказа инфраструктуры приходится учитывать пожары, наводнения и атаки беспилотников. Одним из вариантов представители рынка считают переход от двух резервных площадок к трём. Третья должна быть физически и логически изолирована от основной инфраструктуры и находиться на значительном удалении. По словам заместитель директора департамента информационной безопасности ВЭБ.РФ Александра Погосяна, большее растояние между ЦОДами гарантирует большую безопасность, чтобы одна катастрофа не вывела из строя все площадки. Отдельную проблему представляют резервные копии. Онлайн-репликация не защищает от заражения, поскольку вместе с основной инфраструктурой может быть скомпрометирован и резерв. «Онлайн-реплицируемые основные резервные системы мгновенно впитывают любой вирус, любое нападение», — отметил Дмитрий Назипов. Поэтому компаниям нужны изолированные «чистые» копии и регулярные проверки восстановления. Одновременно компаниям приходится сохранять ручные процессы. «Люди дальше теряют навыки, как работать на бумаге, как вести Excel», — ИТ-директор «Алросы» Вадим Желтухин. Если полностью отказаться от старых способов работы, после отказа цифровой системы может не оказаться сотрудников, способных продолжить процесс вручную. Кроме того, ИИ создаёт ещё одну точку отказа. Как пояснил Георгий Руденко, CTO и CISO крупного банка, «если организация использует внутренний кластер с моделями, то он становится критической точкой — о доступности и безопасности которой нужно больше думать. Чем больше процессов завязано на его работе, тем сильнее любая авария или атака повлияет на организацию. Если компания использует внешние модели, возникает риск блокировки подписки. А когда строится автономный конвейер разработки с несколькими агентами, сбой одного элемента способен нарушить всю цепочку». Также Александр Погосян предупредил о риске чрезмерного доверия к моделям. Восстановление после аварии тоже приходится заранее отрабатывать. Ярослав Нападий, начальник управления эксплуатации ООО «Лукойл-Интер-Кард» рассказал, что подготовка процедуры восстановления одной системы заняла около полугода. После этого команда смогла выполнять её значительно быстрее. Во время учений проверяют не только технические процедуры, но и организационные детали — например, сможет ли нужный специалист вовремя попасть на резервную площадку. В результате компании переходят от резервирования отдельных ИТ-систем к резервированию критичных бизнес-функций. Для этого нужны независимые площадки, изолированные копии, автономные производственные системы, ручные сценарии и регулярные учения.

Криптомошенники носили лабутены Мэлоуну Лэму двадцать два года, он гражданин Сингапура и бросил школу после восьмого класса, так что к тому дню, когда его осудят на 20 лет за кражу криптовалюты, за плечами у него не окажется ни профессии, ни легального заработка — только знакомства с игровых форумов да вкрадчивый голос, которому люди почему-то верят. Этого хватило, чтобы за одно утро забрать у жертвы $245 млн, большая часть из которых осталась в самых модных клубах Лос-Анджелеса. Схема, принёсшая эти деньги, была устроена до обидного просто. Если человек держит криптовалюту достаточно давно, то почта его почти наверняка лежит в какой-нибудь утёкшей базе, а рядом с ней — телефон; именно по такому телефону в Вашингтоне и позвонили утром восемнадцатого августа 2024 года. Первый собеседник вежливо представился сотрудником Google и предупредил, что аккаунт пытаются взломать, а когда хозяин был уже достаточно напуган, следом позвонил второй — якобы из криптобиржи Gemini — и объяснил, что кошельку угрожает вредоносная программа, от которой нужно срочно спасаться. Мужчина открыл доступ к Google Drive, продиктовал защитные коды и через несколько часов обнаружил, что 4100 биткоинов у него больше нет. К трате денег компания подошла без особой фантазии. За один вечер в лос-анджелесском клубе Лэм оставил $569 тыс., а за месяц по клубам осело около $4 млн, причём на вечеринках мошенники кидали в толпу дизайнерские сумки ценой в подержанный автомобиль. Новых автомобилей, впрочем, тоже хватало: ФБР насчитало не меньше двадцати восьми, сам Лэм утверждал, что покупал больше тридцати наравне с особняками за $40–80 тыс. в месяц, частными самолётами, собственной охраной и часами за $2 млн. Между вечеринками, впрочем, шла работа, и устроена она была куда серьёзнее, чем можно было ожидать от людей, познакомившихся в онлайн-играх. До своего самого крупного куша еще к концу 2023 года у них появилась почти небольшая фирма: одни взламывали базы данных или покупали их в даркнете, другие сводили добытые сведения и отбирали жертв побогаче, третьи звонили, четвёртые отмывали и обналичивали, а пятые выезжали на адреса — лезли в дома за аппаратными кошельками, теми самыми устройствами, на которых хранятся ключи от активов. Дальше похищенное прогоняли через биржи, миксеры и цепочки промежуточных кошельков. Зато с наличными обходились так, что сразу вспоминается средний возраст в группе: пачки долларов рассылали почтой, зашив их внутрь мягких игрушек Squishmallows. Штабом группы служил особняк в Энсино за $47 500 в месяц, и он же помог ФБР выйти на участников. Один из них зашел на счет с почти $30 млн украденной криптовалюты, не скрыв IP-адрес. Следователи связали его с домом, после чего начались облавы. Деньги быстро привлекли и людей без жетонов ФБР. Через неделю после кражи родители одного из участников ехали по Коннектикуту на подаренном сыном Lamborghini, когда их перехватили вооруженные люди в масках. Их избили битой, связали и затолкали в фургон, чтобы заставить отдать ворованную крипту. Их спасли свидетели, вызвавшие полицию. Самого Лэма арестовали в Майами 18 сентября 2024 года. Позже из тюрьмы он сказал знакомым: «Мы всегда обсуждали, как это будет, если меня возьмут. Но такого я не представлял». Судей, кстати, удивило полное отсутствие осторожности в расходах краденных средств. Мол, можно же было как-то залечь на дно? Уверены, этот вопрос тоже будет терзать всех 18 участников следующие десятилетия на нарах.