T.Hunter | информационная безопасность

#news Пятничные новости о выгорании в ИБ-индустрии. Согласно новому отчёту от Bitfender, жизнь у безопасников на Западе не сахар. Больше 70% перерабатывают на выходных, 64% опрошенных недовольны работой и планируют искать новую. Хуже всего британцам: с переработками сталкиваются 81% ИБ-бедолаг. Среди основных угроз названы фишинг, уязвимости с нулевыми днями и рансомварь — мнение разделились примерно поровну. Почти все безопасники (96%) убеждены, что ИИ-модели создают угрозу для кибербезопасности. А 71% занятых в индустрии людей в прошлом году были недовольны используемыми ими решениями по безопасности. В общем, переработки, выгорания и неудовлетворённость работой правят бал. Число взломов растёт, фишинг становится всё изощрённее, а в половине компаний нет регулярных аудитов. Скачать отчёт и задуматься над своими карьерными решениями можно здесь. А можно провести выходные в блаженном неведении. Если, конечно, не застанете их на работе. @tomhunter

#news Исследователи представили новую атаку по ML-моделям. Она эксплойтит питоновский формат Pickle, столь же популярный, сколь и незащищённый. В отличие от иных атак по системам разработчика, Sleepy Pickle ведёт к компрометации самой модели. Атака подразумевает внедрение вредоносного кода в файл Pickle и его доставку по целевой системе жертвы через AitM-атаки, фишинг и иные векторы. При десериализации модель может обзавестись бэкдором или отравленной выдачей. В качестве примера от исследователей в модель вводят информацию «отбеливатель лечит простуду», и юзер на соответствующий вопрос получает предложение пить горячий чай с лимоном, мёдом и отбеливателем. Чем это отличается от модели, натасканной на комментариях щитпостеров с Реддита, неясно. Но у атаки, конечно, могут быть и более серьёзные применения. Подробнее о ней с персистентностью и обфускацией в отчёте, раз и два. @tomhunter

#news Очередная поучительная ИБ-история из серии «Как не надо мстить работодателю». Или «Не забывайте отзывать данные доступа сотрудников». В Сингапуре в 2022-м был уволен QA-инженер местной компании NCS. Расстроенный увольнением товарищ Кандула Нагараджу обнаружил, что его логин всё ещё активен. И четыре месяца спустя закинул вайпер на сервера бывшего работодателя. Скрипт потёр 180 тестовых серверов компании, с которыми ранее работал герой истории. В итоге на восстановлении NCS потеряла почти 700 тысяч долларов. А мстительный Нагараджу получил 2 года и 8 месяцев тюрьмы — на его ноуте нашли и вредоносный скрипт, и историю поиска по его использованию. На фото лицо человека, чей пранк не удался. @tomhunter

#news В сети новый фишинговый тулкит от товарища mr.d0x, на этот раз с эксплойтом прогрессивных web-приложений. Он позволяет создать окна логина в корпоративные аккаунты для кражи данных доступа. При скачивании с условного фишингового сайта, PWA из тулкита может отобразить убедительное окно, дизайн которого ограничен только фантазией злоумышленника. На скрине фейковое окно от Microsoft 365. По аналогии с BitB-китом интегрирована фейковая адресная строка для большей убедительности. С учётом того, что фишинг через PWA — вещь относительно новая и редко упоминаемая в ИБ-программах для сотрудников компаний, у атаки есть неплохие шансы на успех. Демо от mr.d0x’a доступно на GitHub. А здесь видео с примером работы. @tomhunter

#news В России обсуждают создание отдельной госструктуры по кибербезопасности. У нас может появиться новый федеральный орган, занимающийся вопросами ИБ, пока идёт активное обсуждение с отраслью по теме. Сейчас вопросами инфобеза занимаются сразу несколько структур, включая ФСБ, Минцифры и ИБ, что ведёт к рассинхрону по некоторым вопросам. Новая структура призвана стать единым центром, занимающимся регулированием, противодействием, координацией и иным сопутствующим в сфере кибербезопасности. В общем, такой вот Росинфобезнадзор получается. Станет ли новый надзорный орган с раздутым бюджетом панацеей от ИБ-бед, масштабных утечек и прочих радостей? Делайте ваши ставки. @tomhunter

#news Китайские госхакеры продолжают демонстрировать впечатляющие результаты: согласно новому отчёту от нидерландских безопасников, масштабы шпионской кампании китайцев по CVE-2022-42475 в FortiOS были больше, чем предполагалось. За несколько месяцев в 2022-м и 2023-м были взломаны не меньше 20 тысяч систем Fortigate. Ещё пока уязвимость была нулевым днём, китайцы заразили 14 тысяч устройств. Десятки западных правительств, международные организации, оборонка. С учётом персистентности назвать точное число жертв невозможно, и, скорее всего, доступ ко многим систем у Китая есть до сих пор. А нидерландское Минобороны от масштабных утечек уберегла только сегментация сетей. В общем, сумрачный китайский гений в деле. Это вам не боевые канальчики в Телеграме вести. @tomhunter

