Компания Apple заявила, что больше не сможет предоставлять пользователям в Великобритании функцию защиты Advanced Data Protection (ADP), которая позволяет включить сквозное шифрование данных в iCloud. По словам представителя Apple Фреда Сайнца (Fred Sainz), функцию придётся отключить по требованию правительства страны.

Источник изображения: Alexander Andrews / Unsplash

В заявлении, предоставленном изданию TechCrunch, компания выразила «глубокое разочарование» тем, что защита, обеспечиваемая ADP, не будет доступна клиентам в Великобритании, учитывая продолжающийся рост утечек данных и других угроз конфиденциальности. Apple отметила, что «усиление безопасности облачного хранилища с помощью сквозного шифрования на сегодня является более актуальным, чем когда-либо».

Это объявление последовало за сообщениями о том, что правительство Великобритании потребовало от Apple создать бэкдор — алгоритм, который позволяет получать фактически полный доступ к клиентским данным, хранящимся на облачных серверах Apple, даже если они зашифрованы сквозным шифрованием. Однако эксперты по кибербезопасности предупреждали, что если Лондон добьётся своего, это создаст опасный прецедент и для других стран.

Функция Advanced Data Protection позволяет пользователям самостоятельно включать шифрование, делая их данные недоступными даже для Apple. Несмотря на отказ от ADP, некоторые категории информации всё же останутся зашифрованными. В частности, медицинские данные, сообщения в iCloud и платёжная информация. Однако другие файлы, такие как фотографии, заметки и резервные копии, больше не будут защищены.

Британские власти пока не прокомментировали ситуацию, а представитель организации Open Rights Group Джеймс Бейкер (James Baker) заявил, что Министерство внутренних дел лишило миллионы британцев важной функции безопасности, повысив угрозу утечек личных данных. Компания пока не уточнила, как именно будет происходить отключение ADP у тех, кто уже активировал эту функцию (у новых пользователей ADP будет сразу отсутствовать), однако заявила, что в ближайшее время предоставит клиентам дополнительные инструкции.

Подчёркивается, что эта мера не коснётся пользователей из других стран, а сервисы с зашифрованной связью, такие как FaceTime и iMessage, продолжат работать без изменений.

Одновременно эксперты в области кибербезопасности советуют пользователям за пределами Великобритании срочно включить ADP, чтобы усложнить властям возможные будущие попытки отключить шифрование. Криптограф Мэтью Грин (Matthew Green) отметил, что «чем больше людей активируют эту функцию, тем сложнее будет её запретить».

Представители британских силовых структур выдали Apple секретное предписание создать бэкдор, который откроет правоохранительным органам доступ к материалам, размещённым любым пользователем Apple по всему миру на облачных ресурсах компании. Об этом сообщает Washington Post со ссылкой на осведомлённые источники.

Источник изображения: Alireza Khoddam / unsplash.com

Выданный в январе секретный приказ британских властей требует, чтобы Apple предоставила спецслужбам полную возможность просматривать зашифрованные материалы пользователей сервисов компании — простого содействия производителя во взломе конкретных учётных записей недостаточно. Документ подобного рода не имеет прецедентов в крупных демократических странах, отмечает издание, и если требование властей будет выполнено, это станет сокрушительным поражением для технологических компаний, которые уже не первый год сражаются за то, чтобы не быть оружием в руках правительств, направленным против своих же пользователей.

Apple, вероятно, не станет нарушать обещания о сохранении конфиденциальности пользователей по всему миру, считают источники, но перестанет предлагать британским пользователям зашифрованное облачное хранилище. Но такая уступка Великобританию не удовлетворит — власти страны настаивают на доступе к ресурсам Apple через бэкдор для получения данных пользователей по всему миру, включая США.

Документ вручили представителям компании в администрации министра внутренних дел Великобритании — «уведомление о технической возможности» предписывает, чтобы компания предоставила властям запрошенный доступ в соответствии с действующим в стране с 2016 года «Законом о полномочиях следствия». Этот закон разрешает правоохранительным органам принуждать компании к оказанию помощи, когда это необходимо для сбора доказательств. Закон, известный как «Шпионская хартия», предусматривает уголовное преследование даже за раскрытие того, что власти вообще выдвинули такое требование. Apple может обжаловать требование в секретной технической комиссии, которая рассмотрит аргументы с связанных с исполнением предписания издержках, и в суде, который может оценить соразмерность запроса потребностям правительства. Но пока длится процедура обжалования, Apple от исполнения предписания не освобождается.

Компании сообщили, что такое требование может возникнуть, в марте минувшего года — тогда она ответила британскому Парламенту: «Нет причин, по которым правительство Великобритании должно иметь полномочия решать за граждан [всего] мира, могут ли они пользоваться зарекомендовавшими себя преимуществами защиты, вытекающими из сквозного шифрования». «Мы не даём комментариев по оперативным вопросам, включая, например, подтверждение или опровержение существования любых таких уведомлений», — заявил накануне представитель британского МВД.

