Новости информационной безопасности

На сайте Роскомнадзора появилось довольно странное сообщение, озаглавленное «Вниманию компаний, использующих в работе VPN-сервисы». Многие расценили этот пост как сигнал о скорой блокировке сервисов Hola!VPN, ExpressVPN, KeepSolid VPN Unlimited, Nord VPN, Speedify VPN и IPVanish VPN.

«В соответствии с требованиями регламента реагирования информируем о планируемом введении централизованного управления в отношении средств обхода ограничения запрещенной в силу закона информации.

В ведомства направлен запрос с просьбой информировать Центр мониторинга управления сетями связи общего пользования (ЦМУ ССОП) об использовании сервисов VPN (Hola!VPN, ExpressVPN, KeepSolid VPN Unlimited, Nord VPN, Speedify VPN, IPVanish VPN) для обеспечения работы технологических процессов предприятий и организаций», — пишет Роскомнадзор.

Пока неясно, о каких именно ведомствах идет речь. Так, глава «Общества защиты интернета» Михаил Климарев пишет в своем Telegram-канале:

«Вопрос стоит так: а, типа, вы используете ДЛЯ РАБОТЫ перечисленные сервисы VPN? То есть, кто-то из ВЕДОМСТВ может использовать сервисы публичного VPN  из списка для работы. Я правильно понимаю, что российские ведомства вполне себе могут использовать VPN для обхода блокировок? (а иначе нафига они)».

Напомню, что в середине июня 2021 года на территории РФ уже были заблокированы VyprVPN и Opera VPN, «в соответствии с регламентом реагирования на угрозы обхода ограничений доступа к детской порнографии, суицидальному, пронаркотическому и иному запрещенному контенту».

Эксперты «Лаборатории Касперского» проверили безопасность приложений для онлайн-знакомств, проанализировав девять наиболее популярных приложений в мире: Tinder, Bumble, OkCupid, Mamba, Pure, Feeld, Her, Happn и Badoo (версии для iOS и Android). Результаты исследования сравнили с результатами аналогичного анализа 2017 года.

Оказалось, теперь сервисы для знакомств лучше защищены с технической точки зрения, особенно в вопросе перехвата данных. Однако по-прежнему сохраняются риски в области приватности: в таких приложениях хранится много личной информации, которая может быть использована для киберсталкинга (преследования в интернете) и доксинга (публикации данных о человеке без его ведома и согласия для нанесения вреда его репутации).

В 2017 году в четырех из девяти изученных приложений можно было перехватывать отправляемые данные, и многие использовали HTTP. В 2021 году ситуация значительно улучшилась. Так, ни одно из изученных приложений не использует HTTP, и данные вообще не передаются, если протокол небезопасный.

Но сохраняется множество проблем с приватностью. К примеру, в большинстве изученных сервисов можно зарегистрироваться с помощью аккаунта в социальной сети. В этом случае данные из него автоматически подтягиваются в новый профиль. Также пользователям предлагают добавить информацию о том, где они работают или учатся. Такие подробности упрощают поиск человека в социальной сети, где, если не включены настройки приватности, о нем можно узнать еще больше.

Пользователи Happn, Her, Bumble и Tinder обязаны указывать свое местоположение. Некоторые приложения, такие как Mamba, показывают его с точностью до метра. У Happn есть дополнительная функциональность, которая позволяет владельцам аккаунтов видеть, сколько раз и где они пересекались со своим мэтчем (человеком, ответившим взаимностью в приложении). Все эти данные, а также содержимое чатов и фотографии, могут быть использованы для сталкинга в сети или реальном мире, а также для доксинга.

Mamba — единственное из изученных приложений, в котором можно делать фотографии размытыми бесплатно, а Pure — единственное, в котором запрещено делать скриншоты чатов.

Некоторые дополнительные опции, связанные с обеспечением приватности, являются платными. Так, в платных версиях большинства изученных сервисов можно включить режим инкогнито. В этом случае профиль видят только те пользователи, которым его владелец выразил симпатию. В платных версиях Tinder и Bumble можно вручную выбрать регион и не давать более конкретных уточнений по местоположению.

