Пробив в сигурността

Опитите за кражба на криптовалути стават все повече и все по-чести. Последният по-сериозен пример до момента е атака от началото на юли месец, в която са били спрени над 2.3 млн. опита за подмяна на информация за притежатели на криптовалути през един от сайтовете посредници.

Защо? Защото само за година Bitcoin е увеличил стойността си повече от 3 пъти и към 31 юли се продава срещу 8,155.24 USD. Как всъщност се крадат криптовалути и как да предпазите своя портфейл?

В долните редове може да се запознаете с 6-те най-използваните метода.

 1. Приложения от Google Play и Apple App Store

Особено характерно за потребителите на смартфони, които не се защитават адекватно, е да станат жертви на измамни приложения. Те изглеждат сякаш идват от определени крипто организации – Coin Miner, Eth Miner и др. При стартирането на приложението от потребителят се изисква да въведе чувствителните си данни, за да получи достъп до своите профили и по този начин дава достъп на хакерите до профила си.

2. Ботовете в Slack

Slack ботове, които се използват за кражба на криптовалута, се превърнаха в най-бързо развиващата се и използвана система от измамниците. Тази атака се осъществява посредством бот, който изпраща уведомление към потребителите за даден проблем с техния криптопортфейл.
Когато потребителят последва линка, той трябва да въведе частния си ключ за достъп до криптопортфейла – и го отваря за кражба.

Прочетете повече от какво и как да защитите Android устройството си.

3. Add-ons и Pop-ups за криптотърговия

Повечето браузъри днес предлагат персонализиране на потребителския интерфейс за по-удобна работа с криптопортфейли и обмен на валути. Проблемът е, че някои тези добавки са силно уязвими към хакерски атаки. Голяма част от тези разширения могат да се използват и за скрито копаене на валути, което използва ресурсите на компютъра ви и често остава незабележимо.

4. Автентикация чрез SMS 

По-голяма част от потребителите избират да използват мобилна автентикация, тъй като смартфонът е винаги в джоба им. SMS съобщенията се изпращат навсякъде по света чрез протокола Signaling System 7 (SS7). Специалисти демонстрираха прихващането на текстови съобщения, използвайки свой собствен изследователски инструмент, който използва слабостите за прихващане на този тип трафик . Демонстрацията беше направена, използвайки сметки на Coinbase, шокирайки потребители на борсата. Това доказва, че дори и 2FA чрез SMS не ви дава пълна безопасност.

5. Публични Wi-Fi мрежи

Никога не правете важни транзакции през публична мрежа, дори и да използвате най-сигурния VPN. Кракването на WiFi защита е особено наболяла тема, тъй като до голяма степен, все още се използват остарели защитни стандарти. В новите пък, биват открити уязвимости, като добър приер за това е Krack атаката, която позволява на външен потребител да шпионира трафика на мрежата, без да е в нея.

6. Клониране на сайт

Въпреки че, част от описаните до момента методи са до някаква степен базирани на този, добрия стар чист фишинг продължава да е главозамайващо ефективен. При този тип атака се клонира или изработва страница, която изисква въвеждането на лични данни. В последствие, потребителите биват привлечени към нея по един или друг начин, а всеки, който въведе данните си може да се сбогува с каквато и наличност да има в криптопортфейла си.

Добрата новина е, че намирането на пробойни в потребителската защита става все по-трудно, тъй като не само услугите се усъвършенстват, но и самите потребители. Все повече хора използват многослойна автентикация и антивирусен софтуер, който предпазва от конвенционални атаки. Фокусът на хакерите вече се измества към създаването и разпространението на код, който копае валути в тяхна полза чрез чужди машини.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.

Над 360 американски затворници са успели да откраднат средства благодарение на приложение, което използват докато излежават присъдите си.

Компроментираното приложение се предоставя от фирмата JPlay и включва онлайн услуги и таблети, които затворниците под свободен режим ползват за развлечения и комуникация.

Компанията производител отказва да съобщи точно как защитата е била преодоляна. От наличната информация, обаче става ясно, че затворниците са манипулирали стойността на преводите, които устройството получава. Така те са добавяли финанси към акаунтите си, които са били използвани за закупуването на музика, книги, изпращането на имейли и др.

Всяка от тези услуги, макар и безплатна за хората на свобода, се заплаща в системата на JPlay.

