Содержание статьи
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19811/flash-player.jpg)
Удаление Flash
Согласно давно продуманному производителями плану, с наступлением 2021 года поддержка Adobe Flash Player была окончательно прекращена. Это значит, что компания Adobe официально прекратила распространять Flash Player и обновлять его, а разработчики браузеров перестали поддерживать плагины Flash. Кроме того, в код Flash Player заранее внедрили аварийный «рубильник», который предотвращает запуск любого Flash-контента начиная с 12 января 2021 года.
В прошлом году, готовясь к окончательному прекращению поддержки Flash Player, компания Microsoft создала обновление KB4577586, предназначенное для удаления Adobe Flash из всех версий Windows 8, 10 и Windows Server, а также предотвращения его повторной установки.
Тогда обновление было доступно только через официальный каталог и его нельзя было удалить после установки. Впрочем, обновление не было обязательным, хотя в феврале его принудительно развернули на некоторых машинах под управлением Windows 10.
В целом в компании обещали, что в начале 2021 года это обновление распространят через WSUS и Windows Update и сделают обязательным. Теперь в блоге Microsoft появилось сообщение, в котором раскрываются дальнейшие планы относительно KB4577586.
С июня 2021 года Microsoft планирует включить KB4577586 в состав опциональных накопительных preview-обновлений для Windows 10 1809 и более поздних версий. В июле KB4577586 войдет уже в обязательные пакеты накопительных обновлений для Windows 10 1507 и более поздних версий, а также в Windows Server 2012, Windows 8.1 и Windows Embedded 8 Standard. Также стало известно, что в Windows 21H1 обновление KB4577586 будет устанавливаться автоматически, то есть плагин Adobe Flash Player будет автоматически удален.
Вряд ли окончательное удаление Flash Player будет замечено пользователями, ведь уже сейчас он фактически бесполезен и не может использоваться для отображения контента.
55% россиян откладывают обновления
По данным «Лаборатории Касперского», больше половины россиян (55%), увидев уведомление о необходимости перезагрузить устройство, чтобы обновить его, нажимают «Напомнить позже».
Значительная часть (41%) тех, кто просит напомнить позже, обычно обновляет устройство в конце дня, 24% — в течение нескольких дней, 17% — в течение нескольких часов. Каждый десятый хотя бы раз откладывал обновления на несколько месяцев.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19820/qualcomm-mobile-station-modem-1.jpg)
Уязвимость Qualcomm MSM
Более трети всех смартфонов в мире оказались подвержены новой уязвимости в Mobile Station Modem (MSM) производства Qualcomm. Этот баг дает злоумышленникам доступ к истории вызовов, SMS-сообщениям и даже позволяет подслушивать разговоры.
MSM представляет собой SoC, который позволяет устройствам подключаться к мобильным сетям. Он был разработан еще в 1990-х годах и с тех пор постоянно совершенствовался, к примеру добавлялась поддержка 2G, 3G, 4G и 5G. В итоге на сегодняшний день MSM стала одной из самых распространенных технологий в мире, особенно среди производителей смартфонов. В частности, чипы Qualcomm MSM используются в смартфонах Google, Samsung, LG, Xiaomi, One Plus и многих других производителей.
Эксперты компании Check Point обнаружили уязвимость в Qualcomm MSM Interface (QMI) — протоколе, который позволяет SoC обмениваться данными с операционной системой смартфона. Эта проблема получила идентификатор CVE-2020-11292.
По данным специалистов, модифицированные пакеты Type-Length-Value (TLV), полученные MSM через интерфейс QMI, могут спровоцировать ошибку повреждения информации в памяти (переполнение буфера), что в итоге позволит злоумышленникам выполнить собственный код на устройстве.
«Злоумышленники могли использовать эту уязвимость для внедрения вредоносного кода, в итоге получая доступ к истории вызовов и SMS-сообщениям на устройстве, а также возможность прослушивать разговоры пользователя. Также хакеры могли использовать уязвимость для разблокировки SIM-карты устройства, тем самым преодолевая ограничения, налагаемые поставщиком услуг», — рассказывают в Check Point.
Отчет специалистов гласит, что эксплуатация уязвимости невозможна, если скрывать искаженные пакеты TLV внутри сторонних приложений, работающих в ОС (особенно на Android), когда компонент MSM защищен SELinux. Однако отмечается, что пакет TLV может быть передан посредством сотовой связи или мультимедийного контента, отправленного на устройство. При распаковке такой пакет может достичь уязвимого интерфейса QMI.
