​​Не далее как неделю назад Google выпустили апдейт для Chrome, в котором закрыли используемую в дикой природе 0-day уязвимость CVE-2021-30551 браузерном движке V8.

Но нет предела совершенству - вчера вышло новое обновление для Windows, Mac и Linux, в котором закрыли еще одну 0-day уязвимость.

CVE-2021-30544 - UAF (User-After-Free, некорректная работа с динамической памяти при ее освобождении) уязвимость в API JavaScript WebGL, используемом для визуализации интерактивной 2D и 3D графики.

Ошибка приводит, как ни удивительно, к удаленному выполнению кода (RCE) в атакованной системе (шутка, к чему еще UAF может привести, к DoS разве). Оценки критичности, что интересно, Google не приводит (или мы такие слепошарые). Хотя, судя по удаленному RCE, она близка к десяточке по CVSS.

Как всегда в случае с Google, техническими подробностями они не делятся, но сообщают, что им известно об использовании CVE-2021-30544 в дикой природе.

Поэтому всем надо срочно обновить свои Chrome.

—Партнерский пост—

30 июня в Петербурге пройдет ZeroNights 2021, конференция по практическим аспектам кибербезопасности

Дата и время: 30 июня, 09:30-23:59 (МСК)
Место: Санкт-Петербург, Севкабель Порт

На ZeroNights будут представлены уникальные исследования признанных экспертов-практиков в сфере информационной безопасности.

Программа конференции:
• Основная программа — доклады о новейших методах атак, безопасности прошивок, десктопных, мобильных устройств и ОС.
• Web Village — о веб-приложениях, их уязвимостях, обходах механизмов безопасности и о программах Bug Bounty.
• Defensive Track посвящен безопасной разработке, DevSecOps, обнаружению инцидентов.
• Hardware Zone — зона пересечения интересов людей, связанных с аппаратной и программно-аппаратной безопасностью.
• Воркшопы — мастер-классы, которые дают возможность перейти от теории к практике под руководством профессионалов.
• Активности и тематические конкурсы — от Академии Digital Security, баг-баунти от Bitaps, а также CTF от комьюнити-партнеров.
• Маркет с авторским мерчем десятой хакерской конференции ZeroNights.

Важно! 29 июня и 30 июня билет на ZeroNights можно будет купить только на площадке с наценкой 30%. Поэтому приобретайте билет уже сейчас!

С нарастанием хайпа вокруг темы ransomware стало появляться все больше детальных обзоров деятельности той или иной хакерской группы, стоящей за очередным штаммом вымогателей.

Вот и команда Prodaft Threat Intelligence выдала отчет, в котором подробно рассмотрела деятельность владельца ransomware LockBit и его взаимодействие с привлеченными операторами. В том числе и предполагаемую связь с другими вымогателями.

Неплохое чтиво на предстоящие выходные дни.

Эксперт нашёл баг в работе Wi-Fi на iPhone

В своём Twitter он рассказал, что обнаружил баг при подключении iPhone к Wi-fi сети с символьным названием в виде «%p%s%s%s%s%n».

Когда iPhone, включая даже новые модели, подключается к такой сети, происходит зависание работы беспроводного модуля.

Фактически, Wi-Fi перестаёт работать, а в случае попытки его активации происходит отключение кнопки включения.

Также, этот баг полностью отключает работу AirDrop.

Он уточнил, что советует не экспериментировать с такими названиями сетей, а просто подождать патча от Apple, если она, конечно, заинтересуется этой проблемой.

​​Не стареют душой ветераны цифрового чучхе!

В конце прошлой недели Южнокорейский институт ядерных исследований (KAERI) провел пресс-конференцию и сделал официальное заявление, в которых сообщил, что 14 июня подвергся атаке прогосударственной APT, которая взломала сеть института использовав уязвимость в VPN-сервисе.

Судя по всему, VPN тупо не обновили. Вследствие чего 13 различных внешних неавторизованных IP успели залезть в сеть. Как сообщают южнокорейцы, один из этих IP-адресов атрибутируется как принадлежащий вредоносной инфраструктуре северокорейской APT Kimsuky.

Один из основных оппозиционных депутатов парламента Южной Кореи Ха Тэ-Кын завил, что "утечка в КНДР ключевых технологий в области ядерной энергетики может стать крупнейшим нарушением безопасности Южной Кореи с 2016 года (когда птенцы Кимова гнезда ломали местное Минобороны)".

