Шпионаж и захват секс-игрушек

Удаленное управление секс-игрушками уже давно вошло в моду, и рассказ о взломе подобных устройств – отличный способ хайпануть на конференциях по безопасности. Случается подобное регулярно, иногда игрушки ломают исследователи, уязвимости добросовестно исправляют, и все остаются довольны.

Например, в 2019 так случилось со взломом удаленно управляемых анальных пробок. В нем исследователи показали возможность удаленного управления устройством, шпионажа через него и даже потенциального нанесения вреда владельцу. Этот шикарный доклад можете посмотреть тут.

Но скоро исправление уязвимостей и зрелищный доклад - это идеальный сценарий. Происходит так далеко не всегда. В начале сентября, один анонимный исследователь безопасности IoT устройств, рассказал изданию Techcrunch, об обнаружении двух элементарных, но очень критичных уязвимостей в устройствах «удаленный пояс верности».

Устройства работали через приложение на Android и разглашали кому угодно следующие данные:

- Адрес электронной почты пользователя

- Пароли, в открытом виде

- Домашний адрес пользователя

- IP-адреса пользователя

А в некоторых случаях и онлайн GPS координаты!
Всегда пользователей устройства насчиталось около 10 000.

Исследователь попытался связаться с компанией всеми возможными способами, но ответа не получил, уязвимости оставались неисправленными. Через месяц он решил привлечь внимание компании, совершив взлом и дефейс их основного сайта, благо с его безопасностью дела обстояли еще хуже. В ходе дефейса, исследователь обнаружил, что данные покупок через сайт при использовании PayPal, также доступны всему интернету.

На сайте компании исследователь поместил предупреждение пользователям, о том, что их данные под угрозой. Через 24 часа компания удалила предупреждение и восстановила работу сайта, исправила ли она уязвимости? Конечно нет.

Это далеко не первый случай негативного сценария. В 2021 году неизвестный злоумышленник требовал $750 выкупа в биткойнах, за разблокировку аналогичного устройства другого производителя. К счастью, устройство оказалось заблокировано «впустую», но злоумышленник об этом не знал и написал жертве со словами «Your cock is mine now». Взлом устройства также был возможен исключительно по вине производителя.

В общем, относитесь ответственно к безопасности не только вашего бизнеса, но и ваших устройств. Какими бы они, кхм, ни были)

"Так безопасно?" №9: СМС - хороший второй фактор для двухфакторной аутентификации?

Краткий ответ - нет. Достойная их замена приложения аутентификации или пуш-уведомления.

Объясняем почему.
1. Вашу SIM-карту возможно угнать. Чаще всего подделывают доверенность и перевыпускают в салоне сотовой связи. Реже, идут в сговор с сотрудником салона, но и такое бывало.
Операторы стараются минимизировать подобный риск, но все равно случаи происходят. Буквально несколько дней назад Твиттер аккаунт Виталика Бутерина, создателя Ethereum, был захвачен именно таким образом. В России операторы связи на одни сутки после перевыпуска блокируют:
- прием смс от банков
- прием смс от Госуслуг
- исходящие смс по финансовым сервисам.
Но все остальные смс начинают работать в момент активации SIM-карты.

2. СМС возможно перехватить. Такие случаи также бывали, но это требует уже более технической атаки на уровне протокола SS7 операторов связи. Но если все сделать правильно, смс просто придет на вышку сотовой связи, находящейся под контролем злоумышленников, а не к вам на телефон.

Альтернативы:
1. Пуш-уведомления приложений. Они передаются по защищенному каналу связи через сервера Google/Apple. Они привязаны к конкретной установке конкретного приложения.
2. Приложения аутентификаторы. Они работают оффлайн никуда ничего не передают, просто однократно синхронизируются с сервером и генерируют каждый промежуток времени новый одноразовый и безопасный пароль.

Но, к сожалению, еще далеко не все сервисы позволяют работать без смс, и все равно при захвате SIM-карты возможно сбросить все остальные слои зашиты.

Как минимизировать риски, при использовании СМС как второго фактора?
1. Отследить перевыпуск SIM-карты можно по деактивации вашей SIM-карты. Две одновременно работать не могут. В таком случае с любого другого телефона стоит срочно позвонить оператору и заблокировать новую SIM-карту.