Источник изображения: Ian Taylor / unsplash.com

Администрация предыдущего президента США Джо Байдена (Joe Biden) и руководство структур, отвечающих за вопросы национальной безопасности, отслеживало этот вопрос с тех пор, как Великобритания впервые сообщила, что может потребовать такой доступ, а Apple заявила, что ответит отказом. В администрации нового главы Белого дома Дональда Трампа (Donald Trump) и в структурах разведки от комментариев отказались. Apple будет запрещено даже уведомлять потребителей, что передовое шифрование её систем больше не обеспечивает полной безопасности, сообщил источник издания.

Речь идёт об облачном хранилище, доступ к которому есть только у самого пользователя — его лишена даже сама Apple. Компания начала развёртывать функцию дополнительной защиты Advanced Data Protection — она пыталась сделать это на несколько лет раньше, но не смогла сделать во время первого президентского срока Трампа, который обвинил Apple в том, что та не помогает в преследовании «убийц, наркоторговцев и других жестоких преступных элементов». Сейчас эта функция доступна в США и других странах. По умолчанию она отключена, и большинство пользователей iPhone и Mac её не включают — услуга обеспечивает улучшенную защиту от взлома и делает бесполезными традиционные методы, которые правоохранительные органы применяют для доступа к фотографиям, сообщениям и другим материалам. Американские правоохранительные органы часто без ведома пользователей вручают Apple ордеры на обыск, в которых значатся хранилище iCloud и резервные копии.

Силовики по всему миру всё чаще выражают недовольство, что в потребительских средствах связи сегодня используется шифрование — исключением являются только разговоры по телефонным линиям, которые в США могут прослушиваться без решения суда. ФБР и британские правоохранительные органы, в частности, заявляли, что шифрование играет на руку террористам и лицам, виновным в жестоком обращении с детьми. Технологические компании выступают против отмены шифрования: человек, по их мнению, имеет право на конфиденциальность в личном общении, а лазейки для правоохранительных органов могут использоваться киберпреступниками и авторитарными режимами.

Большинство электронных сообщений в той или иной мере шифруется, потому что на пути от отправителя к адресату они проходят через частные системы связи; при этом поставщики услуг, например, владельцы служб электронной почты или интернет-провайдеры по запросу правоохранительных органов могут предоставить такую переписку в исходном виде. Но всё чаще используется сквозное шифрование, при котором доступ к материалам переписки есть только у её участников. О наличии сквозного шифрования говорят администрации служб Signal, WhatsApp, Facebook✴ Messenger, а также Apple iMessage и FaceTime. Резервные копии такой переписки в облаке обычно не шифруются, но не в случае с Apple Advanced Data Protection.

Источник изображения: Zhiyue / unsplash.com

Apple всегда подчёркивала, что конфиденциальность является сильной стороной компании и её сервисов. С 2018 года по умолчанию шифруются резервные копии данных устройств под управлением Android, и ответственная за этот проект Google настаивает, что в её экосистеме бэкдоров нет. «Google не может получить доступ к данным резервных копий Android со сквозным шифрованием даже при наличии законного распоряжения», — уверяет представитель компании Эд Фернандес (Ed Fernandez). Meta✴ развернула шифрование резервных копий WhatsApp, а на сайте компании говорится, что она не станет реализовывать бэкдоров или намеренно ослаблять архитектуру сервисов.

Если британские власти получат доступ к зашифрованным данным, того же могут потребовать и другие страны — исходя из этого, Apple будет проще не подчиняться подобным требованиям, а отказаться предоставлять такие услуги. В 2022 году британские чиновники осудили планы Apple по усилению средств шифрования — они якобы не должны «мешать усилиям по поимке виновных в самых серьёзных преступлениях». МВД предоставило Apple проект приказа о бэкдоре, и это был сигнал для законодателей и общественности о том, что ждёт впереди.

В марте прошлого года Apple заявила в британском Парламенте, что никогда не встраивала бэкдоров в свои продукты, и если правительство страны продолжит настаивать, компания будет вынуждена «публично отозвать критически важные функции безопасности с рынка Великобритании, лишив британских пользователей этих средств защиты». Компания тогда заявила, что применение закона против инструментов сквозного шифрования будет противоречить постановлению Европейского суда по правам человека и нарушит действующее в Европе право на неприкосновенность частной жизни.

В США борьба властей с технологическими компаниями, стремящимися защитить конфиденциальность потребителей, пока отошла на второй план — сейчас страна пытается справиться с крупномасштабной кибератакой на телефонные сети страны, которую развернули китайские хакеры. Для противодействия угрозе американские спецслужбы выпустили рекомендации, в которых указали на потребность обеспечивать шифрование телефонного трафика «в максимально возможной степени». Инициативу поддержали в Канаде, Австралии и новой Зеландии, но не в Великобритании.

Хакерская группировка Lazarus, которую связывают с властями КНДР, провела крупномасштабную операцию Phantom Circuit — они скомпрометировали сотни систем по всему миру с целью кражи секретной информации. Для этого злоумышленники клонировали легитимное ПО с открытым кодом и внедряли в него бэкдоры в надежде, что разработчики и другие потенциальные жертвы, преимущественно работающие в криптовалютной отрасли, случайно воспользуются ими и сделают свои машины уязвимыми. Вредоносные проекты распространялись через крупные платформы, включая GitLab.

