В днешни дни бляскавият екран, който държите може да ви даде много повече от кратки разговори и съобщения. Имайки това предвид, компанията Epic Games реши да направи хитовата си игра „Fortnite” достъпна за мобилни платформи. Уловката, обаче, се крие в това, че компанията няма да предоставя играта чрез Google Play, а като отделен .apk (инсталационен) файл. Потребителите трябва да го изтеглят и инсталират собственоръчно.
Ако не можете да видите как това може да ви навреди, то ето един пример: вече има стотици YouTube видеа на тема „Как да инсталираме Fortnite”. Голяма част от тях (ще) съдържат линкове към фалшиви и инфектирани.apk файлове. Което може да доведе до гигантска по размерите си скам атака – и масово източване на данни и монетизация на реклами от огромната потребителска база на играта (съставена предимно от деца).
Първите примери за подобни измами бяха забелязани месеци преди да бъде обявена мобилната версия на играта. Лукас Стефанко от ESET, сподели в Twitter за нарастващият брой фалшиви видеа и приложения още през юни:
Millions of views on YouTube for fake „How to install Fortnite on Android“ videos including links to actual APK files. Don’t install #Fortnite for Android, it’s all fake or malicious! Official app is not released yet. They mostly generate revenue for developers. pic.twitter.com/xpDcqbs3G2
В момента е лесно да се разпознаят, тъй като официалната мобилна версия все още е в разработка и не се предлага за потребителите. Веднъж, щом тя бъде пусната, няма да има очевиден начин за потребителите да различат фалшиво от истинско приложение преди да е вече късно.
Във ваш интерес, както и в този на децата и близките ви е да се подготвите още отсега. За това може да ви послужи решение за антивирусна защита за Android, което може да разпознава потенциално зловредни приложения и да ги блокира.
Най-добре за вас и устройствата ви е да не позволявате инсталация на приложения от недоверени източници. Ако все пак искате да се срещнете на бойното поле с приятелите си във Fortnite, направете го внимателно като следвате официалните инструкции на сайта на играта.
Ако сте системен администратор: посъветвайте колегите си да не инсталират съмнителни .apk файлове – или ги улеснете (и себе си) като изпратите проверен линк към подобен туториъл на родителите, чийто деца са фенове на играта. Те ще са ви благодарни.
За по-малко 10 минути 11-годишният Емет Брюър е успял да хакне системата за публикуване на резултатите от гласуване в американския щат Флорида. Постижението му е станало по време на 26-тото издание на конференцията DEFCON в Лас Вегас.
Самото състезание е организирано специално за деца, тъй като (според организаторите) „никой възрастен хакер не би се съгласил, тъй като е твърде лесно“.
Нико Сел – един от организаторите и създател на организацията r00tz Asylum за малки хакери – сподели, че друго 11-годишно момиче се е справило в рамките на 15 минути. Сел сподели и друга подробност от резултатите – 30 от 50-те деца са се справили със задачата за под 30 минути.
Важно уточнение е, че децата са се опитали да пробият защитата на реплики на сайтовете и мерките им за сигурност, а не на оригиналните такива.
„Това са много точни реплики на уебсайтовете. Не би трябвало проникването в тях да е толкова лесно за 8-годишно дете с половин час свободно време. Това е безотговорно от наша страна като общество“, коментират организаторите
След състезанието последва изявление от правителството на САЩ:
Уебсайтовете безспорно имат уязвимости. Все пак е невероятно трудно да се направи реплика на сайта с точната база данни и мрежови мерки за сигурност в момента“. В изявлението се казва и че тези сайтове служат за съобщаване на резултатите, а не за техния пряк брой.
На това твърдение организаторите на събитието отговориха, че дори и промяната им козметично може да доведе до достатъчно вреда и хаос и че правителството трябва да обърне по-сериозно внимание на резултатите от състезанието.
Продължението на Meltdown сагата идва от Техническия университет в Грац, Австрия. Екип от ентусиасти в университета се похвалиха на Ройтерс, че са намерили начин да експлоатират популярната уязвимост в Galaxy S7. Екипът съобщи, че планира да представи откритието си на Black Hat USA 2018. Конференцията ще се проведе днес (09.08.2018) в Лас Вегас.
