Тэвис Орманди (Tavis Ormandy), исследователь из Google Information Security, сообщил сегодня о новой уязвимости, которую он обнаружил в процессорах AMD с архитектурой Zen 2. Уязвимость Zenbleed охватывает весь ассортимент чипов на Zen 2 и позволяет украсть защищённую информацию, включая ключи шифрования и логины пользователей. Атака не требует физического доступа к компьютеру и может быть выполнена даже через вредоносный JS-скрипт на веб-странице.

Источник изображений: AMD

Орманди сообщил об этой проблеме в AMD 15 мая 2023 года. По его словам, AMD уже выпустила патчи для уязвимых систем, но эксперты пока не подтвердили наличие в последних выпущенных прошивках нужных исправлений. Также пока отсутствуют рекомендации по безопасности от AMD с подробным описанием проблемы. Компания обещала опубликовать эту информацию сегодня, но пока не прокомментировала статус исправлений.

Уязвимость зарегистрирована как CVE-2023-20593 и позволяет осуществлять кражу данных со скоростью 30 Кбайт на ядро в секунду, что обеспечивает достаточную пропускную способность для кражи конфиденциальной информации, проходящей через процессор. Эта атака работает со всем программным обеспечением, запущенным на процессоре, включая виртуальные машины, песочницы, контейнеры и процессы. Способность этой атаки считывать данные между виртуальными машинами особенно опасна для поставщиков и пользователей облачных услуг.

По словам Орманди, затронуты все процессоры Zen 2, включая серверные EPYC Rome:

• Процессоры AMD Ryzen 3000;
• Процессоры AMD Ryzen PRO 3000;
• Процессоры AMD Ryzen Threadripper 3000;
• Процессоры AMD Ryzen 4000 с графикой Radeon;
• Процессоры AMD Ryzen PRO 4000;
• Процессоры AMD Ryzen 5000 с графикой Radeon;
• Процессоры AMD Ryzen 7020 с графикой Radeon;
• Процессоры AMD EPYC Rome.

Атака может быть осуществлена посредством выполнения непривилегированного произвольного кода. Орманди опубликовал репозиторий исследований безопасности и код эксплойта. При атаке используется функция оптимизации слияния XMM регистра с последующим его переименованием. В результате происходит ошибка предсказания vzeroupper. Основные операции, такие как strlen, memcpy и strcmp, будут использовать векторные регистры, поэтому злоумышленник может эффективно отслеживать эти операции, происходящие в любом месте системы, неважно, в других виртуальных машинах, песочницах, контейнерах или процессах.

«Это работает, потому что регистровый файл используется всеми на одном физическом ядре. На самом деле два гиперпотока даже используют один и тот же файл физического регистра», — говорит Орманди. Он пояснил, что ошибка может быть исправлена с помощью патчей, но это может привести к снижению производительности, поэтому Орманди настоятельно рекомендует обновить микрокод. Доступность обновлённых прошивок пока официально не подтверждена.

Британский эксперт по кибербезопасности и сотрудник компании ESET Джейк Мур (Jake Moore) рассказал о способе блокировки любого аккаунта WhatsApp — достаточно обратиться в техподдержку с соответствующим запросом и указать телефонный номер потенциальной жертвы. В настоящее время уязвимость сервиса, возможно, закрыта.

Источник изображения: Dima Solomin / unsplash.com

Джейк Мур подробно изложил схему блокировки стороннего аккаунта в Twitter — уязвимость в механизме администрирования сервиса он обнаружил в справочном разделе платформы. На случай утери или кражи телефона служба техподдержки предлагает отправить на её адрес электронное письмо с просьбой заблокировать аккаунт WhatsApp и указать в теле письма номер телефона, к которому привязана учётная запись. Эксперт попросил заблокировать аккаунт на тестовом телефоне, и техподдержка мессенджера выполнила его просьбу, не проведя никаких дополнительных проверок личности. Более того, он отправил запрос с адреса электронной почты, который не имел к нему никакого отношения.

