​​На конференции RSA в Сан-Франциско, которая таки стартовала, несмотря на опасения многих участников в отношении возможного распространения коронавируса, ESET презентовала доклад в отношении уязвимости Kr00k, которой подвержены более миллиарда устройств с Wi-Fi по всему миру.

Уязвимость CVE-2019-15126 касается шифрования WPA2 Wi-Fi чипов производства Broadcom и Cypress. Впервые она была упомянута для чипов Broadcom 5 февраля этого года.

Как обычно, после выпуска патча большинством производителей (а в их число попали Apple, Google, Samsung, Xiaomi, Asus, Huawei), подробности найденной ошибки раскрыты вчера представителями ESET.

Суть уязвимости в том, что в момент перезапуска сессии Wi-Fi (например, при слабом сигнале) ключ шифрования сессии скидывается чипом до значения "все нули", что позволяет находящемуся рядом злоумышленнику совершить успешную атаку на зашифрованные пакеты.

Поэтому рекомендуем проверить patch notes своих устройств на предмет наличия исправлений CVE-2019-15126.

https://www.welivesecurity.com/2020/02/26/krook-serious-vulnerability-affected-encryption-billion-wifi-devices

Голландские исследователи из компании ThreatFabric сообщили, что обнаружили новую версию банковского трояна Cerberus для устройств Android, которая научилась обходить 2FA аутентификацию.

Вредонос теперь умеет похищать одноразовые пароли OTP, сгенерированные специализированным приложением Google Authenticator. Подобные пароли используются, в частности, для подтверждения банковских транзакций в качестве альтернативы стандартным SMS кодам.

Юмор ситуации в том, что до настоящего момента OTP пароли, сгенерированные Google Authenticator, считались более надежным чем SMS коды, поскольку последние передаются с помощью сторонних сетей.

Теперь же злоумышленник способен с помощью Cerberus осуществить "от и до" поддельную банковскую транзакцию с позиции скомпрометированного Android устройства.

Единственным положительным моментом является то, что, по словам ThreatFabric, выловленный образец Cerberus является тестовым и в продаже пока не появился.

Мораль же сей басни такова - не используйте устройства на Android. Особенно для управления своими финансами.

https://www.zdnet.com/article/android-malware-can-steal-google-authenticator-2fa-codes/

​​Только вчера мы писали про то, как западные "эксперты" без каких-либо сомнений назначают виновных в тех или иных кибератаках. Не имея при этом не только никаких объективных доказательств, но и общего понимания, что же происходит. Путая мальчиков с девочками, шкафы с табуретками, а одни APT с другими.

Мы вообще часто обращаемся к теме использования жупела киберпреступности, которым размахивают для достижения неясных политических целей.

Вместо того, чтобы совместными усилиями делать сеть безопаснее и удобнее для пользователей, государственные структуры по всему миру занимаются закручиванием гаек под предлогом борьбы с различными негативными явлениями в сети. А когда вопрос касается большой политики - в дело вступают "страшные" хакеры из Китая, Ирана или России.

При этом мы не говорим, что у нас нет киберпреступности - есть и полно. И мы про это говорим открыто. В отличие от западных отраслевиков.

Мы не за "наших" и не за "ихних". Мы - за объективность.

И вот очередная новость, свидетельствующая, что вся эта хренота носит характер системный - Евросоюз обсуждает возможные санкции в отношении России и Китая, связанные с кибератаками. Причем санкции нацелены, в том числе, и на физических лиц.

То есть виновные уже назначены. Поэтому когда кого-либо из инфосек экспертов примут в аэропорту Барселоны в силу имеющихся подозрений в причастности к чему-нибудь - удивляться будет поздно. И когда у вас заблокируют банковскую карту за то, что вы работаете в российской инфосек компании - тоже.

​​Больше месяца назад мы разбирали историю с появившейся как-будто из ниоткуда компанией Clearview AI, основанной бывшей моделью мужского пола из Австралии Hoan Ton-That.

Интересная компашка, финансируемая бывшим помощником мэра Нью-Йорка Джулиани и инвестором Palantir.

И вот неожиданная новость - по данным The Daily Beast, у Clearview AI произошла утечка, в результате которой похищены список клиентов, количество поисков, выполненных этими клиентами, и количество учетных записей, созданных каждым клиентом.

История поиска осталась нетронутой. А жаль. Вот это был бы всем сливам слив.

https://www.cnet.com/news/clearview-ai-had-entire-client-list-stolen-in-data-breach/

В связи с надвигающейся эпидемией коронавируса по сети расходятся рекомендации американского Центра Контроля Заболеваний (CDC) как надо бриться для ношения респиратора.

Эра мужественных хипстеров и заросших горцев, похоже, заканчивается. Коронавирус прийде - порядок наведе.