От компанията – производител съобщиха, че уязвимостта вече е патчната и продължава да се работи по подобряването на сигурността. В инцидента не са пострадали пари на данъкоплатци или други трети страни. Похарчените суми не са реални, а просто измамни стойности, които фигурират само в системата на JPlay.

Затворниците са получили наказание под формата на лишаването от развлекателни и комуникационни привилегии и преместването в по-високо охранявана част на затвора.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.

Последен ъпдейт на 28 юни 2018 в 11:27 ч.

Специалистите от Symantec са намерили доказателства, че атакуващите са търсили достъп до информационни системи, които управляват и наблюдават сателити. Също така са засечени атаки и опити към специализираните софтуерни пакети, които са част от подсистемите в сателитната инфраструктура. Прочетете повече »

Последен ъпдейт на 28 юни 2018 в 11:28 ч.

Анализатори на зловреден код в един от най-големите доставчици на антивирусни решения ESET, са открили нов щам на Android RAT, известен като HeroRat. Интересното в случая е, че се използва Telegram протокол за командване и контрол, както и за ексфилтриране на данни.Прочетете повече »

Последен ъпдейт на 28 юни 2018 в 13:16 ч.

Проучване на Accenture и института Ponemon ни показа, че финансовите услуги са били (и остават) основна цел на кибер-атаките през миналата година. Средните отчетени щети за фирма от сектора според проучването са на стройност 18 милиона USD. Това е над 62% ръст в стойността спрямо данните от подобни проучвания от 2013 г. Проучването е проведено за общо 15 сектора на промишлеността в седем различни държави.

Атаките срещу услуги, които използвате, са атаки срещу вас

Най-силно засегнати са финансовите услуги в САЩ, което не е изненада, тъй като те представляват огромен дял от индустрията. Интересното, е че заразяването с вируси представлява най-малкият дял от щетите, докладвани в проучването. От другата страна стоят водещите вредители – denial of service (DoS) атаки, които спират принудително достъпа до различни услуги и фишинг атаки, които целят да експлоатират човешкия фактор в системата като се възползват от доверчивостта на потребителите (нас).

Най-сериозните пробиви в сигурността през изминалата година не просто доведоха до загуби на приходи – те доведоха до загуби на потребителски данни. Милиони записи лична информация бяха източени, а щетите от това не могат да бъдат лесно преценени. От страна на бизнеса, най-големи щети се причиняват от атаки, които спират достъпа до услуги (DDoS и DoS).

Ситуацията все още не се подобрява

Атаките към бизнеса продължават да стават по-мащабни, по-сложни и по-унищожителни. Миналата година станахме свидетели на феномени като WannaCry, Petya и NotPetya, които причиниха щети за стотици милиони долари на компании от цял свят. Няма как да измерим дали мерките за сигурност се подобряват, но атаките видимо стават все по-опасни.

Лъч светлина за гражданите на ЕС е въвеждането на новия регламент за съхранение на лични данни (GDPR). Тя задължава всички компании, които имат потребители от ЕС да въведат защитни способи като криптиране на съхраняваните данните. Това не е крайна гаранция за сигурността ви, но и няма как да имате такава. Със сигурност е стъпка напред в предотвратяването на източване на данни и предпоставка да се наслаждавате на удобството на дигиталните услуги по-спокойно.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

 

Последен ъпдейт на 28 юни 2018 в 13:17 ч.

Критични уязвимости в 17 модела рутери на Netgear откри изследователят Мартин Рахманов от Trustwave. Притесняващото при тях е, че позволяват на атакуващите да получат достъп до мрежата с минимално усилие. Става въпрос за атака от тип „remote authentication bypass”, която засяга всички рутери с позволена отдалечена конфигурация. Експлоатирането на уязвимостта е тривиално – всичко, което трябва да направите, за да добиете достъп е да добавите “&genie=1” към URL заявка.

Вече са пуснати патчове за уязвимостта от Netgear, но всички, които не са обновили фърмуеъра си все още подлежат на атаки. Затова, обновете фърмуеъра си, преди да продължите да четете тази статия.

