20313
Чаще про c̶y̶b̶e̶r̶s̶e̶x̶ cybersec Нет, «опасносте» не опечатка @alexmaknet Размещение рекламы остановлено в связи с войной России против Украины
Ну и в заключение еще история про уязвимость в Samba — опенсорсной имплементации SMB — позволяющей получить контроль над удаленным компьютером с Windows, Linux или UNIX. http://thehackernews.com/2017/05/samba-rce-exploit.html?m=1 Патч с справлением уже есть, накатывайте, пока не началось https://www.samba.org/samba/history/security.html
Читать полностью…
Я неоднократно писал о том, как при пересечении границы США теперь пограничники могут потребовать у посетителей страны разблокировать телефон, и будут изучать содержимое телефона. Формально, как я читал, у них есть такая возможность, а за отказ могут и не пустить в страну (если отказывающийся — гражданин США, то его просто помурыжат на въезде и, возможно, выпишут какой-то штраф). Для пользователей 1Password есть хорошая новость — разработчики придумали специальный Travel Mode, который позволяет обезопасить пароли на телефоне, если все же пришлось отдать телефон (или компьютер) на изучение представителям правоохранительных органов https://blog.agilebits.com/2017/05/18/introducing-travel-mode-protect-your-data-when-crossing-borders/
Читать полностью…
И снова здравствуйте. Вынужденная пауза в трансляции канала прерывается (даже несмотря на то, что на нашей территории сегодня выходной). Например, новостями о том, как через серию приложений (41 штука!), доступных в Google Play, распространялось вредоносное ПО под кодовым названием Judy. Инфицированные устройства совершали "невидимые" клики по рекламе, принося деньги его создателям. Предполагается, что всего могло быть заражено до 36,5 млн устройств, что, возможно, является крупнейшим на данный момент случаем распространения вредоносного ПО через официальный магазин Google Play. На данный момент приложения из GP удалены. http://blog.checkpoint.com/2017/05/25/judy-malware-possibly-largest-malware-campaign-found-google-play/
Читать полностью…
тут еще эксперты из CheckPoint обнаружили интересную уязвимость во многих медиа-плеерах (VLC, Kodi, Popcorn), связанную с субтитрами. Если взять специально подготовленный файл субтитров, можно получить полный контроль над устройством, на котором медиаплеер воспроизводит эти субтитры (включая компьютеры, смартфоны и смарт ТВ). Информацию об уязвимостях исследователи передали разработчикам медиаплееров, и поэтому популярные приложения уже выпустили обновления, исправляющие эту уязвимость. Больше информации по ссылке http://blog.checkpoint.com/2017/05/23/hacked-in-translation/, а так совет стандартный — следите за обновлениями приложений! (спасибо читателю с псевдонимом Jack Shepard за то, что обратил мое внимание на эту историю)
Читать полностью…
а вот Chaos Computer Club, когда-то продемонстрировавшие, как можно обмануть Touch ID в iPhone, также показали, как можно обмануть систему распознавания радужной оболочки глаза в Samsung Galaxy S8 https://www.ccc.de/en/updates/2017/iriden. по этой ссылке есть демонстрация процедуры на видео https://media.ccc.de/v/biometrie-s8-iris-en Если вкратце, то надо снять радужную оболочку глаза в ночном режиме камеры, затем распечатать изображение, а потом наложить на него контактную линзу для имитации настоящего глаза. Такое изображение смартфон воспринимает как настоящий глаз и разблокируется. Так что обычного, но качественного селфи может быть достаточно для того, чтобы получить информацию, достаточную для последующей разблокировки телефона. Берегите там свои глаза!
