$1.7 миллиона за легальный взлом.

Исследователю заплатили 1,7 млн долларов за реализованный легальный взлом. Точнее, за успешную компрометацию кошелька с админским доступом. Исследователь немедленно связался с компанией и получил свою выплату. К слову, случай не первый, и о выплатах подобного размера в криптоиндустрии знали и раньше.

Сейчас в России рождается новая концепция построения ИБ в компании, основанная на понятии "недопустимого события". За всем этим лежит очень простая идея: бизнес не защищается "от всего и сразу", он защищается от конкретных угроз и всеми силами. Наиболее близкая аналогия, хоть и не из ИБ: в 20 веке линкоры иногда бронировали по схеме "все или ничего", защищая тяжелой броней ключевые узлы корабля. Тут идея, в целом, схожая.

Так вот, главное отличие от bug bounty для такой концепции — это крайняя сложность достижения подобных "недопустимых событий" исследователями (т.е. командой "белых") и, соответственно, огромные выплаты за результат, вот буквально десятки, если не сотни миллионов рублей за успешную "белую" атаку. Логика в этом есть: если аналогичную атаку проведут злоумышленники, компания может потерять в разы больше. Так вот, пока весь мир плавно дрейфует в сторону такой концепции защиты, криптоиндустрия внезапно приняла ее первой. Ну, отчасти приняла, но оно работает.

А смысл в этом есть: огромные выплаты стимулируют команды очень крутых исследователей участвовать. По-сути, это становится похоже на первые автогонки типа "Париж-Даккар": нет гарантий успеха, нет гарантий, что вы вообще дойдете до финиша, но если получится, вы будете очень богаты и известны. Концепция как минимум красивая: а для всего остального есть bug bounty.

Прайс на расшифровку от киберкриминала

Тут коллеги опубликовали прайс-лист в % от годовой выручки, который распространители вредоносного ПО LockBit должны выставлять своим жертвам. Выглядит внушительно:
- 3-10% для компаний с годовой выручкой до 100 млн долларов
- 0,5-5% для компаний с выручкой до 1 млрд долларов
- 0,1-3% для компаний с выручкой свыше 1 млрд долларов

То есть от 3 до 50 миллионов долларов за кибератаку. Пересчитайте, как говорится, на рубли — вам не понравится. А ведь это не весь ущерб, как минимум добавляем туда репутационный ущерб и ущерб от простоя до момента расшифровки. Рынок рансома не просто структурируется, он уже давно считает собственные финмодели и выход на окупаемость. А шанс, что распространителей удастся найти, а выкуп удастся вернуть - околонулевой.

Для понимания — это пороговые значения, которые разработчики вредоносного ПО LockBit установили для своих "партнеров", всех тех кого они привлекают к распространению их вредоноса в рамках "партнерской программы". То есть вот буквально — если вы работаете на нашем ПО, то выкуп должен быть таким, скидки возможны, но не более 50%, и так далее, и тому подобное. То есть по-сути, именно разработчики вредоносного ПО диктуют условия рынку. Такие дела.

После этого попробуйте оценить, сколько должна стоить защита, чтобы она окупалась. Ну и почему на рынке так или иначе нужно страхование ИБ-рисков. К слову, мы уверены, что в России через пару лет оно появится.

А вдогонку к прошлому посту, вознаграждение за реализацию недопустимых событий в рамках легальной деятельности должны быть тоже сопоставимы.

Сезон выступлений продолжается

17 ноября выступал в питерском офисе Samokat.tech на встрече DEFCON Russia. Говорили о психологических аспектах социальной инженерии.
Попал я на мероприятие в последний момент, тайминг был непредсказуемый, поэтому вместо формата доклада запланировали формат диалога с залом. И диалог удался! Я и не ожидал такого активного участия, спасибо, было очень приятно для вас выступать.

