MEGANews. Самые важные события в мире инфосека за январь

У Яндекса утекли исходные коды

В кон­це янва­ря на хакер­ском форуме была опуб­ликова­на ссыл­ка на ска­чива­ние дам­па, получен­ного из внут­ренне­го репози­тория ком­пании «Яндекс». Общий раз­мер утеч­ки сос­тавил 44,7 Гбайт в сжа­том виде.

Дамп содер­жит сре­зы Git-репози­тори­ев Яндекса с исходны­ми кодами 79 сер­висов и про­ектов ком­пании, сре­ди которых: поис­ковый дви­жок (фрон­тенд и бэкенд), бот индекса­ции стра­ниц, плат­форма веб‑ана­лити­ки Yandex Metrika, кар­тогра­фичес­кая сис­тема Yandex Maps, голосо­вой помощ­ник Али­са, информа­цион­ная сис­тема служ­бы под­дер­жки, Yandex Phone, рек­ламная плат­форма Yandex Direct, поч­товый сер­вис Yandex Mail, хра­нили­ще Yandex Disk, сеть дос­тавки кон­тента, тор­говая пло­щад­ка Yandex Market, облачная плат­форма Yandex Cloud, пла­теж­ная сис­тема Yandex Pay, Яндекс Поиск, Яндекс Мет­рика, Яндекс Так­си, Яндекс Путешес­твия, Яндекс 360 и внут­ренняя сис­тема диаг­ности­ки Solomon.

Дамп рас­простра­няет­ся через тор­ренты и поделен на отдель­ные архи­вы (.tar.bz2), по наз­вани­ям которых мож­но иден­тифици­ровать мно­гие сер­висы Яндекса. Самые боль­шие архи­вы — это frontend (18,26 Гбайт), classifieds (4,67 Гбайт), market (4 Гбайт), taxi (3,3 Гбайт) и portal (2,35 Гбайт). Все фай­лы утеч­ки датиро­ваны 24 фев­раля 2022 года.

Поч­ти пол­ный спи­сок фай­лов (за исклю­чени­ем архи­вов frontend и classifieds) мож­но най­ти здесь.

Вско­ре в пресс‑служ­бе Яндекса под­твер­дили утеч­ку, под­чер­кнув, что взло­ма ком­пании не было, а репози­тории нуж­ны лишь для работы с кодом и не пред­назна­чены для хра­нения пер­сональ­ных дан­ных поль­зовате­лей. В ком­пании заяв­ляли, что «не видят какой‑либо угро­зы для дан­ных поль­зовате­лей или работос­пособ­ности плат­формы». При­чем, сог­ласно сооб­щени­ям СМИ, дан­ные и вов­се слил инсай­дер.

Че­рез нес­коль­ко дней в бло­ге Яндекса появи­лись пер­вые резуль­таты рас­сле­дова­ния инци­ден­та.

«Опуб­ликован­ные фраг­менты дей­стви­тель­но взя­ты из нашего внут­ренне­го репози­тория — инс­тру­мен­та, с помощью которо­го раз­работ­чики ком­пании работа­ют с кодом. При этом содер­жимое архи­ва соот­ветс­тву­ет уста­рев­шей вер­сии репози­тория — она отли­чает­ся от акту­аль­ной вер­сии, которая исполь­зует­ся нашими сер­висами.

Пер­вичный ана­лиз показал, что опуб­ликован­ные фраг­менты не несут какой‑либо угро­зы для безопас­ности наших поль­зовате­лей или работос­пособ­ности сер­висов. В то же вре­мя мы решили, что сло­жив­шаяся ситу­ация — повод про­вес­ти мас­штаб­ный аудит все­го содер­жимого репози­тория», — сооб­щили в ком­пании.

К сожале­нию, в ходе ауди­та обна­ружи­лось нес­коль­ко слу­чаев серь­езно­го наруше­ния политик ком­пании, в том чис­ле прин­ципов Яндекса и пра­вил кор­поратив­ной эти­ки. В отче­те при­водит­ся нес­коль­ко при­меров таких наруше­ний.

• Ока­залось, что в коде содер­жались кон­так­тные дан­ные пар­тне­ров ком­пании. Нап­ример, водите­лей — в некото­рых слу­чаях их кон­такты и номера водитель­ских удос­товере­ний переда­вались из одно­го так­сопар­ка в дру­гой.

• Бы­ли зафик­сирова­ны слу­чаи, ког­да логику работы сер­висов кор­ректи­рова­ли не алго­рит­мичес­ким спо­собом, а «кос­тылями». Через такие «кос­тыли» исправ­ляли отдель­ные ошиб­ки сис­темы рекомен­даций, которая отве­чает за допол­нитель­ные эле­мен­ты поис­ковой выдачи, и регули­рова­ли нас­трой­ки поис­ка по кар­тинкам и видео.

• В сер­висе «Яндекс Лав­ка» сущес­тво­вала воз­можность нас­тро­ить вруч­ную рекомен­дации любых товаров без помет­ки об их рек­ламном харак­тере.

• Об­наружи­лось наличие при­ори­тет­ной под­дер­жки для отдель­ных групп поль­зовате­лей в сер­висах «Так­си» и «Еда».

• Не­кото­рые час­ти кода содер­жали сло­ва, которые никак не вли­яли на работу сер­висов, но сами по себе были оскорби­тель­ны для людей раз­ных рас и наци­ональ­нос­тей.

• Опуб­ликован­ные фраг­менты кода содер­жали в том чис­ле и тес­товые алго­рит­мы, которые исполь­зовались толь­ко внут­ри Яндекса для про­вер­ки кор­рек­тнос­ти работы сер­висов. Нап­ример, для улуч­шения качес­тва акти­вации ассистен­та и умень­шения количес­тва лож­ных сра­баты­ваний в бета‑вер­сии для сот­рудни­ков при­меня­ется нас­трой­ка, которая вклю­чает мик­рофон устрой­ства на нес­коль­ко секунд в слу­чай­ный момент без упо­мина­ния Али­сы.

Сог­ласно отче­ту, боль­шинс­тво выяв­ленных проб­лем было свя­зано с попыт­ками вруч­ную внес­ти в сер­вис улуч­шение или устра­нить ошиб­ку. «Ошиб­ки — часть жиз­ни. Их не избе­жать, если у тебя не ста­тич­ный, а пос­тоян­но раз­вива­ющий­ся про­дукт», — отме­чают в ком­пании.