Хотя в настоящее время около 40% всех смартфонов в мире используют чипы Qualcomm MSM, из них лишь около 30% уязвимы для описанных экспертами атак.
Представители Check Point сообщили СМИ, что уведомили инженеров Qualcomm о проблеме еще в прошлом году, и в декабре 2020 года компания выпустила патч для MSM, который был распространен среди производителей смартфонов. Хотя Qualcomm заявляет, что уведомила всех производителей об ошибке, исследователям неизвестно, какие именно компании уже пропатчили свои продукты, а какие нет.
ФБР: количество киберпреступлений растет
Эксперты Центра приема жалоб на мошенничество в интернете (IC3) при ФБР опубликовали отчет о киберпреступлениях за последние 14 месяцев.
- В период с марта 2020 года по май 2021 года наблюдался резкий прирост жалоб, количество которых увеличилось более чем на 1 000 000.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19827/isc-graph-new.jpg)
IC3 начала регистрировать жалобы на киберпреступления еще в 2000 году, и экспертам потребовалось 7 лет, чтобы дойти до отметки в 1 000 000 жалоб в год. И с тех пор на каждый дополнительный миллион жалоб в среднем уходило 29,5 месяца.
Нынешний резкий прирост ФБР объясняет тем, что люди стали больше работать удаленно из‑за пандемии COVID-19, а преступники не преминули использовать это обстоятельство для тематических атак.
Тремя основными типами преступлений, зарегистрированными в 2020 году, были фишинг, мошенничество с платежами и доставкой, а также вымогательство.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19813/github.jpg)
GitHub без эксплоитов
Разработчики GitHub решили обсудить с ИБ‑сообществом серию изменений в политиках сайта, которые определяют, как именно компания борется с загруженными на платформу малварью и эксплоитами.
Предлагаемые изменения подразумевают, что GitHub установит более четкие правила относительно того, что должно считаться кодом, который используется для исследования уязвимостей, а что считается кодом, которым злоумышленники могут злоупотреблять для настоящих атак. Проблема в том, что сейчас эта грань размыта. Любой может загрузить на GitHub малварь или эксплоит, сопроводив пометкой «для исследования безопасности», и сотрудники GitHub, скорее всего, не тронут такой код.
Теперь GitHub просит владельцев проектов четко обозначать природу своего кода и указывать, может ли тот использоваться для причинения вреда другим. Также сотрудники GitHub хотят иметь возможность вмешиваться в ситуацию в определенных случаях, в частности ограничивать или удалять код, предназначенный для ИБ‑исследований, если известно, что тот уже применяется для реальных атак.
«Эти изменения… направлены на устранение двусмысленности в таких терминах, как „эксплоит“, „вредоносное ПО“ и „доставка“, чтобы обеспечить ясность наших ожиданий и намерений», — пишет Майк Хэнли (Mike Hanley), директор по безопасности GitHub.
Происходящее — прямое следствие скандала, берущего начало в марте текущего года. Напомню, что тогда компания Microsoft, которой принадлежит GitHub, сообщила о серии уязвимостей ProxyLogon, которые использовались хакерскими группами для взлома серверов Exchange по всему миру.
Производитель ОС выпустил патчи, а неделю спустя вьетнамский ИБ‑исследователь отреверсил эти исправления и создал на их основе PoC-эксплоит для ProxyLogon, который потом загрузил на GitHub. Через считаные часы после загрузки кода на GitHub команда безопасности Microsoft вмешалась и удалила PoC эксперта, что вызвало волну возмущения в отрасли и критику в адрес Microsoft.
Хотя тогда Microsoft просто стремилась защитить от атак владельцев серверов Exchange, а GitHub в итоге позволила исследователю и другим лицам повторно загрузить код эксплоита на сайт, теперь в GitHub все же хотят устранить все двусмысленности в политиках своей платформы, чтобы подобное больше не повторялось.
Пока неясно, планирует ли GitHub прислушиваться к полученному от людей фидбэку, или компания в любом случае одобрит предложенные изменения, таким образом получив возможность вмешиваться в ситуацию, если сочтет, что конкретный код может использоваться для атак.
Предложение компании уже вызвало жаркие дебаты в сети, и мнения разделились. Некоторые пользователи согласны с предлагаемыми изменениями, тогда как других устраивает текущее положение вещей: когда люди могут сообщать о вредоносном коде на GitHub, чтобы его удалили, но при этом сама платформа не трогает PoC-эксплоиты, даже если ими уже злоупотребляют. Дело в том, что эксплоиты часто репостят на других платформах, поэтому удаление PoC именно с GitHub вовсе не означает, что злоумышленники не смогут ими воспользоваться.