Ну и я еще раз подтвердил свою теорию, что эта тема, совершенно нераскрытая в докладах/выступлениях/воркшопах на ИБ/IT конференция, слушателям крайне интересна. Буду исправлять, как минимум во вторник (28 ноября) на Highload, а дальше есть в планах даже воркшоп где-нибудь. Не стоит забывать, что в социо-техническом тестировании на проникновение важна и "социо" часть)

Любая система уязвима

Биткойн кошельки множество лет считались неприступными. Сильная математика в основе криптографии защищала кошельки от взлома пароля. Защищала и от самих несчастных владельцев, которые пытались восстановить доступ забыв/удалив свой сохранённый пароль. Сколько биткойнов остались заблокированными на кошельках 2011-2015 года? Очень и очень много, ведь тогда их добыча была проще. Всего баланс кошельков тех годов оценивается в 1,4 миллиона биткойнов.

Теперь же пароли от кошельков 2011-2015 годов можно попробовать восстановить с помощью эксплойта Randstorm. Как обнаружили исследователи компании Unciphered, специализирующейся на восстановлении криптовалют, при созданием кошельков с помощью Open-source библиотеки BitcoinJS генерировались недостаточно случайные ключи шифрования. Цепочка зависимостей там сложная, BitcoinJS использовала библиотеку JSBN со уязвимой функцией SecureRandom(), которая в свою очередь усиливалась недостатками другой функции Math.random(), используемой в браузерах.

В результате ключ шифрования генерировался не совсем случайно и перебрать его стало возможно, особенно просто для ключей сгенерированных до марта 2012 года. В дальнейшем BitcoinJS перестали использовать библиотеку JSBN и цепочка уязвимостей прервалась. Как защитить уже созданные в тот период кошельки?
Создать новый кошелек и перевести средства, иначе никак.

Любая система уязвима, даже если сейчас кажется, что это не так.

3side на КодИБ | ИТОГИ 2023

Мы не просто едем на большую завершающую конференцию: мы впервые вывозим на мероприятие полноценный стенд. Для нас это важный момент, и по этому поводы мы запаслись довольно провокационным мерчом для тех, кто не хочет заниматься безопасностью.

А вообще, будем рады видеть старых и новых друзей. Мероприятия Код ИБ уже давно стали для нас отличным поводом встретиться, поговорить об индустрии, найти новые полезные контакты и подвести итоги.

Приходите 7 декабря в Москве на КодИБ Итоги, будем рады пообщаться.

Как был взломан ГЕМОТЕСТ

Студент 4 курса Санкт-Петербургского Горного университета, который явно не специализируется на информационной безопасности, Алекперов Фуад Маариф оглы взломал сеть лабораторий Гемотест и выложил базу данных всех анализов в открытый доступ. Вопрос: как он это сделал?

О самом факте взлома мы знаем наверняка из приговора суда. Сделал он это исключительно из хактивиских побуждений или любопытства, поэтому всем, кто говорит что хактивисты низкоквалифицированы и для крупных организаций не представляют серьезной угрозы, мы передаем привет. Да. Гемотест взломали не спецслужбы, ни коварные политические оппоненты. Его взломали ради процесса.

Но что еще известно об осужденном? Он постил все свои взломы себе в ТГ канал (ГЕНИАЛЬНО!), и его деанонили уже в 2020 году! Крайне рекомендуем ознакомиться со списком его жертв.

Он писал о собственном взломе:
- сервиса Сбербанка и сливе из него данных

- взломе и сливе базы РЖД-Бонус

- взломе сервера камер МФЦ

- взломе АТС компании Мегафон и доступе к разговорам абонентов

И многое другое. То есть парень-хактивист успешно ломал топовую российскую госуху. Надеемся, что 1,5 года ограничения свободы, которые ему дали, увеличат, благодаря искам вышеперечисленных компаний. А то столь настолько наглое поведение и массовое нарушение закона стоит пресекать жестче.

Для технарей и любопытствующих в приговоре есть подробнейший килл-чейн, то есть цепочка взломов которая и привела к реализации недопустимого события, собственно самому сливу базы данных. Поэтому технарям рекомендую ознакомиться, каждый шаг злоумышленника расписан, вплоть до каждого скрипта/шелла/используемого ПО.

Похоже на отчет по пентесту, вот только с убытками и без рекомендаций по устранению. А какие могут быть рекомендации? Если наглый хактивист без специального образования способен взломать столь крупные компании, стоит как минимум ответственнее относиться к ИБ. А то ваши недопустимые события, станут свершившимися.