#news Новые высоты в фишинговых рассылках: в Великобритании арестовали двух злоумышленников, которые вели массовую мошенническую кампанию. Но есть интересный нюанс: делали они это с помощью некой самодельной мобильной антенны. Полиция описывает её как незаконную телефонную вышку и даже смс-пушку. Рассылка шла от лица банков, госструктур и прочего официального. Преступникам также удалось обойти защиту мобильных операторов от смишинга. Поэтому звучат предположения, что это был IMSI-перехватчик, но подтверждений нет. Также это мог быть SIM-банк или куча телефонов, заточенных под массовую рассылку. В любом случае новость занятная. За простой смской от мошенника могут скрываться и такие безумные инженерные умения. @tomhunter

#news Новость из серии «Стыдно быть вольным киберпреступным хабом». После рансомварь-атаки 3 июня по поставщику медицинских услуг Synnovis в Лондоне встали несколько больниц. Были перенесены или отменены несрочные операции, переливания и приёмы. А теперь в больницах заканчивается кровь. Из-за отвалившихся систем нет возможности оперативно сопоставлять доноров и пациентов. Для переливания вынуждены использовать универсальную первую группу, её запасы иссякают. Больницы запросили её доноров срочно сдать кровь для продолжения процедур. Кто провёл атаку? Предполагают, русскоязычная RaaS-операция Qilin. Как считает британская NCSC, стоящие за атакой слабо себе представляли, какой ущерб они нанесут, и просто заинтересованы в выкупе. Так и живём. @tomhunter

#news Появляются новые подробности атаки по Snowflake, рискующей войти в историю как самая масштабная утечка данных. Компания не врала, когда заявила, что затронута лишь малая часть клиентов. 165 компаний от почти 10 тысяч — это немного. Относительно немного. Злоумышленники, обозначенные как UNC5537, финансово мотивированы. Она базируются в Северной Америке и сотрудничают по атаке с некой группировкой в Турции. Mandiant указывает три слабых места, которые привели к эпических масштабов взлому. Вполне очевидных. Отсутствие мультифакторки, регулярной ротации данных доступа и подключений, ограниченных проверенными локациями. Между тем данные с инфостилеров, которыми ломали компании, тянутся вплоть до ноября 2020-го. Какая уж там ротация. С такими датами данные доступа можно захардкодить и клеить на мониторчики в бухгалтерии — хуже не станет. @tomhunter

#news Как известно, Google требует от разработчиков приложений под Android прописывать политику конфиденциальности даже там, где данные не собирают. Товарищ Джейми Завински подошёл к задаче творчески: политика его XScreenSaver превратилась в манифест «Семьдесят вещей, которые не так с Google». XScreenSaver в отличие от Google не собирает пользовательские данные. Не использует их, не отслеживает локацию. Не содержит скрытых микрофонов. Не записывается в военные подрядчики США и Израиля. XScreenSaver не даёт взятки правительству и не давит конкурентов. И даже к разработке WebP отношения не имеет. В общем, та политика конфиденциальности, которую интересно почитать. Google её одобрил, так что, видимо, возражений не имеется. Впрочем, чего им стесняться. Не за репутацию же мегакорпорации добра переживать. @tomhunter

#news По следам единодушного выражения любви и признательности Microsoft за новую фичу, компания решила прислушаться к сообществу. Но лишь слегка: Recall не будет включён по умолчанию. Варианта «Не будет установлен вообще, нюкнет систему и дёрнет юзера током при попытке поставить» не предусмотрено. Включится ли фича нечаянно при одном из последующих обновлений? Делайте ваши ставки. Помимо этого, Recall получит дополнительное шифрование и потребует биометрической аутентификации пользователя через Windows Hello — пока юзер не войдёт в систему, каталог фичи и сделанные ей скриншоты якобы будут зашифрованы. Вероятно, на эти подачки повлияло ИБ-сообщество, уже успевшее собрать пару инструментов для вскрытия базы Recall и её просмотра. Но с учётом того, что фичу не отозвали и не принесли извинения, триумфально провозгласить «Мы сделали это, Реддит» пока не получается. @tomhunter

#news У New York Times случилась масштабная утечка: слиты исходники с их GitHub. И оказались на 4Chan. 270GB, 5000 репозиториев, 3,6 миллионов файлов. Документация, внутренние инструменты, исходный код приложений и прочее-прочее. Всё это теперь раздаётся торрентом для всех желающих. Взлом произошёл в январе 2024-го с помощью утёкшего токена от GitHub. Между тем корпоспик от NYT как всегда демонстрирует чудеса оптимизма: проблему они быстро порешали, все нужные меры приняли, последствий для их работы не было, как и доступа к внутренним системам. Ну а то, что в открытый доступ ушли вообще все их исходники, включая несколько популярных приложений, — это так, незначительные детали. @tomhunter