На днях в продаже оказался датасет из 700 миллионов (то есть, больше 90%) пользователей Линкедина. В базе есть, например, номера телефонов, метки геолокации, ссылки на аккаунты в соцсетях, предполагаемые зарплаты и много чего ещё.

Паролей в открытом виде там всё-таки нет, к счастью, так что можно чуть выдохнуть. Какие у этого есть потенциальные последствия? Вообще, не очень хорошие — от взломов аккаунтов и целого праздника социальной инженерии до краж личности. Датасет тут оставляет приличное пространство для творчества.

Никаких взломов или утечек в привычном понимании слова, однако, не было. Продавец сообщает, что все данные просто-напросто вытянул через API. Что-то похожее с Линкедином происходило в апреле, только тогда такие данные появились для 500 миллионов человек. Они сейчас открещиваются в СМИ и сообщают, что-де не виноваты, но возможность такого использования API — сама по себе серьёзная брешь.

Каждая такая сокровищница данных — отнюдь не лишнее напоминание о том, сколько всего мы иногда необдуманно оставляем где ни попадя. Сел делать красивое резюме на сайте с солидным синим логотипом, а оно уже составило на тебя мини-досье и покладисто его передает по первой просьбе играющимся с API даркнетовским торговцам. Такое себе.

https://restoreprivacy.com/linkedin-data-leak-700-million-users/

Доброго тебе утра! Или не очень доброго. Почти две недели назад я писал о том, что Роскомнадзор заблокировал встроенный ВПН Оперы и VyprVPN. Я ещё упоминал тогда список возможных целей по ВПН-блокировкам на будущее, который неофициально гулял по интернету с апреля. Так вот: он, похоже, вполне реалистичен.

Вчера Роскомнадзор попросил компании уведомить его, если они используют в своих процессах Hola!VPN, ExpressVPN, NordVPN, Speedify VPN, IPVanish VPN или KeepSolid VPN Unlimited. Вполне очевидно, что все эти провайдеры следующие на очереди — об этом сообщается прямым текстом. Пользующиеся ими компании вынесут в белый список, как при прошлых блокировках.

Пока любопытно, как именно это будут реализовывать. В Китае заблокированы все сайты компаний, на которых можно создать аккаунт и оплатить подписку, но примерно половина провайдеров из списка выше всё равно работает, если аккаунт и софт уже есть. Что ж, будем наблюдать за событиями грядущих дней: в прошлый раз РКН аналогичным образом предупреждали компании за месяц до блокировки.

https://www.rbc.ru/technology_and_media/30/06/2021/60dcc2ff9a79470e089055ac

Только недавно писал про первую в истории supply chain атаку, а тут вот: вчера вечером группировка REvil одним махом зашифровала файлы сотен американских компаний. Объединяет всех жертв только то, что они были клиентами Kaseya VSA, провайдера софта для мониторинга ИТ-инфраструктуры. У пострадавших уже вымогают за расшифровку данных от $45000 до $5 миллионов в XMR.

Считаю, довольно занятно, что хакеры вообще прибегнули к рансомвари, получив такие доступы.

Взлом произошёл вечером пятницы, поэтому масштабы атаки получше прояснятся на следующей неделе. Кажется, задели только тех, кто использовал продукты Kaseya локально, а не в облаке.

Механика такая: Kaseya кладёт через автоапдейт в c:\kworking файл agent.crt, подписанный как некий хотфикс. Сразу проходит PowerShell-команда, которая через стандартную certutil.exe обрабатывает файл и кладёт в ту же папку agent.exe. Agent.exe, в свою очередь, прогоняет MsMpEng.exe и mpsvc.dll. Второй файлик — это вот, собственно, и есть шифровщик Revil. А первый — старая версия Microsoft Defender, через которую этот dll запускается и радостно всё шифрует.

Забавный (ну, насколько возможно) бонус: в конфигурацию и ключи реестра хакеры-шутники закидывают политоту. Например, некоторые версии вируса загружаются в безопасном режиме, поставив паролем по умолчанию DTrump4ever. А другие варианты добавляют в реестр ключ HKLM\SOFTWARE\Wow6432Node\BlackLivesMatter.

https://www.scmagazine.com/home/security-news/ransomware/kaseya-vsa-systems-under-active-attack-as-company-tells-customers-to-shutdown/
https://www.bleepingcomputer.com/news/security/revil-ransomware-hits-200-companies-in-msp-supply-chain-attack/

Поговорим в этот воскресный вечер о неосторожности.