Samsung съобщи, че ъпдейти от януари и юли адресират точно тези уязвимости. Компанията прикани всички потребители да ги инсталират на устройствата си.
Джейк Муур, специалист от ESET, препоръча всички потребители да обновят системния софтуер на устройствата си, за да ги предпазят от атаки в интервю за Independent UK.
“Постоянно виждам как хора отлагат ъпдейтите си по най-различни причини, но не мога да натъртя достатъчно – важни ъпдейти като тези предотвратяват порой от атаки към бизнеса и крайните потребители“ – продължава експертът
В момента, екипът от ТУ Грац търси начини да експлоатира уязвимостта при други марки и модели Android устройства, като очаква да намери множество уязвими такива.
Засега не са забелязани реални атаки, които експлоатират Meltdown за Android устройства.
Опитите за кражба на криптовалути стават все повече и все по-чести. Последният по-сериозен пример до момента е атака от началото на юли месец, в която са били спрени над 2.3 млн. опита за подмяна на информация за притежатели на криптовалути през един от сайтовете посредници.
Защо? Защото само за година Bitcoin е увеличил стойността си повече от 3 пъти и към 31 юли се продава срещу 8,155.24 USD. Как всъщност се крадат криптовалути и как да предпазите своя портфейл?
В долните редове може да се запознаете с 6-те най-използваните метода.
1. Приложения от Google Play и Apple App Store
Особено характерно за потребителите на смартфони, които не се защитават адекватно, е да станат жертви на измамни приложения. Те изглеждат сякаш идват от определени крипто организации – Coin Miner, Eth Miner и др. При стартирането на приложението от потребителят се изисква да въведе чувствителните си данни, за да получи достъп до своите профили и по този начин дава достъп на хакерите до профила си.
2. Ботовете в Slack
Slack ботове, които се използват за кражба на криптовалута, се превърнаха в най-бързо развиващата се и използвана система от измамниците. Тази атака се осъществява посредством бот, който изпраща уведомление към потребителите за даден проблем с техния криптопортфейл. Когато потребителят последва линка, той трябва да въведе частния си ключ за достъп до криптопортфейла – и го отваря за кражба.
Повечето браузъри днес предлагат персонализиране на потребителския интерфейс за по-удобна работа с криптопортфейли и обмен на валути. Проблемът е, че някои тези добавки са силно уязвими към хакерски атаки. Голяма част от тези разширения могат да се използват и за скрито копаене на валути, което използва ресурсите на компютъра ви и често остава незабележимо.
4. Автентикация чрез SMS
По-голяма част от потребителите избират да използват мобилна автентикация, тъй като смартфонът е винаги в джоба им. SMS съобщенията се изпращат навсякъде по света чрез протокола Signaling System 7 (SS7).Специалисти демонстрираха прихващането на текстови съобщения, използвайки свой собствен изследователски инструмент, който използва слабостите за прихващане на този тип трафик . Демонстрацията беше направена, използвайки сметки на Coinbase, шокирайки потребители на борсата. Това доказва, че дори и 2FA чрез SMS не ви дава пълна безопасност.
5. Публични Wi-Fi мрежи
Никога не правете важни транзакции през публична мрежа, дори и да използвате най-сигурния VPN. Кракването на WiFi защита е особено наболяла тема, тъй като до голяма степен, все още се използват остарели защитни стандарти. В новите пък, биват открити уязвимости, като добър приер за това е Krack атаката, която позволява на външен потребител да шпионира трафика на мрежата, без да е в нея.
6. Клониране на сайт
Въпреки че, част от описаните до момента методи са до някаква степен базирани на този, добрия стар чист фишинг продължава да е главозамайващо ефективен. При този тип атака се клонира или изработва страница, която изисква въвеждането на лични данни. В последствие, потребителите биват привлечени към нея по един или друг начин, а всеки, който въведе данните си може да се сбогува с каквато и наличност да има в криптопортфейла си.