С одной стороны, это создаёт определённую угрозу для добросовестных пользователей мессенджера. С другой, это возможность подстраховаться, если телефон выкрали злоумышленники или конкуренты. Стоит также отметить, что техподдержка WhatsApp производит только блокировку учётной записи, а не её полное удаление. В течение 30 дней с этого момента её владельцу можно будет отправлять сообщения, и если он до истечения этого срока восстановит аккаунт, учётная запись продолжит работать — в противном случае она будет удалена навсегда.

Впоследствии Джейк Мур сделал ещё одну публикацию, в которой сообщил, что уязвимость, кажется, закрыта. В ответ на очередной запрос о блокировке аккаунта техподдержка WhatsApp подтвердила получение запроса и пообещала ответить, как только сможет. Или после оглашения информации об уязвимости администрацию мессенджера наводнили заявки на удаление учётных записей, или механизм блокировки аккаунтов всё-таки решили изменить.

Китайские хакеры использовали уязвимость облачной службы Microsoft для целенаправленного взлома несекретных почтовых ящиков, принадлежащих госструктурам США. По данным The Washington Post, проблема была обнаружена в прошлом месяце, и она не затрагивает какие-либо секретные правительственные системы.

«Официальные лица немедленно связались с Microsoft, чтобы найти источник и уязвимость в их облачном сервисе. Мы продолжим предъявлять к поставщикам услуг для правительства США высокие требования по безопасности», — прокомментировал данный вопрос пресс-секретарь Совета национальной безопасности США Адам Ходжес (Adam Hodges).

По данным источника, расследованием этого инцидента занимается ФБР. Вероятнее всего, в рамках атаки было взломано небольшое количество почтовых ящиков, хотя точные значения не озвучиваются. Также сказано, что почтовые ящики, принадлежащие сотрудникам Пентагона, представителям разведывательных ведомств и военным, не были взломаны.

В сообщении Microsoft касательно этого инцидента сказано, что компания сумела ограничить нежелательные последствия кибератаки, преимущественно направленной против правительственных учреждений и ориентированной на шпионаж и кражу данных. Microsoft провела собственное расследование инцидента, в ходе которого было установлено, что атаку организовали китайские хакеры из группировки Storm-0558. По данным IT-гиганта, злоумышленникам удалось получить доступ к почтовым ящикам около 25 организаций, включая государственные учреждения. В сообщении Microsoft отмечается, что ликвидация нежелательных последствий для всех затронутых атакой пользователей уже завершена.

Ресурс BleepingComputer сообщил о создании участником команды red team ВМС США Алексом Ридом (Alex Reid) инструмента под названием TeamsPhisher, который позволяет использовать нерешённую проблему безопасности в Microsoft Teams для обхода ограничений на входящие файлы от пользователей за пределами целевой организации и рассылать вредоносное ПО.

Источник изображения: Pixabay

Инструмент использует проблему, о которой сообщила в прошлом месяце британская ИБ-компания Jumpsec. Как выяснилось, средства защиты Microsoft Teams на стороне клиента можно обойти, изменив идентификатор в POST-запросе сообщения, чтобы действовать под видом внутреннего пользователя.

Созданный с использованием Python инструмент действует полностью автономно. Он объединил в себе концепт атаки исследователей Jumpsec, методы, разработанные ИБ-экспертом Анджреа Сантезе (Andrea Santese), а также аутентификацию и вспомогательные функции инструмента TeamsEnum Бастиана Канбаха (Bastian Kanbach).

Источник изображений: github.com/Octoberfest7

TeamsPhisher вначале проверяет существование целевого пользователя и его способность получать внешние сообщения, что является необходимым условием для осуществления атаки. Затем он формирует новый поток данных и отправляет сообщение со ссылкой на вложение в Sharepoint. Поток отображается в интерфейсе Teams отправителя для возможного ручного взаимодействия.

Для успеха TeamsPhisher необходимо, чтобы у пользователя был бизнес-аккаунт Microsoft Business с лицензией Teams и Sharepoint, что характерно для многих крупных компаний.

