Питерский социальный инженер

Lexus LX 570 стоимостью примерно 22 миллиона рублей, без номеров, и каких-либо средств отслеживания машины угнал неизвестный из дилерского центра на Шереметьевской улице в Санкт-Петербурге.

Сама по себе новость не привлекает внимание, но если посмотреть как он это сделал - это действительно красиво!

1. Злоумышленник устроил маскарад, оделся как типичный сотрудник дилерского центра, а для интеллигентного образа надел очки.

2. Точно знал, где в офисе лежат ключи и уверенной походкой сразу направился к ним и забрал.

3. Выехал на машине со стоянки, но путь ему преграждали ворота и охранник.

4. Поговорил с охранником, отвез охранника к воротам и тот сам открыл ему их.

На все это ему потребовалось несколько минут!
Что именно он говорил охраннику? Неизвестно, узнает полиция на допросе.
Лицо свое он в целом засветил на камерах, но качество оставляет желать лучшего, да и никто не отменял грим и иные методы маскировки.

За видео спасибо 78 каналу!

Ну, а легально получить призы за социальную инженерию можно было у нас на конкурсе на PHDays=)

ТОПовая самозащита

Я уже не однократно писал, что ТОПов обязательно нужно учить защищать себя. Так как их устройства никогда не будут полноценно в ИБ-контуре компаний, а их действия невозможно полноценно контролировать.

Ну, а взлом личного устройства не менее критичен. Пытаюсь это донести через Хабр и популярный блог Timeweb Cloud.

Если вы разделяете мою позицию, поддержите плюсиком! На Хабре это важно и поможет распространить ее.

https://habr.com/ru/companies/timeweb/articles/837800/

На IOS снова 0-day

Спасибо SecAtor за подсветку, тревожно!

Ждем обновления, а те кто не "Неуловимый Джо" (Политики/журналисты/активисты/крупные бизнесмены), включаем Lockdown Mode на своих айфонах. Он в теории должен защитить от заряженной SMS.

Старая, опасная кавычка

Знаете, когда какая-либо новая уязвимость появляется в сети, обязательно появляются скептики которые говорят что-то в стиле "ну и к чему такой ажиотаж? Ее сейчас все закроют и все".

Самые простые SQL-инъекции вида ' or '1'='1 впервые были описаны в легендарном журнале PHRACK 12 декабря 1998 года, более 25 лет назад!
И их до сих пор можно встретить далеко не в студенческих/школьных приложениях.

Компания Collins Aerospace - предлагала услуги личного кабинета для небольших авиакомпаний. Приложение FlyCASS для регистрации членов экипажа. Через их приложение можно было:

- Посмотреть список и личные данные всех членов экипажа каждого рейса авиакомпании.
- Внести нового члена экипажа на рейс для более быстрого, и как правило, менее пристрастного досмотра в аэропорту.
- Внести данные члена экипажа, который не на службе, а летит как частное лицо, чтобы оформить ему перелет на дополнительном кресле в кабине пилотов, а не в салоне.

Для входа в личный кабинет этого приложения необходимо было ввести логин и пароль авиакомпании, или:

Логин: ' or '1'='1
Пароль: ') OR MD5('1')=MD5('1

Чтобы зайти под любой авиакомпанией на выбор.

К счастью, случаев использования уязвимости 25 летней давности обнаружено не было. Никто не захватил самолет из кабины и не пронес на борт что-то опасное, использовав всего несколько кавычек!

Эксплойт на Wi-Fi чипы Mediatek

Вышел публичный эксплойт на CVE-2024-20017, RCE (выполнение кода), 0-click (действий пользователя не требуется).

Опасность: максимальная, легко компрометируется любое Wi-Fi устройство, от роутера до мобильного телефона с уязвимым чипом.

Какие чипы MediaTek уязвимы: MT6890, MT7915, MT7916, MT7981, MT7986, MT7622.

В устройствах каких производителей их используют чаще всего? Ubiquiti, Xiaomi, Netgear, многие устройства на Android и множество роутеров, с поддержкой Wifi6 (802.11ax).