Читать полностью…
эпидемию Wcry в мире пока что остановили, но эксперты пока что не могут остановиться, чтобы не продолжать исследование этого вируса. Много интересной информации тут http://gerbilnotes.blogspot.co.uk/2017/05/dissecting-wannacry-blog-by-gerbil-wcry2.html, а вот у Symantec пишут, что у Wcry торчат подозрительные северокорейские уши, похожие на атаку на Sony Pictures в свое время, и на атаку ЦБ Бангладеша https://www.symantec.com/connect/blogs/wannacry-ransomware-attacks-show-strong-links-lazarus-group
Читать полностью…
Если среди вас или ваших знакомых есть те, кто заразился Wcry, то вот полезная ссылка (прислал читатель Артем, за что ему спасибо!) на тулзу, которая при определенном стечении обстоятельств и везении позволяет расшифровать файлы без оплаты выкупа https://blog.comae.io/wannacry-decrypting-files-with-wanakiwi-demo-86bafb81112d
Читать полностью…
между тем, в России начали применять новейший антивирус против Wcry — святую воду! Патриарх Кирилл освятил компьютеры в МВД с целью защиты от всяких бесов и вымогательских зловредов. Предполагается, что поставки этого вида антивируса будут налажены в 220 стран по всему миру в ближайшее время https://heatst.com/tech/russias-secret-weapon-against-ransomware-virus-holy-water/
Читать полностью…
Привет! Несколько дней назад я писал, что Мак-пользователям нужно быть осторожней, потому что в популярном приложении Handbrake обнаружился вирус /channel/alexmakus/1123. Так вот, нашлась и жертва этого вируса - разработчик компании Panic (известной продуктами Transmit, Coda и другими), которому не повезло, потому что он как раз в те несколько дней, пока Handbrake был заражен, скачал его, и в итоге с его Мака украли данные, которых было достаточно, чтобы украсть исходные коды продуктов компании. Он честно рассказывает, как это произошло и что последовало дальше (у них вымогали выкуп за то, чтобы не публиковать утёкшие материалы, они отказались платить, а теперь преступника ищет ФБР). Так что если вы мак-юзер и пребываете в плену мифа, что Wcry вас не затрагивает и вы в безопасности, подумайте ещё раз https://panic.com/blog/stolen-source-code/
Читать полностью…
и, кстати, еще о взломах. Помните, пару недель назад я рассказывал, что какие-то хакеры взломали инфраструктуру студии, делавшей фильмы и сериалы для различных студий, получили доступ к 10 сериям нового сезона "Orange is the new black", шантажировали Neflix, угрожая опубликовать их в торрентах, ничего не получили и таки опубликовали сериал. Теперь похожая история с Disney и очередной серией "Пиратов Карибского моря", которая должна выйти 26 мая в кинотеатрах. Все то же самое: у пиратов есть копия, они требуют выкуп, иначе они угрожают выпустить фильм в интернет. (Дисней тоже угрожает выпустить фильм, только в прокат). Тоже мне, в общем, нашли предмет для торга. https://www.yahoo.com/news/disney-blackmailed-over-apparent-movie-hack-reports-004010011.html
Читать полностью…
Немного удаляясь от темы блокировок. Например, авиакомпания United, нашумевшая в этом году в новостях "добровольной эвакуацией пассажира", оказалась на прошлой неделе в неприятной ситуации, так как кто-то из сотрудников опубликовал в интернете коды доступа в кокпиты самолетов компании, что, как вы понимаете, подвергает безопасности сами полеты. Проблему, конечно, быстро исправили, перепрограммировав все кодовые замки, но осадочек остался
Читать полностью…
кстати, о мессенджерах. Вчера появились слухи о том, что в России планируют заблокировать Телеграм https://www.vedomosti.ru/technology/articles/2017/05/15/689967-administratori (так что если вдруг многие из вас внезапно отвалятся от канала, оставшиеся будут знать, почему это произошло). Я хотел еще вчера об этом написать, но ждал какого-то подтверждения или опровержения. Роскомнадзор сегодня не то, чтобы "отрицает", но сказал, что это слухи, а слухи они не комментируют https://republic.ru/posts/82938, что, в общем-то, может служить как подтверждением слухов, так и опровержением. Впрочем, Ведомости узнали о том, что РКН с Телеграмом таки связывался, запросил у них информацию, а за непредоставление ответа обещал блокировку. Так что приготовтесь там, на всякий случай. После блокировок Line и WeChat в России Телеграм вполне может стать следующим https://www.vedomosti.ru/technology/articles/2017/05/16/690045-roskomnadzor-ugrozhaet-zakrit-telegram
Читать полностью…
Ладно, пора сделать перерыв с Wcry. Вот, например, ссылка, которую прислал читатель Егор, о том, сколько всякой информации можно почерпнуть из Whatsapp через веб-браузер https://www.lorankloeze.nl/2017/05/07/collecting-huge-amounts-of-data-with-whatsapp/
Читать полностью…