В службе диспетчера печати Windows есть PrintNightmare — уязвимость нулевого дня, позволяющая полностью завладеть атакованной системой. Её обнаружили ещё в начале года, но сочли не особо опасной: казалось, через неё можно было только повышать привилегии.

Однако недавно Microsoft сообщила, что уязвимость позволяет удалённо запускать любой код с SYSTEM-привилегиями. Компания настоятельно посоветовала администраторам отключить Windows Print Spooler. Полноценного патча всё ещё нет: выпущенный ранее в июньский вторник обновлений исправил первоначальную проблему с привилегиями, но не более широкую уязвимость. Она, кстати говоря, касается всех версий Windows.

Ранее о PrintNightmare почти не писали. Наконец, 28 июня ИБ-исследователи из RedDrip Team рассказали про уязвимость и показали гифку с их эксплойтом под неё. А потом на Гитхабе появился подробный технический отчёт, к которому любезно прилагался код работающего эксплойта. Похоже, это была чья-то ошибка, которая прожила несколько часов, но клонировать репо всё равно успели. Новости с полей ничего хорошего не обещают: Microsoft подтвердила, что уязвимостью уже пользуются. Что ж, будем ждать патч.

https://xakep.ru/2021/06/30/printnightmare/

Снова про атаку на Kaseya, о которой я писал пару дней назад. Напоминаю, вечером минувшей пятницы взломали одну из крупнейших американских компаний, продающих ПО для мониторинга ИТ-инфраструктуры. Хакеры внедрили классическую рансомварь.

Во-первых, стал известен примерный маштаб атаки — больше тысячи компаний из как минимум 17 стран, в основном США и Германии. Президент США Байден сообщил о федеральном расследовании атаки и упомянул, что рассматривается вариант с её российскими корнями.

Во-вторых, хакеры сообщили на своём сайте, что готовы опубликовать там же универсальный декриптор, если кто-то пожелает заплатить им за это 70 миллионов долларов в биткоинах. По нынешнему курсу это чуть больше 2 тысяч BTC. Похоже, атака вышла масштабнее, чем взломщики ожидали, и индивидуальная работа с жертвами оказалась сущим кошмаром.

https://www.npr.org/2021/07/05/1013117515/scale-details-of-massive-kaseya-ransomware-attack-emerge

Доброго утра! Сегодня рассмотрим любопытную малварную особь — мультиязычную и мультиплатформенную.

В марте Лаборатория Касперского рассказала о буйствующем на Ближнем Востоке трояне Milum, группировку-автора которого назвали WildPressure. Оказывается, есть ещё две очень похожие версии зловреда на других языках: мартовская малварь была написана на плюсах, а две новые версии — на Visual Basic и Питоне. Все три могут самообновляться, собирать данные, загружать файлы и выполнять любые команды оператора.

Та, что на Питоне, мультиплатформенная, работает и под macOS. Весьма загадочное решение, учитывая целевой регион жертв. Впрочем, вскрытие показало, что мультиплатформенность не стоила авторам особых усилий, благо что в яблочной оси ещё и интерпретатор Питона идёт из коробки.

В Касперском предполагают, что в основном жертвами вируса стали нефтегазовые компании. На этот раз для распространения зловреда использовались не только VPS, но и взломанные WordPress-сайты.

https://www.kaspersky.ru/about/press-releases/2021_laboratoriya-kasperskogo-kibergruppa-wildpressure-atakuet-ne-tolko-windows-no-i-macos

https://securelist.com/wildpressure-targets-macos/103072/

Вот смотри, есть совершенно обычный телефон с совершенно обычным набором приложений на главном экране: Тиндер, Фейсбук, Инстаграм, игрушечки даже мобильные стоят. Ничего из этого не работает, правда. Почему? Потому что надо перезагрузить устройство и ввести другой пин-код.

И тогда телефон превращается... превращается телефон... в весьма загадочный девайс, на главном экране которого есть только калькулятор, часы и настройки. Если попробовать открыть калькулятор, вместо него получаешь не менее загадочный экран входа.

Телефон всё же весьма необычный: это центр недавно завершившейся спецоперации. Преступники пользовались анонимным мессенджером Anom, который, как они считали, надёжно шифрует их сообщения.

