SecAtor

2021-04-06 12:37:07 Забавное интервью главы подразделения кибербезопасности ОАЭ доктора Мохамеда аль-Кувейти вышло на Haaretz.

Если вкратце, то товарищ доктор рассказывает про братскую любовь между арабами и евреями (сиречь ОАЭ и Израилем), внезапно возникшую на почве совместной борьбы с кибератаками персов (то бишь Ирана) и их ливанских друзей под руководством лидера с неудобопроизносимой фамилией Насралла (то есть членов организации Хезболла).

В качестве примера взаимодействия аль-Кувейти приводит защиту от январской атаки APT Lebanese Cedar aka Volatile Cedar (мы писали про это здесь).

Ну дружат и дружат, иблис с ними. Нас другое привлекло - цитата Игаля Унны, директора израильского Национального управления по кибербезопасности. Товарищ Унна утверждает, что "крупнейшие в кибермире разведывательные органы - это частные компании FireEye и Лаборатория Касперского, которые имеют больше информации, чем любой государственный разведывательный орган".

Если насчет FireEye особых сомнений у нас никогда не возникало, все-таки это официальный филиал ЦРУ под крышей инфосек компании, то по поводу Касперских испытываем определенные сомнения. КНК, далек все-таки товарищ Унна от реалий российского инфосека.

Или евреи знают что-то такое, что... Открыть/Комментировать

2021-04-05 19:11:30 Как обычно по вечерам передаем слово Джо Словику. Открыть/Комментировать

2021-04-05 18:27:44 Group-IB вскрыли три фишинговых кампании, проводимые в 2019-2020 годах и нацеленные на пользователей Польши, Турции, Италии, Испании, Украины, России и др.

Для доставки вредоносов использовались домены со словами "kremlin", "Crimea" и "putin" в названии. Между тем исследователи с высокой степенью вероятности относят кампании к кибермошенникам из Нигерии.

Как полагают ГрИБы, нигерийцы таким образом пытались мимикрировать под русских хакеров. Попытка, прямо скажем, так себе. Забыли про буденовку. Открыть/Комментировать

2021-04-05 17:28:05 ​​Новая секретная разработка российских ученых для обеспечения бесперебойной работы компьютеров в условиях сверхнизких температур на военной базе Арктический трилистник (архипелаг Земля Франца-Иосифа) - волосатые процессоры! Открыть/Комментировать

2021-04-05 16:28:24 Неожиданно проснулся DrWeb и сразу с весьма интересным отчетом.

Как говорят птенцы гнезда Данилова, осенью прошлого года к ним за помощью обратился один из российских НИИ, который заподозрил присутствие вредоноса в своей сети. Результаты расследования, конечно, поразительные. Хотя чему тут удивляться.

Итак, исследователи установили, что сеть НИИ была скомпрометирована с осени 2017 года одной из APT с помощью модификации трояна Gh0st RAT, а позднее, в 2019 году, хакеры развернули в сети два других вредоноса.

Другая APT атаковала НИИ не позднее апреля 2019 года с помощью бэкдора, который Дрвебы назвали Skeye, а ранее он наблюдался американской FireEye и получил наименование HAWKBALL. Параллельно исследователи обнаружили, что этот же вредонос был развернут в мае 2019 года в сети другого российского НИИ. Эта APT также использовала авторский бэкдор DNSep и хорошо известный PlugX (хинт - он используется китайскими APT).

Ну и чтобы совсем нескучно было - в декабре 2017 года в сеть первого НИИ загнали вредонос RemShell, ранее выявленный Позитивами, причем не установлено, кто из двух атакующих APT это сделал.

Проведя атрибуцию исследователи не смогли понять, какая конкретно группа стоит за первой атакой, хотя установили, что она функционирует минимум с 2015 года. По используемой ей модификации GhostRAT можно предположить, что это китайская группа, поскольку вредонос использовался преимущественно хакерами из Поднебесной. Правда исследователи из Proofpoint в 2017 году уверенно приписывали использование GhostRAT в ходе одной из атак северокорейской Lazarus, но тут хз.

А вот вторую хакерскую группу Дрвебы определили как китайскую APT TA428, которая в 2019 году была обнаружена теми же Proofpoint. В пользу этого свидетельствуют пересечения в коде, инструментарии и вредоносной инфраструктуре. Аргументация в отчете убедительная.

Таким образом, товарищи из DrWeb в очередной раз подтвердили, что наши "любi друзi" из Пекина в процессе налаживания российско-китайской дружбы не забывают и о кибершпионаже.

P.S. Мы хотели в завершении текста написать колкость про ФСБ, но потому подумали.... и махнули рукой. Они про это даже и не в курсе, наверное. Лучше напишем в Спортлото. Открыть/Комментировать

2021-04-05 14:26:49 ​​Мы периодически пишем посты про уязвимости, выявленные в различных компонентах промышленных систем управления (ICS или АСУ ТП, если по-русски), в том числе от исследователей инфосек компании Claroty, специализирующейся как раз на безопасности ICS.

В последний раз это была новость о уязвимости в реализации стека ENIP от компании Real Time Automation, интегрированной многими производителями в свои решения для ICS. Ее критичность была оценена в 9,8 из 10. Нашла ошибку Шэрон Бризинов, ресерчер Claroty.

