За смартфон и таблет

Умните джаджи (IoT) правят живота ти по-лесен и намаляват времето ти пред екрана на смартфона. Изследвания обаче показват, че те са податливи на манипулация, което дори може да ти причини физически дискомфорт и стрес.

Ето няколко начина да те хакнат

• През Bluetooth: той за това е направен, за свързване с други устройства, които не винаги са добронамерени
• Когато софтуерът на устройството е лошо програмиран или удостоверяването/криптирането е слабо
• През приложения – лошо написани или злонамерени
• През бекенд сървърите на облачните доставчици

Какво от това

Това, че умните джаджи са синхронизирани с различни други приложения. И това автоматично означава, че хакнатото IoT устройство отваря широк достъп на злонамерените лица и те могат да:

• Откраднат или манипулират данните ти
• Продадат на трети лица информацията ти
• Проследяват местоположението ти
• Получат достъп до дома ти

Препоръки за предпазване

Можеш да сведеш до минимум рисковете, описани по-горе, като спазваш някои добри практики:

За всички устройства:

• Включи двуфакторна автентификация (2FA)
• Заключи екрана на устройството
• Изисквай потвърждение за сдвояване (pairing)

За смартфона:

• Сваляй приложения само от официалните магазини (PlayStore, Apple Store), защото контролът на сигурността им е завишен
• Редовно ъпдейтвай софтуера на смартфона
• Не прави jailbreaking/rooting
• Разрешавай достъп само на наистина необходими приложения
• Инсталирай AV софтуер

За умната къща :

• Не синхронизирай преносими устройства с входната си врата
• Направи отделна Wi-Fi мрежа за гости
• Периодично инсталирай най-актуалния фърмуер на всички устройства
• Задължително смени фабричните пароли, които са по подразбиране

Последен ъпдейт на 23 февруари 2021 в 20:39 ч.

IOS операционната система на Apple се счита за сигурна, но през последните години хакерите успешно откриха редица недостатъци, които осигуряват входни точки в iPhone и iPad.

Много от тях са т.нар. атаки zero-click (без взаимодействие от страна на потребителя) – достатъчно е да кликнете върху връзка или да изтеглите файл, свързан със злонамерен софтуер, за да се зарази устройството ви.

iMessage буквално е създаден за активност без взаимодействие – не е нужно да докосвате нищо, за да получите текст или снимка от контакт. Пълният набор от функции (интеграции с други приложения, функционалност за плащане и др.), които създават удобство за потребителите са и благодатна почва за хакери.

В края на 2020 г. съобщихме за хакерска кампания, успешно насочена към десетки журналисти от Al Jazeera:  Zero-click бъг в iMessage помогна за инсталирането на шпионски софтуер на NSO Group Pegasus. Беше установено, че устройствата на всички жертви са работили с iOS 13, а Apple обяви, че уязвимостите са закърпени в iOS 14.

Изследователи от екипа на Google за откриване на уязвимости в Project Zero описват три подобрения в сигурността на iMessage за крайните потребители, които издигат защитата им на по-високо ниво:

Първото подобрение (наречено BlastDoor) е sandbox – карантинна зона, в която iMessage може да проверява входящата комуникация за потенциално злонамерени атрибути, преди да ги пусне в основната среда на iOS.

Вторият нов механизъм следи за атаки, които манипулират споделен кеш на системни библиотеки. Кешът променя на случаен принцип адресите в системата, за да направи по-труден злонамерения достъп. iOS обаче променя адреса на споделения кеш само след рестартиране, което дава възможност на нападателите със zero-click да открият местоположението му. Новата защита е настроена да открива злонамерена дейност и да задейства опресняване, без потребителят да се налага да рестартира своя iPhone.

Третото подобрение затруднява brute force атаките. Тази защита ограничава опитите за намиране на споделения кеш, както и по-сложни атаки – напр. опити за изпращане на множество злонамерени текстове, които обикновено са невидими за потребителя.

Направените подобрения в iOS 14 значително ще намалят успешните атаки срещу iMessage без взаимодействие. Все пак изследователите предупреждават, че е въпрос на време нападателите да намерят нови уязвимости. Затова е важно постоянно да следите наличните актуализация и да ги прилагате, защото те запушват новооткрити пробойни в сигурността.