Как определить уязвимо ли мое устройство? Пока таблицы уязвимых устройств нет, придется гуглить модель вашего устройства со словами "wi-fi chipset", и искать спецификации.

А если уязвимо то что? Обновляйтесь, уязвимость была обнаружена в марте, поэтому если прошивка устройства новее, то скорее всего все ок. Если обновлений нет, придется принять риск.

Именно из-за таких уязвимостей важно иметь регулярно обновляемые производителем телефоны/роутеры, чтобы не оказаться без защиты.

Тут прочитать полный технический репорт.
Тут публичный эксплойт.

Запускаем опрос, который важен для одной будущей большой статьи!

Стариков не проверяем!

Злоумышленники из соседней страны зачастую действуют вполне изощренно, особенно на этапе развития атаки внутри сети, где шанс быть обнаруженными особенно высок. И речь тут пойдет не о самых ходовых и распространенных техниках. А о технике которые использовали хакеры из Азии и самые продвинутые группировки с 2018 года для обхода средств защиты.

В 2022 году Microsoft выпустило политику обязательной цифровой подписи драйверов, не позволяющих запускать неподписанные валидным сертификатом разработчика.

Но как же legacy? Устаревшие драйвера, которые годами используются приложениями во многих системах, и особенно в производственных сегментах и АСУТП? Для них сделали исключение. Все драйверы выпущенные до 29 июня 2015 г, освобождены от проверки!

Поэтому еще в 2018 году злоумышленниками был разработаны инструменты "состаривания" драйверов. В настоящий драйвер добавлялся вредоносный код и его подписывали давным-давно скомпрометированной электронной подписью с заменой даты до 29 июня 2015 года! Чтобы "вредоносный драйвер" не попал под ограничения, а имея права драйвера, вредоносу гораздо проще обходить проверки средств защиты.

С тех пор Майкрософт пытались решить проблему, 11 июля 2023 года году радикально запрещали подпись всеми известными скомпрометированными сертификатами, даже до 2015 года. Чем создали множество проблем пользователям старой техники и приложений, сертификаты разработчиков которых когда-то были скомпрометированы.

Но и это не панацея, пока "политика исключения для старых драйверов" существует будут находиться еще не заблокированные старые скомпрометированные сертификаты, и дата будет успешно меняться. Чем и будут пользоваться злоумышленники.

Да, это маска старика с Алиэкспресс

Вторая волна взрывов в Ливане, не только пейджеры

А теперь касаемо предположительных взрывов пейджеров/раций и других бытовых и не очень приборов. Мы уверены, что в Бейруте сейчас паника и бомбы будут искать везде. Ключевое - сейчас взрываются совсем разные устройства: рации, ноутбуки, солнечные панели (предположительно). Очень похоже, что израильтяне планировали синхронизировать взрывы с началом операции в Ливане, но не сложилось по какой-то причине.

Сначала нетехнические подробности. Ничто не ново под луной, и первая "точечная ликвидация" (как их называют в Израиле) при помощи взрывчатки в средстве связи (телефоне) произошла в далеком 1996 году. Мы не будем описывать все подробности, в конце концов мы канал про кибербез, все желающие могут найти детали в книге Ронена Бергмана "Восстань и убей первым".

По слухам, израильская разведка уже пробовала применять подобный подход в Иране: якобы минировали розетки и элементы БПЛА, но иранцы сумели все обнаружить. Так это или нет мы не знаем, но очень похоже, что против подготовленного и технически грамотного оппонента организация такой атаки выглядит малореалистичной. Хотя параноить теперь будут во всем мире.

Что нам важно. Во-первых, логика понятна: средства связи носят "близко к телу" взрыв даже небольшого заряда взрывчатки в устройстве, приложенном к уху, с большой вероятностью будет летальным. Проблем тут две: доставить цели заминированный телефон и произвести инициацию ВВ. Потому такие случаи были разовыми и точечными. Сейчас мы имеем дело с принципиально другой ситуацией.

Превратить обычный телефон или радиостанцию в "бомбу" при помощи некоего "секретного сигнала" нереально. В худшем случае может загореться батарея — вспоминаем эпопею с самолетами и смартфоном Galaxy A21. Но не более — то есть это банально неэффективный и сложный путь.