В свя­зи с этим пред­ста­вите­ли ком­пании приз­нали, что им очень стыд­но за слу­чив­шееся и они дол­жны при­нес­ти изви­нения всем, кого мог­ла зат­ронуть эта ситу­ация.

«Один из прин­ципов Яндекса гла­сит: наша работа стро­ится на прин­ципах чес­тнос­ти и проз­рачнос­ти. Мы исхо­дим из того, что любой внут­ренний диалог, документ или исходный код при опре­делен­ных обсто­ятель­ствах может стать пуб­личным. И если это слу­чит­ся, нам не дол­жно быть стыд­но.

Сей­час нам очень стыд­но, и мы при­носим изви­нения нашим поль­зовате­лям и пар­тне­рам», — говорят в Яндексе.

Так­же в ком­пании пообе­щали сно­ва вер­нуть­ся к воп­росам тех­ноэти­ки, возоб­новив работу по фор­мирова­нию ее стан­дартов и прин­ципов. «Они будут опуб­ликова­ны на сай­те ком­пании и ста­нут частью наших общих политик. Все фраг­менты кода, которые про­тиво­речат им, будут исправ­лены», — завери­ли раз­работ­чики.

Android-приставки с малварью

Ка­над­ский сисад­мин Дани­эль Милишич (Daniel Milisic) обна­ружил, что про­шив­ка куп­ленной им на Amazon Android-прис­тавки T95 была зараже­на слож­ной мал­варью пря­мо «из короб­ки».

Вре­донос был в про­шив­ке прис­тавки T95 с про­цес­сором AllWinner H616, которая про­дает­ся на Amazon, AliExpress и дру­гих круп­ных мар­кет­плей­сах в раз­ных стра­нах мира. Милишич отме­чает, что такие прис­тавки про­ходят совер­шенно неяс­ный путь от про­изводс­тва в Китае до при­лав­ков вир­туаль­ных магази­нов. Во мно­гих слу­чаях девай­сы про­дают­ся под раз­ными брен­дами и наз­вани­ями, а чет­кого ука­зания их про­исхожде­ния поп­росту нет.

Кро­ме того, пос­коль­ку такие устрой­ства обыч­но про­ходят через мно­жес­тво рук, пос­тавщи­ки и ресел­леры име­ют мно­жес­тво воз­можнос­тей для заг­рузки на них кас­томых ROM, вклю­чая потен­циаль­но вре­донос­ные.

Ис­сле­дова­тель рас­ска­зал, что изу­чен­ное им устрой­ство T95 исполь­зовало ROM на базе Android 10, под­писан­ный тес­товыми клю­чами, и ADB (Android Debug Bridge), откры­тый через Ethernet и Wi-Fi. Эта кон­фигура­ция уже нас­торажи­вает: ADB может исполь­зовать­ся для под­клю­чения к устрой­ствам, неог­раничен­ного дос­тупа к фай­ловой сис­теме, выпол­нения команд, уста­нов­ки ПО, изме­нения дан­ных и уда­лен­ного управле­ния девай­сом. Но так как боль­шинс­тво пот­ребитель­ских устрой­ств защище­ны бран­дма­уэром, зло­умыш­ленни­ки вряд ли смо­гут уда­лен­но под­клю­чить­ся к ним через ADB.

Ми­лишич изна­чаль­но при­обрел устрой­ство, что­бы запус­тить на нем DNS sinkhole Pi-hole, защища­ющую устрой­ства от нежела­тель­ного кон­тента, рек­ламы и вре­донос­ных сай­тов без уста­нов­ки допол­нитель­ного ПО. Одна­ко пос­ле ана­лиза DNS-зап­росов в Pi-hole он заметил, что устрой­ство пыталось под­клю­чить­ся к нес­коль­ким IP-адре­сам, свя­зан­ным с активной мал­варью.

Су­дя по все­му, уста­нов­ленная на устрой­стве мал­варь — это слож­ный Android-вре­донос CopyCat, обна­ружен­ный экспер­тами из ком­пании Check Point в 2017 году. Уже тог­да ана­лити­ки счи­тали, что мал­варь зарази­ла более 14 мил­лионов устрой­ств по все­му миру, получи­ла root-дос­туп к 8 мил­лионам из них и все­го за два месяца при­нес­ла сво­им авто­рам око­ло 1,5 мил­лиона дол­ларов США.

«Я обна­ружил слои поверх вре­донос­ного ПО, исполь­зуя tcpflow и nethogs для монито­рин­га тра­фика, и отсле­дил вре­донос до вызыва­юще­го наруше­ние про­цес­са/APK, который затем уда­лил из ROM, — объ­ясня­ет иссле­дова­тель. — Но пос­ледняя часть вре­донос­ного ПО, которую мне не уда­лось прос­ледить, внед­ряет про­цесс system_server и, похоже, глу­боко интегри­рова­на в про­шив­ку».

Ока­залось, что вре­донос упор­но пыта­ется получить допол­нитель­ную полез­ную наг­рузку с сай­тов ycxrl[.]com, cbphe[.]com и cbpheback[.]com. Пос­коль­ку соз­дать чис­тую про­шив­ку для замены вре­донос­ной ока­залось труд­но, Милишич решил изме­нить DNS C&C, что­бы нап­равить зап­росы через веб‑сер­вер Pi-hole и заб­локиро­вать их.

Ис­сле­дова­тель отме­чает, что ему неиз­вес­тно, мно­гие ли Android-прис­тавки этой модели на Amazon зараже­ны, и он не зна­ет, как имен­но это про­изош­ло, но всем поль­зовате­лям T95 он рекомен­дует выпол­нить два прос­тых шага, что­бы точ­но очис­тить свое устрой­ство и ней­тра­лизо­вать вре­донос­ное ПО, которое может на нем работать:

• пе­резаг­рузить девайс в режиме вос­ста­нов­ления или выпол­нить сброс к завод­ским нас­трой­кам через меню;

• пос­ле перезаг­рузки под­клю­чить­ся к ADB через USB или Wi-Fi-Ethernet и запус­тить соз­данный им скрипт.

Что­бы убе­дить­ся, что мал­варь обез­вре­жена, сле­дует запус­тить adb logcat | grep Corejava и удос­товерить­ся, что коман­ду chmod выпол­нить не уда­лось.

Учи­тывая, что такие устрой­ства весь­ма недоро­ги, иссле­дова­тель отме­чает, что, воз­можно, более разум­ным выходом будет вооб­ще прек­ратить исполь­зовать их.