На самом деле Anom (и ArcaneOS, дистрибутиве Андроида, на которой работает устройство) — правительственная разработка, с помощью которой спецслужбы США и Австралии свободно изучали переписки преступников, а в начале июня организовали множество арестов по 16 странам. Как результат, владельцы телефонов с Anom начали массово избавляться от устройств, отдавая их за символические суммы. Один из покупателей догадался, что с телефоном что-то не так, и быстро понял, что.

Забавных моментов много. Переключатель отслеживания локации в принципе тактично отсутствует — если о нём специально не задуматься, можно и не заметить. При этом фичей категории «театр безопасности» более чем достаточно. Например, при вводе пин-кода цифры визуально перемешиваются, чтобы стоящий рядом человек не смог отследить нажатие клавиш.

Вот такие артефактные «троянские щиты», как метко назвали операцию ФБР.

https://www.vice.com/en/article/n7b4gg/anom-phone-arcaneos-fbi-backdoor

Gettr, правый аналог Твиттера, который задумывался как островок свободы слова, взломали 5 июля, в первый же день после запуска. Хакер раскрасил аккаунты известных республиканцев, дописав в ники лозунги о свободе Палестине. Что ж, наивно было ожидать чего-то другого и наивно было запускаться с настолько слабой защитой.

Через несколько дней на хакерских форумах появились крупные датасеты, собранные как скрейпингом, так и через не особо защищённое API. После первого скрейпа Gettr улучшил защиту, но некотрые пользователи всё-таки обошли её и вытянули больше данных. В датасетах настоящее раздолье: от настоящих имён и года рождения до почты.

Похожее совсем недавно было с Linkedin, причём не единожды: в апреле вытянули данные 500 миллионов человек, а в конце июня — уже 700 млн.

Почти то же в начале года случилось с Parler, предшественником Gettr. На фоне беспорядков в Капитолии AWS лишили их серверов, а Google и Apple дружно удалили приложение из своих сторов. Чуть позже неизвестная вытянула из Parler миллионы постов, видео и фото, в том числе удалённых ранее авторами и приватных. Кроме того, в датасете оказались метаданные, например о локации и времени съёмки. Оказалось, Parler их не удалял. В этом случае «хакеру» и стараться-то толком не пришлось: айди постов в Parler имели строго хронологический порядок. Увеличиваешь ID в адресе на 1, и вот тебе следующий по времени пост на платформе. Собирай — не хочу, красота.

А выводы мы можем сделать всё те же: чем меньше данных о тебе есть у любой платформы, тем лучше. В конце концов, твоя приватность должна тебя заботить куда уж больше, чем автора топорного API очередной соцсети.

https://xakep.ru/2021/07/07/gettr-leak/

Пуф! Onion-сайт REvil, организатора недавней атаки на Kaseya, куда-то исчез. Лежат и те страницы, на которых жертвы могли обсудить условия возвращения данных, и та, на которой это можно было оплатить. На хакерских форумах представители группировки тоже подзатихли.

Многие издания гадают, не знак ли это того, что Империя США нанесли ответный удар. А может, до группировки наконец-таки добрались российские спецслужбы? На мой взгляд, едва ли. Не исключено, что они скоро вернутся — их Happy Blog, случалось, уже пропадал ненадолго и восставал обратно.

Даже если нет, не факт, что это вообще хоть что-нибудь значит — может, на фоне резко возросшего внимания со стороны самых разных спецслужб ребята просто решили организовать ребрендинг и тихо перекрасить паруса. В мае группировка DarkSide, атаковавшая Colonial Pipeline и положившая на пять дней трубопроводную систему по всей Америке, тоже полностью ушла в оффлайн, но было бы наивно предполагать, что они не пересоберутся под другим именем. То же справедливо и здесь: в конце коцнов, REvil — актор почти четверти всех кибератак на западные цели.

Интересно только, что сейчас будут делать жертвы, ещё не успевшие решить свои проблемы и выкупить доступ к данным. Вот уж кому не позавидуешь — совсем безответственные какие-то хакеры.

https://threatpost.com/ransomware-revil-sites-disappears/167745/

Тут недавно вспомнили, что в Хроме, Сафари и IE были уязвимости нулевого дня, которые активно эксплуатировались в различных атаках за этот год. Особенно отмечу сейчас ту, что была в яблочном WebKit: с ней связаны занятные детали.

