MEGANews. Самые важные события в мире инфосека за август

Другие статьи в выпуске:

Xakep #233. Китайские хакеры

• Содержание выпуска
• Подписка на «Хакер»-60%

Ломать Wi-Fi стало легче

Дженс Стьюб (Jens Steube), автор hashcat, известного инструмента для взлома паролей, рассказал, что найден новый, более быстрый способ взлома паролей от беспроводных сетей. Новая методика была обнаружена практически случайно, когда Стьюб и его коллеги искали слабые места в WPA3.

Ранее подобные атаки предполагали, что атакующему придется ждать нужного момента, когда кто-нибудь выполнит вход в сеть и будет совершено четырехстороннее рукопожатие EAPOL, в ходе которого клиент и роутер воспользуются PMK (Pairwise Master Key) и убедятся, что им обоим известен Pre-Shared Key (PSK). Задачей атакующего было поймать этот момент и перехватить рукопожатие.

Но исследователи обнаружили, что для WPA и WPA2 в сетях 802.11i/p/q/r все может быть проще. Новая атака базируется на использовании RSN IE (Robust Security Network Information Element) и его извлечении из единственного кадра EAPOL. Фактически атакующему нужно лишь предпринять попытку аутентификации в беспроводной сети, извлечь PMKID из одного кадра, а затем, имея на руках данные RSN IE, можно приступать к взлому Pre-Shared Key.

К примеру, для этого можно использовать тот же hashcat. Исследователи отмечают, что в среднем взлом пароля занимает десять минут, но все зависит от его сложности.

«Так как в данном случае PMK тот же, что и во время обычного четырехстороннего рукопожатия, это идеальный вектор атаки. Мы получаем все необходимые данные из первого же кадра EAPOL», — пишет Стьюб.

Пока специалисты не сообщают, какие роутеры каких именно производителей уязвимы к такому вектору атак. Скорее всего, проблема актуальна для всех «современных маршрутизаторов» со включенными функциями роуминга, работающих с IEEE 802.11i/p/q/r.

Шифровальщики атакуют

Казалось бы, ИБ-специалисты по всему миру давно фиксируют спад популярности шифровальщиков и утверждают, что им на смену пришел скрытый майнинг, без преувеличения ставший трендом текущего года. Однако это не значит, что шифровальщики стали менее опасны, просто их операторы переключили свое внимание с рядовых пользователей на организации и компании.

Матануска-Суситна под атакой

В августе 2018 года произошло сразу несколько интересных событий, напрямую или косвенно связанных с различными шифровальщиками. Но самой интересной историей определенно стала атака шифровальщика BitPaymer на одно из боро Аляски, Матануска-Суситна. В результате инцидента муниципальная ИТ-инфраструктура практически вышла из строя, а от использования электронной почты и телефонов временно пришлось отказаться в пользу печатных машинок и рукописного ввода.

Случившееся интересно и потому, что руководство боро в целом и ИТ-директор Эрик Уайетт (Eric Wyatt) в частности не скрывали деталей инцидента и очень подробно и прозрачно рассказали обо всех проблемах, которые повлекла за собой эта атака.

Первые признаки стороннего вмешательства были замечены еще в середине июля 2018 года, когда после обновления антивирус McAfee, установленный на компьютерах боро, вдруг начал обнаруживать некий троян в системах, работающих под управлением Windows 7. Как выяснилось позднее, малварь проникла в сеть боро еще в начале мая текущего года.

Антивирус не справлялся с удалением всех компонентов заражения, поэтому специалисты были вынуждены написать скрипт, который подчищал то, что осталось после работы McAfee. Его планировали запустить 23 июля, а также сотрудники собирались инициировать принудительную смену паролей для всех пользователей и административных учетных записей.

Уайетт рассказывает, что именно работа скрипта, похоже, и спровоцировала запуск компонента-шифровальщика. Вероятно, таким образом сработал автоматический «предохранитель» в коде злоумышленников, а возможно, операторы атаки все это время внимательно наблюдали за происходящим и, заметив, что их раскрыли, отдали малвари соответствующую команду с управляющего сервера.

В итоге шифровальщик поразил 500 рабочих станций (на базе Windows 7 и 10), а также 120 из 150 серверов Матануска-Суситны. После этого специалисты боро приняли решение не ждать продолжения атаки и ухудшения ситуации и начали самостоятельно уводить всю сеть и системы в офлайн (включая телефонию, почтовые серверы, компьютеры сотрудников), уведомив о происходящем ФБР.

Служащим пришлось очистить и переустановить весь софт на 650 рабочих компьютерах и серверах, по сути воссоздав всю инфраструктуру боро с нуля. В этом нелегком деле им вызвались помочь 20 различных государственных и частных организаций. В это время простые служащие были вынуждены «вернуться» на несколько десятков лет назад, достать со складов печатные машинки и калькуляторы, за справочной информацией обращаться к библиотечным книгам, а многие документы писать от руки.

Эрик Уайетт убежден, что боро столкнулось с хорошо организованной и продуманной атакой и это был «не какой-то пацан, живущий в мамином подвале».

Сообщается, что атака не затронула официальный сайт Матануска-Суситны (через который власти и рассказывали о происходящем во всех деталях), а также не пострадали данные пользователей и информация о платежных картах, хранившаяся у сторонних провайдеров. Кроме того, часть данных в итоге удалось восстановить из бэкапов, хотя отдельные из них датированы прошлым годом, а некоторая информация (к примеру, электронные письма) все же была утеряна.

Как уже было сказано, специалисты установили, что причиной этого хаоса стал шифровальщик BitPaymer. Также в отчете о расследовании говорится, что злоумышленники заразили сеть боро банкером Emotet и имели доступ к сети через Active Directory. Из-за этого теперь есть основания полагать, что во время атаки все же были скомпрометированы и похищены какие-то данные.

Напомню, что в 2017 году именно малварь BitPaymer атаковала больницы в Шотландии, попав на страницы СМИ всего мира, а в начале 2018 года аналитики ESET выдвинули теорию о том, что BitPaymer, вероятно, был создан теми же хакерами, которые стоят за известным ботнетом Necurs и банковским трояном Dridex.