#коронавирус

https://pbs.twimg.com/media/ERu8_l8XsAAzt4_?format=jpg&name=medium

Португальцы из Segurança-Informática Labs изучили троян Lampion, который впервые был зафиксирован в декабре прошлого года и считается одним из наиболее грозных вредоносов, с которым когда-либо сталкивалась Португалия.

Распространяясь через поддельные письма от лица португальских Министерства финансов и Министерства энергетики, а также от имени международной почтовой компании DPD, malware крадет банковские данные пользователей.

Выяснилось, что сервера, используемые Lampion, находятся в Турции. А разработчики трояна, по мнению португальцев, родом из Бразилии.

Таким образом, член НАТО и не член НАТО кибернапали на члена НАТО. Так же теперь в Евросоюзе заведено.

Неудобно как-то получилось...

https://seguranca-informatica.pt/lampion-malware-origin-servers-geolocated-in-turkey/#.XljJC3FR2vs

​​Только вчера мы говорили об утечке данных из компании Clearview AI, предоставляющей правоохранительным органам и частным охранным компаниям продукт по распознаванию лиц.

Напомним, что были похищены список клиентов, количество поисков, выполненных этими клиентами, и количество учетных записей, созданных каждым клиентом.

Сегодня же ночью журналисты из Gizmodo раскопали на одном из серверов Amazon APK установщик мобильного приложения Clearview AI для Android.

Потестировать функционал приложения без актуальной учетной записи журналисты не смогли, однако в коде покопались и нашли там много интересного. Например, заготовки для интеграции в AR-очки или возможности делать фото для проверки по базе Clearview "на лету".

Вопрос телезрителей - а что же самое интересное?

Ответ знатоков - а самое интересное, есть ли в похищенных на днях из Clearview AI данных какая-либо информация, позволяющая определить названия учетных записей пользователей. Поскольку если это так, то, с учетом известной "сложности" паролей, которые используют представители правоохранительной среды, вскоре у кого-то в распоряжении появится полнофункциональная версия приложения.

https://gizmodo.com/we-found-clearview-ais-shady-face-recognition-app-1841961772

Ну, Лукацкий-то знает, так сказать, ситуацию изнутри.

https://twitter.com/alukatsky/status/1233216925381136389

Дорогой нашему сердцу ProtonMail (почтовый сервис, запрещенный на территории России) не забывает о нас.

Швейцарцы вводят новую функцию - управление ключами DKIM, которая в настоящее время находится в стадии бета-тестирования. Пользователям предлагается поделиться своими отзывами, чтобы помочь разработчикам ProtonMail ее улучшить.

DKIM (DomainKeys Identified Mail) - механизм верификации электронных почтовых сообщений путем добавления цифровой подписи в их заголовок (по сути - аутентификация с открытым ключом).

При этом ProtonMail поддерживает DKIM и сейчас, но новый функционал упрощает процесс смены ключа пользователем путем автоматизации удаления старого. Кроме того, поддерживается использование 2048-битного ключа вместо 1024-битного, что серьезно усиливает его стойкость.

Мы очень рады (и это не шутка), что в современном мире, где приватность и свобода в сети съеживаются как шагреневая кожа, кто-то еще заботится о нашей безопасности. Тем более когда этот кто-то - почтовый сервис, которым пользуются чуть больше чем все Telegram-каналы.

https://protonmail.com/blog/dkim-key-management/

История - достойная пера Марка Твена.

В апреле 2019 года муниципальные власти маленького американского городка Стюарт (штат Флорида, население - около 16500 человек) словили ransomware Ryuk. Вредонос зашифровал городские сервера, после чего злодеи потребовали 300 тыс. долларов в биткоинах.

Городские власти отказались платить и попробовали восстановить информацию из бекапа. Но что-то пошло не так и часть данных была утеряна. Среди них - доказательства по 28 эпизодам в отношении 6 наркоторговцев. По бороде пошли результаты сыскной работы за полтора года.

В итоге обвиняемых планируется выпустить в ближайшее время.

С такими новостями иной раз начинаешь думать, что извечная российская бюрократия, которая все документы стремится дублировать в бумажном виде, не такое уж и зло. И шутить про "127 томов уголовного дела" уже не хочется.

https://nakedsecurity.sophos.com/2020/02/28/ransomware-wipes-evidence-lets-suspected-drug-dealers-walk-free/

​​Скоро на всех пляжах мира!

#коронавирус

Когда появляются новости про выявленные уязвимости в специализированном оборудовании или ПО, то это, конечно, важно, но касается далеко не всех. Однако, графические процессоры от Nvidia стоят в большинстве домашних ПК по всему миру.