Увы, как и по результатам прошлого исследования, в большинстве приложений для Android переписка и кешированные фото хранятся на устройстве. То есть злоумышленник может получить к ним доступ с помощью малвари.

Mamba и Badoo и вовсе присылают письмо со сгенерированным паролем для входа в аккаунт в открытом виде, что точно нельзя отнести к хорошим практикам в области безопасности.

«Активно присутствовать в сети и при этом сохранять приватность данных довольно непросто. Это ярко иллюстрируют приложения для онлайн-знакомств. Люди хотят знакомиться и общаться в интернете, но так, чтобы это было безопасно. Мы видим, что в последние несколько лет дейтинговые сервисы стали более защищенными, особенно их платные версии. Надеемся, что в будущем функции, важные для сохранения приватности, будут доступны бесплатно во всех подобных приложениях. Лучшее, что могут сделать владельцы аккаунтов в дейтинговых сервисах для своей цифровой безопасности, — тщательно следить за тем, какие данные о себе они сообщают в профилях и чатах», — комментирует Татьяна Шишкова, эксперт по кибербезопасности «Лаборатории Касперского».

Голландская компания Tesorion выпустила бесплатный дешифратор для данных, пострадавших в результате атак вымогателя Lorenz. Теперь некоторые файлы можно восстановить бесплатно, без уплаты выкупа.

Шифровальщик Lorenz «работал» с апреля 2021 года и атакует только корпоративные цели. За это время на сайте его операторов были опубликованы данные двенадцати жертв, чью информацию похитили хакеры. По мнению ИБ-исследователей, код вымогателя базируется на коде старых семейств малвари ThunderCrypt и SZ40.

Созданный специалистами Tesorion дешифратор можно загрузить с сайта NoMoreRansome. В отличие от других аналогичных инструментов, которые обычно работают с фактическим ключом дешифрования, этот дешифратор работает иначе и поможет восстановить только определенные типы файлов. В частности, можно расшифровать файлы с хорошо известной структурой, включая документы Office, файлы PDF, а также некоторые типы изображений и фильмов. А вот с файлами неизвестных типов или с необычной структурой инструмент Tesorion, к сожалению, не справится.

Также исследователи опубликовали информацию о технике шифрования, которую использует  Lorenz. В блоге компании рассказывается, что в коде хакеров была обнаружена ошибка, которая может привести к потере данных и помешать расшифровке файлов, даже если злоумышленникам был выплачен выкуп.

«В результате этой ошибки для каждого файла, чей размер кратен 48 байтам, последние 48 байт теряются. Даже если вам удалось получить дешифратор от авторов малвари, эти байты уже не могут быть восстановлены», — объясняют специалисты.

Русскоязычная хак-группа APT29 (также известная под именами Cozy Bear, Nobelium или The Dukes) скомпрометировала центральный банк Королевства Дания и сохраняла доступ к сети финансового учреждения несколько месяцев, сообщает местное издание Version2.

Напомню, что ранее американские власти официально возложили ответственность за атаку на компанию SolarWinds именно на  APT29 и российские спецслужбы. По данным властей, хакеры «использовали платформу SolarWinds Orion и другие ИТ-инфраструктуры в рамках широкомасштабной кибершпионской кампании».

Взлом SolarWinds стал одной из наиболее масштабных атак на цепочку поставок в истории. В декабре 2020 года стало известно, что неизвестные злоумышленники атаковали компанию и заразили ее платформу Orion малварью.

Согласно официальным данным, среди 300 000 клиентов SolarWinds только 33 000 использовали Orion, но недавно сообщалось, что хотя зараженная версия платформы и была установлена примерно у 18 000 клиентов, реально от атак пострадали лишь около 100 из них. Тем не менее, в результате этого инцидента жертвами хакеров стали такие гиганты, как Microsoft, Cisco, FireEye, а также множество правительственных агентств США, включая Госдеп, Министерство юстиции и Национальное управление по ядерной безопасности.

