Эдвард Сноуден. Мифы

Прошло уже практически 10 лет, а мне до сих пор продолжают рассказывать удивительные истории об Эдварде Сноудене. А ведь вышло за это время несколько документальных фильмов и даже автобиографическая книга! Все привыкли делать выводы по кликбейтным заголовками и художественному кино, поэтому и родился этот небольшой ликбез с самыми распространенными в моем окружении заблуждениями.

О его работе. Сноуден был обычным сисадмином или кадровым сотрудником спецслужб?

Смотря когда. Сноуден работал в ЦРУ за несколько лет до событий с утечками. В Женеве он оказывал техническую поддержку настоящим агентам-нелегалам, по сути обеспечивал их связью на местах. Сисадмин-агент-нелегал для задач вроде “перезагрузите пожалуйста ваш шпионский компьютер”, но быстро оттуда уволился. По его словам - после того как увидел, какими методами агенты добывают информацию (шантаж, провокации, подставы).
Во время событий 2013 года он был системным архитектором в подрядчике Агентства Национальной Безопасности (АНБ). То есть сотрудником самой службы он не был, но был проверен и аккредитован для доступа к секретным сведениям. И вот уже тогда она занимался гораздо более сложными задачами – например, проектировал систему обмена и обработки разведывательной информации между агентствами.

О его мотивах. Его перевербовали спецслужбы России, он целиком НАШ проект или просто национал-предатель США?

В реальности всё сложнее. Российским агентом Сноуден, конечно же, не был. А вот идеалистом и патриотом - был. Во время работы он неоднократно сталкивался с лицемерием со стороны спецслужб и государственных структур, и это подорвало его веру в американские идеалы и конституцию США. Причем его разочарование началось гораздо раньше: ещё в армии Сноуден получил “усталостный перелом” обеих ног из-за небезопасных нагрузок на отборах в спецназ.

В госпитале ему предложили “помочь”:
“Ты подписываешь бумаги, что уволился ты сам до травмы, а значит тебя не списывали со службы по состоянию здоровья, и тебе по-прежнему открыты все двери после реабилитации!”
То есть фактически его развели на оплату лечения и компенсации урона здоровью.


А окончательно его вера в собственные идеалы рухнула после прихода Барака Обамы. Новый американский президент пафосно заявил о недопустимости слежки и нарушениях Конституции, после чего … выполнил свои обещания строго наоборот! Дошло до того, что программы по слежке за собственными гражданами, появившимися при республиканце Буше-младшем после 11 сентября, при демократе Обаме были значительно расширены. А ещё во время работы на АНБ он часто видел, как операторы, имеющие доступ к подобным системам, регулярно использовали их для целей, никак не связанных с национальной безопасностью – например, для слежки за бывшими женами или любовницами. Ну или обсуждали добытые таким образом приватные фотографии с коллегами.

Сноуден искренне любил свою страну и верил в её идеалы. Предателем он себя не считал и был уверен, что он действует в интересах граждан США и защищает их от произвола властей. В Россию он первоначально вообще не собирался, просто так вышло, что во время пересадки в Шереметьево его паспорт был аннулирован, и дальнейшие пути оказались либо закрыты, либо небезопасны. Первоначально он вообще улетел в Гонконг и свой дальнейший маршрут строил через страны, откуда нет экстрадиции в США. Так что не удивительно, что рано или поздно он оказался в России.

Продолжение истории про Сноудена

О самой утечке. Он взломал базы данных ЦРУ/АНБ? Нет, он вынес эти данные в кубике рубика!

Сноуден строил систему обмена данными между разными агентствами и их обработки. Фактически, его права доступа были настолько широкими, что взламывать что-либо необходимости не было. Вся опубликованная им информация была получена в рамках исполнения служебных обязанностей, а потому сбор и перемещение данных с сервера на сервер не вызывали вообще никаких подозрений. А чтобы вынести эти данные за пределы сети подрядчика АНБ, Сноуден просто скачал их на домашний компьютер по протоколу SSH. Никто не ограничивал ему удаленный доступ и не контролировал какие данные и куда передаются. Да, даже в больших объемах, такова культура информационной безопасности в подрядчиках спецслужб. Если сотруднику доверяют сами спецслужбы, то его не нужно контролировать в процессе работы. Ага.

А красивая история с “флешкой в кубике рубика” была выдумана сценаристами известного фильма. В реальности всё было куда прозаичнее.

О его роли. Сноуден ничего нового не рассказал, все и так все знали. Нет, он раскрыл глаза всему миру, мы и не подозревали о глобальной слежке!