Все по-често попадате на новини за големи изтичания или кражба на данни и то не само в специализираните сайтове за киберсигурност, а и във вечерните новини по телевизията. Жертвите обикновено са големи корпорации или държавни институции – дали само при тях има висок риск от пробив или в новините попадат само случаите, при които има големи финансови загуби?

Всъщност, никой бизнес не е твърде малък за хакерите. Затова е важно да направите преглед на мерките за сигурност на данните във вашата фирма и да се уверите, че не сте допуснали някоя от най-популярните грешки:

Грешка 1: Не сте наясно със слабостите в защитата на данните ви

Оценете пълния потенциален размер на вредата, която нарушението на сигурността на данните може да причини на вашата компания. Проверете дали прилагате подходяща защита на всички ваши данни и дали защитавате всички възможни канали за атака.

Само ако признаете за съществуването на проблем, ще можете да преминете към решение. Сигурността на данните е непрекъснат процес, тъй като постоянно се появяват нови и все по-сложни за откриване заплахи, а извършителите намират нови начини за достъп до вашите ценни данни.

Затова помислете, какви защитни средства използвате във вашата компания. Трябва да имате антивирусни софтуери и защитни стени, но те отдавна не са достатъчни за една цялостна и адекватна защита.

Грешка 2: Подхождате грешно при организиране на превенцията

Повечето малки и средни фирми организират сигурността на данните си, все едно, че привеждат дейността си в съответствие с изискванията на нов закон или разпоредба: Изготвят списък със задължителни изисквания, на които се стараят да отговорят с възможно най-малко ресурси и усилия. Този подход със сигурност ще остави пролуки в сигурността ви, които атакуващите ще намерят и ще използват.

Когато говорим за киберсигурност е задължително да вземете предвид съществуващите „модерни“ заплахи: Идентифицирайте ценните си данни, очертайте потенциалните заплахи и възможни начини за атака и оценете доколко вашата компания е уязвима към конкретен сценарий. Използвайте тази обширна оценка на риска, за да допълните вашите мерки за съответствие и да отстраните всички пропуски в сигурността на данните.

Грешка 3: Не обучавате персонала си

Служителите ви са вашият най-голям актив, но те може да се окажат най-слабото звено в защитата на данните ви. Един клик върху злонамерен линк от страна на служител във вашата мрежа може да застраши целия ви бизнес. Ето защо трябва да въведете програми за повишаване на осведомеността, така че персоналът ви да осъзнае своята роля и да се запознае с най-добрите практики в сферата на киберсигурността.

Прочетете още: Как да предпазим бизнеса си от човешка IT грешка?

Информирайте персонала си относно новостите в прилаганите от организацията ви стандарти и политиките за сигурност. Само когато обучавате персонала си правилно и периодично, ще имате силна система за сигурност на данните.

Грешка 4: Не правите регулярни архиви

Създаването на резервни копия на вашите системи е абсолютно задължително, за да сте подготвени за спирането на хардуер, кражба или злонамерена киберактивност. Те ще ви помогнат да се възстановите при евентуален инцидент. Особено, предвид бурните темпове на нарастване на броя на успешните криптоатаки по целия свят.

Съществуват различни видове резервиране на данни, така че трябва да изберете това, което работи най-ефективно за вашия бизнес. Освен това винаги е добра идея да съхранявате копие от данните си на безопасно място офлайн. Нещо повече, налични са приложения за резервиране, които напълно или частично автоматизират процеса, така че това да не ви коства усилия.

Още по темата: 3 причини да правите бекъп на данните във фирмата си

Създайте стратегия, относно това какво ще бъде резервирано, честотата която ви устройва и планове за възстановяване след атака. Тествайте плановете си за възстановяване регулярно, за да сте сигурни, че те ще ви върнат в бизнеса бързо и безпроблемно.

Грешка 5: Не инвестирате достатъчно в сигурността на вашите данни

По-лошо: Това е сред първите пера, които съкращавате, когато трябва да ограничите бюджета на компанията си. Резултатът: Изтичане на данни, увреждане на репутацията на бизнеса ви, съдебни дела, плащане на глоби, загуба на клиенти и т.н.