Суть простая: западноевропейские госслужащие получали в Линкедине ссылки, которые, если их открыть с Сафари на айфоне или айпаде, редиректили жертву на вредонос. Вредонос, в свою о чередь, тянул у пользователя куки для Google, Facebook, Linkedin и прочих популярных сайтов, а затем передавал на подконтрольный хакерам IP через вебсокет.

Подозревается, что за этим стоят те же деятели, что и за легендарной прошлогодней supply chain-атакой на SolarWinds. Microsoft предполагала, что в мае эти ребята через ту же уязвимость в яблочном WebKit получили доступ к почтам Агентства США по Международному развитию, с которых затем рассылались письма со ссылками на малварь. Цели впечатляющие — среди них политические аналитические центры, государственные органы и не только, например ОБСЕ. А хакеры, как водится, русские.

Многовато в последнее время как-то уязвимостей нулевого дня развелось, однако.

https://www.securitylab.ru/news/522349.php

Неделя подходит к концу, так что подведём итоги ещё одной свежей атаки на SolarWinds: несколько дней назад специалисты из Microsoft нашли в её продуктах уязвимость нулевого дня.

Затрагивала она только Serv-U Managed File Transfer и Serv-U Secure FTP. В реализации SSH-протокола была уязвимость, позволявшая получать админские права и исполнять на машине любой код. Патч уже есть, но уязвимость, по словам SolarWinds, затрагивает все версии софта от 5 мая и старше.

Уязвимостью этой успели живо попользоваться загадочные китайские акторы — это выяснили те же исследователи из Microsoft, что и обнаружили изначально саму проблему. Целились в американские правительственные агентства и IT-корпорации. Напомню, что подобных клиентов у печально известной SolarWinds предостаточно.

Судя по отчёту, о котором вчера писали Cyberscoop, США изрядно обеспокоены хищным китайским киберинтересом к себе. АНБ, ФБР и Министерство внутренней безопасности говорят, что поднебесные хакеры крайне агрессивно ломятся к американской защитной промышленности, университетам и корпорациям, пока президент страны повышенное внимание уделяет группировкам из России.

Обсудить этот вопрос публично собираются на грядущих неделях — возможно, даже в этот понедельник.

Что ж, справедливо.

https://xakep.ru/2021/07/13/serv-u-rce/

Сегодня, к счастью, без экшна: никаких жертв не было, всё заметили и починили вовремя, но случай всё равно занятный.

Ты почти наверняка слышал про Cloudflare. Оказывается, в их cdnjs была только совсем недавно исправленная RCE-уязвимость, которая могла привести к настоящей эпидемии supply chain-атак — проектом пользуется каждый восьмой сайт.

В чём суть?

Если в cdnjs нет какой-то нужной библиотеки, её можно предложить на Гитхабе. В самом репозитории cdnjs есть скрипт-автообновлятор, тянущий новые версии библиотек по npm-путям, предоставленным их авторами.

Независимый исследователь присмотрелся к коду и понял, что автообновление запускается регулярно, плюс из-под юзера с write-правами. Кроме того, распаковщик архива с обновлениями написан на Go, в котором функция archive/tar сама по себе ничего не санитизирует.

Изучив всю эту картину, исследователь задумался о том, что будет, если в npm-версии предложенной библиотеки окажется эксплойт обхода каталога.

Залил тестовую библиотеку, попробовал, отошёл поужинать, вернулся и увидел, что всё сработало. Потянулся смотреть итоговый файл, чтобы отправить репорт в команду безопасности, а в файле, помимо прочего, ещё GITHUB_REPO_API_KEY репозитория cdnjs лежит. Получился изрядный оверкилл.

Поскольку у cdnjs вся инфраструктура завязана на Гитхабе, в худшем из возможных миров где-то здесь могла начаться масштабная supply chain-атака, способная дотянуться до каждого восьмого сайта. Но мы всё-таки живём в лучшем, поэтому и эксплойт был исследовательским, и команда cdnjs со скоростью света отреагировала на то, что в их репозитории в открытом виде появился гитхабовский API-ключ. Ключ инвалидировали ещё до того, как исследователь успел отправить репорт.

Из разряда потенциального «за секунду до».

https://www.bleepingcomputer.com/news/security/critical-cloudflare-cdn-flaw-allowed-compromise-of-12-percent-of-all-sites/

Больше деталей можно почитать в блоге исследователя, который отрепортил уязвимость: https://blog.ryotak.me/post/cdnjs-remote-code-execution-en/

Недавно Apple тихо и скромно пропатчила баг, считавшийся досадной мелочью. Баг заключался в следующем: если подключиться с айфона к вай-фай сети, у которой в названии есть сочетания знака процента и букв, айфон в принципе разучится подключаться к вайфаю и забудет, что это. Придётся изрядно потанцевать с бубном, чтобы вернуть всё обратно.

