Содержание статьи
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37745/durov.jpg)
Дуров арестован
24 августа 2024 года Павла Дурова арестовали во Франции, после того как его частный самолет, летевший из Азербайджана, приземлился в аэропорту Ле‑Бурже.
Задержание связано с отсутствием модерации в Telegram, а также нежеланием команды мессенджера сотрудничать с правоохранительными органами. По мнению правоохранителей, вкупе с предлагаемыми Telegram инструментами (покупка номеров, криптовалюты и так далее), все это делает Павла Дурова соучастником множества тяжких преступлений, включая наркоторговлю, отмывание денег, терроризм, мошенничество и преступления против детей.
Как сообщил французский телеканал TF1, ордер о задержании Дурова действовал только на французской территории и вступал в силу, как только он пересекал границу. При этом, согласно открытым источникам, у Дурова четыре гражданства: России, Сент‑Китс и Невис, Объединенных Арабских Эмиратов (ОАЭ) и Франции. Это означает, что как гражданин Франции, он не подлежит обмену или экстрадиции.
Ордер был выдан в рамках предварительного расследования, проводимого управлением судебной полиции по делам несовершеннолетних, сообщает издание Le Figaro. Также сообщалось, что в расследовании принимают участие и другие следственные органы, в том числе занимающиеся делами о мошенничестве, торговле наркотиками, кибербуллинге, организованной преступности, оправдании терроризма, отмывании денег и так далее.
Посольство России в Париже потребовало от французских властей разъяснить причины задержания Павла Дурова и сообщило, что находится в контакте с его адвокатом. Однако в посольстве отметили, что «французские власти уклоняются от сотрудничества по этому вопросу».
В МИД России тоже направили ноту с требованием о доступе к Павлу Дурову, однако Париж рассматривает его французское гражданство как основное.
Согласно заявлению, опубликованному прокуратурой Парижа, связанное с Павлом Дуровым расследование было инициировано подразделением прокуратуры Парижа JUNALCO (а именно отделом по борьбе с киберпреступностью) и начато в отношении неназванных лиц еще 8 июля 2024 года.
В пресс‑релизе перечислены 12 составов преступлений, в связи с которыми Павла Дурова допрашивают следователи:
Соучастие в управлении онлайн‑платформой с целью проведения незаконных транзакций в составе организованной группы.
Отказ предоставить по запросу компетентных органов информацию или документы, необходимые для проведения и реализации разрешенных законом мероприятий по прослушиванию.
Соучастие в хранении порнографических изображений несовершеннолетних.
Соучастие в распространении, предоставлении или обеспечении доступа к порнографическим изображениям несовершеннолетних в составе организованной группы.
Соучастие в приобретении, перевозке, хранении, предоставлении или сбыте наркотических веществ.
Соучастие в предложении, продаже или предоставлении без законных оснований оборудования, инструментов, ПО или данных, предназначенных или адаптированных для получения доступа и нанесения ущерба работе автоматизированных систем обработки данных.
Соучастие в организованном мошенничестве.
Преступный сговор с целью совершения преступления или правонарушения, за которое предусмотрено наказание в виде лишения свободы на срок 5 и более лет.
Отмывание доходов, полученных в результате совершения правонарушений и преступлений организованной группой.
Оказание криптографических услуг, направленных на обеспечение конфиденциальности без сертифицированного подтверждения.
Предоставление криптологического инструмента, не только обеспечивающего аутентификацию или контроль целостности, без предварительного декларирования.
Импорт криптологического инструмента, обеспечивающего аутентификацию или контроль целостности, без предварительного декларирования.
В настоящее время Павла Дурова освободили под судебный надзор. Он обязуется внести залог в размере 5 млн евро, а также являться в полицейский участок два раза в неделю. Ему запрещено покидать территорию Франции.
Официальное заявление о ситуации от представителей Telegram появилось в официальном канале мессенджера:
«Telegram соблюдает законы ЕС, включая Закон о цифровых услугах (Digital Services Act), и его модерация соответствует отраслевым стандартам и постоянно совершенствуется.