У MSI не работает Secure Boot

Но­возе­ланд­ский сту­дент Давид Потоц­кий (Dawid Potocki) слу­чай­но обна­ружил, что на 290 моделях материн­ских плат MSI по умол­чанию не работа­ет фун­кция Secure Boot, отве­чающая за безопас­ную заг­рузку UEFI. Это озна­чает, что на уяз­вимых машинах мож­но запус­тить любой образ ОС незави­симо от того, под­писан ли он и под­линная ли под­пись.

Ис­сле­дова­тель нашел проб­лему слу­чай­но, во вре­мя нас­трой­ки нового компь­юте­ра. «Я обна­ружил, что про­шив­ка при­нима­ет любой образ ОС, который я ей пре­дос­тавляю, неваж­но, доверен­ный он или нет», — писал он в сво­ем бло­ге.

Ока­залось, что еще в янва­ре 2022 года ком­пания MSI обно­вила нас­трой­ки в раз­деле Secure Boot в сво­ем UEFI/BIOS, изме­нив зна­чения по умол­чанию с релизом новой про­шив­ки. В ито­ге все зна­чения в под­разде­ле Image Execution Policy ока­зались уста­нов­лены на Always Execute («Всег­да выпол­нять»). Это озна­чает, что, если вре­донос­ное ПО изме­нило заг­рузчик ОС, MSI UEFI/BIOS все рав­но заг­рузит вре­донос­ный образ, даже если с его крип­тогра­фичес­кой под­писью явно не все в поряд­ке.

По­тоц­кий говорит, что нас­трой­ки, конеч­но, нуж­но испра­вить на более разум­ные, уста­новив зна­чение Deny Execute («Зап­ретить выпол­нение») как минимум для Removable Media и Fixed Media.

Од­нако, обна­ружив проб­лему на сво­ей машине, Потоц­кий пошел даль­ше и решил выяс­нить, толь­ко ли его материн­скую пла­ту «улуч­шили» раз­работ­чики MSI. Ока­залось, что проб­лема куда мас­штаб­нее: про­изво­дитель изме­нил нас­трой­ки на небезо­пас­ные для более чем 290 моделей материн­ских плат (для про­цес­соров как Intel, так и AMD), пол­ный спи­сок которых мож­но най­ти здесь.

«Какие бы фун­кции безопас­ности вы ни вклю­чали, не верь­те, что они работа­ют, ПРО­ВЕРЬ­ТЕ ИХ! Каким‑то обра­зом я ока­зал­ся пер­вым, кто задоку­мен­тировал эту проб­лему, хотя впер­вые она воз­никла где‑то в треть­ем квар­тале 2021 года», — зак­люча­ет иссле­дова­тель.

Всем поль­зовате­лям материн­ских плат MSI Потоц­кий рекомен­дует про­верить нас­трой­ки и в слу­чае необ­ходимос­ти уста­новить безопас­ные зна­чения в раз­деле Image Execution Policy.

Правоохранители взломали Hive

Пра­воох­ранитель­ные орга­ны три­над­цати стран мира при­няли учас­тие в опе­рации по лик­видации инфраструк­туры RaaS-шиф­роваль­щика Hive. Минис­терс­тво юсти­ции США, ФБР и Евро­пол заяви­ли, что сумели про­ник­нуть в инфраструк­туру хак‑груп­пы еще в июле прош­лого года, регуляр­но перех­ватыва­ли клю­чи дешиф­рования и пре­дот­вра­тили вып­лату выкупов на общую сум­му око­ло 130 мил­лионов дол­ларов.

«Незамет­но для Hive в ходе кибер­засады наша следс­твен­ная груп­па на закон­ных осно­вани­ях про­ник­ла в сеть Hive и скры­валась там нес­коль­ко месяцев, неод­нократ­но перех­ватывая клю­чи дешиф­рования и переда­вая их жер­твам, что­бы осво­бодить их от вымога­телей. В течение нес­коль­ких месяцев мы помога­ли жер­твам победить зло­умыш­ленни­ков и лишали Hive при­былей от вымога­тель­ства. Про­ще говоря, мы хак­нули хакеров, исполь­зуя закон­ные средс­тва. Мы побили Hive их же ору­жием и раз­рушили их биз­нес‑модель»,

— заяви­ла замес­титель генераль­ного про­куро­ра Лиза Монако на пресс‑кон­ферен­ции.

GTA Online небезопасна для игроков

В игре обна­ружи­ли уяз­вимость, которая может при­вес­ти к потере игро­вого прог­ресса, кра­же игро­вых денег, бану и дру­гим неп­рият­ным пос­ледс­тви­ям. Экспер­ты пре­дуп­редили, что еще нем­ного и экс­пло­ит для этой проб­лемы поз­волит добить­ся уда­лен­ного выпол­нения кода через GTA Online, то есть хакеры смо­гут уда­лен­но запус­тить мал­варь на компь­юте­рах с работа­ющей игрой.

20 янва­ря об этой уяз­вимос­ти сооб­щил Twitter-акка­унт Tez2, пос­вящен­ный играм Rockstar Games. По его информа­ции, мно­жес­тво игро­ков GTA Online жалова­лись на потерю прог­ресса, баны и кики, с которы­ми им приш­лось стол­кнуть­ся в пос­леднее вре­мя. Форумы под­дер­жки Rockstar Games дей­стви­тель­но ока­зались завале­ны мно­гочис­ленны­ми сооб­щени­ями поль­зовате­лей о проб­лемах с учет­ными запися­ми.

Tez2 нас­тоятель­но рекомен­довал всем поль­зовате­лям не играть без бран­дма­уэра и писал, что раз­работ­чики уже зна­ют о проб­леме и работа­ют над ее решени­ем.

Вско­ре пос­ле это­го информа­цию о проб­леме раз­мести­ли в зак­реплен­ном сооб­щении на саб­редди­те GTA Online. Там поль­зовате­лям рекомен­довали вооб­ще не заходить в игру, пока раз­работ­чики Rockstar Games не выпус­тят патч, так как экс­пло­ит для опас­ной уяз­вимос­ти уже дос­тупен в сети. На Reddit под­черки­вали, что даже оди­ноч­ный режим может пред­став­лять угро­зу безопас­ности, а экс­плу­ата­ция бага может при­водить к «пор­че» акка­унта, пос­ле чего, веро­ятно, оста­нет­ся толь­ко заводить новый.