Теперь она же вместе со своим коллегой Амиром Премингером радует нас новыми дырками в решении FactoryTalk AssetCentre от одного из лидеров рынка компонентов для промышленных систем управления Rockwell Automation.

FactoryTalk AssetCentre - это инструмент автоматизированного контроля ICS. Часто используется для резервного копирования и аварийного восстановления.

Исследователи изучили возможность компрометации backup-сервера, получения доступа к данным ICS и получения прямого доступа к компонентам ICS более низкого уровня. В результате было выявлено 9 уязвимостей, каждая из которых была оценена в 10 баллов по CVSS. Само собой, большинство из них позволяло хакеру удаленно выполнять код, зачастую даже не пройдя аутентификацию.

По данным исследователей, использовав эксплойты этих уязвимостей злоумышленник мог получить прямой доступ к устройствам нижнего уровня, например к программируемым логическим контроллерам (ПЛК). А это означает, что, с большой долей вероятности, он мог бы повлиять непосредственно на технологический процесс.

Ошибки были выявлены в октябре прошлого года, а недавно Rockwell Automation исправили их, выпустив FactoryTalk AssetCentre v11. Все более ранние версии - уязвимы. Но поскольку процесс обновления устройств ICS традиционно на порядки более затянутый, то, полагаем, множество уязвимых FactoryTalk AssetCentre все еще функционируют на предприятиях.

В России и странах СНГ, судя по данным сети, Rockwell Automation FactoryTalk AssetCentre также присутствуют и участвуют в управлении технологическим процессом. Открыть/Комментировать

2021-04-05 12:11:54 ​​Это не выходные, а какой-то праздник утечек просто.

Сначала в паблик вывалили базу данных 533 млн. пользователей Facebook. В базе - ID пользователя, имя и фамилия, телефон и адрес электронной почты, а также прочая информация из профиля.

Представители Facebook говорят, что утечка старая и произошла еще два года назад, дырка была закрыта в августе 2019 года. Российских пользователей там почти 10 млн.

Сразу скажем, что мы про эту базу слышали раньше и даже видели ее куски (и не только мы). Судя по всему для ее составления была использована дырка, позволявшая перебором привязать телефонный номер к пользователю.

Вторая громкая утечка - вчера РБК сообщили, что в сети продается база, содержащая данные более 100 тыс. потенциальных заемщиков банка Дом .РФ. Период - с февраля 2020 по март 2021 года. Представители финансовой организации подтвердили факт утечки и сообщили, что она произошла из-за уязвимости в дистанционной подаче первичных заявок на получение кредита. При этом подчеркнули, что дырка закрыта, а украденные данные "не позволяют получить доступ к счетам клиентов".

Между тем, в утечке содержится сумма кредита, номер телефона, адрес электронной почты заемщика, а в части данных - еще и
ФИО, дата рождения, паспортные данные, ИНН, СНИЛС, домашний адрес, адрес места работы, должность, размер дохода, а также информация о доверенном лице (ФИО, номер телефона, кем приходится заемщику и т.п.) и другие сведения.

Короче, утекло нормально так. Ничуть не удивляемся этому, поскольку наслышаны про процесс организации информационной безопасности и в Дом .РФ, и в его родительском учреждении в виде ВЭБ .РФ. А надо было бы пентесты и DevSecOps (ну и Bug Bounty, до кучи, но в России в это не играют).

Теперь осталось дождаться - примет ли ЦБ какие-либо меры в отношении протекшего банка. Вангуем, что просто погрозят пальчиком. А значит никаких серьезных подвижек в тамошнем инфосеке не случится. Открыть/Комментировать

2021-04-02 19:21:00 ​​Эти знаменитые хакеры из ФСБ... Открыть/Комментировать

2021-04-02 18:23:27 Rutube заявил о своем перезапуске.

Похоже, власти всерьез рассматривают возможность блокировки YouTube на территории России. А иначе с чего бы трогать давно засохший Rutube. Открыть/Комментировать

2021-04-02 17:41:19 Google объявили, что с 5 мая бОльшая часть приложений Play Store не сможет использовать функцию QUERY-ALL-PACKAGES, позволяющую получать данные в отношении других приложений, установленных на устройстве.

Использовать функцию можно только если это критически необходимо для работы приложения. К примеру, это допускается для антивирусных решений, файловых менеджеров, браузеров. При этом авторы ПО должны получить явное согласие пользователя и обеспечить открытость и прозрачность информации о сборе данных и их использовании.

Сейчас функция QUERY-ALL-PACKAGES зачастую применяется для сбора списка установленных приложений и последующей его продажи рекламодателям.

И вот хочется поверить, что Google заботится о конфиденциальности пользовательских данных. Но почему-то сразу вспоминается история о том, как Google пытался избежать предоставления в Apple информации о сборе данных своими приложениями согласно новой политики конфиденциальности, просто их не обновляя (а следовательно и не обновляя информацию о работе приложения). Новые версии гугловских приложений стали появляться только в марте, а некоторые из них, например Chrome для iOS, так и висят без апдейта с декабря прошлого года. Открыть/Комментировать