Здесь тоже сложно, но для широкой общественности Сноуден действительно раскрыл глаза на вещи, которые эту самую общественность глубоко шокировали. Большинство людей даже близко не представляли масштаб сбора данных, а особенно вся эта история шокировала самих граждан США. Специалисты, конечно, не могли не понимать, что в каком-то виде сбор и обработка информации есть, да и слежка ведётся. Но масштабы этой слежки, конкретные технологии и методы до Сноудена были неизвестны ни широкой публике, ни абсолютному большинству экспертов. Да, некоторые вещи предсказывали задолго до него, и Сноуден лишь подтвердил правоту многих специалистов, но многое было совершенно новым. В общем, истина посередине.

О текущей жизни. Он теперь работает в ФСБ?

Его адвокат говорил,что он работает удаленно системным архитектором в одной из российских IT-компаний. Работать на российские силовые структуры он бы вряд ли стал, да и там уж слишком своя кухня и “атмосфера”. Никакой Сноуден там просто не нужен.

В общем, такая история. Миф о Сноудене уже давно живёт сам по себе, и часто это именно миф, а не часть реальной истории. А со своей стороны мы напоминаем, что инсайдеры всегда были, есть и будут одной из главных угроз для любой организации и не важно, кто вы — небольшая IT компания или целое АНБ.

Вирусный челендж в TikTok распространяет троян

В ТикТоке сейчас популярен челендж "невидимое тело" с помощью фильтра "Invisible Body". Он искусно вырезает тело человека, поэтому знаменитости говорят, что снимают ролики обнаженными, но фильтр это прячет.

Злоумышленники участвую в челлендже!
Они активно продвигают видео, где утверждают, что у них есть программа "Unfilter", которая способна "снять фильтр" и показать исходное голое видео.

Пользователи охотно ведутся, качают по указанным ссылкам и получают троян, ворующий банковские карты и аккаунты.
Пострадавших более 30 тысяч.

Вот такой модный фишинг, будьте осторожны в соцсетях.
Технические подробности для интересующихся на Хакере.

Кибершпионаж из Барселоны

Еще один поставщик решений для кибершпионажа был обнаружен исследователями Google (TAG).
Некий аноним прислал в программу bug bounty Google файлы, содержащие исходные коды платформы для кибершпионажа. Исследователи изучили их и утверждают, что разработано шпионское ПО было в Испанской компании Variston. Компания, судя по их сайту, поставщик пользовательских решений по кибербезопасности.

Что именно обнаружили?
- Три отдельные платформы, называемые Heliconia, для взлома Chrome, Microsoft Defender и Firefox.

- Уязвимости, которые использовали Heliconia уже известны и закрыты, однако использовали их ДО исправления, как 0day. Тем самым обеспечивали себе гарантированный успех.

- Использование этих уязвимостей «в дикой природе» ранее исследователи не замечали, значит атаки происходили точечно и крайне избирательно.

- После взлома предлагался широкий инструментарий для слежки за жертвой.

А что дальше?
Неизвестно, будет ли расследование деятельности компании. IT-директор Variston, заявил что ему ничего не известно об исследованиях Google, но «был бы удивлён, если б подобное было бы обнаружено в дикой природе».
До славы израильской NSO-Group о которой мы писали тут, еще далеко, ведь никто не знает, кто был целями слежки. Пока не доказано обратное, всегда можно сказать, что услуги оказывали полиции против наркокартелей и прочего криминала. Хотя и тут аноним может спутать компании карты.

Будем следить за развитием событий!
Технические подробности можно посмотреть тут.

P.S. Мы слышали о работе в Испании как раз по профилю поиска уязвимостей нулевого дня. Активно приглашали к релокации специалистов из России, один товарищ даже уехал. Уж не они ли?

Увидимся на конференции КодИБ Итоги!

- Когда? 8 декабря.
- Где? Москва, Palmira Business Club Hotel.
- А что там? Нетворкинг, ну и послушаем доклады по интересам, секций и лекторов много.

Там я расскажу доклад о том, как стоит проводить проекты по тестированию на проникновение/redteam в реалиях 2022 года, чтобы они были максимально полезны для бизнеса. Это ведь должна быть имитация действий реальных злоумышленников, а не оторванный от реальности проект! За этот год фокусы сильно сместились.

Антон Бочкарев

Следующий пост - не коммерческая реклама, а наша рекомендация

Если хотите разместить что-либо по тематике кибербезопасности у нас в канале, например статью или анонс мероприятия, напишите нам об этом.

Согласно исследованиям, в 2022 году более 25% россиян находятся в состоянии постоянного стресса. Во многих компаниях руководство вынуждено мириться с удаленной работой сотрудников. В таких условиях становится особенно важно проводить мониторинг их действий и учет рабочего времени.