Также стало известно, что, помимо Матануска-Суситны, от похожих атак пострадали еще города на Аляске (включая город Валдиз) и в других штатах США. Официальное сообщение об инциденте действительно было опубликовано властями Валдиза еще в конце июля, однако в нем упоминается лишь некий абстрактный «вирус», речи о BitPaymer или каком-либо другом шифровальщике там не идет. По словам Уайетта и данным следователей, боро стало жертвой номер 210, то есть где-то молчат о случившемся еще 209 пострадавших.

Согласно официальным сообщениям, выкуп злоумышленникам руководство Матануска-Суситны решило не платить принципиально. Уайетт писал, что зашифрованные малварью данные будут храниться годами, если это потребуется, но он надеется, что в конечном итоге ФБР и привлеченные к расследованию специалисты сумеют предоставить сотрудникам боро ключи для дешифровки и информация будет восстановлена.

Автор GandCrab против

Одним из наиболее «заметных» шифровальщиков 2018 года стала малварь GandCrab, о которой мы уже рассказывали неоднократно.

В середине июля 2018 года южнокорейские специалисты из компании AhnLab нашли «вакцину», защищающую от шифровальщика GandCrab версии 4.1.2. Исследователи обнаружили, что предотвратить срабатывание шифровальщика можно очень простым способом: достаточно создать специальные файлы вида [шестнадцатеричная_последовательность].lock в директориях C:\Documents and Settings\All Users\Application Data (для Windows XP) или C:\ProgramData (для Windows 7, 8 и 10). Наличие этих файлов в системе позволяет обмануть малварь, заставив GandCrab считать, что этот компьютер уже был заражен ранее.

В ответ на это разработчик GandCrab решил объявить исследователям войну. Вирусописатель, скрывающийся под псевдонимом Crabs, вышел на связь с изданием Bleeping Computer и заявил, что обнаруженный аналитиками AhnLab способ защиты оставался актуален лишь пару часов, после чего была выпущена новая версия шифровальщика. Хуже того, Crabs сообщил, что нашел баг в антивирусе AhnLab v3 Lite и намерен его использовать.

«Мой эксплоит станет пятном на репутации AhnLab, которое запомнят на долгие годы», — писал Crabs, предоставив журналистам ссылку на свой эксплоит.

Журналисты не собирались предавать этот факт огласке, пока инженеры AhnLab не изучат разработку вирусописателя и, если потребуется, не выпустят патч. Однако в начале августа эксперт Malwarebytes публично рассказал в Twitter об обнаружении новых версий GandCrab (4.2.1 и 4.3), в коде которых был замечен тот самый эксплоит для продукции AhnLab (с комментарием «привет AhnLab, счет — 1:1»).

После этого выяснилось, что эксплоит Crabs работает не совсем так, как было задумано. Сразу несколько ИБ-специалистов изучили проблему и пришли к однозначному заключению, что баг, который пытается эксплуатировать преступник, — это отказ в обслуживании (DoS). Из-за него может «падать» один из компонентов антивируса AhnLab, а в отдельных случаях и вся операционная система.

Но один из директоров AhnLab объяснил изданию, что код, интегрированный в GandCrab 4.2.1 и 4.3, выполняется уже после исполнения самой малвари и заражения нормальных файлов. То есть антивирус AhnLab обнаруживает и нейтрализует малварь задолго до того, как та попытается воспользоваться DoS-эксплоитом. В итоге шансы на успешное срабатывание эксплоита крайне малы. При этом разработчики подчеркивают, что Crabs не обнаружил какой-то страшный 0day-баг и вряд ли его способ позволяет исполнить какой-либо дополнительный пейлоад.

Также инженеры AhnLab отметили, что исправить проблему, обнаруженную Crabs, совсем не трудно и патч выйдет в ближайшее время. С релизом «заплатки» авторы антивируса планируют устранить некую фундаментальную недоработку, делающую такие атаки возможными в принципе.

Интересно, что еще весной текущего года исследователи Bitdefender выпустили бесплатный инструмент для расшифровки файлов, пострадавших от атак всех актуальных на тот момент версий шифровальщика GandCrab. Тогда же румынская полиция сообщила об аресте подозреваемых в распространении вредоносного спама. Но после этого Crabs не попытался «пойти войной» на компанию Bitdefender. Когда журналисты поинтересовались у него — почему, он не ответил, лишь сказал, что это была «хорошая работа».

640 000 за пару недель

Как уже было сказано выше, многие операторы вымогательской малвари переключили свое внимание на компании и организации. Вместо атак на рядовых пользователей теперь они атакуют больницы, учебные учреждения, муниципальные власти небольших городов.

Отличной иллюстрацией этой тенденции служит шифровальщик Ryuk, который впервые заметили 13 августа 2018 года, — первым о нем сообщил независимый ИБ-специалист, известный под псевдонимом MalwareHunter.

С тех пор в социальных сетях и на специализированных ресурсах появились многочисленные сообщения пострадавших от этой угрозы. На нового вымогателя обратили внимание эксперты сразу нескольких компаний, но пока никому не удалось понять, как именно распространяется вредонос. Исследователи полагают, что операторы Ryuk используют узконаправленный фишинг или плохо защищенные RDP-соединения, так как малварь заражает по одной компании за раз, и злоумышленники, похоже, действуют вручную.

К примеру, отчет, посвященный деятельности Ryuk, уже опубликовали специалисты компании Check Point. Они считают, что за созданием Ryuk может стоять та же хакерская группа, которая разработала шифровальщик Hermes. Или как минимум у операторов Ryuk был доступ к исходным кодам Hermes.

Напомню, что Hermes был обнаружен сотрудником компании Emsisoft Фабианом Восаром (Fabian Wosar) в 2017 году. Тогда эксперт отреверсил шифровальщик в прямом эфире на YouTube, а позже выложил результаты своего исследования и дешифровщик для этой версии вымогателя в Сеть.

Вскоре после этого появился Hermes второй версии, который дешифровке уже не поддавался. Затем, осенью 2017 года, обновленный Hermes был задействован во время атаки на тайваньский банк Far Eastern International Bank (FEIB) и использовался для отвлечения внимания. Этот инцидент стал новейшим на тот момент звеном в длинной цепочке взломов, связанных с международной банковской системой SWIFT. Тогда эксперты оборонной корпорации BAE Systems предположили, что атака связана с северокорейской хакерской группой Lazarus (она же Dark Seoul). В свою очередь, специалисты компании Intezer Labs даже сумели обнаружить определенное тождество исходных кодов Hermes и других инструментов Lazarus.