Мы не столь склонны к драматизированию ситуации, но отметим существенную расхлябанность сеульских ученых, поскольку уж в их-то ситуации надо держать свои ресурсы в максимальном тонусе. Особенно если ты хранишь там конфиденциальные документы по ядерной тематике.

Что же касается Kimsuky, то эти ребята уже не в первый раз ломают ядерные учреждения Южной Кореи. Как мы писали в прошлом году, в 2014 именно Kimsuky взломали сеть южнокорейской компании Korea Hydro and Nuclear Power (KHNP), являющейся оператором 23 ядерных реакторов в Южной Корее. И ухитрились украсть массу конфиденциальной информации, хотя и не смогли добраться до технологических сетей.

Северокорейские хакеры завели тогда от имени "борцов с ядерной энергетикой с Гавайских островов" Twitter-аккаунт «Who am I = No Nuclear Power», в котором начали сливать украденные у KHNP сведения. Хакеры опубликовали персональные данные сотрудников компании и несколько конфиденциальных документов, среди которых были руководство по управлению ядерными реакторами Wolsong и чертежи трубопровода реактора Wolsong №1. После этого «борцы с ядерной энергетикой» потребовали закрыть к католическому Рождеству три ядерных реактора, иначе они продолжат публикацию украденных данных. Естественно, что реакторы никто закрывать не стал.

В марте северокорейские разведчики продолжили веселиться - опубликовали в том же Twitter требование денежной выплаты за приостановку дальнейшей публикации информации KHNP, но ни способа передачи денег, ни даже требуемую сумму не указали. В конце концов Kimsuky слили в Twitter чертежи южнокорейского атомного реактора 1400.

Сдается нам, что вскоре мы снова услышим про "борцов с ядерной энергетикой с Гавайских островов".

P.S. А вместе с тем, вчера южнокорейские СМИ сообщили, что Daewoo Shipbuilding & Marine Engineering, производящая военные корабли и подводные лодки, с прошлого года подвергается атакам APT из КНДР. Минобороны Южной Кореи факт атаки подтвердило, но сказало, что атаковали не северокорейцы. Впрочем, кто же им поверит.

BleepingComputer пишет о том, что Google стали принудительно устанавливать на Android-устройства пользователей штата Массачусетс приложения Massachusetts MassNotify для отслеживания контактов больных COVID-19.

Многие пользователи сообщили, что без их ведома в списке установленных приложений появилось MassNotify, при этом никаких согласий на это у пользователей не запрашивалось. Более того, простым образом удалить MassNotify с устройства не получится, потому что пользователи не могут его открыть, а в Google Play приложение не находится поиском.

Google на соответствующий запрос сообщили, что приложение "установлено, но не включено, если пользователь не сделает это сам в настройках уведомлений".

Ц - цыфровая демократия.

​​Да!

TheRecord пишет, что на прошлой неделе норвежская Полицейская служба безопасности (PST) заявила о причастности китайской APT 31 к взлому норвежской правительственной сети в 2018 году.

В ходе взлома хакеры практически полностью захватили атакованную сеть, получив права администратора, что дало им доступ к машинам всех государственных учреждений страны. Кроме того, PST говорит, что злоумышленники украли некую конфиденциальную информацию, правда сами точно не знают какую.

И хотя в официальном пресс-релизе PST не упоминает китайцев, один из руководителей службы Хана Бломберг в интервью государственному телевидению назвала в качестве нападавшего именно APT 31.

APT 31 aka Zirconium - это та китайская APT, работающая на МГБ Китая, которая переделала украденный у АНБшной группы Equation эксплойт EpMe в свой собственный эксплойт Jian. А еще, по данным норвегов, они причастны к взлому норвежского поставщика облачных услуг Visma AG летом 2018 года.

В марте же финская Полиция безопасности (Supo) заявила, что Zirconium осуществили взлом в октябре 2020 года нескольких почтовых ящиков Парламента Финляндии.

И уже в январе этого года Федеральная служба по защите конституции Германии (BfV), немецкий аналог ФСБ, выпустила предупреждение для правительственных агентств ФРГ, в котором сообщила, что они могут быть целью для кибератак со стороны Zirconium.

Короче говоря, китайские хакеры из APT 31 плотно работают по европейским государственным структурам. И пока у них это прекрасно получается.

​​Shut Up And Take My Money!

​​Исследователь Лаксман Муфия специализируется на поиске уязвимостей в механизмах проверки пароля различных сервисов, которые позволяют злоумышленникам получить доступ к аккаунту пользователя.

В марте мы писали про выявленную им дырку в алгоритме сброса пароля от учетной записи Microsoft, за открытие которой он получил от мелкомягких 50 тыс. долларов bug bounty.