 «Бэкдор SolarWinds в Национальном банке Дании был активен на протяжении семи месяцев, прежде чем атака была случайно обнаружена американской компанией Fire Eye», — заявляет  Version2, ссылаясь на официальные документы, полученные от банка после запроса в рамках закона о свободе информации.

Хотя злоумышленники провели в сети банка долгое время, представители датского ЦБ уверяют, что не обнаружили каких-либо доказательств компрометации после этой стадии атаки (как это произошло с множеством других организаций, которые установили троянизированную версию Orion). Похоже, банк стал побочной жертвой более крупной хакерской операции и не представлял интереса для злоумышленников.

В сети был опубликован PoC-эксплоит для опасной уязвимости в Windows Print Spooler (spoolsv.exe). Этот баг имеет идентификатор CVE-2021-1675 или носит имя PrintNightmare. Он был исправлен Microsoft всего пару недель назад, в рамках июньского «вторника обновлений».

Служба Windows Print Spooler является универсальным интерфейсом между ОС, приложениями и локальными или сетевыми принтерами, позволяя разработчикам приложений отправлять задания на печать. Эта служба присутствует в составе Windows с 90-х годов и печально известна благодаря огромному количеству связанных с ней проблем. В частности, с Windows Print Spooler были связаны такие уязвимости, как PrintDemon, FaxHell, Evil Printer, CVE-2020-1337 и даже ряд 0-day багов, которые использовались в атаках Stuxnet.

Новейшая проблема CVE-2021-1675 была обнаружена экспертами компаний Tencent Security, AFINE и NSFOCUS в начале текущего года. Изначально баг был классифицирован как малоопасная уязвимость повышения привилегий, позволявшая злоумышленникам получить права администратора. Однако на прошлой неделе Microsoft обновила описание ошибки, сообщив, что проблема чревата удаленным выполнением произвольного кода.

Ранее о CVE-2021-1675 не было известно практически ничего, так как эксперты не публиковали технических описаний проблемы или эксплоитов для нее. Но на прошлой неделе китайская компания QiAnXin показала файл GIF, где продемонстрировала работу своего эксплоита для CVE-2021-1675. При этом компания не опубликовала никаких технических подробностей и сам эксплоит, чтобы дать пользователям больше времени на установку патчей.

Recently, we found right approaches to exploit #CVE-2021-1675 successfully, both #LPE and #RCE. It is interesting that the vulnerability was classified into #LPE only by Microsoft, however, it was changed into Remote Code Execution recently.https://t.co/PQO3B12hoE pic.twitter.com/kbYknK9fBw

— RedDrip Team (@RedDrip7) June 28, 2021

Однако теперь на GitHub выложили подробный отчет с техническим описанием проблемы, а также работающий PoC-эксплоит. Похоже, это произошло из-за чьей-то ошибки, и репозиторий был отключен спустя несколько часов. Впрочем, даже за этот короткий промежуток времени его успели клонировать несколько других пользователей.

В этом «утекшем» документе, написанном тремя аналитиками из китайской компании Sangfor, подробно описывается, как эксперты обнаружили ошибку независимо от вышеупомянутых экспертов.

«Мы тоже нашли эту уязвимость и надеялись сохранить ее в секрете, чтобы принять участие в Tianfu Cup [хакерское соревнование, проводящееся в Китае]», — писали эксперты Sangfor, объясняя, что после того как QiAnXin опубликовала демонстрацию своего эксплоита, они сочли, что пора опубликовать свой отчет и PoC.

Впрочем, через несколько часов после этого заявления команда отказалась от своих слов (похоже, эксперты решили не раскрывать все детали своего выступления, запланированного на конференции Black Hat USA 2021) и удалила репозиторий с GitHub. Но было уже поздно, PoC-эксплоит стал достоянием общественности.

Так как уязвимость CVE-2021-1675, которую в Sangfor назвали PrintNightmare, затрагивает все версии Windows и может влиять даже на XP и Vista, используясь для удаленного выполнения кода, компаниям настоятельно рекомендуется как можно скорее обновить свой парк машин под управлением Windows.