Инструмент также имеет режим предварительного просмотра, позволяющий проверить установленные целевые списки и как выглядят сообщения с точки зрения получателя. Кроме того, он позволяет устанавливать задержки на отправку сообщений для обхода ограничений скорости и записывать выходные данные в журнал.

Данная уязвимость в Microsoft Teams по-прежнему существует, и Microsoft утверждает, что она не настолько серьёзна и поэтому не требует немедленного исправления. В ответ на просьбу дать комментарий по этому поводу представитель Microsoft сообщил BleepingComputer, что использование TeamsPhisher основано на социальной инженерии. Он призвал пользователей соблюдать меры безопасности и «проявлять осторожность при переходе по ссылкам на веб-страницы, открытии неизвестных файлов или принятии передачи файлов».

У используемого на солнечных электростанциях оборудования SolarView, выпускаемого японской компанией Contec, выявлены две критические уязвимости — они могут позволить злоумышленникам удалённо управлять этим оборудованием и нарушать работу установок. Уязвимости были закрыты в новых прошивках для устройств, но две трети клиентов так и не обновили оборудование.

Источник изображения: Jukka Niittymaa / pixabay.com

По сведениям самого производителя, его оборудование используется на 30 000 электростанций, из которых, согласно данным поисковой службы Shodan, не менее 600 объектов доступны через интернет. Эти устройства оказались подвержены двум уязвимостям, которые отслеживаются под номерами CVE-2022-29303 и CVE-2023-293333, сообщили эксперты по кибербезопасности из Palo Alto Networks.

Уязвимостям присвоен рейтинг 9,8 из 10 с критическим статусом. Первая из них активно эксплуатируется с марта прошлого года, а с мая в открытом доступе находится исходный код её эксплойта, позволяющий установить на уязвимое устройство шелл — интерфейс удалённого контроля. Взломанное оборудование оказывается включённым в ботнет Mirai наряду с маршрутизаторами и устройствами интернета вещей.

Признаков использования уязвимости CVE-2023-23333 злоумышленниками не обнаружено, но рабочий код эксплойта появился в открытом доступе ещё в феврале, а к настоящему моменту несколько сценариев взлома выложены на GitHub. Contec уже выпустила обновление ПО для оборудования SolarView. По заявлению производителя, уязвимости закрыты в прошивках версий 8.0 и 8.10, но эксперты по кибербезопасности уверяют, что надёжную защиту от взломов обеспечивает только последняя. Впрочем, более двух третей работающих устройств SolarView до сих пор не получили ни одно из этих обновлений, выяснили в компании VulnCheck.

Общая сумма выплат «Яндекса» в рамках программы «Охота за ошибками», посвящённой поиску уязвимостей в продуктах и инфраструктуре компании, в 2023 году увеличивается до 100 млн руб. В «Яндексе» готовы выплачивать вознаграждения так называемым «белым хакерам», даже если заложенная фондом сумма будет исчерпана.

Источник изображения: yandex.ru/company

С начала года сумма выплат составила 35,5 млн руб. Значительную её долю принял январский конкурс, в рамках которого бонусы увеличивались десятикратно за обнаруженные ошибки в категориях Remote Code Execution и «SQL-инъекции». Наиболее крупные премии в этих зачётах составили 12 млн, 7,5 млн и 3,7 млн руб. — величина суммы определяется степенью критичности выявленной уязвимости, простотой эксплуатации и степенью угрозы данным пользователей.

В прошлом году размеры вознаграждений были навсегда увеличены вдвое. Обнаруженные исследователями SQL-инъекции, к примеру, оцениваются до 900 тыс., а не 450 тыс. руб. За 2022 год «Яндекс» выплатил 39,7 млн руб. вознаграждений. Самые крупные премии составили 2 млн, 1,2 млн и 1 млн руб. Всего в программе приняли участие 414 исследователей, от которых поступили 905 отчётов — уникальными и соответствующими правилам программы оказались 288 из них. В прочих случаях это были ошибки, ранее выявленные другими добровольцами или сотрудниками «Яндекса». Премии получили 277 экспертов, чьи уникальные сообщения оказались первыми. Один из участников программы прислал 64 отчёта и получил 43 выплаты. Все обнаруженные ошибки были исправлены.