Всё оказалось немного неприятнее: на самом деле через эту уязвимость можно провести RCE, и работать это будет даже на пропатченных айфонах. Единственное условие — человек сам должен подключиться к зловредной сети. Правда, для старых айфонов и это не обязательно: они автоматически мониторят доступные сети и подключаются к ним. Выходит, достаточно развернуть зловредную точку доступа рядом с жертвой, и вуаля.

Исследователи говорят, что удалённое выполнение кода возможно из-за wifid — отвечающего за всё вайфайное iOS-демона с root-правами. Если вкратце, вся суть во включении в название сети "%@", чтобы она была интерпретирована как Object C-объект. Через это можно организовать типичную UAF-уязвимость: найти висячий указатель на уже освобождённый кусочек памяти и заполнить этот кусочек своим зловредным кодом.

Учитывающего RCE-уязвимость патча ещё нет, но Apple этим занимается. А пока лучше держись подальше от подозрительных сетей с процентиками в названиях.

https://threatpost.com/unpatched-iphone-bug-remote-takeover/167922/

Я за всю эту неделю ничего не написал про Пегасус: решил повременить и отфильтровать шум.

Думаю, основное ты слышал и так. У израильской компании NSO Group есть шпионский софт Pegasus, который продают правительственным агентствам. Пегасус селится на телефоне жертвы и передаёт с него всё, что нужно, включая фото и сообщения, плюс может записывать аудио и видео. Одним словом, тотальная слежка под светлыми лозунгами защиты от терроризма и поимки преступников. Бонусный пункт: отследить инициатора слежки невозможно.

За кем же следили? Больше всего в СМИ говорили о списке из 50 тысяч слитых номеров телефонов, среди которых мелькали персоналии вроде президента Франции, короля Морокко, Павла Дурова, жены громко убитого журналиста-критика Саудовской Аравии Джамаля Хашогги, а также дубайской принцессы Латифы. Про принцессу напомню, что в 2018 году она пыталась бежать в США и была поймана спецслужбами, откуда-то знавшими, на какой яхте она будет покидать Дубай и когда. Тогда это связали с ФБР.

Пожалуй, список номеров — одна из самых мутных частей всей этой истории. Сама NSO, ясное дело, от него мгновенно открестилась. Ещё бы, в списке полным-полно людей, слежка за которыми нарушала бы её же собственную политику использования. Слежку за той же женой Хашогги CEO NSO пламенно отрицал, как и роль Пегасуса в убийстве журналиста.

Кроме того, по словам миролюбивого CEO, NSO не хранит ни в каком виде номера целей. А если бы и хранила, их было бы гораздо меньше: мол, у Пегасуса 45 клиентов, каждый из которых держит около 100 целей в год.

Тут добавим в эту задачку два условия. Во-первых, NSO представляет крупные оптовые скидки: например, можно взломать 10 телефонов за $650,000 и взять ещё 100 уже за $800,000. Во-вторых, по её же утверждениям, у неё нет возможности узнать, за кем следят её клиенты. Итак, вопрос: откуда NSO вообще знает, что у каждого клиента всего-то навсего под 100 целей? Вопрос интересный, но со звёздочкой.

А как сочетаются слова о том, что компания не знает, за кем следят клиенты Пегасуса, и пламенные открещивания от слежки за тем или иным человеком? Вопрос с двумя звёздочками.

Возвращаемся к списку. Amnesty International проанализировала 67 телефонов, связанных с номерами из него. В как минимум 37 Пегасус каким-либо образом целился, а 23 успешно взломал. Совпадений многовато. Amnesty утверждает, что этот список включает или действующие, или потенциальные цели клиентов Пегасуса. Скорее всего, хозяева этих номеров представляют для клиентов NSO интерес, и некоторых из них действительно взломали.

Понятно, почему некоторым — главе NSO, например — так хочется доказать его фейковость. CEO утверждает, что он «глубоко обеспокоен» всем этим шумом и понимает, что «клиенты могут иногда использовать систему не по назначению». Если список подлинный, то само наличие у NSO каких-то условий о том, за кем следить можно, а за кем — нет, выглядит нелепо, особенно с учётом заданных выше вопросов под звёздочкой.