Вчера он опубликовал результаты своего нового исследования, посвященного уязвимости в механизме восстановления пароля iCloud.

При восстановлении пароля пользователь должен ввести 6-значный код подтверждения, который приходит на телефон или на адрес электронной почты. Apple ограничивает количество запросов с одного IP-адреса 6 штуками. Но iforgot .apple .com имеет, в свою очередь, 6 IP-адресов. Таким образом, можно отправить одновременно 6 запросов с одного IP-адреса, ограничения это позволяют.

Подобрав все эти люфты Муфия пришел к тому, что ему понадобится 28 тысяч IP-адресов, для того, чтобы гарантировано подобрать 6-значный код и успешно сменить пароль. Apple внесли в черный список основных поставщиков облачных услуг, но исследователь смог найти несколько рабочих сервисов.

Таким образом, Муфия успешно обошел сначала 6-значный код SMS, а потом 6-значный код, полученный на электронную почту. Методика обхода была абсолютно идентична. Не помогла бы даже 2FA аутентификация, поскольку она имела ровно те же ошибки.

Об уязвимости исследователь сообщил в Apple 1 июля 2020 года. Apple поблагодарили и... забили (вот это поворот!) В результате, они устранили уязвимость только в начале апреля 2021 года, а Муфии написали, что все фигня кроме пчел, а зимой и пчелы фигня. И вообще это не баг, а фича, и она работала только с учетными записями iCloud, которые использовались только на устройствах Apple, не защищенных паролем.

Тогда Муфия закусил удила, стал копать дальше и пришел к выводу, что закрытая уязвимость позволяла не только захватить учетную запись iCloud, но и позволила бы взломать любой iPhone или iPad с 4 или 6-значным passcode (там все немного сложнее, но в формат поста это бы не влезло, можно почитать в первоисточнике).

В конце концов Apple "расщедрились" на 18 тыс. долларов bug bounty, хотя должны были по своим собственным правилам заплатить Муфии 350 тыс. $. Исследователь обиделся и, поскольку уязвимость уже закрыта, решил выкинуть всю инфу на публику.

Как известно, кроилово приводит к попадалову - совершая такие странные поступки со своей программой bug bounty Apple безусловно подрывает информационную безопасность собственных продуктов. Потому что в следующий раз более беспринципный и жадный исследователь, зная о жлобстве Apple, просто продаст эксплойт в даркнете и получит намного больше 18 тыс. долларов. Ну а мы с вами будем страдать от эксплуатируемых в дикой природе дырок в iPhone, потому что какие-то менеджеры компании с годовым оборотом в 275 млрд. долларов зажали 300 тысяч.

Приватный браузер стал действительно приватным: проект Tor выпустил Tor Browser 10.0.18 с исправлением множества ошибок.

Но главное исправление касается вскрытой FingerprintJS еще в мае возможности кросс-браузерного отслеживания пользователей на основе приложений, установленных на их устройстве.

Анализируя результаты запуска обработчиков URL-адресов приложений создается уникальный профиль отслеживания пользователя. При этом если запрос приложения отображается, можно предположить, что приложение установлено на устройстве. Проверив различные обработчики URL-адресов, обрисовывается уникальная конфигурация установленных приложений на устройстве пользователя.

Затем этот идентификатор (или конфигурацию) можно отслеживать в разных браузерах, включая Google Chrome, Edge, Tor Browser, Firefox и Safari.

Очевидно, что для анонимизирующихся пользователей Tor эта уязвимость крайне критична, поскольку дает возможность админам веб-ресурсов фиксировать реальный IP-адрес пользователя при переключении на другой браузер.

В выпуске Tor Browser 10.0.18 разработчики представили исправление этой уязвимости, установив для параметра network.protocol-handler.external значение false, которое по умолчанию не позволяет браузеру передавать обработку определенного URL-адреса внешнему приложению и, таким образом, больше не запускает запросы приложения.

И вот секрет сверхвозможностей правоохранителей по розыску анонимов в Tor, пожалуй, раскрыт: можно расходиться, а обновление установить (и на всякий случай парочку прог тоже).

​​Компания NVIDIA, специализирующаяся на графических чипах, выпустила обновления программного обеспечения для устранения в общей сложности 26 уязвимостей CVE‑2021‑34372 до CVE‑2021‑34397 в серии Jetson system-on-module (SOM).

Исправлены серьезные ошибки в структуре Jetson SoC, связанные со способом обработки низкоуровневых криптографических алгоритмов.