Программу поиска уязвимостей «Яндекс» запустил в 2012 году — компания была первой в России. Теперь программа «Охота за ошибками» действует в «Яндексе» постоянно.

Очередной жертвой хакерской группировки Cl0p, активно эксплуатирующей уязвимость файлообменной платформы MOVEit стала компания Gen Digital, дочерними компаниями которой являются разработчики антивирусов Avast и Norton. В результате атаки добычей киберпреступников стали персональные данные сотрудников компании.

Источник изображения: Gerd Altmann / pixabay.com

Gen Digital подтвердила 20 июня, что в результате атаки вируса-вымогателя, эксплуатирующего уязвимость службы MOVEit, были похищены персональные данные сотрудников компании: имена, домашние адреса, рабочие идентификаторы и адреса электронной почты. В Gen Digital пояснили, что попытались устранить известные уязвимости в системе, но избежать атаки не смогли — при этом удалось избежать ущерба технологическим системам и службам компании, не были также похищены данные клиентов и партнёров.

В файлообменной службе MOVEit была обнаружена критическая уязвимость, которой присвоили номер CVE-2023-34362. Эксплуатация уязвимости осуществляется посредством SQL-инъекции, а специализируется на ней хакерская группировка Cl0p. Примечательно, что атака продолжилась после выпуска закрывающего уязвимость патча — пострадали уже более сотни организаций. В качестве дополнительных защитных мер рекомендуется «спрятать» приложение за VPN, прокси-сервером или посадочной страницей с формой авторизации.

Учёные Корнеллского университета (США) и Университета имени Бен-Гуриона (Израиль) разработали методику, которая позволяет перехватывать ключи шифрования со считывателей смарт-карт или смартфонов посредством анализа работы светодиодных индикаторов питания, съёмка которых производится при помощи обычных камер наблюдения или камеры iPhone.

Источник изображений: nassiben.com

Методика взлома не является принципиально новой — она основана на анализе сторонних физических показателей устройства, выполняющего криптографические операции. Тщательно отслеживая такие параметры как энергопотребление, звук, электромагнитное излучение или время, необходимое для выполнения операции, гипотетический злоумышленник может собрать достаточно информации для восстановления ключей криптографического алгоритма.

Впервые подобную атаку удалось осуществить японским и немецким шпионам во время Второй мировой войны. Они взломали ключ шифрования на телетайпе Bell Labs, установив рядом с ним осциллограф — возмущения на осциллографе возникали при вводе каждой буквы. В 2019 году огласке была предана уязвимость Minerva, позволявшая восстанавливать 256-битные ключи шифрования на смарт-картах через побочный канал. В прошлом году аналогичный принцип лёг в основу уязвимости Hertzbleed, обнаруженной у процессоров AMD и Intel — криптографические ключи восстановили по перепадам энергопотребления на чипах. Группа американских и израильских учёных восстановила 256-битный ключ шифрования ECDSA на смарт-карте, использовав высокоскоростную съёмку светодиодного индикатора питания на считывающем устройстве; и добилась аналогичных успехов с алгоритмом SIKE на смартфоне Samsung Galaxy S8 — его выдал индикатор питания на подключённых к нему USB-динамиках, а следила за индикатором камера iPhone 13 Pro Max.

Обе методики взлома имеют ограничения, которые делают их неосуществимыми при ряде условий в реальном мире. Но это частично компенсируется простотой атаки: не нужны ни осциллограф, ни электроды, ни другие компоненты, требующие непосредственного физического контакта с объектом атаки — не нужно даже непосредственной близости к нему. Камера, использованная для взлома ключа на смарт-карте, находилась на расстоянии 16 метров от считывающего устройства, а выполняющий данную задачу iPhone был установлен в той же комнате, что и взламываемый Samsung Galaxy, вплотную к индикатору питания на колонках.