2. Поставить любые уведомления о входе в аккаунты, но не по СМС.

3. Использовать отдельный номер телефона под особенно важные аккаунты. В идеале, оформленный на ближайшего родственника, тогда о нем будет сложнее догадаться даже с помощью "пробива" или утечки.

#3side_так_безопасно

Америка и хакеры

Наткнулись на вот такую историю от наших очень хороших друзей, рекомендуем.

От себя можем добавить, что самым эффективным средством запугивания для многих хакеров были даже не незаметные люди из ЦРУ, а просто ... warrant лист ФБР. Именно угроза стать фактически невыездным останавливала и останавливает многих людей от сотрудничества с государством (любым), если такое сотрудничество может нанести вред Америке.

К слову, под угрозой оказывались не только хакеры, но и классические исследователи, мы даже когда-то писали об этом для РБК Pro, но это немного другая история.

«Радикальные инсайдеры», и где они обитают?

Написали для РБК Pro о новой угрозе для бизнеса, ставшей за последний год очень актуальной — "радикальном инсайде". Суть простая: политически мотивированный (или просто обиженный) сотрудник, часто планируя отъезд, в лучшем случае сливает данные работодателя в сеть, а в худшем — кооперируется с активистами для нанесения максимального ущерба.

Если коротко — простого способа защиты нет, и чтобы эффективно противодействовать радикальному инсайду, должны работать вместе совершенно разные службы. HR, инфобез, да и просто внимательные коллеги — все вмести они могут предотвратить большой ущерб для компании.

P.S. Подписка на РБК Pro платная, но мы с этого ничего не получаем. Благо есть пробная подписка - пользуйтесь!)

Впервые посетили мероприятие не из IT/Security сферы. Но было тем интереснее! В статье небольшой комментарий.

В Москве прошел круглый стол «Безопасность платежного бизнеса и наличного обращения»
Этим событием завершился Международный ПЛАС-Форум «Платежный бизнес и денежное обращение», который проходил 13–14 сентября 2023 года в Москве.
https://plusworld.ru/articles/57026/

#ПЛАСФорум #Платежныйбизнес

Эксперт по кибербезопасности, сооснователь компании «Третья сторона», Антон Бочкарев в своем докладе на ПЛАС-Форуме в Москве, в рамках круглого стола «Безопасность платежного бизнеса и наличного обращения» говорил о перспективах в сфере цифровой защищенности. Подробнее об этом читайте в статье на нашем портале.

#ПЛАСФорум #Платежныйбизнес

Рассказываем, как идут дела

Мы тут много пишем про очень разное в ИБ, а хотелось бы рассказать пару слов про то, как у нас вообще идут дела. А то у нас тут вообще-то бизнес.

Самое главное — все в порядке, полет нормальный. Могло быть лучше, могло быть сильно хуже. Когда мы начинали работу, то прекрасно осознавали, что ИБ — сфера ультра-консервативная, особенно когда модель твоей работы для рынка становится совершенно непривычной. Но клиенты есть, выручка есть, работы — вагон. И мы очень рады, что многие из тех, кто с нами работал, возвращаются к нам снова. Retention прямо-таки хороший.

Есть два больших проекта, которые в перспективе могут стать отличным лидогенератором. Тут все зависит только от нас. Мы рады, что философия 3side зацепила многих людей внутри и за пределами ИБ, Антон начал выступать на новых для нас отраслевых конференциях, и это тоже очень круто. Приятно, что на некоторые нас целенаправленно зовут.

Да, венчурный рынок в России не то, чтобы очень жив, но и тут возможны разные варианты. С другой стороны, возможность вполне неплохо развивать проект на выручку от него очень мотивирует) И да, нас узнают, нами многие заинтересовались.

В общем, пока все выглядит очень интересным приключением, которое может вырасти во что-то большее. Продолжаем работу.

1С Bitrix критическая уязвимость

Всем срочно ставить обновления до 23.850.0 или отключить модуль landing.

Обнаруженная уязвимость с CVSS 10/10. Удаленное выполнение кода на уровне ОС без авторизации, поэтому в ближайшее время все уязвимые публичные битриксы будут атакованы.