По информа­ции СМИ, за этот перепо­лох, похоже, ответс­тве­нен раз­работ­чик читов North GTA Online, который добавил в свой про­дукт новые «фун­кции», свя­зан­ные с уяз­вимостью, 20 янва­ря 2023 года (в рам­ках вер­сии 2.0.0). Так­же, по информа­ции жур­налис­тов, уяз­вимость уже получи­ла иден­тифика­тор CVE и отсле­жива­ется как CVE-2023-24059.

При этом раз­работ­чик North GTA Online заявил, что изба­вил­ся от опас­ных фун­кций бук­валь­но на сле­дующий день, 21 янва­ря, и при­нес всем изви­нения за неожи­дан­ный хаос, который это спро­воци­рова­ло. По его сло­вам, было ошиб­кой сде­лать пуб­личны­ми фун­кции, свя­зан­ные с уда­лени­ем денег игро­ков и пор­чей акка­унтов.

Так как Rockstar Games до сих пор не выпус­тила пат­чей, спе­циалис­ты пре­дуп­режда­ют, что экс­пло­ит для этой уяз­вимос­ти свя­зан с «час­тичным уда­лен­ным выпол­нени­ем про­изволь­ного кода», то есть может при­вес­ти к взло­му не толь­ко учет­ных записей GTA Online, но и любого компь­юте­ра, на котором запуще­на игра.

Так, Speyedr, раз­работ­чик извес­тно­го кас­томно­го бран­дма­уэра для GTA V под наз­вани­ем Guardian, говорит, что зло­умыш­ленни­ки уже находят­ся «на гра­ни обна­руже­ния» спо­соба для пол­ного уда­лен­ного выпол­нения кода через GTA Online. Он под­черки­вает, что Guardian по‑преж­нему работа­ет и экс­пло­ит не может его обой­ти, но необ­ходимо пра­виль­но нас­тро­ить бран­дма­уэр, что­бы тот мог защитить поль­зовате­лей от экс­плу­ата­ции уяз­вимос­ти.

По этой при­чине раз­работ­чик вре­мен­но уда­лил фай­лы Guardian с GitHub и приз­вал всех поль­зовате­лей Windows дер­жать­ся подаль­ше от GTA Online, пока ошиб­ка не будет исправ­лена.

Даркнет-маркетплейс Solaris хакнули конкуренты

Круп­ный мар­кет­плейс Solaris, спе­циали­зиру­ющий­ся на про­даже нар­котиков и дру­гих зап­рещен­ных веществ, был зах­вачен более мел­ким кон­курен­том, извес­тным под наз­вани­ем Kraken. Хакеры утвер­жда­ют, что взло­мали кон­куриру­ющую пло­щад­ку 13 янва­ря 2023 года.

Solaris работа­ет не так дав­но. Он появил­ся на свет пос­ле зак­рытия «Гид­ры» влас­тями и пыта­ется перема­нить к себе часть поль­зовате­лей исчезнув­шего мар­кет­плей­са. Тор­говая пло­щад­ка доволь­но быс­тро зах­ватила око­ло 25% рын­ка, и через нее уже прош­ло око­ло 150 мил­лионов дол­ларов.

Сог­ласно све­жему отче­ту ком­пании Resecurity, от зак­рытия «Гид­ры» боль­ше все­го выиг­рали тор­говые пло­щад­ки RuTor, WayAway, Legalizer, OMG!, Solaris и Nemesis. По дан­ным иссле­дова­телей, зак­рытие «Гид­ры» при­нес­ло Solaris око­ло 60 тысяч поль­зовате­лей, тог­да как упо­мяну­тый выше Kraken получил лишь око­ло 10% от это­го количес­тва (при­мер­но 6500 человек).

Жур­налис­ты изда­ния Bleeping Computer сооб­щили, что Solaris — это рус­ско­языч­ная пло­щад­ка, которую иссле­дова­тели свя­зыва­ют с хак‑груп­пой Killnet, регуляр­но устра­ивающей DDoS-ата­ки на запад­ные орга­низа­ции. К при­меру, блок­чейн‑ана­лити­ки из ком­пании Elliptic отсле­дили нес­коль­ко пожер­тво­ваний от Solaris для Killnet на общую сум­му более 44 тысяч дол­ларов в бит­коинах. Пред­полага­ется, что груп­па исполь­зовала эти день­ги, что­бы купить боль­ше «огне­вой мощи» для про­веде­ния DDoS-атак.

Так­же отме­чалось, что в декаб­ре прош­лого года укра­инский ИБ‑спе­циалист Алекс Хол­ден заявил, что ему уда­лось взло­мать Solaris и похитить 25 тысяч дол­ларов, которые он затем пожер­тво­вал укра­инской гумани­тар­ной орга­низа­ции. Тог­да адми­нис­тра­торы Solaris опро­вер­гали заяв­ления о взло­ме, ссы­лаясь на отсутс­твие доказа­тель­ств, но Хол­ден поз­же опуб­ликовал более деталь­ное опи­сание сво­ей ата­ки, а так­же слил исходный код и базы дан­ных, пред­положи­тель­но свя­зан­ные с мар­кет­плей­сом.

В ито­ге 13 янва­ря 2023 года пред­ста­вите­ли Kraken объ­яви­ли, что они зах­ватили инфраструк­туру Solaris, репози­торий тор­говой пло­щад­ки на GitLab и все исходные коды про­екта, бла­года­ря «нес­коль­ким огромным ошиб­кам в коде».

За­явле­ние Kraken гла­сит, что хакерам пот­ребова­лось три дня, что­бы похитить пароли и клю­чи, хра­нив­шиеся на сер­верах Solaris откры­тым тек­стом, получить дос­туп к инфраструк­туре, рас­положен­ной в Фин­ляндии, а затем без спеш­ки ска­чать все необ­ходимое. Так­же зло­умыш­ленни­ки заяви­ли, что отклю­чили бит­коин‑сер­вер Solaris, «что­бы ник­то ничего не воровал», и эту информа­цию под­твер­дили спе­циалис­ты ком­пании Elliptic.

Ад­минис­тра­ция Solaris не делала никаких заяв­лений о ста­тусе плат­формы и обос­нован­ности заяв­лений Kraken, но иссле­дова­тели полага­ют, что за всем этим вряд ли сто­ят полити­чес­кие при­чины, ско­рее дело в финан­сах, а так­же «рыноч­ных» инте­ресах раз­ных хакер­ских груп­пировок.

DDoS-атаки в 2022 году участились

• Ана­лити­ки ком­пании «Рос­телеком‑Солар» под­готови­ли отчет об ата­ках на онлайн‑ресур­сы рос­сий­ских ком­паний по ито­гам 2022 года. По дан­ным ком­пании, минув­ший 2022 год изме­нил весь лан­дшафт киберуг­роз, а количес­тво атак вырос­ло в разы.