Теперь аналитики Check Point сообщают, что у Hermes и Ryuk тоже очень много общего. К примеру, функции, отвечающие за шифрование отдельных файлов, выглядят почти идентично. Оба шифровальщика используют одинаковые метки файлов, а их проверка тоже выполняется практически одинаково. Вымогатели добавляют в «белые списки» одни и те же директории (AhnLab, Microsoft, $Recycle.Bin и так далее), используют один и тот же скрипт для удаления теневых копий и бэкапов.

Были найдены версии Ryuk, предназначенные для 32- и 64-битных систем, причем исходные коды обеих версий имеют сходство с Hermes. Эксперты Check Point отмечают, что такое подобие исходных кодов малвари для разных архитектур может объясняться тем, что в основе этих версий лежат идентичные исходники.

Однако были обнаружены и различия. Так, специалисты Check Point и MalwareHunter заметили, что перед началом работы Ryuk ликвидирует на зараженной машине длинный список сервисов и приложений. В общей сложности вымогатель останавливает более 40 процессов и 180 сервисов, через использование taskkill и net stop.

Также обнаружилось, что Ryuk показывает своим жертвам разные версии сообщений с требованием выкупа. Существуют длинная и короткая версии послания, и обе предлагают жертвам связаться с авторами Ryuk по электронной почте.

В более длинной и детальной версии злоумышленники требуют выкуп в размере 50 биткойнов (порядка 320 тысяч долларов), а в более короткой — от 15 до 35 биткойнов (в среднем 224 тысячи долларов). Похоже, в разных случаях преступники выбирают разные уровни устрашения жертв, действуя по обстоятельствам. Это служит еще одним аргументом в пользу того, что создатели шифровальщика проводят свои атаки вручную, тщательным образом изучая жертв и не жалея на это ресурсов и времени.

Хотя биткойн-адреса уникальны для каждой жертвы и проследить за «доходами» группировки довольно сложно, по данным исследователей, в настоящее время операторы Ryuk «заработали» как минимум 640 тысяч долларов и явно не собираются останавливаться на достигнутом.

Джон Макафи пояснил, зачем занимается рекламой странных ICO

Джон Макафи дал интервью сайту Eth News, в котором пояснил, зачем он продвигает ICO непонятных стартапов и пишет в Twitter о весьма спорных криптовалютных проектах и технологиях.

«Понимаете, все, что я делаю, — это маркетинг. […] Я считаю, что мои технологические способности не имеют равных. Но свою работу я характеризую как маркетинг. По-моему, маркетинг куда важнее технологий. Ведь что такое маркетинг? Маркетинг — это то, что обеспечивает появление инноваций на свет. Множество инноваций не вышли в свет из-за отсутствия маркетинга. Или из-за того, что их маркетинг не был идеален. И можете быть уверены, если я что-то рекламирую, оно увидит свет»,

— Джон Макафи

Они следят за тобой

Разработчиков сразу нескольких крупных компаний обвинили в слежке за пользователями.

CCleaner

Пользователи популярнейшей утилиты CCleaner, предназначенной для очистки и оптимизации ОС семейства Windows, обрушились с критикой на разработчиков компании Piriform. Дело в том, что в новой версии CCleaner (5.45) была обнаружена неотключаемая программа «активного мониторинга» (Active Monitoring). В отличие от предыдущих версий, 5.45 попросту не имела соответствующих настроек приватности, позволяющих отказаться от этого обезличенного сбора данных.

И хотя, казалось бы, у пользователей была возможность открыть «Настройки -> Мониторинг» и там отказаться от системного и активного мониторинга, те снова включались уже при следующем запуске программы (разумеется, без ведома пользователя).

Хуже того, даже закрыть новую версию CCleaner оказалось непросто. После нажатия на крестик программа попросту сворачивается в область уведомлений, а ее иконка не позволяет остановить работу. Фактически единственный способ закрыть CCleaner — принудительно ликвидировать его через диспетчер задач.

Нужно сказать, что это далеко не первые нововведения, возмутившие пользователей. В прошлом году Piriform приобрела компания Avast, и с тех пор неприятные изменения происходят регулярно. Так, вышедшая в мае версия CCleaner 5.43 лишила пользователей бесплатной версии возможности отказаться от обмена данными. Версия CCleaner 5.44, вышедшая в июне, обзавелась всплывающей рекламой. И теперь появился CCleaner 5.45, где нельзя отказаться от активного мониторинга и сложно даже завершить работу программы.

После того как странное поведение CCleaner 5.45 раскритиковали не только пользователи, но и ИБ-специалисты с отраслевыми СМИ, разработчики все же прислушались к общественному мнению. Было принято решение вернуться к версии 5.44, которая вновь стала самой «свежей» из всех доступных для загрузки. Разработчики пообещали, что доработают новую версию и в ней появится возможность завершения работы программы. Также сообщается, что клининговая функциональность будет четко отделена от аналитической, а для управления ими появятся соответствующие настройки, которые CCleaner будет запоминать после закрытия.

Помимо этого, инженеры Piriform планируют подготовить подробные информационные бюллетени, которые расскажут, какие именно данные компания и ее продукты собирают о пользователях и в каких целях эта информация потом используется.

Google

Журналисты Associated Press опубликовали результаты расследования, согласно которым сервисы Google следят за пользователями мобильных устройств, даже если те отключили запись «истории местоположений» (Location History).

Каждый раз, когда ты желаешь воспользоваться сервисом вроде Google Maps, устройство запрашивает разрешение на доступ к данным о местоположении (к примеру, если это нужно для навигации). По данным Associated Press, если пользователь iOS- или Android-устройства не дает на это разрешения, многие сервисы Google все равно будут следить за ним. Даже в том случае, если «история местоположений» умышленно выключена. Фактически ее отключение означает лишь, что информация не вносится в Timeline и не видна самому пользователю.

«Например, Google фиксирует ваше местонахождение сразу же, как только вы открываете приложение Google Maps. Автоматические ежедневные обновления погоды на Android-смартфонах позволяют приблизительно понять, где вы находитесь, — пишут журналисты. — А поисковые запросы, никак не связанные с текущей локацией, например „печенье с шоколадной крошкой“ или „научные наборы для детей“, позволят определить вашу широту и долготу (с точностью до квадратного фута), и [эти данные] будут сохранены в вашем аккаунте Google».