Как потенциальное временное решение – ограничить доступ к битриксу по белому списку IP-адресов, если это возможно.

Номер уязвимости BDU:2023-05857.

Для более 80% людей кажется, что ответ на этот опрос очевиден.
Но это не так, почему это не так, читайте в посте ниже!

Биометрия - не зависит от секретности.

И в этом ее суть и сила. Представим, что вы встречаете вашего друга, как вы определяете, что это он? По биометрии! Лицо, голос, походка, поведение и многое другое вам известно, вы видите, что это все совпадает, и перед вами он из плоти и крови.

Также должна работать и хорошая биометрическая система, она сравнит параметры и определит, что это действительно этот человек. Ничто из сравниваемых параметров - не секрет. Лицо вашего друга есть на множестве фото и его видят коллеги, голос слышат множество людей в день, походку может увидеть любой прохожий на улице, поведение хорошо знают друзья и неплохо знают коллеги, да и на видео его можно подсмотреть. Даже отпечатки его пальцев можно снять с практически любой поверхности или даже восстановить по фото! Об этом мы писали вот тут.

Но если все не секрет и все можно подделать, то на чем должна строиться стойкая биометрическая аутентификация? На "живности" (liveness), а не секретности. Вы ведь можете вживую отличить вашего друга от его фотографии, статуи/восковой фигуры, от человека в его маске или его брата близнеца (если вы его хорошо знаете)?

Конечно, может быть профессиональный двойник, очень похожий и копирующий все привычки. Но в реальном мире, а не шпионском боевике это маловероятный и крайне дорогой сценарий! Если вы человека не знаете, вы можете попросить показать его паспорт и сравнить фото, с его лицом, а также сравнить его подпись на документах. Но в сравнениях всегда участвует живой человек, а не два фото.

Такой же принцип работает в цифровой сфере, везде критически необходимо проверять "живость". При верификации фотографии обычно просят сделать определенный жест или выражение лица. А система распознавания радужной оболочки от Sensar отслеживает «движение гиппуса» — постоянное смещение и пульсацию, происходящие в глазу, так определяют, что это действительно живой глаз. Для определения "живости" лица могут использоваться и многие другие параметры, например:

- Температура поверхности. Отсекает множество некачественных масок, они остаются холодным.

- Рельеф лица. Маске придется повторять идеально повторить форму отличную от лица носителя.

- Рисунок сосудов лица. Патент 2019 года описывает, что рисунок сосудов лица возможно распознать качественной камерой современного смартфона, а он уникален даже у близнецов.

Текущие системы аутентификации на базе биометрии, к сожалению, далеки от идеальных, но они совершенствуются. Причем крайне быстро. Фактически источников "уникальности" уже достаточно, чтобы жизненные проблемы не помешали процессу аутентификации. Всегда можно использовать несколько источников, если с вашим пальцем что-то случилось, или ваше лицо пострадало.

Но помните, что именно "живость" защищает биометрию от подделки. Устройства на базе биометрии должны уметь отличить живой образец, он чего-то искусственного. Секретность тут не причем, она дает лишь иллюзию защиты. Так что слив биометрии не дает ничего, ее и так получить не сложно.

Пароли - фактор "Я знаю", уже активно уходит в прошлое.
Токены - фактор "Я имею", наше настоящее.
Биометрия - фактор "Я есть", наше будущее.

JetBrains TeamCity критическая уязвимость

Всем срочно ставить обновления до 2023.05.3.

Обнаруженная уязвимость с CVSS 9.8/10. Удаленное выполнение кода на уровне приложения с обходом аутентификации, в ближайшее время все уязвимые необлачные сервисы будут атакованы. Облачное решение не подтверждено уязвимости.

Номер уязвимости CVE-2023-42793.

Еще один случай "поджигающего" мошенничества.

И снова знакомый скрипт — сначала "развести" на деньги, потом предложить возврат за конкретное действие на камеру. И мы уверены, что мошенники обмениваются опытом и обмениваются "лучшими практиками", и еще конкурируют между собой. Такой вот печальный эталон "социальной инженерии".

Так что снова напоминаем, в любой непонятной ситуации — бросайте трубку.