Планирайте бюджета си за сигурност след като изчерпателно сте отчели всички рискове, пред които е изправена вашата компания. Изчислете колко ще трябва да похарчите за сигурност на данните и колко повече ще загубите, ако оставите това перо недофинансирано. Ефективното планиране ще ви помогне да създадете надеждна ИТ сигурност за вашия малък или среден бизнес, и не е задължително цената за това да е висока. Ако нямате нужните знания и умения, можете да се обърнете към външен експерт – често това дори е по-изгодно.

Грешка 6: Подценявате вътрешните заплахи

Не пренебрегвайте възможността в екипа ви да има злонамерени лица. По-малките фирми често фокусират всички усилия върху защитата на т. нар. периметър, и пропускат да предотвратят кражби и злоупотреба с ценни фирмени данни от страна на вътрешни за компанията хора.

Ще ви бъде интересно още да прочетете: Пет начина да предпазите бизнеса си от вътрешни заплахи

Подходящите предпазни мерки за откриване и реагиране на вътрешни заплахи включват политика за ограничаване на достъпите до ниво Least Privilege, регистриране на активността на потребителите и поне минимални периодични проверки на поведението в мрежата.

Грешка 7: Системите ви използват остарял софтуер

Малкият бизнес трябва да бъде гъвкав при надграждане на съществуващите и въвеждане на нови решения. Служителите ви може да са свикнали със софтуера, който използват, но нарушаването на рутината не може да се сравни с последиците дори от най-малко поразяващата кибератака.

Прочетете още: Над 50% от софтуера не се обновява и е уязвим на атаки

Производителите на софтуер се стараят за закърпват уязвимости и да отговарят на новите изисквания за киберсигурност със всяка нова версия на решението си, която пускат на пазара. Затова прилагането на актуализации е от критично значение за сигурността на данните ви.

Грешка 8: Давате излишни привилегии на потребителите в мрежата ви

Предоставянето на предварително определен набор от привилегии на един потребител е чудесен начин да се установи обхвата на достъп, който потребителят трябва да има. Този подход е полезен за защита на вашите данни и предотвратява по-сериозни поражения ако един акаунт е компрометиран.

Най-правилният подход е да се предоставят минимални привилегии на нови потребители, по подразбиране, и в последствие да увеличава обхватът на достъпа им, само когато това е абсолютно необходимо.

Грешка 9: Не боравите правилно с паролите за достъп

Когато създавате вашата стратегия за сигурност на данните, трябва да подсигурите достъпа до тях по правилен начин. Използвайте пароли, винаги когато е възможно и ги съхранявайте внимателно. Не използвайте слаби пароли или пароли по подразбиране.

Малко статистика: LastPass: използването на слаби пароли продължава да бъде пречка пред сигурността на бизнеса

Не е добра идея няколко служителя да споделят един акаунт. Забранете споделянето на пароли между служителите ви и ги научете колко важно е правилното използване и съхранение на паролите.

Грешка 10: Не деактивирате своевременно акаунтите на напуснали служители

Често в по-малките фирми няма изчерпателна процедура за действие при напускане на персонал. След като служител бъде освободен, акаунтът му в системите понякога остава активен и дори  се предава на друг, без да бъдат променени привилегиите или сменена паролата. Злонамерен бивш служител би могъл да злоупотреби с подобна небрежност.

По същата тема прочетете:  Пазете се от напускащи служители

Заключение

Не твърдим, че добрата киберсигурност струва малко. Настояваме обаче, че не трябва да правите компромиси с нея. Обзалагаме се, че колкото повече от изброените тук грешки успеете да елиминирате, толкова по-добре ще оптимизирате бюджета, нужен за осигуряване на защита на ценната ви фирмена информация.

Последен ъпдейт на 24 март 2020 в 11:41 ч.

Фалшиво Android приложение, твърдящо, че следи разпространението на COVID-19 (коронавирус) по света изнудва свалилите го и се опитва да инсталира криптовирус на устройствата им.

COVID 19 TRACKER твърди, че предоставя възможност на потребителите си да „следят разпространението на заразата до собствените им улици“ и да получават „статистика за COVID-19 в над 100 държави по света“. Твърди се, че приложението е препоръчано от Световната Здравна Организация и американския Център за контрол и превенция на заболяванията.