AM Live: Контроль действий и эффективности персонала
📆7 декабря в 11:00

В прямом эфире обсудим:
🔹Цели и задачи мониторинга и контроля действий сотрудников
🔹Практики внедрения систем контроля действий сотрудников
🔹Как системы контроля действий сотрудников совмещать с DLP?
🔹Как СВО и последующие события повлияли на применение систем контроля действий сотрудников?

Кому подойдет:
🔹Руководителям бизнес-подразделений, отдела кадров, службы информационной и собственной безопасности
🔹ИБ/IT специалистам

Принять участие

Видео к анонсу

«В России практически уничтожен бизнес кардеров» Baza

Да, но в причинах мы с Базой категорически не согласны! Российский кардинг практически мертв уже много лет, а говорить о том, что он в таком состоянии из-за того, что наши карты работают в основном только в РФ нельзя.

Мертв он потому, что в России молодая и крайне активно развивающаяся банковская система, которая никогда не забывала об информационной безопасности. Беспрецедентная массовая поддержка защиты платежей 3DS (3d secure) – или по-простому одноразовые коды в смс/уведомлениях для совершения платежей. Массовое внедрение система антифрода (противодействия мошенничеству) именно в банках, а не магазинах. Именно эти меры и позволили сделать так, что с европейскими и американскими картами было работать в десятки раз выгоднее. В Европе уровень защиты платежей значительно уступает, а США отстает на целое поколение. Злоумышленники ушли в эти регионы, за легкими целями.

Поэтому это исключительно наше достижение, а не следствие санкций или стечение обстоятельств.

Что еще повлияло на российский кардинг? Граждане РФ меньше хранят денег на картах, реже пользуются кредитками, чем граждане Европы и США, значит и украсть можно значительно меньше. Не выгодно. Значительная доля кардеров проживала и проживает на постсоветском пространстве, поэтому работать по «домашнему» региону для них гораздо опаснее.

А комментарий в посте Юлии Новиковой и ЛК абсолютно верный.

Подходит к концу 2022 год, а значит наступает время прогнозов

Наш прогноз мы озвучим в одном из следующих постов, но главное — количество кибератак будет только возрастать. Причем они будут разнообразными, зачастую масштабными и более продуманными. Причин масса — тут и негативный политический фон, и уход западных вендоров, переход на российское ПО, риски лояльности сотрудников и многое многое другое.

Самый яркий пример последнего времени - DDOS-атака на ВТБ и возможные (подтверждений пока нет) проблемы у Яндекса схожего характера. Причем интенсивность таких атак будет только возрастать, а их целями будут становиться не только банки, но и объекты ключевой инфраструктуры и буквально всё, что "торчит" в сеть — например, приложение "госуслуг".

С нефинансовым бизнесом ситуация, в общем, будет похожая. Причем если раньше ключевой составляющей была финансовая — злоумышленники хотели выкуп, крали/шифровали данные или что-то подобное — то сейчас всё чаще требований выкупа не следует. Фактически, главной задачей злоумышленников становится нанесение максимального ущерба бизнесу, и бомбить они будут "по площадям". Ничего хорошего в этом, конечно, нет.

Когда мы создавали "Третью сторону", нашей целью было создание надёжной площадки с доступными ценами, где можно было бы найти исполнителя под любые легальные задачи в сфере ИБ. Мы ориентируемся на малый и средний бизнес, и мы стараемся в том числе консультировать и рассказывать о том, как устроена кибербезопасность, какие угрозы являются ключевыми, а от чего можно пока отказаться, если денег всё равно нет. Как говорится, обращайтесь)

С началом СВО санкционная политика в отношении России привела к коллапсу существующих поставок зарубежного аппаратного обеспечения. За этим последовал дефицит и попытки перейти на новые цепочки поставок, резко возрос спрос на российское оборудование.

AM Live: Аппаратное обеспечение для российского ИБ

📅14 декабря, СР, 11:00

В прямом эфире обсудим:
🔸Сможет ли рынок информационной безопасности адаптироваться к новой реальности?
🔸Получится ли избежать тотального дефицита оборудования?
🔸 Россия не производит современные микропроцессоры, чипы памяти, СХД и много чего еще. Есть ли шансы это исправить?
🔸Спрос и предложение на аппаратное обеспечение для ИБ

Принять участие

Пароли не нужны (или пара слов о ключах и двухфакторке)

Пароли небезопасны и крайне неудобны, как и многое, придуманное на заре Интернета.
Их минусы очевидны:
- Возможно подобрать.
- Возможно слить.
- Возможно перехватить с помощью фишинга.
- Сложно запоминать, придумывать и безопасно хранить.