Всичко се дължи на един несигурен скрипт

Уязвимият скрипт е част от потребителския back-end и се казва genie_restoring.cgi. Експлоатацията му може да позволи различни видове атаки като DNS подмяна (пренасочване към злонамерени сайтове), както и достъп до файловата система на рутера (кражба на пароли и подмяна на настройки).

Още една уязвимост е открита при шест от моделите. При установяване на връзка чрез WPS, в периода за свързване всеки атакуващ може да изпълнява команди с root привилегии.

Засегнати модели и версия на фирмения софтуер

Тук можете да видите уязвимите модели рутери и последната уязвима версия на фирмения им софтуер. Ако използвате рутер, който е в таблицата и използва тази или предишна версия на фърмуеъра, назабавно го обновете!

Модел	Последна уязвима версия
D6220	1.0.0.26
D6400	1.0.0.60
D8500	1.0.3.29
R6250	1.0.4.12
R6400	1.01.24
R6400v2	1.0.2.30
R6700	1.0.1.22
R6900	1.0.1.22
R6900P	1.0.0.56
R7000	1.0.9.4
R7000P	1.0.0.56
R7100LG	1.0.0.32
R7300DST	1.0.0.54
R7900	1.0.1.18
R8000	1.0.3.44
R8300	1.0.2.100_1.0.82
R8500	1.0.2.100_1.0.82

*по данни на Netgear – публикацията можете да видите тук.

Съвети за системни администратори

Винаги е добре да използвате последните версии на фирмен софтуер. В случая на Netgear, можете да намерите нужните ви файлове на страницата за сваляния.

Проверете настройките си и изключете всички функции, които не се използват. Тук разглеждаме уязвимост, която може да се експлоатира само при разрешено отдалечено конфигуриране. Един отбелязан checkbox може да е всичко, което ви дели от критични опасности.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 13:18 ч.

Двойно повече уязвимости са били официално открити и докладвани на анализаторите от CVE за 2017 г. И докато факторите за ръста могат да бъдат много и най-различни, то ефектът от тях може да бъде все по-осезаем за бизнес от всеки размер. Причината: и най-малката пролука в сигурността на критично приложение може да се окажеш решаваща за компроментирането на организацията.

Защо можем да наричаме 2017-та „годината на уязвимостите“

По данни на CVE Details, броят на засечените през 2017 г. е близо 14 600. Само година преди това те са били едва 6 447 – или иначе казано, повече от двойно увеличение само за 12 месеца. Броят тук може да не е коректен, като вземем предвид и това, че класификацията не включва zerо-day експлойти, които не са познати на разработчиците и производителите на хардуер.

Статистиката показва, че средно на ден са откривани около 40 нови начина вие или вашият бизнес да бъдете атакувани чрез приложенията, с които работите всеки ден (при 17 дневно през 2016 г.).

Броят на критично опасните уязвимости също чупи рекорди

Към момента се използват две отделни системи за класификация на уязвимости – CVSS 2.0 и CVSS 3.0. И двете класифицират според множество различни критерии и фактори – вектор на атака, дали и как една уязвимост би засегнала съхранявани данни и др. Разликата в двете класификации е в категориите на опасност – едната категоризира само в 3 нива, а в другата – 5.

Данните, обаче, показват, че и според двете, броят на заплахи с „високо“ и „критично“ ниво също е достигнал рекордно ниво спрямо предишни години.

Дигиталният свят се превръща превърна в бойно поле

Освен рекорден брой уязвимости, през изминалата година станахме свидетели и на огромен брой масови атаки. Сред тях видяхме източвания на стотици милиони потребителски записи, секретни правителствени документи и милиони долари, платени в ransomware подкупи и кражби на криптовалути. Очевидно е, че вече не само „добрите“ обръщат повече внимание на кибер-сигурността, а и кибер-престъпниците стават все повече.

Дигиталният свят вече се превърна в новия дом на организираната престъпност, а отговорността да се пазим от нея е в наши ръце.

Съвети за системни администратори

Ето какво можете да направите, за да се предпазите от уязвимости на софтуера, който използвате:

• Използвайте антивирусно решение, което предлага защита от често срещани уязвимости в приложения като браузъри, MS Office и Java-базиран софтуер
• Ако задължително трябва да работите с доказано уязвим софтуер, можете да го направите във виртуализирана / sandbox среда
• Често обновявайте софтуера в системата си, без значение дали активно го използвате
• Следете freedomonline.bg, ние ще ви информираме за най-новото от CVE и други надеждни източници, свързани с кибер-сигурността

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 13:18 ч.