След свалянето си, COVID 19 TRACKER иска позволение от собственика на устройството да работи непрекъснато във фонов режим. Малко след инсталирането си, приложението изкарва екран, в който твърди, че устройството е хакнато – а хакерът има записи на собственика, докато се наслаждава на сайтове за възрастни (sextortion). За да не бъдат направени тези записи публични, се очаква заплащането на откуп.

Паралелно, софтуерът заключва екрана на засегнатото устройство и иска откуп за отключването му.

[button color=“green“ size=“big“ link=“https://nakedsecurity.sophos.com/2020/03/18/android-malware-uses-coronavirus-for-sextortion-ransomware-combo/“ target=“true“ nofollow=“false“]Прочетете повече по темата тук[/button]

В рубриката Новините накратко подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

Последен ъпдейт на 4 май 2020 в 11:59 ч.

Общо 71 уязвимости на Android са запушени със security ъпдейта на операционната система на Google за март 2020 г. По-голямата част от тях – 48 – са свързани с чипове на Qualcomm. Коригирани са и бъгове, които позволяват неоторизирано отключване с пръстов отпечатък и проблеми с USB свързването, благодарение на които може да се изпълняват приложения на засегнатите устройства.

Фиксовете са за версии от 8 до 10 на Android (Android Oreo, Android Pie и Android 10).

[button color=“green“ size=“big“ link=“https://www.gizchina.com/2020/03/04/android-google-fixes-71-security-vulnerabilities-in-march-2020-update/“ icon=““ target=“true“ nofollow=“false“]Прочетете повече по темата тук[/button]

 

В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

Последен ъпдейт на 28 юни 2019 в 09:50 ч.

password остава най-често използваната парола в инетрнет. 0000 пък се нарежда сред най-често срещаните PIN кодове, използвани за заключването на екрани на смартфони. Поне така твърдят анализаторите от SANS Institute, които публикуваха топ 20 най-често срещани PIN кода в света.

Класацията е неофициална – и идва под формата на туит – но в нея се твърди, че изброените 20 PIN кода могат да отключат 26% от смартфоните по света.

Прочетете и: Защо паролите са лесна плячка за кибер престъпниците и защо трябва да ги сменяте често

Причините тази статистика да бъде плашеща са няколко:

• Въпреки наличието на допълнителни системи за сигурност на смартфони и таблети, PIN кодът си остава основно средство за автентикация, дори и когато лицевото разпознаване и пръстовите отпечатъци не работят
• Разбиването на PIN код дава достъп до огромно количество лична и служебна информация, които съхраняваме на служебните си телефони
• Огромна част от потребителите упорито отказват да сменят PIN кодовете си, а тези, чийто PIN кодове не са в топ 20, много често използват лесни за отгатване комбинации като рождени дни и други важни дати

Според публикация в блога на ESET България, примери за лесен за отгатване PIN код са:

• първите, последните или които и да е други 4 цифри от ЕГН-то ви (защото намирането на рождения ви ден далеч не е толкова сложно, колкото преди 15 години)
• телефонния ви номер

Масово PIN кодът е комбинация от числа, които се помнят лесно и са свързани с лични събития от живота. Често хакерите таргетират именно хора, които вярват в максимата “това не може да ми се случи”. Затова най-често телефоните с 4-цифров ПИН се отключват с изписване на година; при тези с 6-цифров код, най-често се използва датата, когато се е случило нещо специално за собственика им.

Повече прочетете тук.

 

Прекомерни позволения за достъп до лични данни и тяхното събиране и изпращане и уязвимости, които често остават некоригирани са сред основните проблеми с предварително инсталираните на Adroid смартфони приложения. Изводът е на база проучване, в което са изследвани над 82.5 хил. фабрично инсталирани приложения на 1 700 Android смартфона от 214 производителя.

Външни библиотеки

Освен уязвими, част от приложенията не могат да бъдат изтрити и използват библиотеки на трети страни, които тайно събират лични данни от потребителите на телефоните.

Сред най-често срещаните библиотеки са на рекламни мрежи (над 160 открити в близо 12 000 приложения) и такива за анализ на потребителското поведение (около 100 библиотеки в близо 7 000 приложения). На практика, това означа, че голяма част от фабрично инсталираните приложения следят потребителите без тяхно знание от включването на самия телефон.