Вчера производитель видеокарт выпустил патч, устраняющий несколько уязвимостей в драйвере GPU, а также в сопутствующем ПО, имеющих высокий и средний уровни критичности.

Так, две уязвимости в драйвере видеокарты позволяют злоумышленнику из-под локального пользователя повышать свои привилегии, а также исполнять произвольный код. Дырки в сопутствующем ПО могут привести к отказу в обслуживании.

Что же, как обычно, чистая попа и своевременные обновления - залог здоровья и крепких нервов.

https://www.bleepingcomputer.com/news/security/nvidia-fixes-high-severity-flaw-in-windows-gpu-display-driver/

Шутка про бомбежку Воронежа нам всегда нравилась. Но, как оказывается, наши заокеанские друзья тоже не лыком шиты.

На днях, например, американские Министерство юстиции и Служба национальной безопасности взяли в плен сайт британского рекламного агентства Designate.

12 февраля сотрудники компании заметили, что вместо главной страницы их сайта стоит заглушка, гласящая, что "доменное имя изъято американскими органами безопасности в соответствии с ордером суда Нью-Йорка."

Выяснилось, что в рамках расследования фактов незаконной проституции(sic!), жители волшебной страны Пендостан тупо переписали DNS и завернули на себя весь трафик, в том числе почтовый.

В результате переговоров британцам лишь через неделю удалось договориться о возврате домена, но только в обмен на подписание соглашения об отказе от претензий.

Считаем, что данная передовая правоохранительная практика просто великолепна - "Мы тебе бутылку из задницы вытащим, но только в обмен на отказ от претензий." Не дай Б-г наши фантазеры на вооружение возьмут.

https://www.theregister.co.uk/2020/02/28/ad_agency_website_seized_/

Такая уж складывается обстановка, что практически каждый день у нас выходят посты про коронавирус. Правда больше юмористического характера.

Сегодня же - тема сугубо прикладная.

На ZeroDay вышла объемная статья про организацию удаленной работы компании в условиях вирусной эпидемии. В материале приводятся 4 основных, с точки зрения автора, стратегии удаленного доступа и краткое описание соответствующих программных решений.

Безусловно, большая часть советов носит характер очевидный для ИТ и инфосек специалистов, которые уже сталкивались с такой проблемой. Хотя встречаются и оригинальные предложения - например, попробовать использование очков VR, якобы это создает иллюзию нахождения в офисе и настраивает на рабочий лад.

Тем не менее, статья, на наш взгляд, весьма полезна и может быть использована как грубая дорожная карта по организации удаленной работы, отталкиваясь от которой можно будет настроить удаленный офис для большинства сотрудников компании.

#коронавирус

https://www.zdnet.com/article/effective-strategies-and-tools-for-remote-work-during-coronavirus/#ftag=RSSbaffb68

​​Anti-Malware предлагают использовать Signal вместо WhatsApp, потому что последний, де, более секьюрный.

Мы же берем смелость утверждать, что с точки зрения приватности имеем в чистом виде аксиому Эскобара. Ибо, по нашим данным, в Signal таки имеется backdoor. Который успешно используют не только американские рыцари плаща и топора, но и особо талантливые хакеры.

Вчера исследователь Амол Байкар сообщил, что в декабре 2019 года обнаружил уязвимость, позволяющую увести учетную запись Facebook.

Ошибка содержалась в механизме Social Login, позволяющем аутентификацию в сторонних web-приложениях с помощью учетной записи Facebook, и позволяла перехватить токен протокола авторизации OAuth 2.0. А уже в последующем получить полный доступ к учетной записи социальной сети.

По словам Амол Байкар, данная ошибка существовала, вероятно, в течение 9-10 лет.

В результате взаимодействия с исследователем в январе этого года Facebook устранила уязвимость и позже выплатила ему 55 тыс. долларов в качестве премии.

Но, в случае если вы логинились на сторонних сайтах через учетку Facebook, стоит все-таки подумать о смене пароля. На всякий случай.

https://www.amolbaikar.com/facebook-oauth-framework-vulnerability/

И в продолжение темы приватности популярных мессенджеров.

Тот самый Джек Дэвис, один из лидеров Anonymous и LulzSec, получивший в свое время в Великобритании 37 дней ареста и 2 года запрета на работу в сети, напоминает про запросы правоохранительных органов Британии и ЕС в Facebook относительно пользователей WhatsApp.

А конкретно, Facebook передает по запросу список всех контактов и имен групп пользователя, прошлых и настоящих, включая все телефоны, которые были подключены к учетной записи, а также всю иную информацию об учетной записи.

Совокупность такой информации в отношении большого количества пользователей позволяет составить картину их взаимодействия в рамках WhatsApp со всеми тонкостями и нюансами.