Закрытые баги затрагивают продукты Jetson TX1, серии TX2, TX2 NX, серии AGX Xavier, Xavier NX, а также Nano и Nano 2GB под управлением всех версий Jetson Linux до 32.5.1, которые используются для встраиваемых вычислительных систем, приложений машинного обучения и автономных устройств, таких как роботы и дроны.

Самая серьезная ошибка CVE‑2021‑34372 позволяет эксплуатировать недостатки в коде Jetson и вызвать переполнение буфера. При этом уязвимость несложна для использования и злоумышленник с низкими правами доступа может запустить ее, имея лишь сетевой доступ. Кроме того, успешная атака может дать злоумышленнику постоянный доступ к компонентам, отличным от целевого набора микросхем NVIDIA, и позволить хакеру манипулировать или саботировать целевую систему.

Остальные недостатки, связанные с Trusty и Bootloader, могут быть использованы для воздействия на выполнение кода, вызывая отказ в обслуживании и раскрытие информации.

Что же, проделана большая работа: на этом отдельная благодарность Фредерику Перрио из Apple Media Products за обнаружение всех проблем, а от владельцев систем - специалистам NVIDIA, выпустившим обновления.

—Партнерский пост—

К сожалению эпидемиологическая обстановка в России оставляет желать лучшего. SecAtor рекомендует без крайней необходимости не выходить из дома, а также сделать побыстрее обновление своего организма одним из двух патчей — Спутник V или КовиВак. Про ЭпиВакКорону ничего говорить не будем, по слухам после применения этого апдейта отмечаются неоднократные случаи успешной эксплуатации уязвимости со стороны малвари COVID-19. Лица же, прошедшие обновление, могут пить, гулять, любить людей (желательно противоположного пола).

Но даже в такой непростой ситуации жизненно необходимо искать положительные стороны. И в качестве подобного кейса мы советуем вам 5-дневный онлайн-курс Digital Forensics Analyst: Level 2 от компании Group-IB, который стартует 28 июня (то есть ровно через шесть дней).

И вот некоторые из причин, по которым это нужно сделать.

- за последние несколько лет количество кибератак выросло в арифметической прогрессии, а инциденты с применением ransomware только за год стали встречаться чаще на 150% при среднем размере выкупа в $170.000;

- мишенью злоумышленников становятся компании из совершенно разных отраслей: от банков до компаний розничной торговли, от нефтегазовых производств до телекома. И нет причин полагать, что интенсивность и частота этой вредоносной активности пойдет на спад (готовы забиться, что наоборот);

- исходя из вышесказанного важно знать, как правильно и четко реагировать на инциденты, как их исследовать и делать выводы, которые в дальнейшем позволят значительно снизить риск повторной атаки на компанию;

- эксперты крупнейшей в Восточной Европе Лаборатории компьютерной криминалистики Group-IB расскажут о специфике методов криминалистического снятия данных, криминалистической работы с памятью и криминалистики хостов;

- по промокоду SECATOR вы получите скидку в 15% от стоимости;

- прекрасно подходит для антипрививочников — Group-IB не требует наличия антител для прохождения онлайн-курса.

Увидимся.

В апреле месяце мы давали информацию про то, что исследователи компании Onapsis на примере продуктов SAP показали, что как только апдейты для ПО становятся доступны хакеры начинают проводить их реинжиниринг, чтобы получить данные в отношении свежезакрытой уязвимости и разработать метод ее эксплуатации.

Поэтому у технической поддержки есть в среднем всего 72 часа на то, чтобы накатить свежее обновление, устраняющее какую-либо уязвимость до появления ее эксплойта.

А теперь вышел отчет с другой стороны от компании WhiteHat Security, эксперты которой подсчитали, что среднее время исправления критических уязвимостей увеличилось с 197 дней в апреле до 205 дней в мае этого года.

Но, в целом, 197 дней или там 205 - большого значения не имеет. Потому что это все равно больше чем 60 раз отличается от срока в 72 золотых часа.

На этом, в принципе, свет можно гасить, а инфосек закрывать.

Разработчики богоспасаемого браузера Brave запускают свой собственный поисковик, призванный защищать интересы и приватность пользователей.

Администрация браузера заявила, что новая поисковая система Brave search уже была протестирована более чем 100 тыс. пользователями в рамках закрытой альфы, а сейчас она становится доступна в составе открытой бета-версии Brave. Окончательный запуск планируется ближе к концу года.

Чем же так хорош анонсируемый Brave search?
- отсутствие отслеживания или профилирования пользователей;
- на первом месте интересы пользователя, а не реклама или Big Data;
- собственный независимый поисковый индекс;
- отсутствие непрозрачных методов или алгоритмов в работе поисковика и пр.