Добрата новина е, че намирането на пробойни в потребителската защита става все по-трудно, тъй като не само услугите се усъвършенстват, но и самите потребители. Все повече хора използват многослойна автентикация и антивирусен софтуер, който предпазва от конвенционални атаки. Фокусът на хакерите вече се измества към създаването и разпространението на код, който копае валути в тяхна полза чрез чужди машини.
Над 360 американски затворници са успели да откраднат средства благодарение на приложение, което използват докато излежават присъдите си.
Компроментираното приложение се предоставя от фирмата JPlay и включва онлайн услуги и таблети, които затворниците под свободен режим ползват за развлечения и комуникация.
Компанията производител отказва да съобщи точно как защитата е била преодоляна. От наличната информация, обаче става ясно, че затворниците са манипулирали стойността на преводите, които устройството получава. Така те са добавяли финанси към акаунтите си, които са били използвани за закупуването на музика, книги, изпращането на имейли и др.
Всяка от тези услуги, макар и безплатна за хората на свобода, се заплаща в системата на JPlay.
От компанията – производител съобщиха, че уязвимостта вече е патчната и продължава да се работи по подобряването на сигурността. В инцидента не са пострадали пари на данъкоплатци или други трети страни. Похарчените суми не са реални, а просто измамни стойности, които фигурират само в системата на JPlay.
Затворниците са получили наказание под формата на лишаването от развлекателни и комуникационни привилегии и преместването в по-високо охранявана част на затвора.
България може да бъде „горда“ с пореден компютърен гений, благодарение на когото съществува цяла една индустрия: пиратският (или кракнат) софтуер.
Скоро обаче 21-годишният Voksi може да се окаже арестуван заради факта, че от 2016 г. насам е сред основните причини да съществуват кракнати приложения игри. Той е сред двигателите на разбиването на технологията на компанията Denuvo, която осигурява защита срещу пиратстване на редица разработчици.
След като сайтът на хакерската група REVOLT беше свален, Voksi съобщи, че е бил принуден да прекрати дейност, защото е бил разпознат. В последствие е повдигнато обвинение срещу него, довело до обиск на дома му и разпит в полицията.
Denuvo се споменаваше като „края на пиратството“
Защитата на DRM компанията се смяташе за непреодолима дълго време. Нейната най-силна точка беше бързата реакция и промяната в структурата ѝ веднага щом бъде намерена пролука. Denuvo предизвика спирането на дейността на редица хакерски групи, включително китайската 3DM. През 2015 г., компанията предричаше и, че до две години няма да има повече „безплатни игри“.
С оглед на пиратската сцена днес, можем да заключим, че нещата се развиха различно. Въпреки това, арестуването на Voksi е огромен удар за общността, както е видимо от потребителските коментари.
It finally happened, I can’t say it wasn’t expected, Denuvo filed a case against me to the Bulgarian authorities. Police came yesterday and took the server pc and my personal PC. I had to go to the police afterwards and explain myself. Later that day I contacted Denuvo themselves and offered them a peacful resolution to this problem. They can’t say anything for sure yet, but they said the final word is by the prosecutor of my case.
Как и дали това ще се отрази на крайните потребители, можем само да гадаем.
Няма как да отречем, че това е постижение, но нека не се гордеем с него
През 2016 година, 19-годишния по това време Voksi се превръща в нещо като герой на пиратската сцена. Разбиването на защитата по никакъв начин не е проста работа, а едно момче надвива цяла компания софтуерни разработчици нeколкократно.
Въпреки това, искаме да споменем, че по никакъв начин не одобряваме пиратството по две основни причини: използването на кракнат софтуер вреди на вас и разработчиците поравно.
Ощетяването на малки и прохождащи студиа води до задълбочаване на монопола над софтуерната разработка. За да имаме справедлива конкуренция и иновативни продукти, трябва да подкрепяме хората, които целят да ни ги предоставят.