Проблеми със сертификати

Анализаторите са открили и няколко стотин предварително инсталирани приложения, чийто сертификати за сигурност са или самоподписани (self-signed), или са с издател „Android“ (115 приложения) или „Android Debug“ (42 приложения).

Използването на сертификати, които не са издадени от доверени институции, не позволява включително разследването на това кой реално е разработил самите приложения.

Твърде много привилегии

Анализаторите са разкрили и множество злоупотреби с позволенията за достъп и манипулация на лични данни на самите приложения, дадени по подразбиране. По-специално са изследвани т. нар. „custom permissions“ – или персонализирани позволения, които се задават от производителя на смартфона. С тях се дава достъп до множество функции на самата операционна система от подобни фабрично инсталирани приложения.

Според анализаторите, в част от случаите са разкрити интеграции на търговски партньорства между производителите на мобилни устройства, мобилни оператори, услуги за анализ на данни и други онлайн услуги (Skype, LinkedIn, Facebook, Amazon, Spotify и др.). Част от позволенията са включвали дори свалянето и инсталирането на други мобилни приложения на устройствата.

Освен персонализираните позволения, стандартните такива също са събудили интереса – като, например, 55 фабрично инсталирани приложения са имали достъп до над 100 функции на Android, а рекордьор е едно приложение с позволение да използва 144 функционалности на Android. Най-често даваното позволение е четенето на системни логове.

Събиране на лични данни и вируси

Голяма част от детайлно изследваните 3 100 приложения са били създадени с идеята да достъпват до споменатите логове, да получават информация като списъци с инсталирани приложения, използвана мобилна мрежа и т.н. – т.е. създадени са да събират информация за поведението на потребителя.

В част от случаите са разкрити и познати зловредни кодове за Андроид.

Целият анализ може да прочетете тук.

През 2017 г. потребителите на смартфони са направили над 175 млрд. сваляния на мобилни приложения според статистиката на App Annie. Това превръща разработката на мобилни приложения в бизнес за 86 млрд. долара, на колкото се оценяват потребителските разходи в тази индустрия.

Свалянето на мобилни приложения обаче крие рискове. Възможно е да инсталирате приложение, което всъщност е малуер и вреди на вашето устройство. Има случаи, в които зловреден код е маскиран като напълно безобидно приложение, но всъщност краде данните за достъп до вашето онлайн банкиране. Понякога тези приложения могат да прескочат филтрите на официалните магазини като Google Play и да се представят за легитимни софтуерни продукти.

За да се предпазите от зловредни приложения, можете да следвате няколко лесни за спазване съвети.

Сваляйте приложения само от официалните магазини

Избягвайте да сваляте приложения от неофициални хранилища. Контролът там е занижен (или липсва напълно), което означава, че е много по-вероятно да попаднете на зловредно приложение. Наскоро в такова хранилище беше открит опасен малуер, който може да прави PayPal плащания към контролиран от хакера акаунт.

Проверявайте правата за достъп, които приложенията искат

Преди да инсталирате приложение, вие виждате списък с функциите на смартфона, до които то трябва да има достъп. Преглеждайте този списък и си задавайте въпроса дали наистина исканият достъп е необходим за функционирането на приложението. Например приложение- фенерче няма нужда от достъп до вашите SMS-и.

Четете ревютата

Преди да свалите приложение, прочетете потребителските отзиви за него. Тук обаче също трябва да внимавате, защото зловредните приложения могат да имат много положителни ревюта. В повечето случаи те се разпознават, защото звучат твърде добре и използват едни и същи фрази и определения. Като допълнителна мярка може да проверите рейтинга и броя на свалянията.

Сваляйте приложения от разработчици, които познавате

Придържайте се към приложения от разработчици с добра репутация. Добра идея е да направите проучване на конкретния разработчик, да се запознаете с други негови продукти, преди да инсталирате приложението.

Използвайте антивирусен софтуер за смартфони

Има различни софтуерни решения за смартфони, които предлагат антивирусна защита и предпазват срещу зловредни приложения. Те имат и много допълнителни ползи като например антиспам защита или функция за локализиране на откраднато или изгубено устройство.

