В рамках проходящей на этой неделе в Ванкувере конференции по информационной безопасности Pwn2Own исследователи сумели дважды взломать систему безопасности Tesla. За это они получили вознаграждение в размере $100 тыс. и электромобиль Tesla Model 3.

Источник изображения: electrek.co

Tesla давно работает над повышением безопасности используемого в своих электромобилях программного обеспечения и уже не первый год участвует в ежегодной конференции Pwn2Own. В рамках нынешнего мероприятия исследователи дважды провели успешную атаку против системы безопасности Tesla.

В первом случае специалисты из компании Synacktiv провели успешную атаку «time-of-check to time-of-use» (TOCTOU) против Tesla Gateway. Уязвимость такого типа позволяет обойти систему проверки безопасности за счёт использования временного интервала между проверкой ресурса на безопасность и его применением. Исследователи успешно изменили состояние безопасного ресурса после выполнения проверки безопасности, но до получения к нему доступа авторизованного пользователя. В итоге они смогли получить root-доступ к системе Tesla и взять под полный контроль атакуемый электромобиль.

В рамках второй успешной атаки специалистов из Synacktiv через Bluetooth была взломана информационно-развлекательная система Model 3. Всего же участники команды Synacktiv успешно завершили большинство попыток взлома разных продуктов, заработав 53 очка Master of Pwn и получив суммарно $530 тыс. в виде вознаграждения.

Власти США сообщили, что несколько хакерских группировок, в том числе якобы поддерживаемая официальным Пекином, эксплуатировали уязвимость в одном из приложений, обнаруженную ещё 4 года назад, для взлома ресурсов федерального правительственного ведомства США.

Источник изображения: Gerd Altmann / pixabay.com

Речь идёт об инструменте Telerik, предназначенном для разработки компонентов и тем для веб-приложений, который был запущен на доступном из интернета сервере некоего американского федерального ведомства, относящегося к ветви исполнительной власти. Уязвимость Telerik имеет порядковый номер CVE-2019-18935 и оценку 9,8 (критическая) — она вошла в число наиболее часто эксплуатируемых уязвимостей в 2020 и 2021 гг. Ошибка была обнаружена в 2019 году, и АНБ США ранее предупреждало, что она используется якобы поддерживаемыми Пекином хакерами для взлома компьютерных систем, которые содержат «конфиденциальные данные об интеллектуальной собственности, экономическую, политическую и военную информацию».

Злоумышленникам удалось «успешно запустить удалённый код» на веб-сервере ведомства и открыть доступ к его внутренним ресурсам, сообщило американское Агентство по кибербезопасности и защите инфраструктуры (CISA). Сканер уязвимостей системы не смог выявить брешь в системе безопасности, потому что ПО Telerik было установлено вне зоны регулярного сканирования. Эта же уязвимость, заявили в агентстве, эксплуатировалась несколькими хакерскими группировками с ноября 2022 по январь 2023 гг. Использующим ПО Telerik организациям CISA рекомендовало установить его обновлённую версию. Представители поглотившей Telerik в 2014 году компании Progress Software комментариев не дали.

Хакерская группа Lockbit заявила, что якобы взломала компанию Maximum Industries, подрядчика частной аэрокосмической компании SpaceX, которая выпускает для неё различные детали, пишет издание The Register. По словам злоумышленников, они похитили около 3000 уникальных чертежей, созданных инженерами компании Илона Маска (Elon Musk).

Источник изображения: SpaceX

Хакеры угрожают опубликовать похищенные данные 20 марта 2023 года, если их требования не будут выполнены, и они не получат выкуп. В этом случае злоумышленники обещают устроить аукцион и продать информацию «другим производителям».

«Я бы сказал, что нам повезло, если бы подрядчики SpaceX были более разговорчивыми. Но, думаю, эти данные найдут своего покупателя очень быстро. Илон Маск, мы поможем продать твои наброски другим производителям, быстрее строй свой корабль и улетай», — написал представитель Lockbit в блоге группировки в даркнете.