Кракнатият софтуер носи със себе си и една от много изненади – принудени сте да инсталирате и изпълнявате незаконен софтуер, предоставен от хора, които знаят как да го манипулират. По данни на DCA от 2015, торентите водят до инфектирането на над 12 милиона потребителя месечно.
Bluetooth уязвимост позволява неоторизирано подслушване на милиони устройства. Пробойната в сигурността е открита от Израелския технологичен институт.
Тя засяга сигурното сдвояване (pairing) при използването на Bluetooth Low Energy (LE) и прави възможно засичането и манипулирането на трафик между две устройства. Пробойната в сигурността може да бъде експлоатирана на ниво операционна система, както и фирмуеъра на устройството.
Как атаката се осъществява
При сдвояването (pairing) на две устройства се обменят публични ключове, които се използват за Diffie-Hellmanобмен (и автентикация посредством него). Към тях се изпращат и допълнителни параметри, които не се валидират правилно от страна на устройството. При изпращането на подправени параметри, трета страна може да осъществи man-in-the-middle атака и да открадне действителните криптографски ключове, които защитават комуникацията. В последствие, атакуващият може да подслушва всичко, случващо се между двете устройства.
Опростен модел на Дифи-Хелман протокола. Източник: Wikipedia
Как това ще се отрази на потребителите
Въпреки че атаката засяга милиони устройства, условията, нужни за успешното ѝ осъществяване са крайно специфични. За да може да получи снимките ви или да чува разговорите ви, атакуващият трябва да е в обхват докато две уязвими устройства се сдвояват и да подправи напълно комуникацията – нещо, което не е по силите на много.
Дори и така, силно ви препоръчваме да следите новините от производителите на всичките ви Bluetooth устройства. Предстои издаването на патчове за поправяне на уязвимостта.
Apple патчна уязвимостта със следните версии:
macOS High Sierra 10.13.5
iOS 11.4
watchOS 4.3.1
tvOS 11.4
Intel пусна ъпдейти за устройствата си в понеделник, като насочи фокуса си към хората, използващи продукти от Dual Band Wireless-AC, Tri-Band Wireless-AC и Wireless-AC сериите.
Broadcom съобщи, че патчове за уязвимостта са дистрибутирани към OEM клиентите на компанията, които сега са отговорни за дистрибуцията им към крайните потребители.
Qualcomm все още няма изявление относно уязвимостта.
Към момента все още няма признаци за експлоатиране на уязвимостта с криминални цели. Според Bluetooth Special Interest Group, всички механизми за атакуване на дупката в сигурността са разработени единствено с научни цели.
Нова кампания на небезизвестния вирус MuddyWater, която използва стартиране на PowerShell script в MS-Word документ, бе разкрита от анализаторите на Trend Micro.
Вирусът бе засечен за първи път през 2017 г. и бе насочен срещу правителството на Саудитска Арабия. По-късно нова серия от атаки бяха извършени към други страни като Турция и Пакистан, а през март тази година – и към Таджикистан.
Новото и различно при тази вълна на кампанията е, че атаката не използва VisualBasic Script и PowerShell компонентни файлове, а директно инжектира скрипта, нужен за атаката в самия Word документ.
Как протича заразата
Първата стъпка от атаката обикновено цели да заблуди жертвата. Тя получава мейл с обещания за награда или промоция и бива подмамена да изпълни макрокода в документа, прикачен към лъжливото писмо.
След послушното стартиране на кода, той използва фукнцията Document_Open(), за да стартира автоматично зловредната си част. Задълбочен анализ на малуера показва, че PowerShell скрипта, който декодира съдържанието на зловредния документ, води до изпълненито на втори скрипт.
Изпълнението на втория PowerShell скрипт използва различни зловредни компоненти, намиращи се в %Application Data%\Microsoft\CLR\*, които от своя страна стартират финалния payload – PRB-Backdoor(няма общо с Прокуратурата на Република България :) ). PRB-Backdoor е инструмент, който комуникира с команден център, изпращайки или получавайки специфични команди, чрез които извършва своята зловредна активност.
За улеснения на читателите, прилагаме така наречения IOC (Indicator of Compromise), които може да бъде използван за засичане на атаката.