 

В продължение на 11 месеца зловредно приложение е успяло да прескочи политиките за сигурност на Google Play. За този период то е било свалено над 5000 пъти, без да бъде засечено и свалено. Твърдението е на Лукаш Стефанко, анализатор на ESET.

Google Play има стриктна политика, която забранява на разработчиците да качват зловредни приложения със скрити функционалности. Такива приложения се свалят веднага, за да се минимизират щетите за потребителите. В този случай обаче зловредното приложение е останало в хранилището в продължение на почти година и е било свалено от хиляди потребители.

Приложението се казва Simple Call Recorder и основната му функция е била да записва обаждания. Но при инсталирането на смартфона то сваля и допълнителен файл flashplayer_update.apk от външен сървър. Това е изрично забранено от правилата на Google Play.

Не е ясно каква е била функцията на допълнителния файл, тъй като той вече е изтрит от сървъра, на който се е намирал. „От личен опит знам, че когато едно приложение имитира Flash Player, това е признак, че то най-вероятно е зловредно“, коментира Стефанко.

Лукаш Стефанко е в основата на по-голямо проучване, което наскоро откри 29 троянизирани приложения в Google Play. Те се отличават с това, че могат да четат SMS-и и да прескачат двустепенна автентикация. Били са използвани за достъп до онлайн банкиране.

Android е доминиращата операционна система за смартфони; по данни на Google над 2 млрд. души по света я използват. Статистиката на компанията показва, че около 0.66% от потребителите с Android Lollipop имат поне едно потенциално опасно приложение на устройството си. Същото важи за 0.56% от потребителите с KitKat и 0.51% от потребителите с Marshmallow.

Тази седмица Apple пусна голям ъпдейт на софтуерните си продукти, включително и операционната система iOS. В новата версия iOS 12.1 са отстранени редица уязвимости и в настоящата статия ще разгледаме някои от тях.

Закърпени дупки във FaceTime

В iOS 12.1 са отстранени четири проблема със сигурността на видеомесинджъра FaceTime.

Според публикувания доклад две от уязвимостите позволяват на „външно лице да стартира обаждане по FaceTime, което задейства зловреден код“. Няма по-детайлна информация за това как точно може да протече евентуална атака.

Третата уязвимост позволява изпълнението на зловреден код чрез изпращането на компрометирано видео в месинджъра. Четвъртата уязвимост може да предизвика изтичане на памет.

Ироничното е, че по-малко от денонощие, след като iOS 12.1 беше пусната, се появи видео с нова уязвимост във FaceTime. Тя позволява разглеждането на контакти в телефона без необходимостта да се отключва устройството. По-рано тази година авторът на видеото Хосе Родригез беше открил други две уязвимости, които са отстранени в iOS 12.1

Събиране на данни от заключен iPhone

Te позволяват да се преглеждат данни от заключен iPhone. Става дума за уязвимости във VoiceOver и Notes. VoiceOver е функция, която се използва от потребители с нарушено зрение. Уязвимостта позволява да се разглеждат снимките на паметта на устройството, без да се налага то да се отключва.

Уязвимостта в Notes прави възможно споделянето на данни от заключено устройство.

Подобрения по Safari

Поправени са няколко бъга в браузъра Safari. Два от тях са открити във функцията Reader и са позволявали изпълнението на UXSS (Universal Cross-site Scripting) атака.

Други четири уязвимости са открити в енджина WebKit. Две от тях позволяват да се зарази устройството със зловреден код. За целта потребителят трябва да отвори специално създадено за атаката уеб съдържание.

Една от уязвимостите засяга адрес бара на Safari. Тя позволява на злонамерено лице да манипулира браузъра така, че той да показва грешен интернет адрес. Така потребителят може да си мисли, че отваря легитимен сайт (например заглавната страница за вход към Gmail), докато всъщност отваря фишинг страница.

Четвъртата уязвимост е позволявала да се осъществи DoS атака на устройството. Това е било възможно да се случи, ако на браузъра се зареди зловреден сайт.

Обновената версия на операционната система е съвместима с iPhone 5s и нагоре, iPad Air и по нови-модели, както и iPod touch 6th generation. Можете да разгледате и пълен списък с всички обновления, засягащи продуктите на Apple.

За да обновите софтуера на устройството си до iOS 12.1, влезте в:

Settings > General > Software Update