UPD.

Сразу несколько ИБ-специалистов предупредили (1, 2, 3), что выпущенный ранее в этом месяце патч исправил лишь первоначальный баг, связанный с повышением привилегий, но не защищает от RCE. По сути, установка исправления для CVE-2021-1675 не защищает от возможных атак, и теперь системным администраторам рекомендуется отключить Windows Print Spooler, особенно на серверах, работающих в качестве контроллеров домена.

У всех нас есть лай­фха­ки и инс­тру­мен­ты, уско­ряющие работу с опре­делен­ными задача­ми и сис­темами. У девоп­сов и адми­нис­тра­торов обла­ков таких инс­тру­мен­тов дол­жно быть едва ли не боль­ше всех, потому что сер­висов, с которы­ми работать, — мно­го, а тер­минал один. В этой статье я делюсь сво­им опы­том работы с облачны­ми сис­темами и решени­ем мел­ких задач, которые воз­ника­ют каж­дый день.

ZSH

Нач­нем с самого час­то исполь­зуемо­го инс­тру­мен­та — интер­пре­тато­ра коман­дной стро­ки. Я исполь­зую zsh — из

На прошлой неделе NAS производства Western Digital подверглись атакам, в результате которых с устройств были удалены все файлы, и пользователи лишились возможности войти в систему через браузер или приложение, получая ошибку «неверный пароль». Тогда разработчики попросили владельцев NAS временно отключить девайсы от интернета.

Инженеры Western Digital сообщали, что, по их мнению, устройства могли быть скомпрометированы с использованием  некой уязвимости, так как они были подключены к интернету напрямую. При этом последнее обновление прошивки для WD My Book Live вышло в 2015 году, а после этого был обнаружен критический баг CVE-2018-18472,  для которого сразу появился эксплоит. В итоге многие решили, что в атаках использовалась именно эта уязвимость, однако все оказалось не так просто.

Как теперь сообщают эксперты компании Censys, последняя прошивка для My Book Live содержала уязвимость нулевого дня, которая получила идентификатор CVE-2021-35941 и позволяет удаленному злоумышленнику выполнить сброс устройства к заводским настройкам.

Если обычно подобная процедура, осуществляющаяся через консоль удаленного администрирования, требует, чтобы администратор прошел аутентификацию, то в скрипте system_factory_restore проверки аутентификации закомментированы, что позволяет любому, у кого есть доступ к устройству, выполнить сброс. Именно этой проблемой воспользовались неизвестные на прошлой неделе.

Однако аналитики Censys пишут, что первые теории об эксплуатации старого, неисправленного бага CVE-2018-18472 тоже оказались верны. Злоумышленники массово используют эту RCE-уязвимость, чтобы сделать  доступные устройства My Book Live частью ботнета. С помощью этого бага хакеры загружают на устройство скрипт с удаленного сайта, а затем выполняют его.

Одна из полезных нагрузок этой кампании была загружена на VirusTotal, и компания «Доктор Веб» отслеживается ее как Linux.Ngioweb.27. Это известный Linux-ботнет, нацеленный на IoT-устройства. Также в атаках был замечен еще один пейлоад, но пока неясно, к какому семейству малвари он принадлежит. В итоге устройства My Book Live могут использоваться для осуществления DDoS-атак, выполнения команд или кражи файлов.

Интересно, что при этом операторы ботента защищают свои скрипты паролями, чтобы предотвратить захват NAS конкурирующими ботнетами и другими хакерами. Из-за этого у ИБ-специалистов появилась теория о том, что недавние атаки со сбросом к заводским настройкам могут быть связаны с активностью данного ботнета. Дело в том, что стирание данные могло быть делом рук операторов конкурирующего ботнета, которые стремились перезагрузить устройства, чтобы захватить контроль над ним, или просто насолить соперникам, сделав NAS бесполезными.

Стоит отметить, что представители Western Digital уже сообщили, что компания предоставит всем пострадавшим услуги по восстановлению данных.