Павел Дуров: «Владение iPhone делает вас цифровым рабом Apple»
Павел Дуров продолжает выступать с критикой в адрес компании Apple. На этот раз он опубликовал сообщение в своем Telegram-канале, написанное после выхода статьи The New York Times, в которой сообщалось, что Apple участвует в крупномасштабной кампании по слежке и цензуре в Китае.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19807/durov.jpg)
«Это печально, но не удивительно: крупные технологические компании часто предпочитают прибыль свободам. Apple очень эффективно реализует свою бизнес‑модель, основанную на продаже устаревшего оборудования по завышенной цене клиентам, запертым в их экосистеме.
Каждый раз, когда мне приходится использовать iPhone для тестирования нашего приложения для iOS, я чувствую, что попадаю в средневековье. Дисплеи iPhone 60 Гц не могут конкурировать с дисплеями 120 Гц современных телефонов на Android, которые поддерживают более плавную анимацию.
Однако худшая часть технологий Apple — это не более громоздкие устройства или устаревшее оборудование. Владение iPhone делает вас цифровым рабом Apple: вам разрешено использовать лишь те приложения, которые Apple позволяет устанавливать через их App Store, и вы можете использовать только iCloud от Apple, чтобы просто сделать резервную копию своих данных.
Неудивительно, что тоталитарный подход Apple так ценится Коммунистической партией Китая, которая, благодаря Apple, имеет полный контроль над приложениями и данными всех своих граждан, которые полагаются на iPhone»
— Павел Дуров в своем Telegram-канале
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19812/fragattacks.jpg)
Frag Attacks
Известный ИБ‑эксперт Мэти Ванхоф (Mathy Vanhoef) сообщил об обнаружении целого набора уязвимостей Frag Attacks (Fragmentation and aggregation attacks), перед которыми уязвимы все устройства с поддержкой Wi-Fi (компьютеры, смартфоны и умные девайсы), выпущенные после 1997 года.
Напомню, что ранее именно Ванхоф обнаружил такие опасные уязвимости, как KRACK и Dragonblood, что позволило значительно улучшить безопасность стандарта Wi-Fi.
Проблемы Frag Attacks позволяют злоумышленнику, находящемуся в радиусе действия Wi-Fi, собирать информацию о владельце устройства и выполнять вредоносный код. Хуже того, уязвимости актуальны даже в том случае, если активна защита WEP и WPA. Ванхоф пишет, что три уязвимости — это недостатки дизайна стандарта Wi-Fi 802.11, которые связаны с функциями агрегирования и фрагментации фреймов, а другие баги — это проблемы программирования в различных Wi-Fi-продуктах.
«Эксперименты показывают, что каждый продукт Wi-Fi уязвим по меньшей мере перед одной проблемой, а большинство продуктов уязвимы сразу перед несколькими, — заявляет эксперт. — Обнаруженные уязвимости затрагивают все современные протоколы безопасности Wi-Fi, включая последнюю спецификацию WPA3. Затронут даже оригинальный протокол безопасности Wi-Fi, WEP. Это означает, что некоторые из обнаруженных недостатков были частью Wi-Fi с момента его появления в 1997 году!»
Как было в случае с KRACK и Dragonblood, Ванхоф сразу сообщил о своих выводах инженерам WiFi Alliance. В течение последних девяти месяцев Ванхоф и специалисты WiFi Alliance совместно работали над исправлением стандартов Wi-Fi и сотрудничали с поставщиками устройств, чтобы скорее выпустить патчи. Список производителей и разработчиков, уже подготовивших заявления и бюллетени безопасности, можно найти здесь.
Впрочем, есть и хорошая новость: Ванхоф обнаружил, что большинством уязвимостей Frag Attacks трудно воспользоваться, так как это потребует взаимодействия с пользователем или же атака возможна только при использовании весьма нестандартных сетевых настроек.
На своем сайте Ванхоф перечисляет ряд защитных мер, которые стоит предпринимать пользователям. Самая простая защита — обеспечение доступа к сайтам только через HTTPS, что блокирует атаки.
Шпионское ПО в России
Компания Avast проанализировала распространение шпионских и сталкерских приложений в 15 странах мира в 2020 году. Увы, Россия заняла 2-е место в этом рейтинге.
Использование сталкерских приложений (в том числе установленных незаметно от жертвы) в России в первом квартале 2021 года увеличилось на 390% по сравнению с тем же периодом прошлого года.