Для последующего анализа достаточно стандартной камеры, направленной на светодиодный индикатор питания. Когда процессор устройства выполняет криптографические операции, это вызывает перепады в энергопотреблении устройства — из-за этих перепадов динамически меняется яркость, а иногда и цвет индикатора. Наилучшего эффекта удаётся добиться при использовании эффекта временно́го параллакса (rolling shutter), доступного на современных камерах. Этот эффект позволяет повысить частоту дискретизации камеры iPhone 13 Pro Max, и производить захват данных до 60 000 раз в секунду, но для этого кадр должен быть полностью заполнен изображением светодиодного индикатора на взламываемом устройстве. Хотя первоначально камера смартфона рассчитана на работу с частотой до 120 кадров в секунду.

Для успешного осуществления взлома, поясняют исследователи, необходимо устройство, на котором создаётся цифровая подпись или выполняется аналогичная криптографическая операция. Это устройство должно быть оснащено светодиодным индикатором питания, но в его отсутствие подойдёт подключённое к нему периферийное устройство с таким индикатором — важно, чтобы яркость или цвет индикатора соответствовали уровню энергопотребления основного устройства.

Злоумышленник должен иметь возможность постоянно записывать на видео индикатор питания основного устройства или подключённого к нему периферийного во время выполнения криптографической операции. В случае со считывателем смарт-карт предполагается, что злоумышленник сначала взломал направленную на него камеру наблюдения на расстоянии до 16 метров при условии прямой видимости. Предполагается также, что злоумышленнику подконтрольны зум и поворот камеры — подобные случаи в реальной жизни не так уж редки. Ещё одно условие — при расстоянии в 16 метров освещение в помещении должно быть отключено, а при работающем освещении необходимое расстояние снижается до 1,8 метра. Альтернативой камере наблюдения может быть iPhone. Для анализа необходима 65-минутная видеозапись постоянной работы считывателя смарт-карт. В случае со смартфоном Samsung Galaxy источником уязвимости является светодиодный индикатор на подключённых к нему USB-динамиках. Наконец, предполагается, что взламываемые устройства используют кодовую базу, которая не была исправлена после раскрытия уязвимостей Minerva и Hertzbleed.

Как выяснилось, в реальной жизни эти ограничения не являются залогом безопасности. Исследователи обнаружили, что подверженные атаке считыватели смарт-карт шести моделей продаются на Amazon. В их описании присутствуют слова «Министерство обороны» и «военный», да и сами эти устройства продолжают использоваться вооружёнными силами США для удалённого подключения к несекретным сетям. В корпорациях, муниципальных ведомствах и органах государственной власти ограничения явно носят ещё менее строгий характер. Стоит также отметить, что после огласки уязвимости Hertzbleed компания Samsung решила отказаться от алгоритма SIKE, который использовался на смартфоне Galaxy S8.

Профильные специалисты отметили, что важность исследования американских и израильских учёных трудно переоценить. Раньше для подобных атак требовался физический контакт со взламываемым устройством, что делало их реализацию маловероятной в реальной жизни. Теперь же выяснилось, что аналогичных результатов можно достичь при помощи стандартного оборудования — в опытах учёные использовали камеры разрешения Full HD с 8-битным цветом и 25-кратным зумом. Современные смартфоны вроде iPhone 14 Pro Max и Samsung Galaxy S23 Ultra поддерживают 10-битный цвет, а профессиональные видеокамеры поддерживают 12 и 14 бит глубины цвета. Всё это, как и более высокие показатели зума на современных камерах наблюдения, поможет повысить эффективность удалённой атаки.

Для защиты от уязвимости авторы исследования предложили несколько контрмер. К светодиодному индикатору питания можно подключить конденсатор, который будет играть роль «фильтра нижних частот», или усилитель. Но пока неясно, воспользуются ли этим советом производители. А пока владельцам считывающих устройств остаётся разве что демонтировать или заклеить эти индикаторы.

