Стариков не проверяем!

Злоумышленники из соседней страны зачастую действуют вполне изощренно, особенно на этапе развития атаки внутри сети, где шанс быть обнаруженными особенно высок. И речь тут пойдет не о самых ходовых и распространенных техниках. А о технике которые использовали хакеры из Азии и самые продвинутые группировки с 2018 года для обхода средств защиты.

В 2022 году Microsoft выпустило политику обязательной цифровой подписи драйверов, не позволяющих запускать неподписанные валидным сертификатом разработчика.

Но как же legacy? Устаревшие драйвера, которые годами используются приложениями во многих системах, и особенно в производственных сегментах и АСУТП? Для них сделали исключение. Все драйверы выпущенные до 29 июня 2015 г, освобождены от проверки!

Поэтому еще в 2018 году злоумышленниками был разработаны инструменты "состаривания" драйверов. В настоящий драйвер добавлялся вредоносный код и его подписывали давным-давно скомпрометированной электронной подписью с заменой даты до 29 июня 2015 года! Чтобы "вредоносный драйвер" не попал под ограничения, а имея права драйвера, вредоносу гораздо проще обходить проверки средств защиты.

С тех пор Майкрософт пытались решить проблему, 11 июля 2023 года году радикально запрещали подпись всеми известными скомпрометированными сертификатами, даже до 2015 года. Чем создали множество проблем пользователям старой техники и приложений, сертификаты разработчиков которых когда-то были скомпрометированы.

Но и это не панацея, пока "политика исключения для старых драйверов" существует будут находиться еще не заблокированные старые скомпрометированные сертификаты, и дата будет успешно меняться. Чем и будут пользоваться злоумышленники.

Да, это маска старика с Алиэкспресс

Вторая волна взрывов в Ливане, не только пейджеры

А теперь касаемо предположительных взрывов пейджеров/раций и других бытовых и не очень приборов. Мы уверены, что в Бейруте сейчас паника и бомбы будут искать везде. Ключевое - сейчас взрываются совсем разные устройства: рации, ноутбуки, солнечные панели (предположительно). Очень похоже, что израильтяне планировали синхронизировать взрывы с началом операции в Ливане, но не сложилось по какой-то причине.

Сначала нетехнические подробности. Ничто не ново под луной, и первая "точечная ликвидация" (как их называют в Израиле) при помощи взрывчатки в средстве связи (телефоне) произошла в далеком 1996 году. Мы не будем описывать все подробности, в конце концов мы канал про кибербез, все желающие могут найти детали в книге Ронена Бергмана "Восстань и убей первым".

По слухам, израильская разведка уже пробовала применять подобный подход в Иране: якобы минировали розетки и элементы БПЛА, но иранцы сумели все обнаружить. Так это или нет мы не знаем, но очень похоже, что против подготовленного и технически грамотного оппонента организация такой атаки выглядит малореалистичной. Хотя параноить теперь будут во всем мире.

Что нам важно. Во-первых, логика понятна: средства связи носят "близко к телу" взрыв даже небольшого заряда взрывчатки в устройстве, приложенном к уху, с большой вероятностью будет летальным. Проблем тут две: доставить цели заминированный телефон и произвести инициацию ВВ. Потому такие случаи были разовыми и точечными. Сейчас мы имеем дело с принципиально другой ситуацией.

Превратить обычный телефон или радиостанцию в "бомбу" при помощи некоего "секретного сигнала" нереально. В худшем случае может загореться батарея — вспоминаем эпопею с самолетами и смартфоном Galaxy A21. Но не более — то есть это банально неэффективный и сложный путь.

Что мы точно можем сказать — сейчас очень актуальными станут именно меры противодействия техническим разведкам. Причем мы бы смотрели шире — в первую очередь, это новый вызов для служб безопасности авиакомпаний, потому что дураков, извините, много. Хотя способы обнаружения взрывчатки там вполне себе есть — вряд ли Хизбалла "просвечивала" каждый телефон и каждую рацию.

Но в целом, мы видим такой вид физических атак как направленный в первую очередь против "расслабившегося" оппонента, либо против существенно менее технологичной стороны. Массовым инструментом для организации терактов/массовых атак (называйте как хотите) он вряд ли станет: слишком серьезные инструменты там задействованы. А если говорить про Хизбаллу, то главная угроза для нее — не взрывы, а параноя, которая начнется после.

Upd: говорят и о взрывах машин, скутеров и Хезболла предлагает избавляться от ЛЮБЫХ приборов. Как мы и говорили, паника.

На очередном заседании пленума Центрального Комитета Коммунистической Партии Евросоюза под председательством товарища Маргарет Верснер было выдвинуто требование к компании Apple — открыть свою операционную систему

“Сегодня мы впервые используем процедуры спецификации в рамках DMA, чтобы направлять Apple на эффективное соблюдение своих обязательств по совместимости”.

Что это значит? Согласно закону о цифровых рынках Apple (DMA) будет вынуждена открыть разработчикам свой код, чтобы они видели устройство iOS. Это нужно в частности, для написания голосовых команд Siri и изменения настроек NFC-чипа.