Россия также вошла в тройку стран, в которых чаще всего обнаруживали шпионские программы. Первое место занимает Индия, третье — США.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19804/appstore.jpg)
Атака малвари XcodeGhost
В рамках антимонопольного судебного разбирательства между компаниями Epic Games и Apple были обнародованы документы, согласно которым малварь XcodeGhost, обнаруженная в 2015 году, суммарно атаковала более 128 миллионов пользователей iOS. Напомню, что в прошлом году производитель игр подал иск против Apple, так как последняя удалила игру Fortnite из App Store якобы из‑за нарушения условий договора.
Информация о XcodeGhost содержалась в электронных письмах, которые теперь стали достоянием общественности. В них сотрудники Apple обсуждают инцидент с XcodeGhost и возможные шаги, которые компания должна предпринять.
Малварь XcodeGhost впервые была замечена в 2015 году, когда обнаружилось, что хакеры подделали инструмент для разработчиков Xcode, выпустив собственную версию, получившую имя XcodeGhost. В результате все приложения, созданные с помощью этой версии, оказались небезопасны для пользователей. Как вскоре выяснилось, таких приложений насчитывалось более 4000.
Тогда Apple удалила вредоносные приложения из App Store и опубликовала для разработчиков инструкции, которые те могли использовать для определения легитимности своей версии Xcode.
Теперь выяснилось, что, когда Apple выявила более 2500 вредоносных приложений, они были загружены из App Store более 203 миллионов раз. По подсчетам специалистов компании, от них пострадали примерно 128 миллионов пользователей по всему миру. Больше половины пострадавших находились в Китае, но также Apple выявила 18 миллионов пострадавших в США.
В обнародованной переписке сотрудники компании обсуждают, следует ли напрямую уведомлять все 128 миллионов человек о проблеме, и, похоже, в итоге в Apple приняли решение этого не делать. Представители Apple сообщили изданию SecurityWeek, что постоянно информируют своих пользователей о проблеме и предоставляют им всю необходимую информацию, однако в компании не уточнили, уведомляли ли пострадавших об атаках XcodeGhost напрямую.
90 000 000 долларов на вымогательстве
Аналитики компании Elliptic, занимающейся блокчейн‑анализом, подсчитали, что операторы вымогателя DarkSide, который был активен с прошлого года, успели «заработать» на выкупах около 90 000 000 долларов. Выкупы были перечислены преступникам с 47 различных кошельков.
Группа атаковала не менее 99 компаний, из которых примерно 47% заплатили выкуп. Средний платеж составлял 1 900 000 долларов.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19806/darkside-earnings-new.jpg)
DarkSide работал по модели вымогатель как услуга (RaaS), а значит, разработчики шифровальщика оставляли себе около 25% выплаченных выкупов или 10%, если выкуп превышал 5 000 000 долларов.
Фактически хакеры «заработали» около 15 000 000 долларов, а остальные средства остались в руках «партнеров» группы, которые арендовали малварь, а затем разворачивали ее в сетях взломанных компаний.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19818/nocaptcha.jpg)
Cloudflare против CAPTCHA
В блоге компании Cloudflare появилась любопытная запись, автором которой выступил инженер компании Тибо Менье (Thibault Meunier). Специалист признается, что все в компании ненавидят CAPTCHA, и он подсчитал, что рядовой интернет‑пользователь видит CAPTCHA примерно один раз в десять дней, и умножил это на 4,6 миллиарда пользователей в мире. Так как в среднем на решение одной CAPTCHA уходит 32 секунды, в итоге пользователи суммарно тратят на это бесполезное, по мнению Менье, занятие около 500 лет ежедневно.
«Сегодня мы запускаем эксперимент, чтобы покончить с этим безумием. Мы хотим полностью избавиться от CAPTCHA. Идея довольно проста: настоящий человек должен иметь возможность просто прикоснуться к своему устройству или посмотреть на него, чтобы доказать, что он человек, не раскрывая при этом своей личности. <…> Сегодняшний день знаменует начало конца для пожарных гидрантов, пешеходных переходов и светофоров в интернете», — пишет Менье.
Как можно понять из приведенной выше цитаты, в Cloudflare хотят использовать для идентификации людей различные ключи безопасности. Начало этому эксперименту положат USB-ключи (YubiKey, HyperFIDO и Thetis FIDO U2F), однако в посте отмечается, что в наше время смартфоны и компьютеры все чаще оснащаются подобными возможностями по умолчанию и со временем эксперимент может быть расширен.