Больше, впрочем, в этой истории про список пока ничего не понять: откуда он вообще взялся, например, кто и как его составлял. Возможно, чуть яснее с этим станет дальше.

Лонгриды по теме:
https://www.theverge.com/22589942/nso-group-pegasus-project-amnesty-investigation-journalists-activists-targeted
https://forbiddenstories.org/the-rise-and-fall-of-nso-group/

Тут можно посмотреть на некоторых людей из списка: https://cdn.occrp.org/projects/project-p/#/

Внимание: Apple выпустила срочное обновление с очень важным фиксом безопасности! Исправили RCE-уязвимость IOMobileFramebuffer.

Про уязвимость в iMessage, которая позволяет заражать телефон Пегасусом через смску, без каких-либо действий со стороны жертвы, ничего нет. Впрочем, это вполне ожидаемо: сколь ни старайся обеспечить бронебойную безопасность, а обходящейся в миллионы долларов атаке на конкретных единичных людей едва ли что-то можно противопоставить.

Я тогда тоже помолчу на эту тему, пока не появится что-то интересное. Не рассказывать же вам всерьёз, что CEO NSO оправдывается в СМИ заявлениями-де «мы белые и пушистые, виноваты во всём наши бессовестные клиенты, и вообще, нечего скрывать — нечего бояться».

https://www.bleepingcomputer.com/news/apple/apple-fixes-zero-day-affecting-iphones-and-macs-exploited-in-the-wild/

Ага, кажется, это фикс для одной из тех самых уязвимостей и есть — речь об эксплойте, который NSO могла задействовать в своей цепочке атаки. Остаётся неизвестным, действительно ли патч именно под это и помешает ли он дальнейшей работе Пегасуса. Возможно, это только подорожник, приложенный к одному из звеньев цепи взлома.

Ещё напомню, что Андроиды — не панацея: их Пегасус ломал с той же лёгкостью и даже по той же стоимости для клиента.

https://9to5mac.com/2021/07/27/ios-security-fix-14-7-1/

Анонимный сотрудник NSO рассказал National Public Radio, что компания ограничила нескольким клиентам — правительственным агентствам ряда стран — доступ к Пегасусу и изучает их деятельность. Видимо, это те самые, которые, по мнению CEO компании, во всём и виноваты, и незаслуженно втянули доброе имя компании в медиа-шумиху.

Сотрудник ничего не сказал о том, сколько клиентов ограничено и к каким странам они принадлежат, и отказался как-либо комментировать это дальше. Ещё он добавил, что компания прошлась по Тому Самому Списку и не нашла почти у всех номеров никакой связи с Пегасусом. Впрочем, едва ли это удивительный комментарий.

https://www.npr.org/2021/07/29/1022409865/nso-suspended-govvernment-contracts-spyware-pegasus-project?t=1627634529619

А вот теперь немного не про нашумевшую крылатую спайварь. Я совсем недавно писал об исследователе, который заметил и зарепортил RCE-уязвимость в коде Cloudflare. Если бы он был не внимательным изучателем уязвимостей, а злоумышленником, писал бы я тогда уже о массовых атаках на десятую с хвостиком часть интернета.

Теперь он же изучил код PyPI — Python Package Index. Нашёл, помимо мелочей вроде возможности удалять в чужих проектах пользовательские роли и документацию, и критическую дыру: в кодовой базе PyPI можно было запускать bash-команды через Github Actions. Пространство для творчества там прекрасное, от развлечений с главной страницей pypi.org до редактирования самих пакетов. Всё, к счастью, уже прикрыли.

Ещё из базы удалили 8 вредоносных библиотек, из которых 6 таскали пароли и коды от карточек с машины жертвы. Две оставшиеся либы позволяли выполнять на ней любой код на Питоне. У всей этой радости было больше 30 тысяч загрузок.

Похожая история была в декабре у RubyGems, где вредоносный пакет воровал у жертвы крипту, и недавно с вором паролей в npm, пусть и в меньших масштабах. Что ж, едва ли мы от всего этого куда-нибудь пока можем деться: сама система располагает.

https://xakep.ru/2021/07/30/pypi-flaws/

Репорт JFrog о вредоносных пакетах: https://jfrog.com/blog/malicious-pypi-packages-stealing-credit-cards-injecting-code/
Отчёт исследователя об уязвимостях PyPI тут: https://blog.ryotak.me/post/pypi-potential-remote-code-execution-en/

Тут выкатили новые правила сбора биометрии, которые должны вступить в силу с января 2022.