Чтобы подтвердить свои опасения, журналисты заручились поддержкой ученых из Принстонского университета. Совместно им удалось воссоздать карту всех передвижений одного из исследователей, хотя функция Location History на его Android-смартфоне была отключена.

Как выяснилось, чтобы полностью отказаться от слежки, необходимо покопаться в настройках учетной записи и найти пункт Web and App Activity («История приложений и веб-поиска»), активный по умолчанию. Лишь после его отключения сбор данных прекращается.

Представители Google уже прокомментировали публикацию Associated Press, заявив, что компания ничего не нарушает и предоставляет пользователям все необходимые инструменты для отключения сбора информации и очистки истории. Также в Google отметили, что данные о местоположении помогают улучшить качество обслуживания пользователей.

Впрочем, специалисты Принстонского университета и журналисты Associated Press все равно называют это «слежкой» и настаивают на том, что отключение «истории местоположений» должно отключать «слежку», а компания намеренно вводит пользователей в заблуждение. По мнению исследователей, под угрозой оказывается приватность двух миллиардов пользователей Android и сотен миллионов пользователей iOS.

Пользователи криптовалютных бирж под атакой

Исследователи Group-IB изучили утечки учетных данных пользователей криптовалютных бирж и проанализировали характер этих инцидентов. В 2017 году, одновременно с резким увеличением интереса к криптовалютам, рекордными показателями их капитализации и взлетом курса биткойна, произошли десятки атак на криптовалютные сервисы.

• Эксперты проанализировали кражу 720 пользовательских учетных записей (логинов и паролей) 19 крупнейших криптовалютных бирж.

• Скомпрометированные учетные записи относятся к следующим сервисам: Binance, Bit-z, Bitfinex, Bithumb, Bitstamp, Bittrex, BTCC, CEX.io, Coinone, Gate.io, GDAX, Gemini, HitBTC, Huobi, Kraken, KuCoin, OKEx, Poloniex, Wex.nz.

• Наибольшее число скомпрометированных учетных записей пришлось на биржи Poloniex — 174 учетные записи, Bittrex — 111, CEX.io — 95, HitBTC — 83, Kraken — 61.

• С 2016 по 2017 год число скомпрометированных учетных записей пользователей криптовалютных бирж увеличилось на 369%.

• Из-за повышенного интереса к криптовалютам и блокчейн-индустрии количество инцидентов в январе 2018 года выросло на 689% по сравнению со среднемесячным показателем 2017 года.

• США, Россия и Китай — три страны, в которых зарегистрированные пользователи чаще других становились жертвами кибератак.

• Удалось выявить 50 активных ботнетов, задействованных для кибератак на пользователей криптовалютных бирж. Инфраструктура киберпреступников в основном базируется в США (56,1%), Нидерландах (21,5%), Украине (4,3%) и России (3,2%).

• Первая и основная причина компрометации аккаунтов — игнорирование двухфакторной аутентификации, как пользователями, так и самими биржами.

• Согласно исследованию, проведенному Кембриджским центром альтернативного финансирования, 75% бирж предоставляют опциональную 2ФА для входа пользователей в свои аккаунты, но лишь 23% считают ее обязательной.

• Только у 35% сервисов для проведения всех торговых операций обязательно использовать 2ФА, и 11% обязывают своих клиентов использовать ее для вывода средств.

• Меньше 50% бирж считают активацию 2ФА обязательной минимальной мерой для предотвращения несанкционированного доступа к функциональным возможностям аккаунта.

Утечки исходных кодов

Утечки исходных кодов популярных продуктов или опасной малвари случаются не так уж часто, но в этом месяце произошло сразу несколько таких инцидентов.

Snapchat

В начале августа 2018 года СМИ и ИБ-специалисты обратили внимание на GitHub-репозиторий, закрытый из-за жалобы на нарушение DMCA (Digital Millennium Copyright Act, Закон об авторском праве в цифровую эпоху). В этой жалобе представители компании Snap Inc. требовали немедленно удалить содержимое репозитория с сайта, так как «ВСЁ ЭТО УТЕКШИЕ ИСХОДНЫЕ КОДЫ» (большими буквами написан весь запрос на удаление).

После того как случившееся предали огласке, представители Snap Inc. были вынуждены пояснить, что в мае 2018 года обновление iOS-версии приложения случайно раскрыло часть исходных кодов приложения Snapchat. Разработчики заверили, что ошибку быстро исправили и утечка никак не компрометировала безопасность приложения и его пользователей, однако кто-то успел сохранить исходники, а затем принялся публиковать их в открытом доступе.

Интересно, что в Twitter теперь появляются сообщения на английском и арабском языках, написанные от лица нескольких пользователей. Они угрожают продолжить публиковать исходные коды в Сети, если разработчики не выплатят им некую «награду» (официальной bug bounty программы у компании нет). Судя по всему, Snap Inc. стала жертвой шантажа. Интересно, что после удаления первого репозитория на GitHub были размещены как минимум две копии утекших исходников.

DexGuard

Также в этом месяце с GitHub был спешно удален исходный код популярного инструмента DexGuard, который разрабатывает компания Guardsquare. Это решение является платным аналогом Proguard (распространяется под лицензией GPL) и используется для обфускации и защиты Android-приложений от обратного инжиниринга и взлома. DexGuard применяется разработчиками для защиты от взлома и клонирования приложений (порой это связано с пиратством), сбора учетных данных и от других проблем.

Как и в случае со Snapchat, на GitHub была обнаружена жалоба на нарушение DMCA, гласящая, что на сайте был размещен исходный код одной из старых версий DexGuard, украденный у одного из бывших клиентов компании Guardsquare.

Хотя репозиторий, о котором сообщали разработчики, был оперативно удален, исходники успели разойтись по Сети. В общей сложности представители Guardsquare насчитали около 300 форков похищенного ПО и уже подали запросы на их удаление.

Стоит отметить, что изначально исходные коды были опубликованы аккаунтом HackedTeam, который не был забанен. Эта же учетная запись поддерживает репозитории спайвари для Android, RCSAndroid. Авторство этого решения приписывают итальянской компании HackingTeam, и ранее его называли одной из наиболее профессиональных и сложных угроз для Android.