Даже вопрос "Откуда деньги, Билли?" Brave разъясняют вполне достоверно - показ конфиденциальной рекламы на базе собственной системы Brave Ads или скрытие всей рекламы за отдельную абонплату (по типу YouTube).

И вот все так хорошо складывается, что даже не верится, а внутренний параноик стучит кулаками в пепел наших сердец с криками "Подстава!". Особенно вспоминая мутную историю с анонимным поисковиком DuckDuckGo.

Просто потому, что если бы мы были западными спецслужбами, то обязательно бы запустили подконтрольный проект по созданию приватной экосистемы для пользователей (а именно это и делают сейчас Brave). Свежую историю про подконтрольную спецслужбам криптоплатформу An0m помните? Вот то-то и оно.

А вот если бы мы были спецслужбами российскими, то мы бы заявили об опасности созданных террористами компьютерных играх. Но это уже о грустном.

​​Осенью прошлого года в Sonic Wall VPN была исправлена уязвимость CVE-2020-5135 с оценкой критичности 9,4, которая позволяла неаутентифицированному пользователю вызвать DoS и даже в теории осуществить уделанное выполнение кода (RCE). На момент закрытия в сети светилось почти 800 тысяч уязвимых хостов.

Однако, как выяснил исследователь компании Tripwire Крейг Янг, исправление уязвимости было корявым.

В результате пропатченный Sonic Wall стал вместо выпадения в осадок вследствие DoS выдавать в ответ на вредоносный HTTP-запрос поток сознания, в котором, предположительно, содержался частичный дамп памяти.

В итоге SonicWall признали свой промах, правда на доустранение новой уязвимости, получившей CVE-2021-20019 им потребовалось "всего-то" 8 месяцев. Такое себе, конечно.

Соскучились по ransomware? Так вот и они!

Вчера третий по величине город Бельгии Льеж сломался. Что же с ним случилось? Правильно - его атаковали вымогатели.

В результате взлома стал недоступен ряд сервисов - бельгийский ЗАГС, кадровые назначения. Кроме того, сломались платные парковки (многие сейчас вспомнят Ликсутова тихим незлым словом) и ряд других служб.

По информации бельгийских СМИ, к атаке причастен оператор ransomware Ryuk.

Пока объявленная коллективным Западом борьба с вымогателями идет ни шатко, ни валко. Дальше грозных заявлений и пресс-подходов дело не пошло. А как дышали, как дышали (с)

Команда Lumen's Black Lotus Labs обнаружила новый троян удаленного доступа (RAT), нацеленный на индийский энергетический сектор.

Кибероперация начиналась с фишинговой кампании, в ходе которой через вредоносные ссылки на машину жертвы доставлялся новый RAT, названный ReverseRat. Анализ вредоноса показал, что он, скорее всего, является авторским. RAT обладал обычным для всех RAT функционалом - сбор данных о системе, работа с файловой структурой, кейлоггинг, снятие скриншотов, эксфильтрация всего этого на управляющий центр и т.д.

Параллельно с ReverseRat развертывался опенсорсный RAT AllaKore, что является достаточно странным.

Среди целей были правительственные организации и компании энергетического сектора Индии и Афганистана. Уже по набору объектов заинтересованности хакеров становится понятно, откуда растут бородатые ноги.

Но чтобы у нас не осталось сомнений исследователи связали управляющие центры вредоносной инфраструктуры с двумя пакистанскими IP-адресами, с позиции которых осуществляется управление C2.

К сожалению, Lumen's Black Lotus Labs не дали никакого атрибутирования атаки к конкретной пакистанской APT, но тут особо и гадать не приходится, поскольку мы лично знаем только две - APT 36, она же Transparent Tribe и Mythic Leopard, а также Gorgon Group.

​​Вот хотелось пошутить, а выходит не смешно.

Почему киберпреступные группы в Даркнете демонстрируют на порядок лучший сервис и ответственность, чем традиционные инфосек вендоры?!

​​«Но я ни о чем не жалею», - последние слова основателя первого антивируса Джона Макафи, найденного мертвым в тюремной камере в Барселоне.

Все указывает на то, что смерть наступила в результате самоубийства. Ранее мы уже упоминали о возможных мотивах и последних скандальных событиях из его жизни.

Можно по-разному относиться ко всем его чудачествам и поступкам, но вписать свое имя в историю инфосек-отрасли легендарному кибердеду однозначно удалось.

Пожалуй, таким и запомним…