Над 700 000 свалени приложения и над 100,000 блокирани акаунта на разработчици, които са разпространявали зловредни кодове. Това е резултатът от автоматизираната защита на Google Play за 2017 г. И достатъчна причина да вземете на сериозно заплахите, които дебнат мобилния ви телефон с Android.

Добрата новина: 99% от заразените приложения са били обезвредени, още преди да бъдат публикувани. Останалите около 7,000 обаче са били онлайн, дори и за малко.

Една проста игра може да ви причини много проблеми

Навярно сте искали да убиете скуката с игра на судоку или карти на Android смартфона си. Почти сме сигурни, че и детето ви е поискало да поиграе на телефона ви – а защо не и да свали само игра (или евентуални кодове или ъпгрейди за нея). Дотук добре.

Игрите обаче с един от най-често срещаните методи за разпространение на зловредни кодове през Google Play. Маскирането на вируси под формата на безобидни игри (имперсонация) води до това потребителите да свалят приложения, без да знаят какво всъщност инсталират. Все пак, с какво може да ми навреди една игра?

Веднъж свалено, с получени позволения за достъп до основните функционалности на телефона и инсталирано, приложението би могло да:

• Разпространява неподходящо съдържание
• Разпраща фишинг SMS-и, мейли и съобщения в социални медии
• Изпраща скъпоплатени съобщения или да набира скъпоплатени номера
• [тук може да поставите каквото още се сетите – и то ще бъде пожелано от създателите на зловредни кодове]

Google ни пази все по-добре. Или поне се опитва.

Play Store е най-безопасното място, от което да сваляте приложения за Android, но и там не липсват опасности. Въпреки че системата на магазина се справя с по-голямата част от вредните приложения, някои от тях успяват да преминат през защитата на Google.

В медийни интервюта можете да чуете Андрю Ан (продуктов мениджър за Play Store) да казва, че е „по-малко вероятно да се заразите през Play, отколкото да ви удари мълния“. Дори и да е така, вероятност съществува – а защитата е във вашите ръце.

Можете да се предпазите по изненадващо лесен начин

Един опитен потребител може да разграничи измамно приложение от легитимно такова с един поглед. Всъщност, разпознаването е по-лесно, отколкото най-вероятно си мислите. Ето какво е нужно:

• Обърнете внимание на името на разработчика – Под името на всяко приложение за Android се намира името на публикувалия го разработчик. В случай, че приложението е отбелязано с етикети като „Топ разработчик“ и „Избор на редакторите“, то можете да заложите на неговата безопасност. Ако се съмнявате, можете да проверите разработчика в Google и историята на приложенията, които е качил.
• Проверете потребителските мнения / рейтинг – Ниска обща оценка, негативни отзиви и коментари на потребители (или тяхното отсъствие) са първите белези, за които трябва да внимавате.
• Винаги преглеждайте функциите, до които давате достъп – Едно фенерче няма нужда от позволение да изпраща съобщения или да осъществява телефонни обаждания, нали така?
• Ако все още се съмнявате – потърсете в Google – Едно търсене от типа „това приложение вредно ли е?“ може да ви върне изненадващо изчерпателни резултати – нищо не струва да проверите!

 Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 13:27 ч.

Органите на реда на САЩ са заловили 28-годишен мъж от Охайо на име Филип Дурачински. Според обвиненията той е използвал зловреден код, за да шпионира потребители, използващи Apple Mac компютри. Вирусът е именуван „Fruitfly” и е използван, за да наблюдава всички типове активност на потребителската машина, включително и уебкамерата.

Какво може да свърши един кибер престъпник за 13 години?

Дурачински, който ще бъден съден за редица обвинения, е създал и графичен интерфейс, който му е позволявал да вижда екраните на няколко заразени компютри едновременно. Смята се, че обвиняемият е използвал разработката си за да краде лична информация като пароли и „потенциално смущаваща комуникация“ между 2003 и 2017 г. Престъпникът е поддържал актуални записи с всичката открадната информация на заразените.