Источник изображения: AltumCode / unsplash.com

Схему обнаружили эксперты в области кибербезопасности из компании SecurityScorecard. В минувшем ноябре жертвами хакеров стали 181 разработчик преимущественно из европейского технологического сектора. В декабре их число выросло до 1225 человек, включая 284 из Индии и 21 из Бразилии. В январе к их числу добавились ещё 233 жертвы, в том числе 110 из технологического сектора Индии. Киберпреступникам удалось похитить учётные данные своих жертв, токены аутентификации, пароли и другую конфиденциальную информацию.

В число клонированных и изменённых хакерами репозиториев вошли такие проекты как Codementor, CoinProperty, Web3 E-Store, менеджер паролей на основе Python, а также другие приложения, связанные с криптовалютой и web3, рассказали в SecurityScorecard. Когда жертва неосознанно загружала и устанавливала такое приложение-форк, на его машину также устанавливался бэкдор, позволяющий злоумышленникам подключаться к ней, похищать конфиденциальные данные и отправлять их на свои ресурсы. Участвующие в схеме Phantom Circuit управляющие (C2) серверы Lazarus Group, как выяснилось, начали работу ещё в сентябре — они использовались для связи с заражёнными системами, доставки вредносного ПО и копирования украденных данных. Экспертам так и не удалось выяснить, «как обрабатывались извлечённые данные, и какая инфраструктура использовалась для управления этим серверами».

Эксперты обнаружили скрытую административную систему, размещённую на каждом сервере — она обеспечивала централизованное управление атакой; система была написана на основе React и Node.js. Чтобы скрыть происхождение кампании, хакеры Lazarus Group применяли многослойную обфускацию. Чтобы скрыть географическое происхождение, использовался VPN, а на прокси-уровне вредоносная активность смешивалась с безобидным сетевым трафиком. Серверы размещались в инфраструктуре Stark Industries — специалисты SecurityScorecard установили, что к ним подключались не менее чем с шести северокорейских адресов, один из которых ранее был связан с атаками Lazarus на платформу Codementor. Похищенные данные выгружались в облачное хранилище Dropbox.

Бренд Digma выступил с опровержением публикации «Коммерсанта», в которой со ссылкой на данные экспертов утверждается, что в выпускаемых им устройствах имеется встроенная уязвимость, позволяющая управлять телефоном через интернет: удалённо рассылать СМС и принимать их, передавая данные на сторонние серверы, регистрировать на номер телефона аккаунты в мессенджерах и т. д.

Источник изображения: Digma

По словам источника газеты, кнопочные телефоны российского производства подверглись кибератаке через заранее установленную уязвимость, позволяющую удалённо управлять устройством через интернет-подключение.

В свою очередь, Digma утверждает, что в его кнопочных телефонах отсутствует функциональность, которую «можно классифицировать как backdoor или встроенную уязвимость». По словам Digma, хотя в прошивке телефонов имеется встроенная функция стороннего российского сервиса, её назначение вовсе не в обеспечении удалённого управления устройством третьей стороной. Цель этой функции — обмен СМС-сообщениями фиксированного формата для персонализации доступных развлекательных и информационных сервисов в конкретном регионе — гороскопы, погода, анекдоты и т.д. «Обмен сообщениями такого типа является полностью бесплатным для пользователей. Подключение платных услуг ведётся только с явного согласия пользователя», — подчеркнул бренд, добавив, что любой иной функциональности, включая якобы скрытую регистрацию пользователей в мессенджерах, в устройствах Digma нет.

Бренд отметил, что подобные развлекательные возможности являются наиболее востребованным среди пользователей кнопочных телефонов, и основной целью добавления этой функции в прошивку было улучшение клиентского опыта. «Изъятие телефонов из продажи мы не планируем, так как не видим оснований для этого. Мы запланируем внеочередное независимое тестирование наших устройств на предмет поиска уязвимостей в прошивке кнопочных телефонов у крупных независимых компаний и опубликуем результаты», — сообщила компания.

Эксперты по кибербезопасности обнаружили в кнопочных телефонах Digma бэкдор — встроенную уязвимость для установки связи и обмена данными со сторонними серверами, удалённой рассылки SMS, регистрации аккаунтов в мессенджерах на телефонные номера и других действий, узнал «Коммерсантъ». Продажи кнопочных телефонов Digma растут — сейчас они занимают 5,9 % рынка.

Источник изображения: digma.ru

Кнопочные телефоны российского бренда Digma (входит в «Мерлион» наряду с «Ситилинком») стали объектами кибератаки, в рамках которой осуществлялись негласные отправка, приём и фильтрация SMS из-за бэкдора — намеренно установленной при производстве уязвимости. Через месяц после покупки телефона Digma и подключения к нему новой SIM-карты неизвестные лица зарегистрировали на этот номер учётную запись в мессенджере WhatsApp без ведома владельца номера, сообщил он «Коммерсанту».