Проблема первой ссылки поисковика

Помните сервис "давай я поищу это за тебя?", там была кнопка "Мне повезет", которая открывала первую ссылку гугла.
Насколько же точно эту кнопку назвали! Качественное SEO позволяет поднять в поиске все что угодно, а временами встречаются и рекламные компании, продвигающие зараженное ПО. И вот очередной случай распространения вредоносного ПО через рекламу. Стоит подобная реклама за один клик примерно $2.

Целевая аудитория злоумышленников явно системные администраторы, поэтому и рекламировали они сисадминское бесплатное ПО WinSCP. При скачивании ПО по вредоносной ссылке на фишинговом домене winccp[.]net, настоящий WinSCP с домена winscp[.]net, конечно скачивался и даже запускалась его установка, но в параллель запускался и питон-троян.

Внимательно смотрите, откуда именно вы скачиваете ПО, не стоит доверять позиции в поиске.

3side ищет менеджера по продажам.

Мы развиваемся, стартовый этап пройден успешно, шишки набиты, грабли найдены. И готовы делегировать продажи.

Кратко о вакансии: B2B, нужен IT/ИБ бэкграунд в продажах, готовность выстраивать холодные продажи. Удаленно, полностью белое трудоустройство.

В чем отличие: наше конкурентное преимущество - наша бизнес-модель. Она гибче, чем рынок, она прозрачнее, она справедливее. Ну и по опыту, она в 2-3 раза дешевле для заказчика.

Так что продавать будет что и будет кому.

Подробности на HH, откликаться можно там или пишите в @TG_3side!

Пример эксплуатации бага в ChatGPT

Intel, AMD и Arm поймали SLAM

Вот тут мы уже писали про спекулятивное выполнение и близкие к этому уязвимости в процессорах Intel. Но, случилась ситуация еще интереснее!

Каждый производитель старается внедрить в свои новинки новейшие средства защиты. И вот все внедрили схожие механизмы защиты адресов, которые получили названия:

- Linear Address Masking (LAM) у Intel

- Upper Address Ignore (UAI) у AMD

- Top Byte Ignore (TBI) у Arm

Но проблема в том, что все три механизма защиты оказались уязвимы к Spectre-подобным атакам!
Тот самый случай, когда поторопились с внедрением защиты и сделали еще хуже.

Атака, как и ее родственные аналоги, позволяет извлекать данные обрабатываемые на одном процессоре, что особенно опасно на хостингах. Новую атаку и назвали SLAM, ее подробное описание тут.

Для технарей видео с демонстрацией атаки тут.

Какие процессоры уязвимы? Если кратко, все будущие новинки.

Посмотрим, что с этим будут делать производители. Надеюсь, что иск к Intel их отрезвил, и глаза они не закроют.

BrainSploit. Эксплойты социальной инженерии.

Теперь уже можно говорить, что выступление на Highload++ 2023 удалось!

По оценкам организаторов доклад попал в топ лучших конференции. Я же был приятно удивлён такому количеству вопросов из зала, а после доклада в кулуарах мы обсуждали смежные темы еще 40(!) минут с кружком из десятка особо заинтересовавшихся.

Что дальше? Планирую сделать из него что-то более практическое, мастер класс по атакующим манипуляциям, по разбору и составлению сценариев/скриптов, пока планы такие.

Ну а запись выступления можно посмотреть тут!

Угнали Телеграм, что делать?

Обычно если к нам приходят с таким запросом, то приходится долго и подробно расспрашивать об обстоятельствах.
Куда и что ввели? Была ли двухфакторка? Могут ли сейчас сами зайти в аккаунт? И прочее прочее.

Но наконец в одном из чатов увидели отличную подробную инструкцию!
Там написаны ответы на все типовые вопросы, от восстановления, до типичных способов взлома и даны исчерпывающие рекомендации.

Спасибо авторам, теперь зачастую достаточно отправить ее.

Российские мошеннические колл-центры

Помните, как в начале 2010ых активно работали колл-центры из мест заключения? Ходили еще шутки в стиле "Вам ответит первый не освободившийся оператор". Проблему решили, колл-центры прекратили свое существование.