Вот как Менье описывает криптографическую аттестацию личности, основанную на Web Authentication (WebAuthn) Attestation AP. Эту технологию поддерживают любые браузеры в Ubuntu, macOS, Windows и iOS 14.5, а также Chrome на Android v.10 и выше.
- Пользователь получает доступ к сайту, защищенному криптографической аттестацией личности, например cloudflarechallenge.com.
- Сервер Cloudflare подвергает сомнению, [что это не робот].
- Пользователь нажимает «Я человек» (бета) и получает запрос на использование устройства безопасности.
- Пользователь решает использовать аппаратный ключ безопасности.
- Пользователь подключает устройство к своему компьютеру или прикладывает его к смартфону (использует NFC).
- Криптографическое подтверждение отправляется в Cloudflare, что позволяет пользователю пройти верификацию.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19805/cloudflare.jpg)
В итоге ожидается, что вся процедура займет около пяти секунд времени и три клика мышью. При этом конфиденциальность пользователей будет соблюдена. Дело в том, что такая аттестация личности не связана с конкретным пользовательским устройством. Все производители устройств, которым доверяет Cloudflare, — это участники FIDO Alliance, то есть любой аппаратный ключ имеет общий идентификатор с другими ключами той же партии, и, с точки зрения Cloudflare, любой ключ выглядит так же, как и все остальные ключи в партии.
Пока Cloudflare намерена использовать криптографическую аттестацию личности среди небольшого числа пользователей в англоязычных регионах, чтобы в целом проверить осуществимость своей идеи.
Windows 7 все еще здесь
Аналитики «Лаборатории Касперского» подсчитали, что на 36% компьютеров в России все еще установлена операционная система Windows 7, поддержка которой была прекращена в январе 2020 года. Доля тех, кто использует Windows 7, среди домашних пользователей составляет 37%, среди компаний малого и среднего бизнеса — 34%, а микробизнеса — 35%.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19814/gorobetz.png)
«Многие пользователи не спешат устанавливать обновления на операционную систему, опасаясь возможных изменений в интерфейсе и функциональности или просто не желая тратить на это ценное рабочее время. При этом именно обновления позволяют исправить порождающие уязвимости ошибки, с помощью эксплуатации которых в систему могут проникнуть злоумышленники. Обновляться нужно своевременно, ни в коем случае не откладывая в долгий ящик установку как минимум критических апдейтов.
Нужно понимать, что, как только информация об уязвимости становится известна широкой публике, множество злоумышленников начитают активно использовать ее для атак, рассчитывая как раз на тех, кто по каким‑то причинам не смог вовремя обновиться. А если вам известно, что ОС скоро будет снята с поддержки, необходимо запланировать действия по ее замене заблаговременно, включая замену железа, если другого выхода нет. Использовать в работе не получающие обновления системы — все равно что оставлять дом с незапертой дверью: рано или поздно в нее зайдет кто‑то, кому вы не будете рады»
— Олег Горобец, эксперт «Лаборатории Касперского»
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19819/nvidia.jpg)
Nvidia против майнеров
Компания Nvidia объявила, что вдвое понизит хешрейт для майнинга криптовалюты Ethereum на новых видеокартах GeForce RTX 3080, 3070 и 3060 Ti, чтобы уменьшить их привлекательность для майнеров.
Компания обещает снабдить эти версии видеокарт, отгрузка которых начнется в конце мая, специальной маркировкой Lite Hash Rate или LHR, которую можно будет увидеть на коробке и в описании. На выпущенные ранее карты эти ограничения распространяться не будут.
По словам Мэтта Вубблинга, главы Nvidia по маркетингу GeForce, таким образом компания хочет гарантировать, что видеокарты будут использоваться геймерами по всему миру, а не оседать на майнинговых фермах.
Напомню, что в феврале 2021 года картам GeForce RTX 3060 тоже принудительно ухудшили майнинговую производительность. Тогда хешрейт для добычи Ethereum также был занижен в два раза и компания анонсировала специальную линейку карт для майнинга — NVIDIA CMP (Cryptocurrency Mining Processor). У таких карт не будет видеовыходов, а также они получат более низкое пиковое напряжение ядра и частоту, что повысит их энергоэффективность для добычи криптовалюты.