вообще вся эта тема с Wcry в очередной раз вскрыла серьезную проблему: когда органы вроде Агентства Национальной Безопасности находят уязвимость в ПО или устройстве, они не делятся этой информацией с производителем или разработчиком, а оставляют эту информацию себе, для того, чтобы "взламывалось лучше". В итоге потом эта иформация утекает, как стало с ETERNALBLUE, она попадает к злоумышленникам, и мы имеем то, что имеем. В прошлом году, когда Apple бодалась с ФБР, я писал (https://alexmak.net/blog/2016/03/29/battle-won/):
Существует подписанное в 2010 году администрацией Президента Обамы описание некоего процесса под названием “vulnerabilities equities process“, согласно которому правительственные организации и их контракторы должны делиться информацией об обнаруженных компьютерных уязвимостях с производителями программного обеспечения и устройств (тут, конечно, на слове “должны” может быть смешно). Логика процесса достаточно проста: если правительство обнаружило серьезную уязвимость, которая может быть использована для взлома, например, iPhone, эта же уязвимость может быть обнаружена и злоумышленниками, которые могут использовать ее для незаконной деятельности. Так что раскрытие подобной информации правительственными организациями — это важная часть по обеспечению безопасности страны и ее граждан. Для того, чтобы правительственная организация, обнаружившая уязвимость, могла сообщить ее частной компании (как Apple), следует провести специальное заседание Национального Совета Безопасности, где NSA, ФБР, МинЮст и прочие заинтересованные стороны должны обсудить, стоит или не стоит делиться этой информацией. Однако, “так получилось”, что очень часто этот совет принимает решение сохранить информацию об уязвимости в тайне, поэтому информации о том, о каких уязвимостях там идет речь и что с этими данными происходит, нет. EFF судилась с правительством по этому поводу, но тоже ничего не добилась, кроме “урезанной” копии документа, описывающего этот процесс
Microsoft, конечно, сейчас радостно за эту тему ухватилась и давай винить во всех бедах пользователей именно АНБ, требуя большего участия со стороны госорганов в борьбе с такими кибератаками: https://blogs.microsoft.com/on-the-issues/2017/05/14/need-urgent-collective-action-keep-people-safe-online-lessons-last-weeks-cyberattack/#sm.00000xl4qcz818edarjiw7w28w6qj АНБ, однако, тоже можно понять, у них свои KPI по их задачам. Так что, я думаю, вряд ли внезапно что-то резко изменится. Зато, если в очередной раз кто-то начнет требовать от разработчиков ПО встраивать бэкдоры в свой софт, то вся эта история с утечкой уязвимостей и их публикацией станет хорошим аргументом в споре
Вот уже пишут, что появился апдейт к Wcry, который игнорирует домен для killswitch. Так что кто не поставил апдейт - сам виноват https://twitter.com/kennwhite/status/863350389793533952
Читать полностью…
условно полезная утилита для взлома файла Keychain на Маке https://github.com/macmade/KeychainCracker Автор утверждает, что он написал её для помощи знакомым, которые хотели получить доступ к данным умершего родственника, но, как и многие другие инструменты, они могут быть использованы с разной целью. Но мало ли, вдруг вам пригодится.
Читать полностью…
А эксперты Flashpoint продолжают анализировать Wcry, и в данном случае проанализировали тексты из самого вируса и ответы "службы поддержки", и все указывает на то, что авторы — азиаты, использовавшие Google Translate https://www.flashpoint-intel.com/blog/linguistic-analysis-wannacry-ransomware/
Читать полностью…
Про Wcry уже вроде как начали забывать, но мы-то помним, что в современном мире информация расходится кругами и с задержкой. Поэтому две недели назад мы говорили о Wcry, потом о нем перетирали в телевизоре, а уже потом оно дошло до газет и самых непродвинутых читателей. Этим пользуются злоумышленники, которые, например, наплодили "детекторов-борцов с Wcry в Android Google Play Store". Понятно, что на Android это пользователям не нужно, но надо же ковать железо, пока горячо. Правда, скорей всего, под этими иконками прячется софт, который в лучшем случае будет впаривать пользователям рекламу, а в худшем еще и данные может украсть
Читать полностью…
ESET предупреждает о новой мошеннической кампании на WhatsApp. В качестве приманки выступает годовая подписка на международный видеосервис Netflix.
Потенциальная жертва получает сообщение об «акции Netflix» от пользователя WhatsApp из списка контактов. Укороченная ссылка в сообщении ведет на фишинговую страницу, которая визуально не отличается от сайта онлайн-кинотеатра, но не имеет к нему отношения.
Поддельная страница распознает язык, установленный для мобильного устройства пользователя, и показывает локализованный контент. Пока специалисты ESET обнаружили версии на английском, испанском и португальском языках.
