Най-интересното

За 18-та поредна година светът отбелязва международния Ден за безопасен интернет.

Мотото и тази година е „Заедно за по-добър интернет“.

Отбелязваме годишнината, като ви припомняме най-популярните ни съветници за това как да противодействате на топ киберзаплахите в интернет пространството:

# Как уебсайт може да се използва като средство за атака

# Как да разпознаем фишинг атака

# Топ 5 на най-честите атаки към WEB приложения

# Четири лесни начина да се предпазите от спам

# freedomonline.bg подкаст. 26.09.2017 г. Ботмрежи и DDoS

# Пет начина да предпазите дигиталната си самоличност през 2019 г.

# Десет грешки при защитата на данните, които фирмите не трябва да допускат

# Пет начина да предпазите бизнеса си от вътрешни заплахи

# Как да разпознаеш бот

# 3 причини да правите бекъп на данните във фирмата си

# 4 стъпки за предотвратяване на изтичане на информация

# 8 важни стъпки, които да предприемете при Ransomware атака: Ръководство за бързо възстановяване след инцидент

# Как работи EternalBlue

# Пет начина да намалите рисковете от cryptojacking атаки

# Network Management System – перфектната цел за атака

Световноизвестният доставчик на решения за интернет сигурност, защитни стени и VPN продукти, SonicWall, разкри, че е станал жертва на координирана атака срещу вътрешните му системи. Смята се, че нападателите са имали достъп до изходния код (source code) на компанията, хостван в хранилището й в GitLab.

Хакерите са се възползвали от zero-day уязвимост в собствените продукти за защитен отдалечен достъп на SonicWall – NetExtender VPN Client и Secure Mobile Access (SMA).

Компанията публикува кратко съобщение, изброяващо продуктите, които са засегнати от уязвимостта и изискват ъпдейт – пачовете все още не са налични.

Разследването на инцидента и последиците от него продължава. Има вероятност SonicWall  да е станал жертва на криптоатака.

Междувременно, ако вашата организация използва някой от уязвимите продукти, следва да предприемете подходящи мерки:

• Разрешете многофакторно удостоверяване (MFA) за достъп до администраторските акаунти
• Деактивирайте достъпа на NetExtender до защитната стена
• Ограничете достъпа на публични IP адреси до потребители и администратори
• Конфигурирайте директно достъпа до белия списък (white list) на SMA, за да намалите негативните последици

Най-голямото технологично събитие на годината – международното изложение за потребителска електроника CES (Consumer Electronics Show), провело се в периода 10-14 януари 2021 г., представи иновативни мрежови рутери, използващи Mesh WiFi 6E система. Устройствата може да са отговорът на проблемите ви с безжичния сигнал, но не пренебрегвайте темата „поверителност и сигурност“.

Какво представлява Mesh WiFi 6E

Πpи Mesh WiFi 6E мрежите свързаността се разпростира между множество малки безжични устройства, ĸoитo ĸoмyниĸиpaт помежду cи, зa дa пoĸpият по-гoлямa плoщ. Металните врати, които блокират сигнала и отдалечените помещения, в които връзката се губи, вече няма да затрудняват комуникацията ви. Ако сигналът срещне препятствие по пътя на разпространението си, той ще се „раздроби“ на още по-малки части и дори ще ви „заобиколи“ (все пак вие също пречите на сигнала, когато се придвижвате от помещение в помещение) т.е. ще знае къде се намирате (или не се намирате) в момента. Технологията може да се приложи и като ъпгрейд на съществуващите ви рутери ако те поддържат WiFi 6E (очаква се масово разпространение на рутери от това поколение през 2021 г.).

А какво да кажем за сигурността

Много системи имат облачен компонент, което им позволява да се управляват дистанционно. Това обаче ги нарежда в горната част на списъка на най-уязвимите точки за атака. Поставянето на дистанционно управление във всяка стая в дома ви, освен улеснение за вас, предоставя обаче нови възможности за хакерите.