И в Интернете будущего паролям явно нет места. Сейчас их недостатки пытаются компенсировать различными вторыми факторами, от PUSH/SMS уведомлений до генераторов одноразовых кодов. Но все понимают, что SMS это не очень безопасно, PUSH уже лучше, но не всегда надежно, а генераторы кодов неудобны для пользователей. Будущее за более эргономичной и надежной технологией – WebAuthn.

Технология проста и позволяет веб-приложениям использовать криптографические электронные ключи. Их реализация может быть разной, от специального устройства – токена, вставляемого в порт, до специального хранилища вашего смартфона/ПК. В последнем случае разблокировка смартфона/ПК с помощью лица/пальца/кода даст доступ к хранилищу ключей.

Все, больше вам ничего не нужно для входа. Только ключ, который будет одноразово привязан к вашим сервисам. Этот ключ:
- Не подобрать.
- Не утечет, т.к. нигде не хранится, кроме вашего устройства.
- Не перехватить, т.к. он привязан к конкретному источнику.
- Нужно только надежно хранить.

Буквально на днях эту технологию, представленную в виде сервиса Passkeys, стал поддерживать по умолчанию Google Chrome.
Эра безопасности веб-приложений без паролей стала гораздо ближе!

Подробнее почитать про это можно тут.
Потестировать тут.
А почитать как внедряли подобное Mail.ru тут. Там же в конце есть ответы на самые популярные вопросы!

Утечка из InfraGard

InfraGard - доверенная сеть обмена данными о киберугрозах от ФБР между частными, но критически важными стране компаниями. К ней получили доступ, собрали данные участников и базу сейчас продают за $50 000. Для одной только регистрации в сети, необходимо было пройти проверку ФБР.

Как утекло? Подали заявку на доступ по украденным документам исполнительного директора одной фирмы из программ-участников. А генеральному директору компании, от которой подавали заявку, ФБР звонить не стали. Проверили видимо только документы на валидность.

Выводы:
- Даже у ФБР бывают проблемы с безопасностью и откровенная халтура.
- Утечка личных документов топ менеджмента могут нести угрозу компании и ее партнерам.

Подробности читайте у легендарного Брайана Кребса тут

Срочно проверьте обновления Windows!

Это не учебная тревога. Обновление безопасности от 13 сентября, должно быть установлено у всех, иначе вы в серьезной опасности.

Исправленная в сентябре уязвимость в SPNEGO NEGOEX (CVE-2022-37958), сегодня была оценена Майкрософт как «критическая». Ведь она позволяет злоумышленникам удаленно выполнить код используя любой из протоколов, где используется механизм SPNEGO, к примеру:
- RDP
- SMB
- SMTP
- HTTP

Ведь в каждом из них SPNEGO включен по умолчанию, начиная с Windows 7. Значит каждая система без обновлений безопасности по умолчанию становится уязвима для целого набора векторов атак! Печально известный WannaCry использовал уязвимость только одного протокола – SMB, и мы помним к чему это привело. А тут уязвимых протоколов как минимум 4.

Предыдущая оценка уязвимости, судя по всему, была «прикрытием», чтобы не привлекать внимание злоумышленников к изучению уязвимости до массовой установки обновлений. Теперь, когда это раскрыто, ожидаем волну атак.

Рекомендации:
- Проверить/установить обновления безопасности от 13 сентября 2022г.
- Непрерывный мониторинг внешнего периметра, особенно веб-сервера IIS.
- Если обновления установить невозможно, то в качестве компенсирующей меры можно выставить провайдеры аутентификации(authentication providers) в настройках Windows в "Kerberos" или "Net-NTLM" и удалить "Negotiate" из провайдеров по умолчанию.

С уважением отметим, что уязвимость обнаружила Valentina Palmiotti. От нее же видео с эксплуатацией.

Кибербезопасность для 3.0 и cryptoфаундеров

Концепция 3.0 строится на том, что всё будет правильно функционировать. Блокчейн, смарт-контракты, nft и вот это всё - это прекрасно, если они работают. Но проблема в том, что если ты даже создал математически безупречную идею, которая на текущих мощностях прекрасна - нет никаких гарантий, что так будет всегда.

Написали обзорную статью о том, почему ИБ всегда будет актуально для практически любых технологичных проектов в крипте\3.0 и вспомнили несколько самых известных случаев такого рода проблем. На удивление, значительная часть из них — это совершенно типичные для ИБ случаи, к крипте прямого отношения не имеющие. Мораль: оценивайте риски правильно и смотрите на состояние своей инфраструктуры.

https://telegra.ph/Kiberbezopasnost-dlya-30-i-cryptofaunderov-12-15

Это ровно то, о чем мы и говорили. Для крипто-индустрии актуальны те же проблемы, те же вектора атак, а самое главное — те же способы защиты, что и для любой другой.