• Са­мым ата­куемым реги­оном в 2022 году ста­ла Мос­ква, так как имен­но здесь скон­цен­три­рова­на боль­шая часть орга­низа­ций. Сум­марно на реги­он приш­лось более 500 тысяч DDoS-атак. Далее сле­дуют Ураль­ский федераль­ный округ (поч­ти 100 тысяч атак) и Цен­траль­ный федераль­ный округ (чуть более 50 тысяч инци­ден­тов).

• Ос­новной поток DDoS-атак не отли­чал­ся высокой мощ­ностью: они не пре­выша­ли 50 Гбит/с. Зато ста­ло боль­ше мощ­ных целевых атак на кон­крет­ные ком­пании и «мас­сирован­ных уда­ров», при­уро­чен­ных к каким‑то кон­крет­ным событи­ям. Так, в фев­рале иссле­дова­тели зафик­сирова­ли ата­ку мощ­ностью более 760 Гбит/с, что поч­ти в два раза пре­выша­ет самую мощ­ную ата­ку пре­дыду­щего года.

• Дли­тель­ность боль­шинс­тва атак была невысо­кой, но отдель­ные из них ока­зались рекор­дны­ми по про­дол­житель­нос­ти. В час­тнос­ти, одна из DDoS-атак дли­лась 2000 часов (поч­ти три месяца).

• На­иболь­шее чис­ло (30%) веб‑атак было нап­равле­но на гос­сектор. Его ата­кова­ли как минимум в три, а мес­тами и в 12 раз чаще, чем в 2021 году.

Другие статьи в выпуске:

Xakep #286. Sad Guard

• Содержание выпуска
• Подписка на «Хакер»-60%

Главу ФБР беспокоит китайский ИИ

Выс­тупая на Все­мир­ном эко­номи­чес­ком форуме в Давосе, дирек­тор ФБР Крис­тофер Рэй заявил, что он глу­боко обес­поко­ен прог­раммой по раз­витию искусс­твен­ного интеллек­та в Китае. Дело в том, что, по его сло­вам, влас­ти стра­ны «не огра­ничи­вают себя пра­вовы­ми нор­мами», а амби­ции Пекина в области ИИ «стро­ятся на осно­вании огромно­го количес­тва интеллек­туаль­ной собс­твен­ности и кон­фиден­циаль­ных дан­ных, которые были похище­ны в прош­лые годы».

«Этот воп­рос глу­боко нас бес­поко­ит, и думаю, все при­сутс­тву­ющие дол­жны быть обес­поко­ены так же. Что каса­ется ИИ в целом — это клас­сичес­кий при­мер тех­нологии, на которую я каж­дый раз реаги­рую оди­нако­во. Я думаю: „Ух ты, мы можем такое сде­лать?“, а потом думаю: „О боже, они тоже могут такое сде­лать“»,

— поделил­ся сво­ими опа­сени­ями Рэй.

Забытый No Fly List

Аме­рикан­ская ави­аком­пания CommuteAir слу­чай­но оста­вила на незащи­щен­ном сер­вере спи­сок лиц, которых нель­зя пус­кать на борт самоле­тов, летящих в США или из США (так называ­емый No Fly List). Эта базу, содер­жащую более полуто­ра мил­лиона записей, обна­ружил швей­цар­ский хакер maia arson crimew, счи­тающий себя хак­тивис­том. Иссле­дова­тель рас­ска­зал, что прос­то ску­чал и копал­ся в IoT-поис­ковике ZoomEye (китай­ский ана­лог Shodan), ког­да нат­кнул­ся на оче­ред­ной незащи­щен­ный сер­вер Jenkins, которых в интерне­те пре­дос­таточ­но.

Од­нако на этом кон­крет­ном сер­вере вни­мание arson crimew прив­лекли аббре­виату­ра ACARS (Airborne Communications Addressing and Reporting System) и мно­гочис­ленные упо­мина­ния сло­ва crew («эки­паж»), пос­ле чего выяс­нилось, что незащи­щен­ная машина при­над­лежит ави­аком­пании CommuteAir.

На откры­том для всех жела­ющих сер­вере хра­нились самые раз­ные дан­ные, вклю­чая лич­ную информа­цию при­мер­но 9000 сот­рудни­ков CommuteAir, путевые лис­ты рей­сов. Иссле­дова­тель так­же обна­ружил, что может лег­ко получить дос­туп к пла­нам полетов, информа­ции о тех­ничес­ком обслу­жива­нии самоле­тов и дру­гим дан­ным.

Кро­ме того, в ито­ге на сер­вере нашел­ся файл с копи­ей так называ­емо­го No Fly List, датиро­ван­ной 2019 годом. Этот спи­сок содер­жит более 1,56 мил­лиона записей и вклю­чает в себя име­на и даты рож­дения, хотя мно­гие записи дуб­лиру­ются.

Та­кие базы появи­лись в начале 2000-х, пос­ле тер­рорис­тичес­ких атак 11 сен­тября. Сна­чала они содер­жали лишь нес­коль­ко десят­ков имен (в основном это были люди, которые при­час­тны к тер­рорис­тичес­кой деятель­нос­ти или обос­нован­но подоз­рева­ются в этом), но пос­ле терак­тов и соз­дания Минис­терс­тва внут­ренней безопас­ности США спис­ки ста­ли быс­тро попол­нять­ся.

Точ­ное количес­тво людей, которые в нас­тоящее вре­мя есть в No Fly List, неиз­вес­тно, к тому же спис­ки содер­жат по нес­коль­ко записей для одно­го челове­ка, но по пос­ледним оцен­кам в них чис­лятся от 47 тысяч до 81 тысячи человек.

«Это извра­щен­ный про­дукт аме­рикан­ских пра­воох­раните­лей и полицей­ско­го государс­тва США в целом, — говорит arson crimew. — Прос­то спи­сок без каких‑либо над­лежащих пра­вовых про­цедур… В основном [люди попада­ют в него] прос­то на том осно­вании, что они зна­комы с кем‑то или [живут] в одной дерев­не с кем‑либо. Это име­ет такие мас­шта­бы… Мне кажет­ся, что подоб­ному не дол­жно быть мес­та ниг­де».

Пред­ста­вите­ли CommuteAir под­твер­дили, что утеч­ка дей­стви­тель­но име­ла мес­то и про­изош­ла из‑за неп­равиль­но нас­тро­енно­го сер­вера раз­работ­ки.