Чтобы получить «годовую подписку в подарок», жертве предлагается отправить ссылку на «акцию» минимум десяти пользователям WhatsApp из списка контактов. Простая механика обеспечивает дальнейшее распространение аферы.
Далее пользователя попросят заполнить небольшую анкету. Номер мобильного телефона, введенный на фишинговом сайте, пополнит базы спамеров и может быть использован для подписки на дорогостоящие SMS-сервисы.
Здрасте. Сегодня у меня плохие новости для граждан Российской Федерации, где, похоже, законодательная власть серьезно взялась за мессенджеры. На рассмотрение Госдумы внесли законопроект, предусматривающий идентификацию пользователей мессенджеров. «Законопроект определяет понятие организатора обмена мгновенными сообщениями и возлагает на данного субъекта обязанность обеспечивать передачу электронных сообщений только тех пользователей сети “Интернет”, которые идентифицированы в порядке, устанавливаемом Правительством Российской Федерации».
акже в записке отмечается, что «идентификация пользователей сети “Интернет” осуществляется оператором связи с использованием абонентского номера, на основании договора об идентификации, заключенного организатором обмена мгновенными сообщениями с оператором связи».
При этом мессенджеры должны обеспечивать возможность как ограничивать рассылку сообщений, отправленных неидентифицированными пользователями, так и обеспечивать рассылку электронных сообщений по инициативе органов государственной власти. В случае, если мессенджер не выполнил распоряжение об ограничении рассылки, «доступ к информационным системам и (или) программам для электронных вычислительных машин, функционирование которых обеспечивается данным организатором обмена мгновенными сообщениями, до исполнения таких требований ограничивается оператором связи, оказывающим услуги по предоставлению доступа к сети “Интернет”, незамедлительно». Прелестно, прелестно...
http://asozd2.duma.gov.ru/main.nsf/(Spravka)?OpenAgent&RN=184222-7
Привет! вы же соскучились по свежим новостям, в которых информация опасносте? Например, вот тут в России поймали каких-то хакеров, которые с помощью троянов для Android воровали деньги с банковских счетов пользователей. Их приложение маскировалось то под Avito, то под Navitel, то под Pornhub и путем отправки скрытых SMS переводило деньни со счетов. Так что совет традиционен: лучше не скачивать приложение откуда попало, а еще лучше — купить iPhone (там, по крайней мере, нет такой фичи как скрытые SMS) https://republic.ru/posts/83140
Читать полностью…
а вот интересное видео, как обманывают сканер отпечатка пальца в iPhone с помощью напечатанного дубликата отпечатка проводящими чернилами. Конечно, паниковать не стоит, никто никогда не даст гарантии, что сканер отпечатка пальца невозможно обмануть, просто нужно не забывать, что снять качественный отпечаток пальца у потенциальной жертвы не так-то просто (по крайней мере, пока что) https://www.youtube.com/watch?v=3hF83bZ2_0E&feature=youtu.be&a
Читать полностью…
В качестве бонуса - статья с техническим разбором того, как работает вредоносное ПО Proton.B, тот самый троян, с помощью которого украли данные у разработчика Panic - как ставится, как работает и как заметает следы https://www.cybereason.com/labs-proton-b-what-this-mac-malware-actually-does/
Читать полностью…
Информация часто бывает опасносте просто потому что пользователи не думают о последствиях. Mastercard Serbia в ФБ пригласили пользователей показывать содержимое своей сумочки, с каким-то там призом. Разумеется, пользователи ломанулись выкладывать фотки со своими кредитками, не скрывая номер и прочие данные. Странно, что в Мастеркард изначально не додумались предупредить пользователей не делать этого. http://svedic.org/programming/mastercard-serbia-asked-ladies-to-share-fb-photos-of-among-other-things-their-credit-card
Читать полностью…
Сервис DocuSign, который используется для подписи электронных документов, был взломан на прошлой неделе. Сами документы, хранящиеся в сервисе, не были затронуты, а вот адреса пользователей (как минимум, части пользователей) злоумышленникам достались. https://trust.docusign.com/en-us/personal-safeguards/ Однако, злодеи на этом не остановились: они использовали полученные адреса для рассылки фишинговой атаки, пытаясь таким образом "выдурить" еще и пароли пользователей от сервиса. Так что по ссылке там выше инструкция о том, что делать с этим фишингом
Читать полностью…
И, говоря о блокировках, нельзя не упомянуть тот факт, что в Украине законодательно запретили деятельность Яндекса, Мейл.ру, Вконтакте и 1С. Ну как запретили — закон президент подписал, но механизмов блокировок ресурсов все равно нет. Так что переход бухгалтеров на счеты, а пользователей на VPN откладывается на неопределенное время. Как сказал Сережа Петренко, бывший директор Яндекс-Украина, все, кто имели отношение к этому указу — "охуевшие идиоты". В целом, конечно, я даже с ним согласен. https://lb.ua/news/2017/05/16/366388_poroshenko_vvel_deystvie_sanktsii.html
Читать полностью…
И снова здравствуйте! ух у меня накопилось интересных ссылок для вас, и практически все — не о Wcry. Продолжая, например, тему с WhatsApp: по сети бродит ссылка типа на whatsapp.com, но на самом деле в домене используется кирилический символ, и как результат — те, кто кликнул на ссылку, получают себе на компьютер рекламный вирус в виде расширения для Chrome. Короче, а) не надо кликать на что попало, б) пора бы уже браузерам показывать предупреждение, если в домене встречаются кирилические символы https://www.reddit.com/r/technology/comments/6b9fxq/fake_whatsappcom_uses_шһатѕаррcom_to_draw_users/
Читать полностью…
Ну и нельзя забывать, конечно, о бестолковости админов и пользователей
Читать полностью…
и снова здравствуйте. пока вы там еще не все уснули, небольшой апдейт про Wcry.