В результате массированной кибератаки, эксплуатирующей уязвимость файлообменной программы MOVEit, неизвестные хакеры получили в распоряжение данные, принадлежащие платёжной службе Zellis, властям канадской провинции Новая Шотландия, авиакомпании British Airways, телерадиовещателю BBC и розничной сети Boots.

Источник изображения: ipswitch.com/moveit

Первые признаки активной эксплуатации уязвимости обнаружены 27 мая. Атака производится при помощи SQL-инъекции, то есть исполнения вредоносного кода на языке структурированных запросов (SQL) к базе данных. Злоумышленники атакуют облачные ресурсы или выделенные платформы MOVEit, размещая в них шелл — веб-оболочку для несанкционированного доступа. Шелл часто носит имя «human2.aspx» или «human2.aspx.lnk», маскируясь под файл «human.aspx», являющийся стандартным компонентом службы MOVEit Transfer.

Ответственная за разработку MOVEit компания Progress закрыла уязвимость только 31 мая, то есть через четыре дня после начала атаки. И только в минувшее воскресенье, 4 июня, Microsoft сообщила, что за кибератакой стоит русскоязычная хакерская группировка Clop. Как установили эксперты по кибербезопасности, кража данных чаще всего производится в течение двух часов после запуска эксплойта.

Причастность русскоязычных хакеров пока не получила доказательств: ни одна из жертв, в число которых входят мелкие и крупные организации, пока не получила требований о выкупе. Более того, на сайте самой Clop о последней серии кибератак не говорится ничего. Эксперты по кибербезопасности ожидают, что такие требования начнут поступать в ближайшие дни или недели.

Безопасность Gmail всегда была в числе основных преимуществ почтового сервиса Google. Теперь же стало известно, что одна из введённых недавно функций обеспечения безопасности платформы активно используется мошенниками.

Источник изображения: Solen Feyissa / unsplash.com

В прошлом месяце в Gmail появились синие галочки верификации, которыми отмечаются пользователи, подтвердившие свою личность. Это нововведение должно помочь понять, поступило ли то или иное сообщение от легитимного источника или же оно было отправлено мошенниками. Например, сообщения от компаний, помеченные синей галочкой, не должны вызывать подозрений, поскольку отправитель прошёл верификацию.

На деле же оказалось, что не всем письмам с синей галочкой можно доверять. Исследователь в сфере информационной безопасности Крис Пламмер (Chris Plummer) заявил, что мошенники нашли способ обхода упомянутого способа обеспечения безопасности. В доказательство этого он опубликовал снимок экрана с сообщением от мошенников, выдающих себя за службу доставки UPS. В нём получателю предлагается перейти по ссылке для подтверждения своих данных перед получением посылки.

Источник изображения: Chris Plummer / Twitter

Исследователь обратился в Google, чтобы сообщить о проблеме, но сначала представители службы безопасности компании не восприняли всерьёз его заявление. Однако вскоре сообщение о том, что мошенники каким-то образом могут обманывать систему верификации Google, привлекло внимание пользователей интернета. На этом фоне Google сообщила о начале проведения проверки, по результатам которой проблема будет устранена.

Компания Gigabyte быстро отреагировала на отчёт исследовательской компании Eclysium, которая обнаружила серьёзную уязвимость в прошивке Gigabyte UEFI материнских плат. Производитель выпустил бета-версию нового программного обеспечения для своих плат, которое снижает потенциальную угрозу безопасности.

Источник изображения: Gigabyte

Список затронутых плат Gigabyte оказался весьма внушительным и охватывает более 250 моделей на чипсетах Intel 400-й, 500-й, 600-й и 700-й серий, а также AMD 400-й, 500-й и 600-й серии. Для части материнских плат уже можно скачать новую прошивку с официального веб-сайта Gigabyte.