Как на такие выпады отреагирует Apple, думаю, очевидно. Компания упирала, упирает и будет упирать на свою заботу о конфиденциальности своих пользователей. И пусть это в немалой степени прикрыто желанием оставаться монопольным поставщиком услуг для своих покупателей, ratio в их словах всё-таки есть и оно большое.

Начнём с того, что iOS это закрытая ОС, исходный код которой известен только Apple. Все яблочные устройства обновляются централизованно — из штаб квартиры в Купертино, тот самый Бублик. А значит никто, кроме Apple, не знает, как и что там устроено досконально. Эта история идёт с 2007 года, когда был представлен первый iPhone. С тех пор единый, стандартизированный продукт разрабатывался и совершенствовался: производились сторонние исследования безопасности, Apple платила за нахождения уязвимостей и внедряла новые принципы защиты, как на программном, так и на аппаратном уровне. Об устройстве современного чипа Apple Silicon мы писали здесь.

Беря во внимание всё вышесказанное можно понять причину протестов Apple против DMA. Потому что требования ЕС предполагают возможность смотреть на весь этот труд не только сотрудникам Купертино, но и многим другим людям. А это подрывает безопасность для пользователей гаджетов внутри ЕС: разработчики смогут писать вредоносный код и видеть механизмы работы iOS.

На исполнение новых предписаний Евросоюза по открытию кода даётся полгода. Прошлые требования ЕС компания выполняла — на территории еврозоны на iPhone и iPad теперь можно поставить альтернативный магазин приложений и установить альтернативное приложение для оплаты по NFC. Что будет в этот раз — неизвестно. Потому что Евросоюз взялся за фундамент яблочной экосистемы. Но за неисполнение требований Купертино грозит штраф в размере 10% выручки от мировых продаж за год, так что Тим Кук должен начинать усиленно думать.

Дискуссия в музее криптографии

Послезавтра, в четверг 26го в 19.00 буду участвовать в дискуссионном клубе в Музее Криптографии в Москве.
Один из лучших музеев по моему скромному мнению, приходите вход бесплатный!

https://cisoclub.ru/diskussionnyj-klub-s-bolshoj-verojatnostju-sovremennye-hakery-vzlomajut-ljubuju-kompaniju-kak-zhit-i-stroit-biznes-v-nebezopasnom-mire/

Про наше активное участие в проекте «Кибериспытание» мы писали тут, ну а сейчас вышел целый подкаст о проекте!

Первое наше упоминание в рейтинге лучший ТГ каналов по кибербезопасности!

Спасибо за высокую оценку нашего скромного труда)

Представляем первый рейтинг Топ — 43 лучших каналов в тематике ИБ в российском Telegram.

Основной критерий ранжирования в рейтинге — качество контента в канале и содержание. Каналы по шкале от 1 до 10 в нашем закрытом опроснике оценивала фокус группа из специалистов по инфобезу разных направлений. Ведь именно для них все эти каналы и были созданы.

Итак, наш ТОП:

Корпоративные каналы:

1. МТС Red
2. Kaspersky
3. F.A.C.C.T
4. k8s security
5. Echelon Eyes
6. 3side
7. Future Crew
8. Positive Technologies

Микроблоги:

1. README.hta
2. Сицебрекс!
3. CyberBox
4. Ever Secure
5. Ильдар пишет

Новостные/агрегаторы:

1. SecAtor
2. НеКасперский
3. Offensive Twitter
4. RUSCADANEWS
5. НеЛукацкий

Юмор/мемы:

1. Cybersecurity memes
2. Bimbosecurity
3. Information Security Memes
4. Спасите Нарциссо
5. #memekatz

Авторские каналы:

1. Пост Лукацкого
2. Пакет Безопасности
3. Управление уязвимостями и прочее
4. Солдатов в Телеграм
5. Топ кибербезопасности Батранкова

Offensive:

1. RedTeam brazzers
2. Кавычка
3. PRO:Pentest
4. Похек
5. Ralf Hacker Chanel

Defensive:

1. Security Wine
2. PurpleBears
3. AppSec Jorney
4. AlexRedSec
5. Кибервойна

Смешанная тематика:

1. DanaScully
2. Mobile AppSec World
3. PWN AI
4. Кибербез образование
5. BESSEC

@cybersachok

Долгожданная статья о том, как мы организовывали SEQuest для блога Positive Technologies!

https://habr.com/ru/companies/pt/articles/846552/

Попробую поучаствовать в нем в следующем году, начал писать текст)

Взлом в прямом эфире

Трое злоумышленников возрастом 20-21 года украли более 4100 биткойнов (более 230 млн долларов). И для этого они использовали лишь социальную инженерию!

Своими целями они выбирали клиентов криптовалютной биржи Genesis. Злоумышленники писали и звонили жертвам, представляясь службой безопасности Google и компании Gemini, утверждали что учетная запись жертвы взломана и нужно срочно сбросить ее двухфакторную аутентификацию. Они не устанавливали никакую малварь, нет, просили установить клиент удаленного рабочего стола AnyDesk и так получали доступ к закрытым ключам кошельком Bitcoin Core!