Reddit взломали

Один из самых посещаемых сайтов в интернете — Reddit официально сообщил о взломе. Неизвестные злоумышленники сумели обойти двухфакторную аутентификацию в аккаунтах нескольких сотрудников компании и похитили самые разные данные: от исходных кодов до email-адресов пользователей.

ИБ-специалисты давно предупреждают, что схемы двухфакторной аутентификации, привязанные к телефону и одноразовым кодам в SMS-сообщениях, нельзя считать надежными. Так, еще в 2016 году Национальный институт стандартов и технологий США (The National Institute of Standards and Technology, NIST) представил интересный документ, согласно которому использование SMS-сообщений для двухфакторной аутентификации «небезопасно» и «недопустимо».

Небезопасность данной системы лишний раз демонстрирует и инцидент, произошедший с сотрудниками Reddit. Ключевым аспектом случившегося стал именно обход двухфакторной аутентификации: преступники каким-то образом сумели перехватить SMS-сообщения своих жертв. Фактически это означает, что сначала преступники сумели взломать учетные записи служащих компании (как это произошло, не уточняется), а затем обошли и двухфакторную аутентификацию.

Как именно это было реализовано, представители Reddit вновь не уточняют, однако вариантов здесь может быть много. К примеру, атакующие могли эксплуатировать уязвимости в SS7, могли выполнить так называемый SIM swap, то есть перевыпустить на себя SIM-карту жертвы, обратившись к оператору связи и применив социальную инженерию, или клонировать SIM.

Отмечу, что в последнее время об атаках на SIM-карты говорят и пишут очень много, особенно после того, как в июле 2018 года журналисты Vice Motherboard обнародовали результаты расследования, доказывающего, что данную тактику широко используют злоумышленники и она позволяет им «угонять» учетные записи и чужие личности десятками и сотнями.

Но вернемся к компрометации Reddit. Как стало известно, инцидент имел место между 14 и 18 июля 2018 года, а проникновение обнаружили 19 июля. Злоумышленники скомпрометировали неназванное число сотрудников Reddit и проникли в «несколько систем», получив доступ к данным. Так, хакеры добрались до пользовательских email-адресов, а также бэкапа БД, датированного маем 2007 года.

Так как Reddit был основан и заработал в 2005 году, эта БД содержала всю информацию за два года работы сайта, включая весь его контент и сообщения пользователей (в том числе личные), а также старые хешированные пароли и соли.

Представители компании утверждают, что преступники не имели доступа на запись на скомпрометированных серверах, а значит, не могли подменить или исказить какие-либо важные данные. Тем не менее разработчики все равно усилили безопасность (к примеру, сменили ключи API) и мониторинг.

К сожалению, доступ на чтение у хакеров был, поэтому им удалось не только похитить БД, но и добраться до более свежих email-дайджестов, отправленных между 3 июня и 7 июля 2018 года. Эти подборки интересных и рекомендуемых постов содержат информацию о пользовательских именах и связанных с ними почтовых адресах.

Также злоумышленники получили доступ к исходным кодам Reddit, внутренней документации, логам и рабочим файлам сотрудников. Однако никаких подробностей об этом пока нет, так как хищение пользовательских данных более критично.

Точное количество скомпрометированных пользователей не называется, но компания уверяет, что всем пострадавшим будут направлены соответствующие уведомления. Также всех пользователей, регистрировавшихся на сайте до 2007 года, призывают поменять пароли, если они по каким-то причинам не делали этого больше десяти лет.

Как уже было сказано выше, в настоящее время разработчики Reddit работают над усилением мер безопасности и мониторинга, а также уже уведомили о случившемся правоохранительные органы. Небезопасность двухфакторной аутентификации посредством SMS в официальном заявлении прямо называют главной причиной произошедшего. Поэтому теперь сотрудники Reddit перейдут с SMS на использование 2FA-токенов.

Руководство TRON Foundation поделилось планами

Руководство компании TRON Foundation — организации, которая недавно приобрела BitTorrent, Inc., разрабатывающую популярнейшие клиенты μTorrent и BitTorrent, — поделилось своим видением перспектив дальнейшего развития этих проектов.

«В настоящее время мы рассматриваем возможность использования протокола TRON для улучшения протокола BitTorrent, чтобы тот стал быстрее и продлял срок жизни BitTorrent-роев. Я надеюсь, что интеграция TRON и BitTorrent в будущем позволит обеим сторонам работать совместно и стать лучше. Интегрируя TRON и BitTorrent, мы хотим улучшить существующий сейчас альтруизм. В настоящий момент у пиров [peer], которые завершили загрузку, нет стимулов продолжать сидировать [seed] контент. Мы намерены увеличить награду для пиров, которые сидируют торренты, вливая больше ресурсов в торрент-экосистему.

Сеть TRON будет протоколом, который ляжет в основу нашего секретного проекта. Сотни миллионов пользователей BT по всему миру станут частью экосистемы TRON. BT станет крупнейшим приложением в сети TRON, что позволит TRON превзойти Ethereum по ежедневным транзакциям и стать наиболее влиятельным блокчейном в мире»

— Джастин Сан (Justin Sun), глава TRON Foundation

Поиск скиммеров и опасные кабели

Среди наиболее интересных событий августа можно перечислить не только новые уязвимости, техники атак, образчики малвари и масштабные взломы. Кое-что интересное в этом месяце продемонстрировали и hardware-хакеры.

SkimReaper

Сотрудник Флоридского университета Нолен Скейф (Nolen Scaife) представил на конференции USENIX Security Symposium устройство SkimReaper, которое способно обнаруживать многие типы скиммеров на банкоматах и PoS-терминалах. Доклад удостоился премии Distinguished Paper Award.

Как рассказывают Скейф и его коллеги, их разработка способна обнаруживать присутствие нескольких считывающих головок, а это верный сигнал того, что на машине установлен скиммер.

В создании SkimReaper специалистам помогли сотрудники Департамента полиции Нью-Йорка, предоставившие экспертам доступ к различным скиммерам, с которыми правоохранители регулярно сталкиваются на практике. В итоге специалисты поделили скиммеры на четыре категории.