3side сториз

Привет! Мы тут долго думали о том, нужны ли нам сториз и о том, как их использовать. Мы посмотрели на опыт многих каналов и поняли, что зачастую они ими просто по настоящему не пользуются.Что мы точно не хотим и не будем делать — это постить туда мемы. Весело, забавно, но это корпканал, и он не про это.

Мы хотели бы спросить подписчиков, если бы у нас были сториз, хотели ли вы видеть там наиболее любопытные по нашему мнению новости по кибербезопасности? Формат: скриншот заголовка + ссылка в описании на саму новость. Спамить ими не будем, как не спамим постами, не наш формат.

А опроса не будет, если хотите и у вас есть премиум просто голосуйте за нас по ссылке!

https://news.1rj.ru/str/By3side?boost

BrainSploit. Эксплойты социальной инженерии.

Конференции по информационной безопасности не очень любят доклады по социальной инженерии. Особенно если доклад про социальную составляющую, а не про новый вид вредоносной нагрузки.

А вот крупнейшая IT конференция заинтересовалась! Поэтому именно на Highload 2023 27-28 ноября я и расскажу доклад на стыке ИБ, психологии и немного нейрофизиологии. О том, как именно работают эксплойты для нашего мозга. Почему таким образом "взломать" можно любого из нас, как защищаться и как атакуют опытные злоумышленники из мошеннических колл-центров. Обязательно разберем их скрипты, мои скрипты, опробованные в легальных проектах, и другие показательные примеры!

Кто будет на конференции - приходите, подобное еще никто не рассказывал.

Про блокировки клиентов VPN-провайдеров

Судя по всему, с помощью нового закона Роскомнадзор пытается заблокировать клиенты приложений VPN провайдеров, которые нужны для подключения зарубеж, а не условные клиенты OpenVPN/Wireguard и прочие, которые позволяют подключаться к любым серверам по стандартным протоколам.

По-сути, происходит планомерная попытка запретить существующие способы обхода блокировок. В первый раз она была, мягко говоря, неудачной – сейчас к вопросы пытаются подойти более грамотно.

Те, кто живет в СпБ, в Екатеринбурге и некоторых других городах уже заметили, что у некоторых интернет-провайдеров ВСЕ стандартные VPN-протоколы перестали работать в случае, если трафик уходит за пределы рунета.

Внутри России же всё работает, в принципе, как оно и должно, ведь VPN нужен бизнесу. Поэтому можно сделать вывод, что в ближайшее время Ростелеком и другие провайдеры полноценно заблокируют возможность подключения по стандартным VPN протоколам зарубеж. Более хитрые способы подключения, очевидно, еще будут работать какое-то время, возможно даже достаточно долго или всегда. Но массового распространения они, вероятно, не получат, ведь для этого стандартного клиента недостаточно и нужно запускать собственное приложение.

Именно для борьбы с приложениями VPN провайдеров Роскомнадзору и нужен этот закон, который требует от Apple и Google удаление приложений из магазинов. Без подобных приложений у большинства пользователей России не будет возможности обойти блокировки.

Но что могут сделать VPN провайдеры? То же самое, что и санкционные банки России делают прямо сейчас. Выпускать новые приложения с мутными названиями аля «СБОЛ» или «Деньги» и быстро оповещать пользователей, чтоб успели скачать до удаления из маркета. Как видим тактика хорошо работает для банков, значит сработает и тут. А значит РКН придется придумать что-то еще, противостояние продолжается!

DirtyNIB — Apple не исправили 0-day за 2 года.

Тут один исследователь рассказал офигенную историю. Если коротко: он обнаружил, что в пакетах приложений в macOS можно подменить NIB-файлы, и они выполнятся в обход существующих методов защиты!

Впервые он сообщил об этой проблеме в Apple еще в ноябре 2021 года. После обмена МНОГИМИ электронными письмами он получил несколько подтверждений того, что проблема будет исправлена. Но за два года все попытки как-то исправить уязвимость были лишь косметическими, она до сих пор работает с минимальным изменением способа эксплуатации и пережила выход аж двух новых версий MacOS (Ventura, Sonoma)!

В итоге исследователь решил, что выполнил все правила ответственного раскрытия и опубликовал новость в своем блоге. Таким образом он надеется повлиять на Apple и поспособствовать скорейшему закрытию уязвимости.

Крайне осуждаем Apple за это!