Последующий анализ прошивки показал, что телефон действительно заражён вредоносным ПО. Он периодически связывается через интернет с неким сервером, передавая ему свой IMEI-идентификатор, идентификатор SIM-карты и оператора связи. В ответ удалённый сервер может отправлять устройству команды: например, отправить SMS с заданным текстом на определённый номер или вывести на экран полученное сообщение. Отправленные и принятые сообщения в общем списке не показываются. В Digma владельцу устройства подтвердили наличие «аномалий» в работе устройства, но отказались признать факт уязвимости. Комментариев «Коммерсанту» в Digma и «Мерлионе» по данной ситуации не предоставили.

Продажи кнопочных телефонов Digma растут: в период с января по май 2024 года доля бренда достигла 5,9 %; на торговых площадках этот показатель составил 13,6 %, а годом ранее был 7,6 %. Устройства марки производятся преимущественно в Китае. Подобные уязвимости могут возникать по вине контрактного производителя, рассказали в компании Fplus, которая выпускает кнопочные телефоны, смартфоны и планшеты. Ранее подобные инциденты отмечались у продукции брендов Irbis и Dexp. В некоторых случаях проблема может быть на стороне поставщика ПО, добавили опрошенные «Коммерсантом» эксперты. Бэкдоры также могут использоваться для кражи данных, рассылки спама, реализации мошеннических схем по номерам в списке контактов, а доступ к SMS открывает потенциальным злоумышленникам доступ к приложениям и сервисам пользователя — вплоть до банковских. Не исключаются и массовые утечки данных.

Red Hat на этой неделе сообщила, что последние версии операционных систем Fedora содержат вредоносный код, обеспечивающий доступ к системе через бэкдор, а затем аналогичное предупреждение последовало от Debian и Ubuntu. Наткнулся на опасный эксплойт разработчик Microsoft Андрес Фройнд (Andres Freund) в результате череды совпадений и случайностей, заинтересовавшись нетипично высокой нагрузкой центрального процессора со стороны процесса sshd.

Источник изображения: Pixabay

29 марта Фройнд проводил тестирование своих систем, в ходе которого он заметил, что процесс sshd использует слишком много вычислительных ресурсов, а вход в систему через протокол удалённого доступа из командной строки занимает примерно на 0,5 секунды больше времени, чем обычно. Заинтересовавшись, он начал углублённое изучение проблемы и обнаружил, что большая часть вычислительных ресурсов была потрачена на некий процесс liblzma, являющийся частью пакета xz-utils. Это положило начало изучению сложного бэкдора в xz-utils, авторство которого приписывается неизвестному злоумышленнику c псевдокитайским именем Цзя Тан (Jia Tan).

Особый интерес вызывает запутанная история внедрения этого эксплойта, основанная на принципах социальной инженерии. По словам исследователя Эвана Боеса (Evan Boehs), Тан создал учётную запись на GitHub в 2021 году и начал вносить в различные проекты «несколько подозрительные коммиты». В 2022 году Тан отправил в проект xz-utils свой первый коммит. Хотя он не предлагал серьёзных изменений, но после его появления на владельца xz-utils Лассе Коллина (Lasse Collin) стало оказываться давление со стороны нескольких участников проекта с требованиями добавить в него ещё одного куратора по причине якобы некачественного сопровождения.

Поддавшись напору, Коллин добавил Тана в качестве ещё одного сопровождающего проекта xz-utils, что позволило Тану добавлять код. Со временем Тан стал довольно авторитетной фигурой в проекте, и увеличил контроль над ним. Это позволило Тану внедрить в код проекта окончательные компоненты бэкдора при помощи нескольких тестовых файлов. Через некоторое время новая версия xz-utils с вредоносным кодом вошла в такие операционные системы, как Fedora, Debian и Ubuntu. Неизвестно, сколько вреда мог бы принести этот бэкдор, если бы Фройнд оказался менее внимательным человеком.

Источник изображения: Andres Freund

Эксперты по безопасности полагают, что Цзя Тан не является реальным человеком, а скорее представляет собой виртуального персонажа с именем, созвучным китайскому. Некоторые исследователи считают, что за попыткой внедрения эксплойта стоит государство, и что это была попытка заложить основу для некоторых вредоносных и почти необнаружимых активностей. Теперь Коллину предстоит разобраться с этой проблемой и убедиться в отсутствии других вредоносных фрагментов кода в своём проекте. Возможно, другим кураторам проектов на GitHub также стоит внимательно изучить историю их изменений.

В минувшем январе эксперт по кибербезопасности Дэниел Милишич (Daniel Milisic) обнаружил, что приставка T95 под управлением Android TV (продаётся, например, на Aliexpress) пришла заражённой вредоносным ПО прямо из коробки. Но это была лишь верхушка айсберга: компания Human Security выявила (PDF) целую теневую сеть, связанную с заражёнными устройствами и вредоносными приложениями.