Накладки: устройства, которые помещаются поверх слота для приема карт в банкомате или PoS-терминале. Могут быть созданы специально, чтобы соответствовать конкретной модели банкоматов, а порой перекрывают собой едва ли не все устройство. Как правило, вместе с такими накладками также можно обнаружить и наложенную поверх настоящей клавиатуру, которая используется для перехвата PIN-кодов.

Глубокое внедрение: такие скиммеры размещаются глубоко в слотах для приема карт. Они достаточно тонкие, чтобы поместиться под картой и успеть считать данные во время ее вставки или извлечения. Уже появились версии, способные пассивно считывать EMV-транзакции; как правило, они размещаются между слотом для приема карт и EMV-сенсором.

Перехватчики: такие приспособления устанавливаются между терминалом и сетью, к которой тот подключен. Обычно уже то, что установка такого устройства возможна в принципе, свидетельствует о серьезных проблемах с безопасностью.

Внутренние скиммеры: такие скиммеры внедряются внутрь машины, между приемником карт и другим железом. По данным исследователей, чаще всего они встречаются на автозаправках, так как там легче всего добраться до внутренностей терминала, оставшись незамеченным.

Скейф объясняет, что из вариаций скиммеров наиболее распространены накладки и глубоко внедренные устройства, обнаружить которые зачастую бывает непросто. Как правило, правоохранителям удается заметить компрометацию лишь тогда, когда они целенаправленно ищут камеры, которыми злоумышленники пользуются для перехвата PIN-кодов.

По этой причине SkimReaper в первую очередь нацелен на поиск накладок и глубоко внедренных скиммеров. Он оснащен сенсором в форме банковской карты, на котором располагается печатная плата. Когда устройство включено, оно способно замечать небольшие скачки напряжения, которые возникают при вхождении в контакт с магнитными считывающими головками. Если их обнаруживается больше двух, значит, на терминале установлен скиммер.

Исследователи из Флоридского университета — не первые, кто работает в данном направлении. К примеру, в прошлом году было представлено Android-приложение Skimmer Scanner, которое обнаруживает скиммеры посредством Bluetooth (похожими методами уже давно пользуются и представители правоохранительных органов).

Но, по данным авторов SkimReaper, такой способ менее надежен, с его помощью им удалось обнаружить только 7 из 35 (20%) переданных им для тестов скиммеров. Дело в том, что такие устройства далеко не всегда поддерживают беспроводную связь. Тогда как, тестируя SkimReaper на предоставленных полицией Нью-Йорка скиммерах, исследователи сумели добиться стопроцентной точности.

После столь впечатляющих результатов Департамент полиции Нью-Йорка принял SkimReaper «на вооружение» и уже обнаружил с его помощью как минимум одно мошенническое устройство. Еще семь полицейских управлений также заинтересовались приобретением SkimReaper — по признанию Скейфа, столько устройств разработчики произвести пока не в силах. Очевидно, команду теперь придется расширять.

USBHarpoon

В августе 2014 года известные исследователи Карстен Нол (Karsten Nohl) и Якоб Лелл (Jakob Lell) из консалтинговой компании Security Research Labs сообщили о «фундаментальной уязвимости устройств USB», которая получила название BadUSB. В октябре того же года они опубликовали на GitHub код программы для взлома компьютера по USB. Фактически этот класс атак по сей день позволяет захватить контроль над многими устройствами, у которых есть порт USB. Атакующий может эмулировать любую периферию, хотя чаще всего предпочтение отдается клавиатурам.

Но за последние годы пользователи, наученные горьким опытом, привыкли к тому, что доверять USB-устройствам нужно с оглядкой. К примеру, многие попросту не рискнут вставить в свою машину найденную на улице флешку, и это вполне разумно.

Идея создать обычный USB-кабель, эксплуатирующий BadUSB, возникла довольно давно. Ведь кабель явно вызовет у потенциальной жертвы меньше подозрений, чем периферия. Однако успешных попыток до недавнего времени практически не было.

Для разработки USBHarpoon объединились специалисты RFID Research Group, SYON Security и Кевин Митник (Kevin Mitnick), который и предложил исследователям эту идею. Сам Митник вдохновился работами исследователя, известного в Twitter под ником MG. Еще в начале текущего года тот демонстрировал в своем микроблоге атаку через USB-кабель, однако связаться с ним самим и обсудить сотрудничество Митник, к сожалению, не сумел.

В итоге Митник привлек к разработке специалистов упомянутых выше компаний, которые справились с задачей ничуть не хуже. В своем блоге Винсент Йю (Vincent Yiu) из компании SYON Security рассказал, что многие хакеры и специалисты пытались создать нечто похожее на USBHarpoon, однако у них все время что-то не получалось. Но объединенной группе исследователей удалось решить все возникшие проблемы и спроектировать работающий USB-кабель, также являющийся HID-совместимым устройством.

USBHarpoon сработает на любой разблокированной машине, к которой будет подсоединен. После подключения кабель выполнит ряд команд, загрузит и запустит пейлоад. В Windows это делается напрямую через Run, а в случае с Linux и macOS может понадобиться запуск терминала. По умолчанию эта активность прекрасно видна на экране устройства, но, если нужно, атакующий может скрыть ее. В настоящее время предполагается, что атака будет производиться в отсутствие хозяина устройства.

Автор оригинального исследования Карстен Нол напоминает, что проблема BadUSB, по сути, не была устранена и опасна по сей день. Защититься от подобных атак можно разве что с помощью специального защитного переходника (такие решения известны как USB-презервативы, или USB condom). Однако все тот же MG демонстрировал в своем Twitter атаку и на такой переходник, доказывая, что тот тоже может быть заражен, после чего ему более нельзя доверять.

К своему отчету о разработке USBHarpoon Винсент Йю приложил видео, на котором подключенный для зарядки к Windows-машине квадрокоптер передает устройству команды и занимается потенциально вредоносной деятельностью.

Топ языков программирования

На страницах журнала IEEE Spectrum, издаваемого Институтом инженеров электротехники и электроники (IEEE), был опубликован традиционный рейтинг наиболее популярных языков программирования.

• Python по-прежнему занимает первую строчку рейтинга. В прошлом году он незначительно обошел по популярности C (100 против 99,7 балла), а в этом году C++ (100 против 99,7 балла).

• Второе и третье места в этом году заняли C++ (99,7) и Java (97,5), а один из прошлогодних лидеров, C, опустился на четвертую строку с 96,7 балла.