Най-добрият начин за предпазване от този тип атаки е да не се доверявате и да не отваряте съдържанието на съмнителни документи или мейли, които ви обещават промоции, награди или други финансови облаги.
Разбира се, не можем да минем и без да ви посъветваме да използвате лицензиран антивирусен софтуер, за да имате шанс пред атакуващите, в случай че все пак отворите документа.
Похватите за амплификация и отразяване (amplification and reflection) са едни от най-често използваните при изпълнение на DDoS атаки. Благодарение на настройките си по подразбиране и/или „лоши“ конфигурации, протоколите и услугите като DNS, NTP, SSDP и Memcache се превръщат в опустошителни вектори за атака. В сравнение с традиционните методи за изпълнение на DDoS атаки, а именно създаване на многобройна botnet мрежа от IoT и мобилни устройства, каквито са Mirai, Hajime и WireX, вече споменатите услуги предоставят възможност за достигане на далеч по-обемни (~2Tbps) атаки с много по-малък брой уязвими сървъри. Как? Използваният транспортен протокол (UDP) е идеален за целта, като фактора на амплификация достига до 50 000, в зависимост от приложението:
За scrubbing услуги, предоставяни от големите доставчици като Google, CloudFlare, Akamai и Imperva, не представлява проблем да се справят с атаки от такъв тип. Обема на зловредния трафик не е важен, защото изходния порт (source порта) в хедърите на амплифицираните пакети следва предсказуем модел, примерно филтрацията на пакети с изходен порт 53 при DNS атака е стандартна мярка.
Вече не може да разчитаме на това
Именно от Imperva оповестиха откритията си относно иновативния метод за маскиране на традиционни DDoS атаки. Наскоро те са противодействали на SSDP амплифицирана атака, при която са забелязали пакети с нестандартен начален порт – нещо, за което досега се смяташе, че едва ли е възможно, камо ли някой да е готов да се защитава от такава атака.
На база първоначална хипотеза, Imperva успяват да създадат Proof-of-Concept за изпълнение на замаскирана DDoS атака, като използват UPnP (Universal Plug and Play) експлойт.
UPnP е протокол с дълго минало и множество проблеми касаещи сигурността
За незапознатите, UPnP е мрежов протокол опериращ върху UDP на порт 1900 за откриване на други устройства и случайно избран TCP порт за управление. Протокола има широко приложение в IoT устройствата (компютри, принтери, рутери и други), като служи за взаимното им откриване в LAN мрежата.
Какви са евентуалните проблеми с UPnP:
В някои имплементации настройките по подразбиране предоставят отдалечен достъп през WAN;
Липсва оторизиращ механизъм, което в комбинация с първата точка влошава положението сериозно;
Съществуват уязвимости предоставящи възможност за отдалечено изпълнение на код.
Исторически погледнато, първото разглеждане на слабости в UPnP е през 2001 с откриването на buffer overflow exploit. След това през 2006 е публикувана статия с интересното име – „Universal Plug and Play: Dead Simple or Simply Deadly“. В нея са описани методи за отдалечена пренастройка на устройства поддържащи UPnP чрез XML SOAP API съобщения.
От Rapid7 и Akamai също отделят време да изследват възможностите за експлоатиране на тази технология. През 2015 година по време на DEF CON 23, Ricky Lawshae изнася интересна презентация на тема UPnP и SOAP съобщения. В нея се отделя специално внимание на факта, че е възможно отдалечено изпълнение на AddPortMapping команди, които от своя страна управляват логиката за пренасочване на портове.
Маскиране на DDoS атака чрез UPnP пренасочване на портове
В описаната от Imperva SSDP атака, анализаторите са открили, че около 12% от пакетите идват от неочакван изходен порт, а не от UDP/1900. След оценка на няколко възможни опции, те успяват да пресъздадат атака, при която независимо типа на амплифицираният протокол, изходните портовете биват замаскирани.
Как би изглеждала евентуална подготовката за стартиране на DNS маскирана DDoS атака?