«Иссле­дова­тель получил дос­туп к фай­лам, в том чис­ле к уста­рев­шей вер­сии федераль­ного спис­ка no-fly от 2019 года, где были ука­заны име­на, фамилии и даты рож­дения, — говорит­ся в заяв­лении ком­пании. — Кро­ме того, бла­года­ря информа­ции, най­ден­ной на сер­вере, иссле­дова­тель обна­ружил дос­туп к базе дан­ных, содер­жащей лич­ную информа­цию сот­рудни­ков CommuteAir. Сог­ласно пред­варитель­ному рас­сле­дова­нию, дан­ные кли­ентов не пос­тра­дали. CommuteAir немед­ленно отклю­чила зат­ронутый сер­вер и начала рас­сле­дова­ние инци­ден­та».

В сво­ем бло­ге arson crimew пообе­щал пре­дос­тавить спи­сок жур­налис­там и пра­воза­щит­ным орга­низа­циям ради «общес­твен­ного бла­га». При этом пуб­ликовать спи­сок в откры­том дос­тупе иссле­дова­тель все же счел неп­равиль­ным.

Доходы вымогателей падают

• По дан­ным блок­чейн‑ана­лити­ков из Chainalysis и Coveware, доходы от вымога­тель­ских атак упа­ли с 765,6 мил­лиона дол­ларов в 2021 году до 456,8 мил­лиона дол­ларов в 2022 году. Экспер­ты объ­ясня­ют падение поч­ти на 40% мно­жес­твом фак­торов, но основная при­чина баналь­на: все боль­ше жертв поп­росту отка­зыва­ются пла­тить хакерам.

• Про­цент ком­паний, зап­латив­ших выкуп хакерам в 2022 году, упал до 41% (по срав­нению с 50% в 2021 году и 70% в 2020 году).

• При этом сред­ние и меди­анные выкупы зна­читель­но вырос­ли, осо­бен­но в пос­леднем квар­тале 2022 года по срав­нению с пре­дыду­щим квар­талом. Рас­тет и сред­ний раз­мер ком­паний, которые ста­новят­ся жер­тва­ми вымога­телей, — тоже из‑за того, что зло­умыш­ленни­кам ста­ли реже пла­тить: ата­ки на более круп­ные ком­пании поз­воля­ют хакерам тре­бовать более круп­ные выкупы.

• Ин­терес­но, что в 2022 году вымога­тель­ская мал­варь оста­валась активной в сред­нем 70 дней, что нам­ного мень­ше по срав­нению со 153 дня­ми в 2021 году и 265 дня­ми в 2020 году.

• Ис­сле­дова­тели свя­зыва­ют это с тем, что зло­умыш­ленни­ки стре­мят­ся скрыть свою активность и дей­ство­вать быс­трее, пос­коль­ку мно­гие из них работа­ют сра­зу с нес­коль­кими штам­мами вре­донос­ного ПО.

В Android 14 запретят старые приложения

В гря­дущей Android 14 появит­ся зап­рет на уста­нов­ку при­ложе­ний, пред­назна­чен­ных для уста­рев­ших вер­сий Android. Нель­зя будет даже заг­рузить APK-файл и уста­новить вруч­ную. Раз­работ­чики наде­ются, что эти меры помогут в борь­бе с вре­донос­ным ПО.

Пра­вила Google изме­нились в прош­лом месяце, и теперь недав­но добав­ленные в Play Store при­ложе­ния дол­жны быть ори­енти­рова­ны как минимум на Android 12. Более того, если рань­ше раз­работ­чик хотел соз­дать при­ложе­ние для более ста­рой вер­сии, он мог поп­росить сво­их поль­зовате­лей заг­рузить нуж­ный APK-файл вруч­ную. Кро­ме того, если при­ложе­ние для Android не обновля­лось пос­ле изме­нения гай­длай­нов, Play Store все рав­но про­дол­жал пре­дос­тавлять его поль­зовате­лям, уста­новив­шим при­ложе­ние до это­го.

В Android 14 тре­бова­ния к API будут ужес­точены, а уста­нов­ку уста­рев­ших при­ложе­ний пол­ностью заб­локиру­ют. Так, изме­нения зап­ретят заг­ружать APK-фай­лы поль­зовате­лям и уста­нав­ливать такие при­ложе­ния магази­нам.

Сна­чала устрой­ства на Android 14 будут бло­киро­вать толь­ко при­ложе­ния, пред­назна­чен­ные для сов­сем ста­рых вер­сий Android. Но со вре­менем пла­ниру­ется повысить этот порог до Android 6.0 (Marshmallow). Ско­рее все­го, в ито­ге каж­дый про­изво­дитель устрой­ств самос­тоятель­но уста­новит порог для уста­рев­ших при­ложе­ний (если вооб­ще будет его уста­нав­ливать).

Бло­кируя уста­рев­шие при­ложе­ния, в Google наде­ются, что это поможет сдер­жать рас­простра­нение мал­вари для Android. Так, раз­работ­чики говорят, что некото­рые вре­донос­ные при­ложе­ния намерен­но нацели­вают­ся на ста­рые вер­сии Android, обхо­дя таким спо­собом защит­ные механиз­мы.

ChatGPT заинтересовал хакеров

Те­му соз­дания мал­вари с помощью ChatGPT уже прис­таль­но изу­чает ИБ‑сооб­щес­тво, а про­веден­ные спе­циалис­тами экспе­римен­ты показы­вают, что такое при­мене­ние инс­тру­мен­та дей­стви­тель­но воз­можно.

Сна­чала спе­циалис­ты ком­пании Check Point об­ратили вни­мание, что зло­умыш­ленни­ки (в том чис­ле не име­ющие никако­го опы­та в прог­рамми­рова­нии) уже начали исполь­зовать язы­ковую модель OpenAI для соз­дания вре­доно­сов и фишин­говых писем, которые затем мож­но будет исполь­зовать в вымога­тель­ских, спа­мер­ских, шпи­онских, фишин­говых и про­чих кам­пани­ях.

К при­меру, еще в прош­лом месяце на неназ­ванном хакер­ском форуме был опуб­ликован скрипт, автор которо­го заявил, что это его пер­вый опыт в прог­рамми­рова­нии, а ChatGPT силь­но помог ему в написа­нии кода. Иссле­дова­тели отме­тили, что получен­ный код мож­но прев­ратить в готовую прог­рамму‑вымога­тель, если устра­нить ряд проб­лем с син­такси­сом.