К сожалению, Gigabyte не предоставила детальной информации о новой прошивке. Однако по словам производителя, в новой версии UEFI используются повышенные меры безопасности во время загрузки ПК. Компания отмечает, что новые защитные механизмы направлены на определение и предотвращение выполнения вредоносных действий в процессе загрузки ПК.

Компания также внесла значительные изменения со стороны удалённых серверов, с которых происходит загрузка прошивок. В частности, был усовершенствован процесс проверки подписи для файлов с удалённых серверов. Новый механизм безопасности проводит более тщательную проверку целостности файлов, чтобы потенциальные киберпреступники не могли перехватить процесс загрузки и вставить в него свой собственный код BIOS для материнской платы ПК.

Кроме того, Gigabyte включила в BIOS стандартную криптографическую проверку сертификатов для удалённых серверов. Она отвечает за различные права доступа. В BIOS эта функция была ранее стандартно отключена. Почему — неизвестно.

Первыми обновлённые прошивки получат владельцы материнских плат Intel 600-й и 700-й серии, а также AMD 400-й и 600-й серии. Чуть позже компания выпустит обновления ПО для плат на чипсетах Intel 500-й и 400-й серий, а также AMD 600-й серии. Они также будут доступны на официальном сайте Gigabyte на страницах соответствующих продуктов.

Исследовательская компания Eclysium обнаружила серьёзную уязвимость в прошивке Gigabyte UEFI, установленной на сотнях моделей материнских плат. Бэкдор позволяет установить обновления BIOS с незащищённых веб-серверов. Этот код Gigabyte использовала для установки обновлений BIOS либо через Интернет, либо из подключённого хранилища в локальной сети. Но инструмент не имеет защиты и осведомлённый злоумышленник может загрузить свой собственный код BIOS в материнскую плату ПК.

Источник изображения: pexels.com

Проблема была обнаружена в исполняемом файле утилиты Gigabyte App Center, который может устанавливать новую прошивку UEFI BIOS, загружая её с незащищённого сервера Gigabyte и устанавливая программное обеспечение без какой-либо проверки цифровой подписи.

Эта уязвимость системы безопасности может привести к тому, что злоумышленники будут использовать OEM-бэкдор для загрузки вредоносного кода, такого как руткиты, либо сразу на компьютер пользователя, либо через компрометацию собственного сервера Gigabyte. Также возможны атаки типа «человек посередине», перехватывающие процесс загрузки. Eclysium опубликовала три URL-адреса Gigabyte, которые рекомендуется заблокировать пользователям для предотвращения обновлений через Интернет.

Затронуты сотни моделей розничных и корпоративных материнских плат, в том числе некоторые из новейших системных плат для сборщиков систем высокого класса. В списке плат с бэкдором фигурирует 271 модель, включая продукты на базе чипсетов A520, A620, B360, B450, B460, B550, B650, B660, Z590, Z690, а полный список можно посмотреть здесь (ссылка в формате PDF). Eclysium сообщает, что проинформировала Gigabyte об уязвимости и что компания планирует решить проблему, предположительно, с помощью обновления прошивки, что не может не вызвать нервную усмешку. С подробной технической информацией об обнаружении уязвимости можно ознакомиться в блоге компании Eclysium.

Эксперты Microsoft обнаружили в Apple macOS уязвимость, которой присвоили условное название Migraine («Мигрень») — дело в том, что она эксплуатируется через компонент Migration Assistant и обходит систему защиты System Integrity Protection (SIP), которая дебютировала ещё в OS X El Capitan в 2015 году.

Источник изображения: apple.com

Средство защиты SIP добавляет системе несколько дополнительных уровней безопасности, блокируя доступ приложений и возможность изменения системных файлов на корневом уровне. Функцию можно отключить вручную, но это непросто, а Microsoft нашла способ, посредством которой злоумышленники могли бы эту защиту обходить.