А что сейчас? Колл-центры на территории России есть? Да, такие бывают, но они очень редки.
Ведь если до зарубежных наше правосудие дотянуться не может, то до этих дотягивается, и еще как. Например, в декабре начался процесс сразу по двум мошенническим колл-центрам. Один процесс в Москве, второй в Петербурге. Суммарно 16 фигурантов.

Какие схемы? Стандартные "зарубежные" схемы. Звонки от имени Центробанка или службы безопасности какого-либо банка, просьба или скачать вредонос для удаленного управления телефоном, или сразу перевести деньги на "безопасный" (мошеннический) счет, или хотя бы сообщить все реквизиты карт. В последнем случае оформляли заказы сразу, просили сообщить смс-код от 3ds.

Как выводили деньги? Одни конвертировали в криптовалюту и выводили зарубеж. Вторые по "вещевой" схеме, покупали дорогие товары, чаще всего технику и сбывали их через свои торговые точки. У одной из групп была даже своя точка в Москве на известной "горбушке".

Большие будут сроки? Да, мошенников объединили в преступное сообщество, потерпевших более 240, ущерб почти 85 миллионов.

Про самую большую группу писал Коммерсант.

Всем привет и с наступающим!

Это был очень интересный год. По-сути, первый полноценный год работы 3side — в конце 2022 у нас появились первые серьезные заказы. Много ли было сделано? И да, и нет. С одной стороны, компания уже давно существует без сторонних инвестиций, мы развиваемся и ищем людей. С другой стороны — конечно, хочется всего, сразу и побольше.

Мы очень рады, что наши клиенты возвращаются к нам. Особенно рады мы были, когда к нам пришел один из первых заказчиков — практически через год! ИБ — очень консервативная сфера, мы прекрасно осознавали, что будет сложно, но пока полет вполне нормальный. Могло быть лучше, могло быть хуже, но проект чуть более чем жив.

Какие планы на новый год? Самое главное — систематизация продаж. Здесь и сторонняя лидогенерация, и партнерские программы, и прямые продажи, и некоторые другие вещи. За год у нас многое изменилось — от позиционирования продукта до понимания необходимости некоторой собственной разработки. А еще мы поняли, что мы — "внешний проектный офис" и хорошо увидели наш бизнес глазами клиента. Был интересный опыт.

Познакомились с множеством отличных людей, которых мы очень надеемся увидеть снова и много раз. Вообще, именно люди — пожалуй, главное открытие этого года. Мы удивлены тому, какое количество совершенно разных людей нам помогало — и совершенно бескорыстно, и видя в нас возможных партнеров, и просто проникнувшись идеей. И это очень круто.

Мы рады, что у нас появляются новые стратегические партнеры и возможности. Надеемся, что в новом году вместе с ними мы построим что то большее.

Верим, что новый год будет лучше предыдущего — для всех нас. С наступающим!

Экстремистская гирлянда

Тут на днях случилось следующее — несколько человек по инструкции в интернете собрали себе Wi-fi гирлянды и установили на них некую прошивку, которая 1 января начала демонстрировать вместо поздравлений политические лозунги. Как минимум один владелец гирлянды получил административку за дискредитацию ВС РФ! Хотя так такового умысла с его стороны не было.

Мы это к чему. Любые прошивки, находящиеся в открытом доступе, по умолчанию считаются скомпрометированными — если мы не говорим о чем-то, достаточно подробно исследованном и проверенном. Если кодом не пользуются на постоянной основе тысячи человек, если его не используют крупные компании, если он не разобран специалистами по ИБ, есть как минимум ненулевой шанс столкнуться с закладкой.

И вот тут мы приходим к понятию "бытовой безопасности". Использовать непроверенные приложения — это примерно как покупать молоко у непонятного продавца на рынке. Скорее всего, все будет хорошо — но риски есть, и гарантий качества вам никто не даст, если вы сами не знаете этого человека. С софтом похожая история. Крупные сетевые магазины тоже не всегда проверяют качество, но у них обычно столько клиентов, что о проблемах вы узнаете сразу. Так что будьте осторожны.