Судя по сообщению хакеров, Maximum Industries не собирается платить вымогателям. Хотя взломщики уверены, что легко продадут украденные чертежи, издание The Register отмечает, что эти документы сами по себе могут не представлять большой ценности, ведь детали ещё нужно изготовить и затем использовать, при этом не вызвав подозрений.

Издание The Register обратилось в SpaceX и Maximum Industries за комментариями, но там пока не ничего не ответили.

Ранее на этой неделе стало известно, что некий хакер с псевдонимом Kernelware взломал один из внутренних серверов компании Acer, похитив с него около 160 Гбайт конфиденциальной информации в виде 2869 файлов. Украденные данные злоумышленник выставил на продажу на одной из интернет-площадок.

Источник изображения: Acer

По словам злоумышленника, взлом системы внутренней безопасности компании Acer произошёл 23 февраля. В похищенных файлах содержатся конфиденциальные данные о продуктах производителя, технические руководства, командные файлы, данные внутренней инфраструктуры компании, документация о моделях продуктов, файлы BIOS и ROM, ключи продуктов, различные архивные файлы в формате ISO, внутренняя информация о различных моделях ноутбуков, смартфонов и планшетов. Вместе с этим хакер предоставил скриншот похищенных данных для подтверждения своих заявлений и предлагает их приобрести за криптовалюту Monero (XMR). Цена не объявлена — хакер продаст данные тому, кто предложит больше.

Источник изображения: Hackread.com

Acer подтвердила взлом своей внутренней инфраструктуры во вторник. «Недавно мы обнаружили инцидент с неавторизованным доступом к одному из наших внутренних серверов, в котором содержатся данные для наших специалистов по ремонту оборудования. Хотя расследование данное инцидента продолжается, нет никаких признаков, которые указывали бы на то, что на указанном сервере содержалась какая-либо личная информация потребителей», — говорится в заявлении компании.

За последние несколько лет Acer стала жертвой нескольких громких утечек данных. Например, в 2021 году хакеры похитили конфиденциальные данные компании и потребовали за них крупнейший к тому моменту выкуп в размере $50 млн. В том же году компания подверглась ещё одной, но менее масштабной утечке данных.

Если верить Acer, в последних похищенных данных не содержится информации о её клиентах. Однако данные включают важную техническую информацию, которая в перспективе может быть использована для взлома большого количества различных систем.

Данные, украденные у игрового издателя Activision в результате декабрьского инцидента неизвестными киберпреступниками, появились в открытом доступе на одном из популярных форумов в даркнете. Персональная информация пользователей среди них отсутствует.

Источник изображения: activision.com

Факт произведённого в декабре 2022 года взлома Activision подтвердила несколько дней назад, и события стали развиваться по худшему сценарию. Данные, как заявили сами хакеры, были украдены с инстанса Activision в CDN инфраструктуры Azure — они включают в себя 20 тыс. записей о сотрудниках игрового гиганта: полные имена, адреса электронной почты, номера телефонов и адреса офисов. Информация не была выставлена на продажу, а выложена в открытый доступ в формате текстового файла.

Взлом был произведён при помощи фишинговой кампании с использованием SMS. Жертвой атаки оказался сотрудник отдела кадров Activision, который, не осознавая последствий своих действий, передал злоумышленникам данные для доступа к ресурсам компании. Представитель Activision подтвердил утечку данных, но заявил, что хакеры не смогли получить доступ к «конфиденциальным данным сотрудников», хотя независимое расследование эту версию опровергло, а опубликованная киберпреступниками информация фактически не оставила на ней камня на камне.

В результате взлома была похищена также информация, относящаяся к готовящейся к выходу игровой продукции — в Activision заявили, что она конфиденциальной не является. Компания также заверила, что данные геймеров и клиентов злоумышленникам похитить не удалось. Однако публикация персональной информации сотрудников Activision в открытом доступе способна в значительной мере осложнить их работу — следует ожидать целой волны очередных фишинговых атак.