В дру­гом слу­чае еще один учас­тник хак‑форума с луч­шей тех­ничес­кой под­готов­кой опуб­ликовал два при­мера кода, написан­ного с исполь­зовани­ем ChatGPT. Пер­вым был Python-скрипт для кра­жи информа­ции, который искал опре­делен­ные типы фай­лов (нап­ример, PDF, докумен­ты MS Office и изоб­ражения), копиро­вал их во вре­мен­ный каталог, сжи­мал и отправ­лял на сер­вер, кон­тро­лиру­емый зло­умыш­ленни­ком. Вто­рой фраг­мент кода был написан на Java и тай­но заг­ружал PuTTY, запус­кая его с помощью PowerShell.

Так­же сто­ит упо­мянуть, что в декаб­ре прош­лого года экспер­ты Check Point и сами поп­робова­ли при­менить мощ­ности ChatGPT для раз­работ­ки вре­донос­ного ПО и фишин­говых писем. Резуль­таты получи­лись впол­не рабочи­ми и пуга­ющи­ми.

Нап­ример, ChatGPT поп­росили соз­дать вре­донос­ный мак­рос, который мож­но было скрыть в фай­ле Excel, прик­реплен­ном к пись­му. Сами экспер­ты не написа­ли ни строч­ки кода, но сра­зу получи­ли доволь­но при­митив­ный скрипт. ChatGPT поп­росили пов­торить попыт­ку и улуч­шить код, пос­ле чего качес­тво кода дей­стви­тель­но зна­читель­но повыси­лось.

За­тем иссле­дова­тели исполь­зовали более прод­винутый ИИ‑сер­вис Codex для раз­работ­ки реверс‑шел­ла, скрип­та для ска­ниро­вания пор­тов, обна­руже­ния песоч­ницы и ком­пиляции Python-кода в исполня­емый файл Windows.

«В резуль­тате мы соз­дали фишин­говое элек­трон­ное пись­мо с прик­реплен­ным к нему докумен­том Excel, содер­жащим вре­донос­ный код VBA, который заг­ружа­ет реверс‑шелл на целевую машину. Вся слож­ная работа была про­дела­на ИИ, а нам оста­лось лишь про­вес­ти ата­ку», — резюми­рова­ли тог­да спе­циалис­ты.

К тому же в Check Point отме­тили быс­тро рас­тущий инте­рес к ChatGPT сре­ди рус­ско­языч­ных хакеров: язы­ковая модель может помочь им в мас­шта­биро­вании вре­донос­ной активнос­ти. Так, рус­ско­языч­ные зло­умыш­ленни­ки ста­рают­ся обой­ти огра­ниче­ния для дос­тупа к API OpenAI. На хак‑форумах уже делят­ся совета­ми, как разоб­рать­ся с бло­киров­кой по IP, решить проб­лему с бан­ков­ски­ми кар­тами и номера­ми телефо­нов, то есть всем тем, что необ­ходимо для получе­ния дос­тупа к ChatGPT.

Сло­вом, тема обхо­да геоб­локиро­вок сей­час весь­ма популяр­на в прес­тупном сооб­щес­тве, ведь в нас­тоящее вре­мя ChatGPT недос­тупен в Рос­сии, Китае, Афга­нис­тане, Укра­ине, Белару­си, Венесу­эле и Ира­не.

Вско­ре пос­ле Check Point ана­лити­ки из ком­пании CyberArk под­робно опи­сали, как соз­давать полимор­фные вре­доно­сы с исполь­зовани­ем ChatGPT. При­чем вско­ре они пла­ниру­ют опуб­ликовать часть этой работы в сети «в учеб­ных целях».

Фак­тичес­ки в CyberArk су­мели обой­ти филь­тры кон­тента ChatGPT и про­демонс­три­рова­ли, как «с очень неболь­шими уси­лиями и инвести­циями со сто­роны зло­умыш­ленни­ка мож­но неп­рерыв­но зап­рашивать ChatGPT, каж­дый раз получая уни­каль­ный, фун­кци­ональ­ный и про­верен­ный фраг­мент кода».

«Это при­водит к соз­данию полимор­фно­го вре­донос­ного ПО, которое не демонс­три­рует вре­донос­ного поведе­ния при хра­нении на дис­ке, пос­коль­ку получа­ет код от ChatGPT, а затем выпол­няет его, не оставляя сле­дов в памяти. Кро­ме того, мы всег­да име­ем воз­можность поп­росить ChatGPT изме­нить код», — сооб­щили спе­циалис­ты.

Слив Cellebrite и MSAB

Груп­па хак­тивис­тов Enlace Hacktivista заяви­ла, что ано­ним­ный источник передал ей ПО и докумен­тацию ком­паний Cellebrite и MSAB, которые пре­дос­тавля­ют пра­воох­ранитель­ным орга­нам мно­гих стран мира инс­тру­мен­ты для взло­ма мобиль­ных устрой­ств и про­веде­ния дру­гих кибер­кри­мина­лис­тичес­ких опе­раций.

На­пом­ню, что Cellebrite — это незави­симые кибер­кри­мина­лис­ты, которые спе­циали­зиру­ются на извле­чении дан­ных с мобиль­ных устрой­ств (iOS и Android). К при­меру, нес­коль­ко лет назад изра­иль­скую фир­му на­зыва­ли основным кан­дидатом на роль под­рядчи­ка ФБР, ког­да пра­воох­раните­ли иска­ли спе­циалис­тов для взло­ма iPhone тер­рорис­та.

В целом Cellebrite не раз по­мога­ла пра­витель­ствам и пра­воох­ранитель­ным орга­нам раз­ных стран взла­мывать кон­фиско­ван­ные мобиль­ные телефо­ны (в основном за счет исполь­зования уяз­вимос­тей, которые игно­риро­вали про­изво­дите­ли устрой­ств) и не раз под­верга­лась кри­тике со сто­роны пра­воза­щит­ников и СМИ.

Ана­логич­ной деятель­ностью занима­ется и кри­мина­лис­тичес­кая ком­пания MSAB из Шве­ции.

Как сооб­щили пред­ста­вите­ли Enlace Hacktivista, в их руках ока­зались 1,7 Тбайт дан­ных Cellebrite и 103 Гбайт дан­ных MSAB. Фай­лы уже опуб­ликова­ны в откры­том дос­тупе, их мож­но ска­чать через сайт DDoSecrets, сайт Enlace Hacktivista и через тор­рент.