Источник изображения: aliexpress.ru

Исследователи из Human Security обнаружили семь приставок под Android TV и один планшетный компьютер, которые продаются с предустановленными бэкдорами, и выявили признаки вредоносной активности ещё у 200 различных моделей Android-устройств. Эти устройства используются в домохозяйствах, образовательных учреждениях и на предприятиях. Эксперты сравнили проект со «швейцарским армейским ножом, совершающим нехорошие поступки в интернете». Схема включает в себя два направления: Badbox — сеть устройств с предустановленными бэкдорами; и Peachpit — сеть приложений, посредством которых реализуются мошеннические рекламные схемы.

Направление Badbox занято преимущественно дешёвыми Android-приставками по цене менее $50, которые продаются в интернете и обычных магазинах. Они поставляются без торговой марки или продаются под разными названиями, что помогает скрыть их происхождение. Эти устройства генерируют вредоносный трафик, обращаясь к домену Flyermobi.com. Подтверждены восемь таких устройств: ТВ-приставки T95, T95Z, T95MAX, X88, Q9, X12PLUS и MXQ Pro 5G, а также планшетный компьютер J5-W. Human Security обнаружила не менее 74 тыс. зараженных устройств, в том числе в образовательных учреждениях в США.

Все они производятся в Китае, и на одном из этапов на них устанавливается бэкдор, основанный на трояне Triada, который «Лаборатория Касперского» обнаружила ещё в 2016 году — он подменяет один из компонентов Android, предоставляя себе доступ к приложениям, установленным на устройстве. Бэкдор без ведома пользователя подключается к расположенному в Китае управляющему серверу (C2), загружает набор инструкций и развёртывает вредоносную активность. Human Security установила несколько видов такой активности: рекламные мошеннические схемы; резидентные прокси, то есть продажа доступа к сетевым ресурсам жертв — владельцев заражённых устройств; регистрация учётных записей Gmail и WhatsApp; удалённое выполнение кода.

Стоящие за схемой лица предлагали доступ к своим сетям, утверждая, что у них есть выход на более чем 10 млн домашних и 7 млн мобильных IP-адресов. По версии экспертов Trend Micro, у организаторов схемы более 20 млн заражённых устройств по всему миру, причём 2 млн из них активны в любой момент времени. В частности, был обнаружен планшетный компьютер в одном из европейских музеев; есть основания полагать, что затронуто множество Android-устройств, включая даже автомобили.

Источник изображения: Gerd Altmann / pixabay.com

Второе направление носит условное название Peachpit, и связано оно с вредоносными приложениями, которые присутствуют не только на ТВ-приставках, но также добровольно устанавливаются пользователями на Android-телефоны и iPhone. В основном это шаблонные приложения не очень высокого качества, например, комплексы упражнений, как накачать мышцы пресса, или ПО для записи объёмов выпиваемой пользователями воды. В общей сложности выявлены 39 таких приложений для Android, iOS и ТВ-приставок. Параллельно с декларируемыми функциями эти приложения также реализуют мошеннические схемы с рекламой и фальсифицируют трафик. Примечательно, что в этих приложениях обнаружены общие черты с вредоносным ПО, поставляемом на устройствах направления Badbox.

Сеть генерировала до 4 млрд рекламных обращений в день — были задействованы 121 тыс. Android-устройств и 159 тыс. iPhone. По подсчётам исследователей, только Android-приложения были скачаны в общей сложности 15 млн раз. Рекламная индустрия имеет достаточно сложную структуру, поэтому полной картины у исследователей нет, но только по имеющимся у них данным операторы схемы могли легко зарабатывать $2 млн в месяц.

Представитель Google Эд Фернандес (Ed Fernandez) сообщил, что компания удалила из Google Play 20 приложений под Android, на которые указали исследователи Human Security. Он также рассказал, что устройства с предустановленными бэкдорами не проходили сертификации Play Protect, а значит, у Google отсутствуют данные о результатах тестов безопасности и совместимости, но на сайте Android есть список партнёров. Представитель Apple Аршель Телемак (Archelle Thelemaque) рассказала, что компания связалась с разработчиками пяти приложений из доклада Human Security — им дали 14 дней на исправление ошибок, и четыре приложения уже не представляют угрозы.

Результатов в пресечении схем Badbox и Peachpit компании Human Security удалось добиться в конце 2022 года и в первой половине текущего. После первых же действий стоящие за схемами злоумышленники разослали на заражённые устройства обновления, направленные на сокрытие активности. После этого были отключены серверы C2, обеспечивающие функционирование бэкдора в прошивке. Активность обеих схем кардинально снизилась, но люди продолжают пользоваться этими устройствами. Без технических навыков удалить это вредоносное ПО очень непросто, и сейчас ТВ-приставки с предустановленными бэкдорами превратились в своего рода спящих агентов. Потребителям рекомендуется приобретать продукцию, производитель которой известен, и которому они доверяют.

Эксперты японской компании Trend Micro, которая специализируется на вопросах кибербезопасности, обнаружили вредоносную программу SprySOCKS, которая используется для атаки на машины под управлением систем семейства Linux.