Откриване на общодостъпни UPnP устройства С помощта на IoT търсачката shodan.io, резултатът за българското пространството
За сравнение, в световен мащаб и към момента на публикуване на тази статия, точният брой е 1,365,553. Това по никакъв начин не означава, че всички тези устройства са уязвими, но намирането им измежду множеството не представлява проблем за мотивираните престъпници.
Ето така изглежда XML който UPnP сервира
Промяна на правилата за пренасочване на портове В rootDesc.xml са описани всички предоставяни услуги и свързани устройства, където по секцията <SCPDURL> могат да се видят действията, които устройството ще приеме отдалечено. В началото на списъка виждаме вече споменатото действие – AddPortMapping, което позволява конфигурирането на пренасочващи правила. Използвайки схемата на XML файла, може да бъде създаден SOAP запис, който да пренасочи всички UDP пакети от порт 1337 към публичен DNS сървър (3.3.3.3) на порт UDP/53. За повечето от нас, това пренасочване няма смисъл и дори очакваме да не сработи! При port forwarding правилата се прави връзка от публични (външни) към частни (вътрешни) IP адреси Source и обратното, а не се прави proxy заявка от външно към друго външно IP. Всъщност, много малко рутери имплементират такъв тип проверка, при който удостоверяват, че предоставеното вътрешно IP наистина е вътрешно.
Стартиране на замаскираната атака С направеното до тук, атаката следва следният сценарий:
Уязвимият рутер получава DNS заявка на UDP/1337;
Заявката е пренасочена към DNS сървър с краен (destination) порт UDP/53, благодарение на правилото за пренасочване;
DNS сървъра отговаря на заявката като със sourse port UDP/53;
Рутера предава отговора на DNS сървъра към първоначалният заявител, но не и преди да смени source порта обратно към UDP/1337.
Source: Imperva
В случая престъпникът (1.1.1.1) се представя (spoof) от името на жертвата – така усилените и замаскирани пакети достигат до крайната точка (4.4.4.4)
Описаната техника важи за всички протоколи и услуги, които така или иначе се използват за DDoS атаки, но с нея вече не може да се разчита на филтрация на база source IP и port. Така стандартните защитни механизми стават ненадеждни, като най-вероятна технология за защита от такива атаки е Deep Packet Inspection (DPI), която от своя страна изисква много повече ресурси и е предизвикателство да обработва in-line трафик без значителна инвестиция.
Истинското решение на проблема е такива устройства да не бъдат публично достъпни и да филтрираме достъпа до тях. Mерки, които често биват пренебрегвани, понеже реално не предоставят реални ползи за техните ползватели.
Експлойтът, именуван „EFAIL” използва два различни вектора за атака. И двата експлоатират начинът, по който различни типове софтуер обработват HTML. Първият се цели в софтуерното реализиране на криптирането, а вторият – в неописано поведение в OpenPGP и S/MIME стандартите.
Сред най-силно засегнатите приложения са AppleMail, iOS Mail и Mozilla Thunderbird.
Това ни съобщава професорът по компютърна сигурност Себастиан Шинцел, който откри и публикува уязвимостта. Всички детайли, които са достъпни до момента, както и цялостно техническо обяснение на слабите точки на MIME, S/MIME и OpenPGP стандартите можете да намерите наefail.de.
За краткосрочно предотвратяване на EFAIL атаки може да използвате следните насоки:
Не декриптирайте директно в мейл приложението – премахнете S/MIME или PGP ключовете си от мейл приложението и декриптирайте във външно такова като копирате и поставите кодирания текст. Към момента това е най-безопасния начин за предотвратяване.
Изключете визуализирането на HTML съдържание – най-често използвания вектор за атака при EFAIL е експлоатирането на активно съдържание. Забраняването му ще ви помогне да си осигурите по-високо ниво на защита, но не ви гарантира безопасност, тъй като има и други канали за използването на експлойта.
За защита в дългосрочен план е нужно производителите на софтуер да патчнат тези уязвимости. Откриването на уязвимостите показва и нужда от обновяване на OpenPGP и S/MIME стандартите, но това няма как да се случи в кратък срок.