По данным портала 3D Center, который опирается на статистику продаж в розничных магазинах Германии и Австрии, сейчас в Европе розничные цены на видеокарты 30-й серии превышают рекомендованные в три раза. Похожая ситуация наблюдается и с GPU компании AMD, цены на которые завышены в среднем в два раза.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19822/stats.jpg)
Без кибербезопасности
Опрос «Лаборатории Касперского» показал, что только в 31% крупных компаний в России есть выделенный отдел кибербезопасности и лишь в каждой десятой организации — собственный центр мониторинга и реагирования на киберинциденты (SOC).
Только в 3% крупных российских компаний есть отдел киберразведки (Threat Intelligence) и в 2% — отдел анализа вредоносных программ.
При этом 58% опрошенных ожидают, что в следующие три года расходы на информационную безопасность в их компании вырастут.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19823/tor.jpg)
Вредоносный Tor
На протяжении последних 16 месяцев неизвестные злоумышленники внедряют вредоносные серверы в сеть Tor, а затем с их помощью перехватывают связанный с криптовалютой трафик и выполняют атаки типа SSL stripping.
Эта кампания началась еще в январе 2020 года, и ее суть заключалась в добавлении в сеть Tor серверов, которые помечались как выходные узлы (то есть серверы, через которые трафик покидает сеть Tor и повторно попадает в общедоступный интернет). С тех пор злоумышленники внедрили в сеть Tor тысячи вредоносных серверов и с их помощью идентифицировали трафик, направляемый на сайты криптовалютных миксеров, а затем устраивали атаки типа SSL stripping, то есть осуществляли даунгрейд трафика пользователей с HTTPS до менее безопасного HTTP. После даунгрейда преступники получали возможность заменять адреса криптовалютных кошельков своими собственными и перехватывать транзакции.
Впервые подобные атаки были задокументированы в августе прошлого года ИБ‑специалистом и оператором сервера Tor, известным под псевдонимом Nusenu. Тогда он сообщал, что в лучшие дни атакующим удавалось контролировать 23,95% всех выходных узлов Tor.
Теперь Nusenu опубликовал новое исследование, в котором пишет, что, хотя происходящее давно предали огласке, злоумышленники все равно продолжают свои атаки. Хуже того, атаки лишь усилились: в феврале 2021 года преступники даже побили собственный «рекорд» и отвечали за 27% всех выходных узлов Tor.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19824/tor-new-attacks.jpg)
Хотя в итоге вторая волна атак была обнаружена, а вредоносные серверы удалены из сети Tor, до этого инфраструктура злоумышленников работала и перехватывала трафик пользователей на протяжении долгих недель или даже месяцев. Дело в том, что хакеры внедряли свои серверы в сеть небольшими порциями, накапливая мощную инфраструктуру и не привлекая к себе внимания.
Этой тактике хакеры изменили лишь в текущем месяце: когда их инфраструктура снова была отключена, они попытались восстановить все серверы одновременно. Эта атака была обнаружена в течение суток, ведь одномоментное увеличение количества выходных узлов с 1500 до 2500 не могли не заметить.
Хотя теперь более 1000 серверов отключены, эксперт пишет, что по состоянию на 5 мая 2021 года злоумышленники все еще контролируют от 4 до 6% выходных узлов Tor, а атаки с использованием SSL stripping продолжаются.
Миллиарды Hydra
Компании Flashpoint и Chainalysis подготовили совместный отчет, посвященный работе подпольного маркетплейса Hydra. В 2015 году, сразу после запуска, Hydra была известна как площадка по продаже наркотиков, но со временем ресурс расширился, и там давно торгуют самыми разными нелегальными товарами и услугами, включая данные ворованных карт, поддельные документы, фальшивые деньги, хакерские услуги и многое другое.
За последние три года Hydra росла примерно на 624% за год, что сделало ее одной из популярнейших криминальных торговых площадок наших дней.
Объемы транзакций маркетплейса тоже растут: если в 2016 году оборот площадки составлял около 9 400 000 долларов в год, то теперь он достиг отметки в 1 370 000 000 долларов за год.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19816/hydra-new.jpg)
Успех Hydra исследователи объясняют рядом факторов. Один из них — строгие правила ресурса. К примеру, с лета 2018 года продавец должен совершить не менее 50 успешных сделок, прежде чем ему будет разрешено снять средства. Также необходимо иметь кошелек, содержащий не менее 10 000 долларов США.
Транзакции Hydra в основном обрабатывают так называемые «высокорисковые» ресурсы, игнорирующие Know Your Customer (KYC). Большинство из них находится в России, и лишь небольшой процент транзакций маркетплейса проходит через криптовалютные платформы, связанные с законной торговлей.