Минимум техники, максимум социальной инженерии. Далее "социальные" взломщики пытались эти деньги отмывать с использованием множество счетов, бирж и криптомиксеров. Но регулярно допускали ошибки, путая при покупках и переводах "чистые" кошельки, с еще не "отмытыми". А с учетом трат этих денег исключительно на шикарный образ жизни: премиум автомобили, дорогие часы, дизайнеские сумки и самые дорогие клубы Лос-Анжелеса и Майями, шанс их поимки стремился к 100%.

Но больше всего подвело их не это. Воры записывали экран и транслировали "для друзей" процесс взлома, и реакции своих жертв на взлом! Посмотрите такое видео сами, и постарайтесь прикинуть сколько информации о себе, "социальные" хакеры сообщили о себе на видео)

В середине сентября они предстали перед судом и ожидают приговора!

Podlodka #393 – Социальная инженерия

В этом выпуске мы обсуждаем социальную инженерию — угрозу, которая касается каждого, будь то человек или компания. Мы разберем основные методы атак, и какие психологические техники используют мошенники. Вы узнаете, насколько опасно переходить по ссылкам, открывать видео и скачивать файлы. Эксперт Антон Бочкарев – эксперт по информационной безопасности и сооснователь площадки «Третья Сторона», поделится советами, как защитить себя, помочь близким и бороться с этой угрозой на уровне компании.


🎧 Слушать выпуск

👀 Смотреть выпуск

Партнёр эпизода — образовательная платформа Грейд от Яндекс Практикума.
Грейд помогает руководителям и тимлидам точечно обучать сотрудников или целые команды навыкам для конкретных бизнес-задач: подготовить команду к новому проекту, вырастить стажеров или переобучить сотрудника для новой роли. На платформе Грейда более 1000 навыков, а также возможность конструировать обучение под запрос, наблюдать за прогрессом и измерять эффективность — там, где раньше нужно было несколько разных решений, теперь достаточно одной подписки.

Переходите по ссылке и оставляйте заявку, чтобы получить бесплатный демо-доступ на неделю — он работает сразу для всей команды.

Реклама. АНО ДПО «Образовательные технологии Яндекса»,
ИНН 7704282033, erid:2SDnjeio5Gn

Судебная база по всей РФ перестала работать — кибератака на ГАС «Правосудие»?

Результативные кибератаки на государственную инфраструктуру России продолжаются — вслед за ВГТРК вчера, сегодня был атакован и перестал работать портал sudrf.ru и сайты региональных судов. Главной "жертвой" атаки стала ГАС «Правосудие».

Как мы много раз писали, тут как и в истории с ВГТРК речь идет о хактивизме — очевидно, получить выкуп от российского государства будет довольно сложно (даже если что-то действительно пошифровали). Судя по результатам, хактивизм достаточно высокоуровневый.

И об этом мы тоже много раз писали: рано или поздно те тысячи junior black hat, которые ломали россисйскую инфраструктуру в 22-23 годах вырастут и уйдут — или в рансом, или в высокоуровневый "коммерческий" хактивизм. В любом случае, именно хактивисты нам кажутся самой недооцененной угрозой последних лет.

Казаться, а не быть?

В далекие годы начала моей карьеры, один из коллег, с которым я часто пересекался по работе сказал мне примерно следующее:

"Для заказчика главное как ты выглядишь и как уверенно ты говоришь.
Даже если ты говоришь, в чем не особо разбираешься, или не разбираешься вовсе, говори это так, будто ты уверен на все 100%.
Ты для него дорогой эксперт. Важно казаться, а не быть."

И действительно продавали такие услуги дорого, но я согласен с ним не был. Но я наглядно видел эту "магию сверхуверенности", даже опытный заказчик начинал сомневаться в себе, и это помогало скрыть косяки работы. Что тоже мне не нравилось.

А сейчас, вы сами можете легко угодить под эту "магию", спросив что-то у ChatGPT или иных LLM! Они абсолютно уверенно, красиво и структурированно могут нести полную чушь. Так как не понимают смысла того, что генерируют.

Для полного повторения эффекта "дорого консультанта" не хватает только высокой цены, она в разы усиливает эффект. Ведь признаться, что ты заплатил столько денег за красивое презентабельное и структурированное фуфло еще сложнее.

Web.archive.org взломан

Кем и как - пока неизвестно.
Антиизраильские хактивисты, которые одновременно и публично проводили DDOS на данный ресурс за поддержку Израиля утверждают, что это не они.

Мог пострадать 31 миллион пользователей ресурса.

Взлом подтвердили профильные ИБ-журналисты.


UPD. Аутентификационная база 31 миллиона пользователей сервиса размером более 6ГБ была выложена в сеть несколько дней назад. Что осталось без внимания до сегодняшнего дня.

Наши друзья из ProIT Fest, у которых я много раз выступал, организовали вот такую инициативу на конфе! Велком!)