Источник изображения: Tumisu / pixabay.com

Новый вредонос происходит от Windows-бэкдора Trochilus, обнаруженного в 2015 году исследователями из компании Arbor Networks — он запускается и выполняется только в памяти, а его полезная нагрузка не сохраняется на дисках, что существенно затрудняет обнаружение. В июне этого года исследователи Trend Micro обнаружили на сервере файл с именем «libmonitor.so.2», использовавшийся группой, чью деятельность они отслеживали с 2021 года. В базе VirusTotal они обнаружили связанный с ним исполняемый файл «mkmon», который помог расшифровать «libmonitor.so.2» и раскрыть его полезную нагрузку.

Выяснилось, что это комплексная вредоносная программа под Linux, функциональность которой частично совпадает с возможностями Trochilus и обладает оригинальной реализацией протокола Socket Secure (SOCKS), поэтому вредоносу было присвоено название SprySOCKS. Он позволяет собирать информацию о системе, запускать командный интерфейс удалённого управления (shell), формировать список сетевых подключений, разворачивать прокси-сервер на основе протокола SOCKS для обмена данными между скомпрометированной системой и командным сервером злоумышленника, а также производить другие операции. Указание версий вредоноса позволяет предположить, что он до сих пор находится в разработке.

Исследователи предполагают, что SprySOCKS используют хакеры группировки Earth Lusca — впервые она была обнаружена в 2021 году, а в списке киберпреступников оказалась годом позже. Для заражения систем группировка использует методы социальной инженерии. В качестве полезной нагрузки SprySOCKS устанавливает пакеты Cobalt Strike и Winnti. Первый — это комплект для поиска и эксплуатации уязвимостей; второй, которому уже более десяти лет, — связывается с китайскими властями. Есть версия, что работающая преимущественно по азиатским целям группировка Earth Lusca нацелена на хищение денежных средств, потому что её жертвами часто оказываются компании, которые занимаются азартными играми и криптовалютами.

Радиосвязь настолько вошла в быт человечества, что воспринимается пользователями как нечто само собой разумеющееся. Технология отлажена десятилетиями, разработаны алгоритмы кодирования и шифрования радиосигнала. Тем более удивителен тот факт, что голландские исследователи из компании Midnight Blue обнаружили уязвимости и преднамеренный бэкдор в стандарте радиосвязи, используемом в правоохранительных органах, вооружённых силах и критически важной инфраструктуре.

Источник изображения: Pixabay

Эти уязвимости и бэкдор были обнаружены в европейском стандарте наземной транковой радиосвязи TETRA (Terrestrial Trunked Radio), используемом несколькими крупными поставщиками радиооборудования. Стандарт был разработан Европейским институтом телекоммуникационных стандартов (ETSI) в 1995 году, и с тех пор широко применяется более чем в 100 странах мира. В России и странах ЕС TETRA используется в служебных и технологических сетях связи железнодорожного транспорта. Этот стандарт используют более двадцати критически важных структур в США, среди которых электрогенерирующие компании, пограничная служба, нефтеперерабатывающие и химические предприятия, общественный транспорт, международные аэропорты и некоторые подразделения армии США.

Найденные уязвимости позволяют осуществлять расшифровку данных в режиме реального времени. Исследователи присвоили всему «пакету» уязвимостей общее название TETRA:BURST и уверены, что они были созданы намеренно. Всего было выявлено пять проблем разной степени критичности:

• CVE-2022-24400— вмешательство в алгоритм аутентификации;
• CVE-2022-24401— допускает расшифровку;
• CVE-2022-24402— сокращает размер ключа шифрования;
• CVE-2022-24403— деанонимизация и отслеживание пользователей;
• CVE-2022-24404— отсутствие аутентификации с шифрованием.

Особенно опасным исследователи считают уязвимость CVE-2022-24402, который имеет отношение к TEA1, потоковому шифру, «предназначенному для коммерческого использования и сценариев ограниченного экспорта». Он сокращает исходный 80-битный размер ключа шифрования до 32 бит, что позволяет сравнительно быстро осуществить брутфорс атаку даже с помощью обычного потребительского ноутбука. Это даёт злоумышленнику возможность перехватить или внедрить сообщения в систему связи, если на линии не применяется сквозное шифрование.

Источник изображения: Midnight Blue

Четыре другие уязвимости позволяют преступнику скомпрометировать коммуникации, деанонимизировать информацию, обойти аутентификацию и поставить под угрозу конфиденциальность пользователей и целостность передаваемых данных. Это крайне неприятная ситуация, поскольку перечисленные уязвимости довольно сложно исправить в разумные сроки.

Обнаруженные проблемы в стандарте TETRA в очередной раз доказывают, что полагаться на парадигму «Безопасность через неясность» (Security by obscurity) не стоит. Как только пытливый злоумышленник обнаружит, казалось бы, незаметный и никому неизвестный способ проникновения в систему, все система может подвергнуться неоправданно большому риску.