В обычных условиях Migration Assistant работает только при настройке новой учётной записи пользователя, то есть для эксплуатации уязвимости гипотетическому хакеру необходим физический доступ к компьютеру для полного выхода из системы. Для демонстрации эксплойта исследователи из Microsoft изменили Migration Assistant, чтобы инструмент работал без выхода из системы, а приложение Setup Assistant запустили в режиме отладки — так оно игнорирует изменения в Migration Assistant. Далее потребовалась резервная копия системы для её установки на компьютер — исследователи подготовили образ Time Machine объёмом 1 Гбайт с интегрированными вредоносными компонентами и запустили AppleScript, который монтировал эту копию без участия пользователя. В результате появилась возможность запускать на компьютере произвольный код.

Microsoft уведомила Apple об уязвимости, и её закрыли с обновлением macOS 13.4 от 18 мая — пользователям компьютеров Mac рекомендовано оперативно его установить.

В поставляемом в комплекте с Windows 10 текстовом редакторе WordPad обнаружена уязвимость, которая эксплуатируется киберпреступниками для распространения вируса Qbot. Об этом сообщил один из экспертов сообщества Cryptolaemus.

Источник изображения: Gerd Altmann / pixabay.com

WordPad при запуске производит поиск файлов DLL, необходимых ему для корректной работы. Их поиск он начинает с папки, в которой расположен исполняемый файл программы, и при обнаружении они автоматически запускаются, даже если являются вредоносными. Такой способ атаки называется «подгрузкой» или «перехватом» DLL — практика достаточно известная и распространённая: ранее злоумышленники аналогичным образом эксплуатировали уязвимость «Калькулятора» в Windows.

Когда WordPad запускает вредоносный DLL-файл, тот, в свою очередь, обращается к исполняемому Curl.exe из папки System32 — последний же используется для загрузки выдающего себя за изображение формата PNG вредоносного файла DLL. Этот DLL на самом деле оказывается старым трояном Qbot, который производит перехват электронных писем, помогает злоумышленникам в организации фишинговых атак и инициирует загрузку других вирусов, например, Cobalt Strike.

Опасность этого метода для пользователей состоит в том, что он использует ресурсы легитимной программы WordPad — есть риск, что антивирус на неё не отреагирует, и атака пройдёт незамеченной. Ещё одним звеном атаки является утилита Curl.exe, которая отсутствует в стандартной комплектации Windows до десятой версии.

Учёные Tencent Labs и Чжэцзянского университета (КНР) открыли способ взломать защиту сканера отпечатков пальцев на смартфоне, используя метод брутфорс. Для этого необходимы физический доступ к устройству и достаточно времени.

Источник изображения: Lukenn Sabellano / unsplash.com

В устройствах под управлением Android, основанной на ней HarmonyOS, а также в очень ограниченных масштабах в Apple iOS, присутствуют две уязвимости «нулевого дня», обозначенные как Cancel-After-Match-Fail («отмена после несовпадения») и Match-After-Lock («сверка после блокировки»). Эксплуатируя эти уязвимости, исследователям удалось заставить мобильные устройства принимать бесконечное количество попыток сканирования отпечатков пальцев, а также использовать академические базы данных, базы утечек биометрии и прочие источники.

Для осуществления атак гипотетическим злоумышленникам требуется физический доступ к смартфону и оборудование стоимостью $15. При осуществлении атаки, которую эксперты назвали BrutePrint, при использовании взламывающего оборудования с поддержкой одного отпечатка пальцев требуется от 2,9 до 13,9 часа — если оборудование поддерживает несколько записанных отпечатков, время в среднем составляет от 0,66 до 2,78 часа.

Исследователи испытали технологию на десяти «популярных моделях смартфонов» и на паре iPhone. Названия моделей не приводятся, но учёные сообщили, что для устройств под Android и HarmonyOS им удалось добиться бесконечного числа попыток, а вот для гаджетов под iOS — это были iPhone SE и iPhone 7 — удалось добиться лишь десяти дополнительных, чего явно недостаточно для взлома.

Авторы исследования делают вывод, что метод BrutePrint едва ли окажется привлекательным для обычного киберпреступника, а вот для государственных структур он вполне подойдёт.