Запрашивать и использовать биометрию россиян будет запрещено всем компаниям, у которых иностранное юрлицо или иностранный капитал составляет более 49% уставного. Кроме того, даже у подходящей под эти условия компании должны быть специальная лицензия и капитал в минимум 500 миллионов рублей: последнее условие помогает крупным корпорациям и вежливо отталкивает остальных.

К биометрии, на секундочку, относятся в том числе и сканы паспорта.

Затронет это многих, от известной нидерландской корпорации Яндекс до кипрского Тинькова, которому придётся каким-то образом здесь выкручиваться. Туда же все прочие, кому нужен паспорт для верификации личности, например Букинг и Авито.

Неловко вышло.

https://www.kommersant.ru/doc/4928909

В апреле Amazon пропатчила баг, который позволял превращать электронки Kindle в ботов и воровать с них персональные данные. Заразить устройство можно было вредоносной книгой. Поскольку антивирей для электронок нет, распознать зловредность такой книжки было бы нечем, а вот к публикации её бы приняли в любой онлайн-библиотеке, включая собственную амазоновскую.

Обнаружившие уязвимость исследователи смогли собрать книжку, которая, если её открыть на Киндл, могла бы до патча исполнить любой код с рут-правами. Книжка подключалась к удалённому серверу, блокировала экран, получала рут-права и передавала хакеру полный доступ к устройству. Сюда входит и доступ к Амазон-аккаунту, в который залогинена книжка, кукам и приватным ключам.

Исследователи заметили занятную фичу у такого вредоноса — лёгкость в прицеливании на определённую аудиторию. Нужны румыны? Публикуем «перевод» популярной книжки на румынский, и вуаля.

Детали: https://threatpost.com/amazon-kindle-malicious-ebooks/168454/
Рассказ исследователей, обнаруживших и зарепортивших Амазону эту уязвимость: https://research.checkpoint.com/2021/i-can-take-over-your-kindle/

Вообще говоря, они тут не первые: в конце января этого года Амазон пропатчил KindleDrip, похожую RCE-уязвимость с вредоносной книжкой. Там исследователь обнаружил, что можно присылать вредоносные книжки пользователям на почты, пользуясь фичей Send to Kindle. Почты пользователей внутри системы довольно просто забрутфорсить, а остальное — дело техники. Подробнее про технические детали той истории рассказано вот тут: по идее, эти уязвимости лежали где-то рядом.

На днях Apple объявила о том, что теперь будет проверять фото в iCloud на предмет детской откровенности.

Как это выглядит? Хэши фотографий будут сопоставляться с материалами из базы CSAM (child sexual abuse materials), которую компания получает от правозащитных организаций. Всякое совпадение ставит пользователя на карандаш. Если совпадений набирается слишком много, аккаунт блокируется, а информация о нём отправляется правоохранительным органам.

Понятно, почему все из-за этого всполошились. Ровно тем же самым давным-давно занимаются все крупные корпорации и продукты, от Фейсбука и Твиттера до Реддита с Дискордом и иже с ними. Но для Apple, которая каждые пять минут без устали напоминает о том, как ценит приватность пользователей, такая история выглядит странно.

Флёр «всё ради защиты детей» — это, конечно, отличный карт-бланш на реализацию чего угодно. Любой, кто возмутится, будет встречен хитрыми шуточками или ответным возмущением о том, что посмел быть недовольным «защитой детей». Вполне очевидно, однако, что от такого безобидного анализа хэшей под благородными флагами легко прийти к чему-то куда менее однозначному.

Вопрос: если у нас есть система, которая — исключительно на стороне пользователя, конечно же — анализирует отправляемые и получаемые фото, можно ли вообще гарантировать, что она всегда будет использоваться только для защиты детей от откровенного контента?

Как справедливо заметили исследователи из Electronic Frontier Foundation, отсюда достаточно сделать пару шагов, чтобы протянуть руку местным требованиям различных авторитарных режимов. Недавно, например, в Индии обязали все платформы проверять содержание и происхождение сообщений. Чем наша система, в которой есть такой бэкдор «для защиты», может открутиться от этого, и почему бы ей не сделать исключение и здесь? Дорожка ой как скользковата.

https://xakep.ru/2021/08/06/apple-neuralhashes/