Кроме того, если пользователь не отключил автоматическое добавление, то его могут пригласить в какую-либо провокационную группу типа "Фанаты Бен-Ладена" или "Бей геев и Бориса Джонсона". После чего он запросто попадет на карандаш (а может и на кукан, тут от обстановки зависит) соответствующих служб.

Мы же говорим - аксиома Эскобара.

https://twitter.com/DoubleJake/status/1234071075258019840

Как в США готовятся к коронавирусу.

"Меня послали в Costco (сеть магазинов самообслуживания), чтобы посмотреть - затаривается ли народ на случай эпидемии коронавируса (хотя чиновники от здравоохранения говорят, что нет причин для беспокойства). И этот чувак вышел из магазина с 16 упаковками презервативов и большой банкой кокосового масла. У всех свои приоритеты."

#коронавирус

https://twitter.com/jillreports/status/1233870486670495745

И еще раз о коронавирусе. И больше не будем, честно, вернемся к вопросам инфосека. Просто тема очень уж животрепещуща.

По наводке с Aftershock - краткая выжимка статьи на Reddit, посвященной результатам 9-дневной командировки 25 экспертов ВОЗ в Китай для изучения данных по коронавирусу.

1. До 85% заражения происходили внутри семьи либо при других тесных регулярных контактах с зараженными воздушно-капельным путем. На больших расстояниях воздушно-капельный путь не является основным способом распространения.

2.5% больных нуждаются в ИВЛ. Еще 15% - в кислороде, причем достаточно длительно (больше нескольких дней - неделю-две?). У таких больных заболевание продолжается 3-6 недель. Остальные переносят болезнь в легкой форме и болеют 1-2 недели. Таким образом основной вызов для системы здравоохранения - необходимость обеспечения нужного количества койкомест, кислорода и аппаратов ИВЛ.

3. Поскольку теперь Китай производит достаточное количество тестов на вирус, дающих достоверные результат в течение 1 дня, то возможно сплошное тестирование больных с признаками ОРВИ. Так, в провинции Гуандун было протестировано 320 000 человек, и 0,14% из них были заражены коронавирусом.

4. Наиболее распространенными симптомами являются повышенная температура (88%) и сухой кашель (68%). Также часто встречаются слабость (38%), выделения при кашле (33%), одышка (18%), боль в горле (14%), головные боли (14%), мышечные боли (14%), озноб (11%). Редко встречаются тошнота и рвота (5%), заложенность носа (5%) и диарея (4%). Текущие сопли - не симптом COVID!

5. По результатам исследования 44 672 (по состоянию на 17 февраля) случаев заражения смертность составила 3,4%. На смертность влияют возраст, сопутствующие заболевания, пол, но особенно сильно - реакция системы здравоохранения.

6. . Самое главное - это, во-первых, агрессивно сдерживать распространение вируса, чтобы сохранить количество тяжелобольных пациентов на низком уровне, а во-вторых, увеличивать количество коек до тех пор, пока их не станет достаточно для тяжелобольных. Кроме того, благодаря оперативному распространению наиболее эффективных мер лечения вируса уровень смертности в Китае снижается.

7. Чем вы моложе, тем меньше вероятность того, что вы заразитесь, и тем меньше вероятность того, что у вас будут осложнения. Ниже таблица распределения заболеваемости и смертности.

Возраст % от числа зараженных % смертности среди зараженных
0-9 0,9% отсутствует
10-19 1,2% 0,1%
20-29 8,1% 0,2%
30-39 17,0% 0,2%
40-49 19,2% 0,4%
50-59 22,4% 1,3%
60-69 19,2% 3,6%
70-79 8,8% 8,0%
80+ 3,2% 14,8%

Мужчины умирают почти в 1,7 раза чаще чем женщины.

И еще несколько выводов:
- статистика Китая соответствует реальной картине;
- большая часть мирового сообщества не в состоянии реализовать меры, которые были применены для сдерживания COVID-19 в Китае.
- и, самое главное, по всей видимости, единственным реальным средством сдерживания эпидемии на данный момент являются жесткие карантинные меры. Без всяких там "а вы меня по суду только можете в больницу поместить".

Короче говоря, мы, конечно, все умрем, но не в этот раз.

#коронавирус

https://www.reddit.com/r/China_Flu/comments/fbt49e/the_who_sent_25_international_experts_to_china/

Check Point запустили online-энциклопедию Malware Evasion Encyclopedia, в которой описывают более 50 способов, с помощью которых malware определяет - находится ли он внутри виртуальной машины или нет. В случае если вывод положительный - вредонос зачастую не предпринимает дальнейших активных действий.

Отсюда вывод - чаще пользуйтесь виртуальными машинами для работы. Этот факт сам по себе может повысить вашу защищенность.

https://twitter.com/_CPResearch_/status/1234118966475460609