Роутеры под атакой

Атак на IoT-устройства становится все больше по мере роста количества самих гаджетов, подключенных к интернету вещей. Одной из самых частых целей преступников оказываются роутеры различных производителей. Дело в том, что их много, они подключены к Сети, но зачастую защищены ничуть не лучше каких-нибудь «умных» холодильников.

Майнеры на MikroTik

Сразу несколько ИБ-специалистов и компаний из разных стран зафиксировали волну атак, направленную против маршрутизаторов MikroTik. Первым на происходящее обратил внимание бразильский исследователь, известный под ником MalwareHunterBR.

Дело в том, что сначала атаки концентрировались именно на территории Бразилии, но затем распространились и на другие страны, что привлекло внимание экспертов Trustwave. По данным аналитиков компании, по информации на 1 августа 2018 года неизвестные злоумышленники скомпрометировали более 72 тысяч роутеров MikroTik в одной только Бразилии. На тот момент подобные атаки практиковала всего одна хакерская группа, так как специалистам удалось выявить только один Coinhive-ключ.

Хакеры эксплуатируют свежую уязвимость, которая была обнаружена в составе компонента Winbox в апреле текущего года. Хотя инженеры MikroTik оперативно устранили этот опасный RCE-баг, владельцы роутеров, к сожалению, по-прежнему не спешат устанавливать обновление на свои устройства. Между тем в Сети уже были опубликованы PoC-эксплоиты и детальные анализы бага.

После взлома устройства используются для манипуляций с трафиком: роутеры заставляют внедрять во все страницы всех сайтов майнинговый скрипт Coinhive. Хуже того, по данным экспертов, атаки коснулись не только пользователей MikroTik. Дело в том, что некоторые бразильские провайдеры используют уязвимые маршрутизаторы в своих основных сетях, и в результате их компрометации инъекции Coinhive затронули большой процент трафика. Такие инъекции опасны не только для пользователей напрямую. К примеру, если некий сайт размещается в локальной сети за роутером MikroTik, его трафик также окажется заражен майнером Coinhive.

Но злоумышленники быстро поняли, что встраивать майнер буквально повсюду — не слишком хорошая идея, так как подобное поведение привлекает чересчур много внимания. Тогда операторы вредоносной кампании решили ограничиться только страницами ошибок, которые возвращают роутеры. При этом массовость атак не снижается. После того как кампания распространилась за пределы Бразилии, количество зараженных Coinhive роутеров превысило 180 тысяч.

Простое обращение к поисковику Shodan показывает, что в интернете можно обнаружить более 1,7 миллиона роутеров компании MikroTik, то есть атакующим определенно есть где развернуться.

По данным известного ИБ-эксперта Троя Мурша (Troy Mursch), специалистам удалось выявить второй ключ Coinhive, внедряемый в трафик устройств MikroTik. Вторая вредоносная кампания затронула по меньшей мере 25 тысяч роутеров, то есть в общей сложности уже были скомпрометированы свыше 200 тысяч устройств.

Брешь в девайсах D-Link

Эксперты Radware обнаружили еще одну атаку, нацеленную на бразильских пользователей. Злоумышленники используют уязвимость части устройств D-Link для изменения настроек DNS и перенаправления бразильских пользователей, которые пытаются посетить сайты банков, на сайты-фальшивки. Такие фейковые ресурсы, разумеется, созданы для хищения учетных, финансовых и личных данных: номера телефона, PIN-кода карты, номера CABB и так далее.

Подделки существуют для ресурсов как минимум двух банков: Banco de Brasil (www.bb.com.br) и Unibanco (www.itau.com.br). Вредоносные DNS, задействованные в атаках, — это 69.162.89.185 и 198.50.222.136.

По данным исследователей, проблема, позволяющая неавторизованным лицам удаленно изменить настройки DNS, представляет опасность для модемов и роутеров D-Link DSL-2740R, DSL-2640B, DSL-2780B, DSL-2730B и DSL-526B.

Первые попытки использования эксплоитов против DSL-роутеров D-Link были зафиксированы еще в начале июня 2018 года. Так, между началом июня и серединой августа текущего года Radware удалось выявить более 500 попыток эксплуатации проблемы. При этом специалисты отмечают, что эксплоиты для многих роутеров (в основном производства D-Link) были опубликованы еще в 2015 году.

Специалисты предупреждают, что в случае такой атаки распознать поддельный сайт гораздо труднее, чем обычно. Ведь преступники не изменяют URL, не рассылают фишинговых писем и не прибегают к другим известным уловкам. Фактически единственное, что выдает атаку, — это незащищенное соединение (HTTP) или проблемы с сертификатом, если жертва пытается использовать HTTPS.

В настоящее время представители Radware уже поставили в известность о происходящем представителей банков и облачного хостинга, где размещались DNS-серверы, и фиктивные сайты прекратили работу. Пользователям потенциально уязвимых устройств настоятельно рекомендуют проверить настройки DNS и озаботиться установкой патчей.

Невзламываемый Bitfi

В начале августа 2018 года Джон Макафи предложил всем желающим попробовать хакнуть криптовалютный кошелек Bitfi, называя устройство «невзламываемым» и предлагая 250 тысяч долларов любому, кто сумеет доказать обратное.

В ответ ИБ-сообщество раскритиковало Макафи за то, что тот поставил очень странные «условия задачи», из-за которых до сих пор может утверждать, что Bitfi не взломали. Так, исследователям предлагается приобрести кошелек за 120 долларов, он уже содержит криптовалюту и защищен неизвестной парольной фразой. Требуется извлечь токены из кошелька, и лишь тогда оно будет считаться взломанным. При этом ключ, использующийся для доступа к криптовалюте, не хранится на самом устройстве.

Так, известный исследователь Эндрю Тирни (Andrew Tierney) писал, что предложенная специалистам схема покрывает только один метод атак: хищение средств с украденного устройства Bitfi, которое уже оказалось в руках хакеров. Однако в реальности только этим сценарием дело, конечно, не ограничивается. К примеру, преступники могут организовать атаку на цепочку поставок и модифицировать кошельки, чтобы те запоминали и пересылали все ключи третьей стороне. Также в устройства могут встроить бэкдор, однако подобные сценарии атак не были включены в bug bounty Джона Макафи, а устройство упорно продолжают называть «невзламываемым».