С все по-широкото навлизане на МЕЅН-мpeжитe в домашната ви среда, неизбежно ще се стигне до събирането на лична информация (personally identifiable information – PII). Това би било в противоречие с действащото в ЕС законодателство за защита на личните данни (GDPR). Ще очакваме да видим как законодателите ще интерпретират технологията през следващите години.

WhatsApp отлага въвеждането на промени в практиката си за споделяне на данните на потребителите си. Компанията обяви, че ще работи за „изчистване на дезинформацията“ около политиката си за поверителност.

Притежаваната от Facebook компания прибегна към това „замразяване“, след бурна реакция от страна на потребителите по цял свят. Планираните промени, които трябваше да бъдат приложени на 8 февруари 2021 г., изискваха ползвателите на чат-приложението извън ЕС задължително да се съгласят данните им да бъдат споделяни с Facebook.

Новината предизвика масово недоволство и провокира хората да се обърнат към други приложения (Signal, Telegram).

Use Signal

— Elon Musk (@elonmusk) January 7, 2021

Измамите, насочени към потребителите на популярни онлайн платформи не са новост. През есента на 2020 г. разгледахме атака, насочени към потребителите на OLX, които имат активни обяви в сайта. Тогава хакерите  използваха фишинг имейли, за да заблудят ползвателите на платформата и да откраднат от тях пари или номера на банкови сметки и разплащателни карти.

Нова, по-мащабна измамна схема, завладява напоследък множество сайтове за провеждане на онлайн аукциони, безплатни обяви и доставки в Европа. В скоро време дори се очаква таргетирано разрастване на измамната дейност в България. Разкритието е на Group-IB – компания за киберразследвания – която е нарекла схемата Classiscam.

Какво представлява Classiscam

Става дума за измама, която отново е предназначена за кражба на пари и данни от разплащателни карти, но вече е автоматизирана като услуга.

Схемата използва ботове в Telegram, които предоставят страници, имитиращи популярни сайтове за безплатни обяви, аукциони и услуги за доставка. Разкрити са фалшиви страници на OLX, DHL, френския Leboncoin, полската марка Allegro, чешкия сайт Sbazar, румънския FAN Courier и др.

Измамниците публикуват фалшиви реклами на продукти в популярни уебсайтове. Най-често се  предлагат камери, игрови конзоли, лаптопи, смартфони и др. на умишлено ниски цени. Обявите съдържат местни телефонни номера за връзка, а контактът се прехвърля към WhatsApp, където да бъде уговорена сделката. Интересното е, че измамниците се представят и за купувачи, и за продавачи.

След като договарянето приключи, измамниците ви молят да предоставите имейл, на който ви изпращат URL адрес на фалшив уебсайт, получен чрез бот на Telegram. Той имитира сайта на търговеца, на когото си мислите, че плащате, или сайта на куриерската фирма, която мислите, че ще извърши доставката. Всяко плащане или споделени данни от кредитната ви карта през фалшивия уебсайт отиват директно при хакерите.

Развитието на измамата

Схемата е засечена за първи път през 2019 г., но пик е регистриран през пролетта на 2020 г., когато хората масово преминаха към работа от разстояние и започнаха усилено да пазаруват онлайн.

Според Group-IB, в момента в България, Чехия, Франция, Полша, Румъния, САЩ и бившите съветски републики работят над 20 големи групи, прилагащи схемата. Други 20 групи работят само в Русия, откъдето се смята, че е започнал скама. Тези 40 групи, общо (всяка от които ползва отделен бот в Telegram), са “направили” най-малко 6,5 млн. USD през 2020 г.

Схемата използва пирамидална структура, в която постоянно се ангажират нови членове. Сделките се „отчитат“ на бот в Telegram, откъдето експертите на Group-IB са почерпили информация, за да изчислят прогнозния месечен приход на измамниците.