Ведущие министерства и ведомства России запретили использовать iPhone, iPad и другие устройства Apple, что отражает растущую обеспокоенность госорганов по поводу шпионской деятельности американских спецслужб. Министерство торговли с понедельника запрещает любое использование iPhone «в рабочих целях». Министерство цифрового развития и корпорация «Ростех» вводят или уже ввели такие запреты, аналогично действуют министерства финансов и энергетики.

Источник изображения: Pixabay

1 июня ФСБ объявила о раскрытии «шпионской операции спецслужб США с использованием устройств Apple». По данным ФСБ, несколько тысяч iPhone — как с российскими сим-картами, так и зарегистрированных в дипломатических представительствах России в странах НАТО, а также в Израиле, Сирии и Китае — были заражены программным обеспечением для мониторинга, указывающим на тесное сотрудничество Apple с Агентством национальной безопасности США.

В ФСБ заявили, что Apple предоставляет спецслужбам США «широкий набор инструментов контроля над лицами, представляющими интерес для Белого дома». «Все в администрации президента понимают, что iPhone — это абсолютно прозрачное устройство и его использование в служебных целях недопустимо и запрещено», — заявил в прошлом месяце пресс-секретарь президента России Дмитрий Песков.

«Чиновники искренне верят, что американцы могут использовать своё оборудование для прослушивания телефонных разговоров, — прокомментировал ситуацию Андрей Солдатов, эксперт российских служб безопасности и разведки. — ФСБ давно беспокоит использование iPhone для профессиональных контактов, но администрация президента и другие чиновники выступали против ограничений просто потому, что им нравились устройства Apple».

Apple отвергла обвинения, заявив в своём заявлении, что «никогда не работала ни с одним правительством, чтобы встроить бэкдор в какой-либо продукт Apple, и никогда не будет». По мнению заместителя главы Совета безопасности России Дмитрия Медведева, «когда крупная технологическая компания утверждает, что не сотрудничает с разведывательным сообществом — она либо беззастенчиво лжёт, либо вот-вот обанкротится».

Ограничения на использования в рабочих целях распространяются на все устройства Apple, но их использование в личных целях всё же разрешено. Чиновники жалуются, что им неудобно носить с собой ещё один телефон или планшет. Алексей Лукацкий, ветеран российской кибербезопасности, сомневается, что чиновники навсегда перейдут на использование устройств под управлением российской ОС «Аврора»: «Ранее были ограничения на использование рабочей почты на несертифицированных устройствах, но большинство чиновников не подчинились. Вопрос в том, подчинятся ли они сейчас».

Президент России Владимир Путин в марте 2022 года подписал указ, требующий, чтобы организации, связанные с «критической информационной инфраструктурой» — широкий термин, включающий здравоохранение, науку и финансовый сектор — перешли на российское программное обеспечение к 2025 году. Этот шаг отразил дальнейшее развитие усилий России в области импортозамещения.

По компьютерам во всем мире активно распространяется вирус WispRider, сообщили эксперты Check Point Research. Заражение происходит через USB-накопители, а ответственность за эпидемию специалисты возложили на хакерскую группировку Camaro Dragon, известную также под названиями Mustang Panda, Luminous Moth и Bronze President — её связывают с Китаем.

Источник изображения: jacqueline macou / pixabay.com

Первое заражение новым вирусом предположительно произошло на некой международной конференции, проходившей в Азии. Один из участников мероприятия, которого назвали «нулевым пациентом», передал свой USB-накопитель другому участнику, чтобы тот скопировал себе файл презентации, но компьютер последнего был заражён, и накопитель вернулся к владельцу уже заражённым. Вернувшись в свою европейскую страну человек вставил накопитель в один из рабочих компьютеров в медицинском учреждении, что привело к заражению всей больничной сети.

Основной функции вируса присвоили название WispRider — впервые бэкдор, обеспечивающий хакерам доступ к компьютеру жертвы, был обнаружен специалистами Avast в конце прошлого года, но с тех пор вирус оброс новыми функциями. Он распространяется через USB-накопители при помощи программы автозапуска HopperTick, оставаясь невидимым для популярного в Южной Азии антивируса SmadAV. Вредонос осуществляет загрузку DLL-файла при помощи программных компонентов антивируса G-DATA Total Security, а также продуктов игровых разработчиков Electronic Arts и Riot Games — исследователи Check Point Research уже уведомили их об этом. Загружается также написанный на языке Go бэкдор TinyNote и вредоносный компонент прошивки маршрутизаторов HorseShell.

Источник изображения: sebastianperezhdez / pixabay.com

Когда к заражённому компьютеру подключается USB-накопитель, вирус обнаруживает новое устройство и создаёт в корне флешки несколько скрытых папок. Далее он копирует на накопитель загрузчик на Delphi с именем этого накопителя и его стандартным значком. С технической точки зрения ничего экстраординарного не происходит — это обычный сценарий, и распространение вируса происходит в основном за счёт человеческого фактора. Вместо своих файлов на диске жертвы видят исполняемый файл, который они бездумно запускают, заражая тем самым свою машину. WispRider действует одновременно как заражающий модуль и бэкдор для доступа к файлам пользователя, подгружая выполняющий обе функции DLL-файл — вредоносная активность запускается с заражённой машины, а если этого ещё не произошло, то производится собственно заражение. Вирус также распространяется по доступным сетевым ресурсам.