В общей сложности было зарегистрировано более 1000 уникальных депозитных адресов и транзакции на сумму более 7 000 000 долларов, которые предположительно связаны с Hydra.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19815/hydra2-new.jpg)
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19808/findmy.jpg)
Полезный Find My
Разработчики компании Positive Security приспособили для передачи данных сервис Find My («Локатор») компании Apple, который обычно используется для поиска гаджетов, личных вещей и передачи данных о местоположении.
Напомню, что в 2019 году приложения «Найти друзей» и «Найти iPhone» (Find my Friends и Find My iPhone) были объединены в сервис Find My. Он представляет собой краудсорсинговую систему отслеживания местоположения, позволяя легко находить потерянные и украденные устройства, а также в одном месте отслеживать любые гаджеты Apple, личные вещи с брелоками AirTag, а также местоположение родных и друзей.
Find My работает посредством Bluetooth Low Energy (BLE), то есть функционирует, даже если устройство не подключено к интернету, а сотовая связь отсутствует. Для этого устройства Apple время от времени транслируют вовне специальный Bluetooth-сигнал, который могут обнаруживать и распознавать другие девайсы Apple, оказавшиеся поблизости. Такие сигналы подаются даже в спящем режиме, а затем ретранслируются другими пользователями на серверы Apple.
В марте текущего года эксперты Дармштадского технического университета в Германии опубликовали исследовательскую работу, которая проливала свет на различные уязвимости и недостатки Apple Find My. Именно на этот документ опирались специалисты Positive Security, которые сумели развить идею злоупотребления сервисом гораздо дальше. В итоге они создали атаку под названием Send My, которая эксплуатирует технологию Find My для передачи произвольных данных.
Соучредитель Positive Security Фабиан Бройнлайн (Fabian Bräunlein) рассказывает, что, хотя соединение между брелоком AirTag и устройством Apple всегда защищено с помощью пары ключей Elliptic Curve, устройство владельца не знает, какой именно ключ используется AirTag. Для этого генерируется целый список ключей, которые недавно использовались AirTag, а также у службы Apple запрашиваются их хеши SHA-256.
«Apple не знает, какие открытые ключи принадлежат вашему AirTag и, следовательно, какие отчеты о местоположении предназначены для вас», — пишет эксперт.
По идее, упомянутые отчеты о местоположении могут быть расшифрованы только с помощью корректного приватного ключа, однако исследователи обнаружили, что они могут проверить, существуют ли отчеты для определенного хеша SHA-256 в принципе, и даже добавить отчеты для определенного хеша SHA-256.
«Мы можем внедрить произвольный набор битов в открытый ключ в хранилище, а затем снова осуществить запрос. Если отправитель и получатель согласовывают схему кодирования, мы получаем возможность передавать произвольные данные».
Для своих опытов и представленного proof-of-concept специалисты использовали микроконтроллер ESP32, прошивку на основе опенсорсного инструмента OpenHaystack (созданного учеными Дармштадского технического университета в рамках своей исследовательской работы), а также macOS-приложение, предназначенное для извлечения, декодирования и отображения переданных данных.
Для получения данных с устройства macOS нужно использовать плагин Apple Mail, который работает с повышенными привилегиями (чтобы соблюсти требования Apple к аутентификации для доступа к данным о местоположении). Кроме того, пользователь должен установить OpenHaystack и запустить приложение DataFetcher для macOS, созданное Бройнлайном для просмотра таких несанкционированных передач.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19810/findmy2.jpg)
Такой метод передачи информации отлично подходит для загрузки показаний сенсоров и других данных с IoT-устройств, для извлечения данных из закрытых и изолированных от интернета систем, а также может ударить по кошельку ближайшего пользователя iPhone из‑за большого количества переданных данных и множества уникальных открытых ключей. Дело в том, что передача большого количества уникальных открытых ключей значительно увеличивает объемы мобильного трафика, так как размеры отчетов превышают 100 байт.
При этом атаку Send My, конечно, вряд ли можно назвать высокоскоростной. Так, скорость отправки данных в среднем составляет примерно 3 байта в секунду, хотя можно достичь и более высоких скоростей. Также передача данных происходит с задержкой от 1 до 60 минут, в зависимости от количества находящихся поблизости устройств Apple.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19809/findmy1.jpg)
Тем не менее Бройнлайн считает, что с помощью атаки Send My, по сути, можно создать аналог Amazon Sidewalk (IoT-сети Amazon) на базе сетевой инфраструктуры Apple. По его мнению, в целом эту угрозу нельзя назвать новой, учитывая существование глобальных мобильных и спутниковых сетей, которые можно использовать для передачи данных. Однако Send My может быть особенно полезна для извлечения данных из закрытых систем и сетей.