Анализ на подземни форуми и чатове разкрива, че измамниците се готвят да се насочат към нови марки и пазари – това са FedEx и DHL Express в България и САЩ.

Как да се предпазите

• Преди да въведете данните си за вход и информация за плащане, проверете отново URL адреса на сайта, в който се намирате и го потърсете в Google, за да видите кога е създаден. Ако сайтът е само на няколко месеца, е много вероятно да става дума за измама или фишинг страница.
• Провеждайте цялата си комуникация по сделката в официалния чат на платформата за пазаруване, доставчика или сайта за малки обяви – не се доверявайте на посредници!
• Не правете предварителни плащания: Платете едва след като получите стоките и се уверите, че всичко работи правилно
• Не се подлъгвайте по големи отстъпки и невероятни промоции – вероятността те да са фалшиви е голяма

Последен ъпдейт на 16 януари 2021 в 15:53 ч.

Експлоатирането на уязвимости срещу платформата на SolarWinds – Orion, използванo в компрометирането на американското правителство, продължава да разширява мащаба си. Поредното развитие по казуса е открито от компанията за киберсигурност CrowdStrike – става въпрос за уязвимост, озаглавена Sunspot.

Благодарение на нея, хакерите могат да инжектират backdoor в платформата Orion на SolarWinds. Този зловреден код наблюдава изпълняваните системни процеси и замества един от изходните файлове със друг зловреден софтуер – SUNBURST. Част от функционалността на Sunspot е включването на защити, които да попречат присъствието му да бъде разкрито и да гарантират успеха на „мисията“ му.

Към момента общият брой на известните жертви на уязвимостите в Orion вече е над 18 хил. Сред тях са редица американски правителствени агенции.

“Щамът” на Sunspot не е непознат на разследващите supply chain атаката. До момента той е наричан по-различен начин от различните киберизследователи – StellarParticle (от CrowdStrike), UNC2452 (от FireEye) и Dark Halo (от Volexity).

Sunspot е поредният злонамерен софтуер, свързан с най-големия киберпробив от години. До момента станаха известни:

• Sunburst, инсталирал троянски кон в платформата Орион по време на автоматична актуализация
• Teardrop, използван за инсталиране на софтуерно устройство за навигация (Cobalt Strike beacon)
• SuperNova, внедрен като DLL файл, който позволява на атакуващите да изпращат, компилират и изпълняват C# код от разстояние

Самоличността на хакерите на SolarWinds все още не е разкрита. Въпреки това Kaspersky направи връзка с известна по-рано група за кибершпионаж. Установи, че задната врата на Sunburst има припокривания на функции с Kazuar.NET backdoor, обвързан условно с руската хакерска група Turla.

Разбира се, възможно е нападателите да са били „вдъхновени“ от кода на Kazuar или и двете групи да са получили своя зловреден софтуер от един и същ източник или пък кодът да е използван в атаката специално, за да обвини Turla и да замеси Москва…

Междувременно, ФБР също разследва предполагаема руска следа в атаката срещу американското правителство.

Последен ъпдейт на 16 януари 2021 в 15:55 ч.

Новата Политика за поверителност на WhatsApp ще влезе в сила на 8 февруари 2021 г., за което голяма част от потребителите вече бяха уведомени.

Как реално промените ще засегнат вашата поверителност

Даването на съгласие за споделяне на личните данни, като задължително условие да продължат да ползват WhatsApp акауните си, се отнася за всички извън Европейския съюз (сред които вече попадат и живеещите на територията на Великобритания).

Личните данни на европейските граждани обаче няма да бъдат споделяни със социалната мрежа – това е така, поради ограниченията, налагани от Общия регламент за защита на личните данни (GDPR).

3/5 There are no changes to WhatsApp’s data-sharing practices in the Europe arising from this update. It remains the case that WhatsApp does not share European Region WhatsApp user data with Facebook for the purpose of Facebook using this data to improve its products or ads.