В свою очередь, эксперты Pen Test Partners выяснили, что «невзламываемое» устройство представляет собой смартфон на Android, из которого были удалены отдельные компоненты (в основном отвечающие непосредственно за сотовую связь). Специалистам удалось получить к девайсу root-доступ и обнаружить, что тачскрин сообщается с чипсетом посредством незашифрованного протокола I2C. То есть в теории злоумышленники могут «прослушивать» эти коммуникации и извлечь парольную фразу сразу же после того, как она была набрана на экране. Хуже того, кошельки оказались практически никак не защищены от несанкционированного вмешательства. То есть Bitfi можно вскрыть и исследовать, а он продолжит работать как ни в чем не бывало.

Позже специалисту, известному под ником Abe Snowman, удалось запустить на устройстве Doom. СМИ сообщают, что за этим псевдонимом скрывается 15-летний исследователь Салим Рашид (Saleem Rashid).

И хотя Doom на Bitfi может показаться кому-то пустяком, исследователь объясняет, что для запуска игры на кошельке необходимо установить и выполнить произвольный код, а также реализовать чтение и запись из хранилища и RAM, запись в кадровый буфер и чтение данных с тачскрина.

Невзирая на все перечисленное, Джон Макафи продолжает утверждать, что устройства Bitfi надежны и ни одному хакеру так и не удалось выполнить поставленные условия и похитить из кошелька токены. Хотя в интервью ресурсу Eth News Макафи признался, что «возможно, называть Bitfi невзламываемым было неразумно», он по-прежнему убежден, что кошелек не может считаться взломанным, подчеркивая, что под «взломом» подразумевается именно хищение токенов и ничего более.

«Хакеры очень внимательны к деталям. Говоря „хак“, я подразумеваю кражу коинов. Зачем вообще ломать кошелек, если не для хищения коинов? И пользователи волнуются: „могут ли хакеры украсть мои коины?“. Ответ — нет», — говорит Макафи.

Заработать на Coinhive не так просто

Эксперты из Рейнско-Вестфальского технического университета Ахена изучили работу майнингового сервиса Coinhive и подсчитали доходы его клиентов.

• В месяц Coinhive добывает Monero на 250 000 долларов США. Операторы Coinhive оставляют себе 30% добытого, а остальное получают клиенты сервиса.

• Хотя, помимо Coinhive, существуют и другие аналогичные сервисы, он удерживает пальму первенства с большим отрывом.

• Согласно отчету, майнинговые скрипты были обнаружены только на 0,8% сайтов.

• Наиболее активными распространителями Coinhive выступают всего 10 клиентов сервиса, которые и получают от своей деятельности наибольшую прибыль.

• Почти треть всех ссылок создана одним и тем же пользователем, а примерно 85% всех ссылок созданы всего 10 людьми.

Конец EmuParadise

Еще в прошлом месяце компания Nintendo начала юридически бороться с сайтами, распространяющими ROM’ы старых игр. Тогда представители компании обратились в федеральный суд Аризоны с жалобой на ресурсы LoveROMS.com и LoveRETRO.co, обвинив их в нарушении авторских прав и незаконном использовании торговых марок. В заявлении сказано, что эти сайты — одни из самых известных источников игрового пиратства в онлайне. В настоящее время оба ресурса уже ушли в офлайн и вряд ли когда-либо вернутся.

Любители ретроигр были крайне огорчены происходящим, а теперь вслед за LoveROMS.com и LoveRETRO.co о решении прекратить распространять старые игры объявил и известный сайт EmuParadise.

Основатель ресурса, MasJ, сообщил, что скачать старые ROM’ы с EmuParadise больше будет нельзя. Он пишет, что сайт прошел долгий путь за 18 лет своего существования и его администрация успела повидать всякое:

«От писем с угрозами, которые присылали нам на заре работы, до внезапного отключения хостингов и наших серверов из-за жалоб. Мы повидали все. Мы всегда подчинялись требованиям удаления контента, но, как видите, это уже ничего не гарантирует».

И хотя правообладатели называют подобные ресурсы рассадниками пиратства, на деле многие из них давно заброшены и почти забыты. Более того, зачастую у ностальгирующих пользователей попросту нет других легальных альтернатив, так как оригинальные железо и картриджи достать порой попросту невозможно и остаются лишь эмуляторы и пиратские сайты.

«Мы получали тысячи писем от людей, которые рассказывали, как счастливы они были снова открыть для себя игры своего детства и поделиться ими с новыми поколениями своих семей. Нам писали солдаты из горячих точек и рассказывали, что ретроигры, в которые они играли в детстве, — это единственное, что помогло им пройти через эти сложные дни. Нам писали люди, чьи братья скончались от рака, и они нашли утешение в играх, в которые играли вместе в детстве. У нас было бессчетное число таких историй», — пишет MasJ.

MasJ с сожалением признает, что он не готов и далее поддерживать распространение ROM’ов и рисковать будущим своей команды и посетителей. Тем не менее сообщается, что EmuParadise не закрывается: сайт продолжит работу и по-прежнему будет посвящен ретроиграм. В какой именно форме это будет реализовано, пока неясно.

Увы, происходящее предсказывали уже давно. Так, еще в 2016 году основатель Video Game History Foundation Фрэнк Сифалди (Frank Cifaldi) выступал на Game Developers Conference, и еще тогда он предупреждал:

«Мы демонизируем эмуляцию и обесцениваем собственное наследие. Мы низводим до пиратства огромную часть нашего прошлого».

Другие интересные события месяца

• В даркнете начали продавать малварь для криптовалютных банкоматов

• Компания Crowdfense запускает собственную платформу для покупки уязвимостей

• Сети организаций могут быть скомпрометированы через... факсы

• Три новые уязвимости класса Spectre выявлены в процессорах Intel

• Миллионам приложений для Android угрожает проблема Man-in-the-Disk

• Обнаружена новая разновидность Mirai, использующая Aboriginal Linux и опасная для Android и Debian

• Уязвимости в кардиостимуляторах и инсулиновых помпах MedTronic могут угрожать жизням их владельцев

• У биткойн-инвестора «угнали» SIM-карту и похитили 23 миллиона долларов

• Разработчики Telegram не собираются сотрудничать с российскими спецслужбами

• Некоторым участникам хакерской конференции DEF CON пришлось иметь дело с полицией