Хак­тивис­ты напом­нили, что инс­тру­мен­ты обе­их ком­паний неред­ко исполь­зуют­ся для сбо­ра информа­ции с телефо­нов жур­налис­тов, акти­вис­тов и дис­сиден­тов по все­му миру, сами ком­пании не раз обви­няли в том, что они работа­ют с реп­рессив­ными режима­ми, а их ПО неод­нократ­но при­меня­лось для пря­мого наруше­ния прав челове­ка.

При этом нуж­но заметить, что для Cellebrite это далеко не пер­вая утеч­ка дан­ных. Пер­вый раз, еще в 2016 году, инс­тру­мен­ты кибер­кри­мина­лис­тов слу­чай­но сли­ла в сеть исполь­зовав­шая их ком­пания McSira Professional Solutions. Годом поз­же, в 2017-м, Cellebrite и вов­се под­вер­глась хакер­ской ата­ке. Тог­да у ком­пании похити­ли бо­лее 900 Гбайт дан­ных, которые в ито­ге были опуб­ликова­ны в откры­том дос­тупе.

Глава OpenAI сравнил ChatGPT с калькулятором

Сэм Аль­тман, гла­ва ком­пании OpenAI, соз­давшей язы­ковую модель ChatGPT, дал изда­нию StrictlyVC интервью, в котором поделил­ся сво­ими мыс­лями о будущем ИИ, пос­тарал­ся раз­веять опа­сения о соз­дании силь­ного ИИ (AGI), а так­же опи­сал луч­ший и худ­ший сце­нарий раз­вития ситу­ации для челове­чес­тва. Выб­рали для тебя наибо­лее инте­рес­ные цитаты:

«Думаю, луч­ший сце­нарий так неверо­ятно хорош, что мне даже труд­но это вооб­разить. Он так хорош, что ты кажешь­ся пси­хом, ког­да начина­ешь рас­ска­зывать об этом. Могу пред­ста­вить, каково это, если у нас [челове­чес­тва] появит­ся неверо­ятное изо­билие и сис­темы, которые смо­гут раз­решать тупико­вые ситу­ации, улуч­шат все аспекты реаль­нос­ти и поз­волят всем нам жить луч­шей жизнью».

«Пло­хой сце­нарий (и я счи­таю, что важ­но говорить об этом) — это вро­де как смерть для всех нас. Поэто­му слож­но пере­оце­нить важ­ность безопас­ности ИИ. Но меня боль­ше бес­поко­ят веро­ятные зло­упот­ребле­ния в крат­косроч­ной пер­спек­тиве».

«У нас нет нас­тояще­го AGI. Полагаю, [AGI] — это то, чего от нас ждут, но тог­да GPT-4 разоча­рует людей, которые ожи­дают чего‑то подоб­ного. Переход к AGI в целом будет не таким рез­ким, как ожи­дают некото­рые. Думаю, он получит­ся гораз­до более раз­мытым и пос­тепен­ным».

«Генера­тив­ный текст — это то, к чему нам всем нуж­но адап­тировать­ся. Мы адап­тирова­лись к каль­кулято­рам и изме­нили тес­тирова­ния на уро­ках матема­тики. Без сом­нения, [ChatGPT] — это более экс­тре­маль­ная вер­сия, но и пре­иму­щес­тва от нее тоже более экс­тре­маль­ные».

Даркнет переходит на приложения для Android

Спе­циалис­ты из ком­пании Resecurity замети­ли, что мар­кет­плей­сы дар­кне­та, тор­гующие нар­котика­ми и дру­гими незакон­ными вещес­тва­ми, начали исполь­зовать собс­твен­ные при­ложе­ния для Android, что­бы повысить кон­фиден­циаль­ность и избе­жать вни­мания пра­воох­ранитель­ных орга­нов.

Ис­сле­дова­тели наб­люда­ют эту тен­денцию с треть­его квар­тала 2022 года. По их мне­нию, такое поведе­ние прес­тупни­ков ста­ло отве­том на прош­логод­ние дей­ствия пра­воох­ранитель­ных орга­нов в целом и зак­рытие «Гид­ры» в час­тнос­ти. Пос­ле лик­видации это­го мар­кет­плей­са пра­воох­раните­лями нес­коль­ко более мел­ких игро­ков попыта­лись вос­поль­зовать­ся ситу­ацией и перема­нить ауди­торию «Гид­ры» к себе.

Эк­спер­ты при­вели сра­зу семь при­меров тор­говых пло­щадок, выпус­тивших APK-фай­лы собс­твен­ных Android-при­ложе­ний, через которые кли­енты могут получить дос­туп к магази­нам и сер­висам: Yakudza, TomFord24, 24Deluxe, PNTS32, Flakka24, 24Cana и MapSTGK. Инте­рес­но, что все они исполь­зовали дви­жок M-Club CMS для соз­дания сво­их APK, то есть, ско­рее все­го, вос­поль­зовались услу­гами одно­го и того же раз­работ­чика.

«Некото­рые из этих мобиль­ных при­ложе­ний были недав­но обна­руже­ны нашими экспер­тами на мобиль­ных устрой­ствах, изъ­ятых пра­воох­ранитель­ными орга­нами, они при­над­лежали нес­коль­ким подоз­рева­емым, при­час­тным к тор­говле нар­котика­ми и дру­гим незакон­ным опе­раци­ям», — рас­ска­зали в Resecurity.

От­чет ком­пании гла­сит, что такие при­ложе­ния поз­воля­ют переда­вать дан­ные о заказах нар­котиков, а так­же отправ­лять покупа­телю геог­рафичес­кие коор­динаты «кла­да», оставлен­ного курь­ером. Так как обмен информа­цией теперь про­исхо­дит в нес­коль­ких раз­ных при­ложе­ниях, это порож­дает фраг­мента­цию и меша­ет пра­воох­ранитель­ным орга­нам отсле­живать прес­тупни­ков.

«Информа­ция (в при­ложе­ниях) переда­ется в виде изоб­ражений для пре­дот­вра­щения воз­можной индекса­ции. Сооб­щения могут содер­жать све­дения о том, нас­коль­ко глу­боко „клад“ спря­тан под зем­лей, и любую дру­гую информа­цию для его поис­ка», — сооб­щили ана­лити­ки.

В Resecurity счи­тают, что боль­шинс­тво новых тор­говых пло­щадок в 2023 году будут исполь­зовать собс­твен­ные при­ложе­ния для Android, которые пос­тепен­но вооб­ще заменят собой при­выч­ные поль­зовате­лям форумы и мар­кет­плей­сы.