После того, как вчера зарегистрировали домен с killswitch для самого первого варианта и с ним наступило затишье, появилось еще несколько вариантов червя, причем некоторые имели тоже "встроенный" killswitch, но с другими доменами (их тоже зарегистрировали и эти варианты "умерли"), но, говорят, есть уже вариант и без killswitch, то есть его невозможно "убить", зарегистрировав домен, к которому обращался бы червь.
Ожидание среди экспертов такое, что затишье сейчас из-за выходных, поскольку многие корпоративные компьютеры выключены, а вообще с понедельника может начаться не меньше, а то и больше волна заражений. http://thehackernews.com/2017/05/wannacry-ransomware-cyber-attack.html
В любом случае, рекомендация ставить обновления никуда не девается, это самый надежный вариант защиты. Еще можно в Windows отключить поддержку SMBv1, потому что иначе на непропатченной машине заражение происходит в течение пары минут (см видео https://twitter.com/hackerfantastic/status/863461225346347012/video/1).
Забавно, что кто-то написал бота, который монитор bitcoin-кошельки, на который должны поступать выплаты с выкупом. На данный момент туда поступило 123 платежа на общую сумму 35 тысяч долларов. Но, кстати, рекомендация экспертов безопасности — не платить, потому что никакой гарантии, что в ответ вы получите информацию для расшифровки файлов, нет. Вроде есть отзывы, что ответы приходили, но вообще, как я понимаю, там "живой" оператор отвечает, и учитывая масштабы эпидемии, не факт, что у него хватит времени всем ответить. А может, он и просто решит не отвечать. Так что апдейты и осторожность — ваше все.
Привет. Я все ещё о Wcry. Есть хорошие новости:
1. Распространение червя удалось заблокировать. В коде нашли домен, к которому якобы должен был обращаться Wcry для остановки распространения (так называемый kill switch), но он оказался незарегистрированным. После того, как эксперт по безопасности, ведущий твиттер @malwaretech, зарегистрировал этот домен на себя (iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com), и распространение Wcry прекратилось.
2. Для пользователей более старых систем Windows, которые уже не поддерживаются Microsoft (и в марте не получили патча, закрывающего уязвимость), Microsoft таки сжалилась и выпустила апдейт. Так что если у вас Win XP/8/2003, вам сюда. https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/
Теперь плохие новости:
1. По мнению экспертов, наличие такого kill switch в коде указывает, возможно, на то, что это был всего лишь пробный запуск, поэтому радоваться пока что рано.
Измени пару строк в коде - и можно начинать опять.
2. Более того, структура червя такая, что код, отвечающий за распространение, хорошо отделен от кода заражения, и легко можно подложить другой payload и применить отличающийся вектор атаки.
3. Апдейты, которые выпустила Microsoft, это хорошо, но помните, кто вчера пострадал? Многие из тех, кто не поставил апдейты, выпущенные в марте! Сейчас, конечно, у большинства ленивых админов подгорит и они всё-таки поставят апдейты, но в мире все равно останется масса компьютеров, уязвимых даже к этой (не говоря о других) атаке. Будущее для компьютерной инфраструктуры выглядит очень неприглядно - дальше будет хуже.