Что мы точно можем сказать — сейчас очень актуальными станут именно меры противодействия техническим разведкам. Причем мы бы смотрели шире — в первую очередь, это новый вызов для служб безопасности авиакомпаний, потому что дураков, извините, много. Хотя способы обнаружения взрывчатки там вполне себе есть — вряд ли Хизбалла "просвечивала" каждый телефон и каждую рацию.

Но в целом, мы видим такой вид физических атак как направленный в первую очередь против "расслабившегося" оппонента, либо против существенно менее технологичной стороны. Массовым инструментом для организации терактов/массовых атак (называйте как хотите) он вряд ли станет: слишком серьезные инструменты там задействованы. А если говорить про Хизбаллу, то главная угроза для нее — не взрывы, а параноя, которая начнется после.

Upd: говорят и о взрывах машин, скутеров и Хезболла предлагает избавляться от ЛЮБЫХ приборов. Как мы и говорили, паника.

На очередном заседании пленума Центрального Комитета Коммунистической Партии Евросоюза под председательством товарища Маргарет Верснер было выдвинуто требование к компании Apple — открыть свою операционную систему

“Сегодня мы впервые используем процедуры спецификации в рамках DMA, чтобы направлять Apple на эффективное соблюдение своих обязательств по совместимости”.

Что это значит? Согласно закону о цифровых рынках Apple (DMA) будет вынуждена открыть разработчикам свой код, чтобы они видели устройство iOS. Это нужно в частности, для написания голосовых команд Siri и изменения настроек NFC-чипа.

Как на такие выпады отреагирует Apple, думаю, очевидно. Компания упирала, упирает и будет упирать на свою заботу о конфиденциальности своих пользователей. И пусть это в немалой степени прикрыто желанием оставаться монопольным поставщиком услуг для своих покупателей, ratio в их словах всё-таки есть и оно большое.

Начнём с того, что iOS это закрытая ОС, исходный код которой известен только Apple. Все яблочные устройства обновляются централизованно — из штаб квартиры в Купертино, тот самый Бублик. А значит никто, кроме Apple, не знает, как и что там устроено досконально. Эта история идёт с 2007 года, когда был представлен первый iPhone. С тех пор единый, стандартизированный продукт разрабатывался и совершенствовался: производились сторонние исследования безопасности, Apple платила за нахождения уязвимостей и внедряла новые принципы защиты, как на программном, так и на аппаратном уровне. Об устройстве современного чипа Apple Silicon мы писали здесь.

Беря во внимание всё вышесказанное можно понять причину протестов Apple против DMA. Потому что требования ЕС предполагают возможность смотреть на весь этот труд не только сотрудникам Купертино, но и многим другим людям. А это подрывает безопасность для пользователей гаджетов внутри ЕС: разработчики смогут писать вредоносный код и видеть механизмы работы iOS.

На исполнение новых предписаний Евросоюза по открытию кода даётся полгода. Прошлые требования ЕС компания выполняла — на территории еврозоны на iPhone и iPad теперь можно поставить альтернативный магазин приложений и установить альтернативное приложение для оплаты по NFC. Что будет в этот раз — неизвестно. Потому что Евросоюз взялся за фундамент яблочной экосистемы. Но за неисполнение требований Купертино грозит штраф в размере 10% выручки от мировых продаж за год, так что Тим Кук должен начинать усиленно думать.

Дискуссия в музее криптографии

Послезавтра, в четверг 26го в 19.00 буду участвовать в дискуссионном клубе в Музее Криптографии в Москве.
Один из лучших музеев по моему скромному мнению, приходите вход бесплатный!

https://cisoclub.ru/diskussionnyj-klub-s-bolshoj-verojatnostju-sovremennye-hakery-vzlomajut-ljubuju-kompaniju-kak-zhit-i-stroit-biznes-v-nebezopasnom-mire/

Про наше активное участие в проекте «Кибериспытание» мы писали тут, ну а сейчас вышел целый подкаст о проекте!