Для защиты от подобных атак эксперты рекомендуют Apple реализовать аутентификацию BLE advertising’а (в настоящее время нет разницы между реальными и спуфинговыми AirTags), а также ограничить частоту получения отчетов о местоположении.
9 из 10 россиян сталкивались с телефонными мошенниками
Специалисты Tinkoff Data предупредили, что за первые четыре месяца 2021 года количество мошеннических телефонных звонков возросло на 170% (по сравнению с аналогичным периодом прошлого года). Пик этой волны пришелся на январь, так как злоумышленники стремятся использовать праздничную расслабленность россиян и временную потерю бдительности.
В результате с телефонными скамерами сталкивались 9 из 10 россиян. Впрочем, люди все лучше учатся определять, что говорят с мошенниками: из‑за этого доля успешных мошеннических звонков сократилась с 22,5 до 13%.
![](https://static.xakep.ru/images/f00faa35ef5129be080f3ccbcc27e16b/19821/rkn.jpg)
Google против РКН
Издание «Коммерсант» сообщило, что еще 23 апреля 2021 года американская Google LLC подала иск в Арбитражный суд Москвы к Роскомнадзору, оспаривая требования по удалению 12 ссылок с «противоправным контентом». Речь идет о ссылках на 12 роликов на YouTube, которые, по мнению Роскомнадзора, содержат призывы участвовать в митингах в январе 2021 года. 11 мая Арбитражный суд Москвы принял иск к производству.
Ранее Google LLC ни разу не инициировала судебных разбирательств по оспариванию ненормативных актов Роскомнадзора в России, выступая лишь в качестве ответчика или третьего лица.
«Роскомнадзор на основании требований Генпрокуратуры направил в адрес администрации Google уведомление об ограничении доступа к материалам с призывами, в том числе к несовершеннолетним, участвовать в несанкционированных митингах в январе 2021 года», — говорят представители ведомства.
Согласно определению Арбитражного суда Москвы от 27 апреля, речь в споре идет о признании незаконными действий по ограничению доступа к информационному ресурсу, объясняет управляющий партнер Hogan Lovells CIS Наталья Гуляева. «Google оспаривает действия Роскомнадзора в имевшей место ранее административной процедуре», — поясняет она.
«Полагаю, что Google умышленно подала иск от имени головной компании, а не от дочернего ООО „Гугл“, предполагая проигрыш в первой и апелляционной инстанциях в России, в надежде оспаривать эти решения в других юрисдикциях, например в Европейском суде», — сообщил изданию адвокат, управляющий партнер AVG Legal Алексей Гавришев.
Одновременно с этим стало известно, что Роскомнадзор предупредил о возможном замедлении работы сервисов Google, так как поисковый гигант якобы вышел на первое место в России по объему запрещенного контента.
«После того как Twitter по требованию Роскомнадзора удалил 91% запрещенной информации, Google вышел на первое место по количеству неудаленного противоправного контента, наносящего прямой вред российским пользователям. На сегодняшний день на YouTube не удалено порядка пяти тысяч запрещенных материалов. Больше всего — 3,5 тысячи — с призывами к экстремизму. Более 900 — материалов, признанных запрещенными судом», — цитирует представителя Роскомнадзора «Интерфакс».
Сообщается, что суммарно Роскомнадзор направил в адрес администрации Google более 26 тысяч уведомлений о необходимости удаления противоправной информации. Теперь регулятор подчеркивает, что может замедлить работу сервисов Google на основании объема доступного до сих пор запрещенного контента, включая детскую порнографию, сцены жестоких убийств животных, призывы к суициду, к участию в незаконных акциях, материалы о наркотиках, а также связанные с террористическими и экстремистскими организациями.
Другие интересные события месяца
Шифровальщик Babuk прекращает работу и становится опенсорсным
В драйвере Dell устранили уязвимость 12-летней давности
Обнаружен новый руткит Moriya, предназначенный для Windows
Оператор WeLeakInfo приговорен к двум годам лишения свободы
Ирландская служба здравоохранения пострадала от атаки шифровальщика
Замедление Twitter частично отменено, но теперь замедлить могут Facebook и YouTube
Опубликован эксплоит для критической уязвимости в Windows IIS
В чипах Apple M1 обнаружен первый баг, получивший имя M1RACLES