Для защиты от эпидемии WispRider эксперты предлагают следующие меры безопасности.

• Проводить на предприятиях разъяснительную работу среди сотрудников, повышая их осведомлённость о потенциальной угрозе, которую представляют USB-накопители из неизвестных или ненадёжных источников; а также поощрять осмотрительное поведение и не допускать подключение незнакомых накопителей к корпоративным устройствам.
• Строго и чётко регламентировать правила подключения USB-накопителей к устройствам в корпоративной сети вплоть до запрета их использования, если они не были получены из надёжных источников.
• Найти безопасные альтернативы USB-накопителям — облачные хранилища и зашифрованные файлообменные платформы. Это снизит зависимость от внешних устройств и частично нейтрализует связанные с ними риски.
• Проводить своевременное обновление антивирусного и другого ПО для обеспечения безопасности на всех устройствах, а также периодическое сканирование USB-накопителей на наличие вредоносного ПО.

Компания Gigabyte быстро отреагировала на отчёт исследовательской компании Eclysium, которая обнаружила серьёзную уязвимость в прошивке Gigabyte UEFI материнских плат. Производитель выпустил бета-версию нового программного обеспечения для своих плат, которое снижает потенциальную угрозу безопасности.

Источник изображения: Gigabyte

Список затронутых плат Gigabyte оказался весьма внушительным и охватывает более 250 моделей на чипсетах Intel 400-й, 500-й, 600-й и 700-й серий, а также AMD 400-й, 500-й и 600-й серии. Для части материнских плат уже можно скачать новую прошивку с официального веб-сайта Gigabyte.

К сожалению, Gigabyte не предоставила детальной информации о новой прошивке. Однако по словам производителя, в новой версии UEFI используются повышенные меры безопасности во время загрузки ПК. Компания отмечает, что новые защитные механизмы направлены на определение и предотвращение выполнения вредоносных действий в процессе загрузки ПК.

Компания также внесла значительные изменения со стороны удалённых серверов, с которых происходит загрузка прошивок. В частности, был усовершенствован процесс проверки подписи для файлов с удалённых серверов. Новый механизм безопасности проводит более тщательную проверку целостности файлов, чтобы потенциальные киберпреступники не могли перехватить процесс загрузки и вставить в него свой собственный код BIOS для материнской платы ПК.

Кроме того, Gigabyte включила в BIOS стандартную криптографическую проверку сертификатов для удалённых серверов. Она отвечает за различные права доступа. В BIOS эта функция была ранее стандартно отключена. Почему — неизвестно.

Первыми обновлённые прошивки получат владельцы материнских плат Intel 600-й и 700-й серии, а также AMD 400-й и 600-й серии. Чуть позже компания выпустит обновления ПО для плат на чипсетах Intel 500-й и 400-й серий, а также AMD 600-й серии. Они также будут доступны на официальном сайте Gigabyte на страницах соответствующих продуктов.

Исследовательская компания Eclysium обнаружила серьёзную уязвимость в прошивке Gigabyte UEFI, установленной на сотнях моделей материнских плат. Бэкдор позволяет установить обновления BIOS с незащищённых веб-серверов. Этот код Gigabyte использовала для установки обновлений BIOS либо через Интернет, либо из подключённого хранилища в локальной сети. Но инструмент не имеет защиты и осведомлённый злоумышленник может загрузить свой собственный код BIOS в материнскую плату ПК.

Источник изображения: pexels.com

Проблема была обнаружена в исполняемом файле утилиты Gigabyte App Center, который может устанавливать новую прошивку UEFI BIOS, загружая её с незащищённого сервера Gigabyte и устанавливая программное обеспечение без какой-либо проверки цифровой подписи.

Эта уязвимость системы безопасности может привести к тому, что злоумышленники будут использовать OEM-бэкдор для загрузки вредоносного кода, такого как руткиты, либо сразу на компьютер пользователя, либо через компрометацию собственного сервера Gigabyte. Также возможны атаки типа «человек посередине», перехватывающие процесс загрузки. Eclysium опубликовала три URL-адреса Gigabyte, которые рекомендуется заблокировать пользователям для предотвращения обновлений через Интернет.

Затронуты сотни моделей розничных и корпоративных материнских плат, в том числе некоторые из новейших системных плат для сборщиков систем высокого класса. В списке плат с бэкдором фигурирует 271 модель, включая продукты на базе чипсетов A520, A620, B360, B450, B460, B550, B650, B660, Z590, Z690, а полный список можно посмотреть здесь (ссылка в формате PDF). Eclysium сообщает, что проинформировала Gigabyte об уязвимости и что компания планирует решить проблему, предположительно, с помощью обновления прошивки, что не может не вызвать нервную усмешку. С подробной технической информацией об обнаружении уязвимости можно ознакомиться в блоге компании Eclysium.