— Niamh Sweeney (@NiamhSweeneyNYC) January 7, 2021

В действителност, за никого не е тайна, че WhatsApp споделя данните на потребителите си с Facebook още от 2014 г. – заложените промени в новата Политика за поверителност просто ще официализират действията.

Важно е да отбележим, че новите условия всъщност не променят крайната енкрипция на съобщенията, снимките и останалата информация, която изпращате чрез приложението.

Най-същественото, което трябва да знаете като потребители е, че WhatsApp и Facebook няма как да проследят вашата комуникация. Информацията, която ще бъде споделена между компаниите включва телефонния ви номер, логове за това колко, къде и кога използвате приложението, устройството на което го използвате и т.н.

По-важно е вниманието ви да бъде насочено към това, че личната ви информация изобщо се събира. Да, Facebook и WhatsApp си обменят данни за вас, но по-притеснителен е фактът, че същото прави всяка друга безплатна услуга.

Как WhatsApp промени поведението си през изминалите години

Добре известно е, че за “безплатното” понякога трябва да платим доста скъпо. Често цената е личната ни информация (privacy) и повечето от потребители на социалните мрежи и приложенията за комуникация са наясно с това. Тогава защо промяната в условията за ползване на WhatsApp е обект на такова внимание?

Потребителите на чат приложението имат основателна причина да бъдат ядосани: През 2014 г. WhatsApp обяви, че лични данни от акаунтите няма да бъдат предоставяни на току-що придобилия дялове социален гигант – Facebook.

Две години по-късно обаче (през 2016 г.), след като компанията на Mark Zuckerberg увеличи присъствието си в WhatsApp, приложението „реши“ да започне да споделя информация от акаунтите на потребителите си със социалната мрежа, „за да подобри рекламите и продуктовото позициониране“. Тогава обаче на потребителите беше дадена еднократна възможност да не се съгласят с тази промяна и да отхвърлят възможността личните им данни да бъдат споделяни.

Точно това право на избор липсва в последната версия на Политиката за поверителност на WhatsApp, отнасяща се за потребителите извън територията на ЕС.

Препоръка

Съветът ни към вас е обичайният: Ако желаете да използвате безплатна услуга като Facebook, Viber, WhatsApp, Gmail и т.н, първо се запознайте с условията за ползване. Ясно е, че няма безплатен обяд, но е важно да знаете по какъв начин сте заплатили и дали той е приемлив за вас.

Последен ъпдейт на 16 януари 2021 в 15:56 ч.

През 2021 все още е възможно да преминете от Windows 7 или Windows 8 към Windows 10 безплатно. Ето как:

1. Първо и най-важно – вашето копие на Windows 7 или Windows 8 трябва да е оригинално и активирано
2. Изтеглете Windows Media Creation от уебсайта на Microsoft
3. Стартирайте инструмента и изберете опцията Upgrade this PC now
4. Следвайте инструкциите на екрана, за да актуализирате операционната си система – вече трябва да имате инсталиран Windows 10
5. Проверете дали системата ви е активирана (Settings -> Update & Security -> Activation) – ако не е, кликнете върху бутона Активиране, за да завършите процеса

Препоръка:

Винаги използвайте ъпдейтната операционна система, за да елиминирате уязвимостите за сигурността ви, които остарелите версии създават.

Над 100 хил. Zyxel защитни стени (firewalls), VPN маршрутизатори и контролери са потенциално уязвими, тъй като във фърмуера им се съдържат потребителско име и парола, осигуряващи администраторски достъп.

Тази предефинирана функционалност може да бъде използвана от хакери като backdoor за достъп до засегнатите устройства, чрез SSH интерфейса или чрез панела за уеб администриране.

От Zyxel заявяват, че използват “hardcoded” потребител и парола, за да доставят автоматични актуализации на фърмуера на някои от устройствата си чрез FTP.