За негови жертви към момента се смятат хиляди лични и работни компютри, включително училища, бизнеси и дори едно полицейско управление. Смята се и, че Fruitfly е достигнал до обществени и правителствени компютри. Въпреки че осфактновната целева група са хората, използващи компютри на Apple, разследващите са намерили и варианти, които атакуват компютърни системи с Windows.

С какво това го различава от други подобни атаки?

Тринадесет години, на фона на скоростта на развитие на антивирусния софтуер, са прекалено много време един вирус да остане незабелязан. Fruitfly е атакувал машини с различно ниво на защита от незащитени потребители до хора с правителствено ниво на сигурност. Точно как атакуващият е постигнал това, не е ясно към момента.

Но нали за Mac няма вируси?

Тъй като злонамерен код за операционната система macOS X е по-рядко срещано явление, някои хора си мислят, че тя е вълшебно защитена от всички атаки. Факт е, че Windows е система, която е експлоатирана много по-често, но това се дължи най-вече на по-мащабното ѝ разпространение (по данни на netmarketshare.com към края на годината пазарният дял на macOS е малко над 8% спрямо близо 89% на Windows).

Затова, разумен избор е да не игнорирате заплахите за системата и да се предпазите с антивирусен софтуер. Това значително ще намали риска от подобна масирана атака, която може да ви коства много повече от адекватната защита.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Последен ъпдейт на 28 юни 2018 в 13:27 ч.

Уязвимост в неправителствената организация Let’s Encrypt и идеалната ѝ цел да осигури безплатни TLS сертификати на сайтове със споделен хостинг може да изиграе обратна роля – и вместо да помогне, да се превърне в проблем за сигурността на милиони интернет потребители. Причината: уязвимост, която при определени условия може да позволи издаването на сертификати за домейни върху споделен хостинг, от лица които нямат контрол върху тези домейни.

Какво е Let’s Encrypt и ACME?

Накратко – Let’s Encrypt започва като инициатива на ISRG (Internet Research Group). За да реализират инициативата, ISRG създават ACME (Automatic Certificate Management Environment) – протокол, който определя автоматизацията на процедурите между издателите на сертификати и уеб сървърите на потребителите им. Той използва три от т.нар. „10 благословени метода“ за потвърждаване на самоличността на притежател на домейн.

Методите са създадени заедно с група доброволно включили се производители и издатели на сертификати и са описани в документа „Baseline Requirements“ (секция 3.2.2.4).

За един от използваните – sni-tls-01– е открит начин да се експлоатира, в случай, че се използва от домейн, свързан със споделен хостинг.

Проблемът с ACME и споделения хостинг

Преди дни беше открита огромна уязвимост, която засяга всички, които използват Let’s Encrypt на споделен хостинг. Тя е осъществима чрез методите за потвърждение на самоличност на ACME и начинът, по който споделения хостинг работи. Cloud услуги като CloudFront и Heroku бяха също разкрити като уязвими, но чрез бърза реакция вече не позволяват експлоатирането на точно тази уязвимост.

Дупката в сигурността позволява на атакуващ да издава сертификати за външни домейни чрез споделен хостинг и в последствие да ги използва за предоставяне на вредно съдържание.

Какво значи това за нас?

За момента е спряно издаването на сертификати чрез tls-sni-01 и следващата му версия – tls-sni-02, както се споменава в официалното изявление на Let’s Encrypt. Всички cloud-based доставчици на хостинг също трябва да предприемат стъпки за „запушването“ на този пробив във сигурността, след като водещите такива откликнаха.

По-добри ли са платените сертификати?

Допускането на толкова сериозен пробив във сигурността може да накара някои хора да си кажат „за толкова пари – толкова“. Нужно е, обаче, да погледнем към сигурността на платените услуги – наистина ли е по-добра. Отдолу можете да видите изброени няколко инцидента, които ще ви дадат достатъчно ясна представа:

• Chrome забрани китайските издатели на сертификати WoSign и StartCom, след като беше разкрито, че им липсват основни практики за сигурност
• Chrome планира да елиминира изцяло „доверието“ си към Symantec сертификати, тъй като те не отразяват съвременните нужди за сигурност на бизнеса
• Холандската агенция DigiNotar стана източник на над 500 измамни сертификати, които послужиха за масирана атака срещу ирански сайтове и профили.

Tехнически подробности за уязвимостта можете да прочетете в подробното обяснение на самия ѝ откривател.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.