Компанията пусна ZLD V4.60 Patch 1, за премахване на вградените креденшъли в уязвими ATP, USG, USG Flex и VPN устройства и обяви, че тези с по-ранен фърмуер или SD-OS не са засегнати.

Уязвимостите на VPN устройствата са изключително опасни, тъй като те могат да се използват за създаване на нови VPN акаунти. Чрез тях злонамерени лица могат да получат достъп до вътрешната ви мрежа или да създадат правила за пренасочване на портове, за да направят вътрешните ви услуги обществено достъпни.

Този тип уязвимости се използват за последващо инжектиране на рансъмуер или компрометиране на вътрешни корпоративни мрежи и кражба на данни от тях.

Повече за това как престъпниците експлоатират вградени в устройствата уязвимости може да прочетете ТУК.

В повечето случаи, администраторите използваме комбинация от редица инструменти, за да повишим сигурността на нашата инфраструктура – от традиционни решения, като антивирусен софтуер и защитна стена на изхода на мрежата, до по-иновативни, като IDR, XDR и NGFW. В условията на криза обаче, не всички разполагат с нужния ресурс.

Как да си осигурите добра защита ако бюджетът ви е орязан

Често неглижираме вградените инструменти, сред които е и Windows Firewall. Обзалагам се, че повечето от вас дори не са поглеждали правилата му. Доскоро аз също попадах в това число –  използвах Windows Firewall единствено в случаите, когато трябва да разреша трафика на определено приложение.

Ще се съгласите, че приемаме вградените инструменти за даденост и не им обръщаме особено внимание. Добрите практики  в информационната сигурност и по-точно методологията на многопластовата защита (Defence-in-depth) обаче сочат, че с всеки един слой добавяме още една защита, която би могла да попречи на злонамерените лица при опит за експлоатиране на вътрешната ни инфраструктура.

Какво по-добро средство от вградения Windows Firewall – добавяме още един слой защита без да инвестираме допълнително.

Решение, което си струва да опитате

Наскоро попаднах на един много интересен случай, при който е постигнато доста добро ниво на защита на крайните станции, чрез използването на AD, GPO и Windows Firewall. Постигнато е:

• Централизирано управление на правилата в Windows Firewall чрез GPO
• Високо ниво на сигурност, базирано на Block by default т.е. трафик, за който няма създадено правило в Windows Firewall, се блокира
• Задължително удостоверяване преди да се разреши комуникацията към критичните услуги
• Криптиране на протоколите, които изпращат информацията в чист вид
• Използване на сигурни шифри при криптирането на комуникацията
• Игнориране на локалните Firewall настройки – така сте сигурни, че тази политика ще се приложи на всички машини

Като краен резултат получавате изолация на ниво работна станция, което прави много по-трудно зловредното движение в мрежата (Lateral movement). Освен това, протоколи, които изпращат информацията в чист вид ще бъдат криптирани, което би предотвратило атаки от типа човек по средата (man-in-the-middle). Постигнато е и подсигуряване на RDP (Remote Desk Protocol), един от най-често експлоатираните протоколи при атаки от криптовирус (ransomware), като достъпът до него е възможен само чрез успешно удостоверяване чрез Kerberos.

При това, тези, както и други защитни механизми са възможни с използването само и единствено на вградения Windows Firewall!

ВНИМАНИЕ! Екипът на Freedomonline.bg не е автор на гореописаната тема и не носи отговорност  за евентуални негативни последствия от прилагането на описаните конфигурации. Всяка инфраструктура е индивидуална и уникална – възможно е само част от предложенията или дори една конкретна настройка да бъде приложима за вас. Нека всеки да използва това, което смята, че ще му бъде полезно в неговата ежедневна работа. При всички положения, екипът на Freedomonline.bg съветва, преди да подходите към имплементирането на каквато и да е била конфигурация, от този или от друг източник, първо да я тествате в контролирана среда, която да се доближава максимално до реалната ви среда. По този начин ще избегнете разминавания между очаквания и постигнатия резултат.