CEO Telegram Павлу Дурову нечего скрывать, и он часто путешествует по Европе.
Абсурдно утверждать, что платформа или ее владелец несут ответственность за злоупотребления на этой платформе.
Почти миллиард пользователей по всему миру используют Telegram как средство общения и источник важной информации.
Мы ждем скорейшего разрешения этой ситуации. Telegram с вами».
Арест Павла Дурова прокомментировал и президент Франции Эмманюэль Макрон, который подчеркнул, что арест главы Telegram произошел в рамках продолжающегося судебного расследования и не является политическим решением.
«Я читаю ложные заявления о Франции в связи с арестом Павла Дурова.
Франция как никогда привержена свободе слова и коммуникаций, инновациям и предпринимательству. И останется таковой впредь.
В правовом государстве в социальных сетях, как и в реальной жизни, свободы реализуются в рамках, установленных законом для защиты граждан и соблюдения их основных прав.
Обеспечение соблюдения закона возложено на суды, обладающие полной независимостью.
Арест главы Telegram на территории Франции произошел в рамках продолжающегося судебного расследования. Это ни в коем случае не политическое решение. Решения должны выносить судьи», — пишет Макрон.
Также об аресте Дурова уже высказались многие известные люди, в том числе:
Илон Маск призвал освободить основателя Telegram и форсит хештег #FreePavel.
Виталик Бутерин назвал происходящее «очень плохим и тревожным» знаком для будущего софта и свободы коммуникаций в Европе.
Ким Дотком пишет, что «приватность — не преступление» и на всякий случай призывает всех делать бэкапы и очищать свои аккаунты в Telegram.
Эдвард Сноуден заявил, что арест Дурова «является посягательством на основные права человека, а также свободу слова и собраний».
50 000 DDoS-атак на банки
- В ГК «Солар» подсчитали, что количество DDoS-атак на российские кредитно‑финансовые организации в июле 2024 года выросло более чем в 10 раз. Если с января по июнь 2024 года банки сталкивались в среднем с 3000-5000 DDoS-атак в месяц, то в июле их число выросло почти до 50 000. Целями атак стали более 60 банков, включая лидеров отрасли.
- При этом за счет атак на банки общее количество DDoS-атак в России выросло практически в два раза — с 56 000 в июне до 96 000 в июле 2024 года.
- По прогнозам специалистов, число DDoS-атак на банковскую отрасль будет постепенно снижаться и в ближайшее время будет держаться на уровне 2000 в день.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37747/ipv6.jpg)
Критическая уязвимость в TCP/IP
Компания Microsoft предупредила пользователей об исправлении критической уязвимости TCP/IP, допускавшей удаленное выполнение произвольного кода. Проблема затрагивает все Windows-системы, использующие протокол IPv6, включенный по умолчанию.
Уязвимость была обнаружена специалистами Kunlun Lab и получила идентификатор CVE-2024-38063. Баг связан с целочисленным антипереполнением (integer underflow), которое может использоваться злоумышленниками для переполнения буфера и последующего выполнения произвольного кода в системах под управлением Windows 10, Windows 11 и Windows Server.
Исследователи решили не раскрывать детали уязвимости в ближайшее время, так как проблема опасна, и пользователям нужно дать больше времени на установку патчей. При этом в Kunlun Lab отметили, что блокировка IPv6 на уровне локального брандмауэра Windows не остановит эксплоиты, поскольку уязвимость проявляется еще до срабатывания защиты.
Как объясняют в Microsoft, неавторизованные злоумышленники могут удаленно использовать эту проблему в атаках низкого уровня сложности, путем многократной отправки специально подготовленных пакетов IPv6. Также в компании предупредили, что эксплуатация этого бага весьма вероятна, то есть злоумышленники могут создать эксплоит для использования уязвимости в атаках.
Тем, кто по какой‑то причине не сможет сразу установить исправления, в компании рекомендуют отключить IPv6 вовсе, чтобы избежать риска возможных атак.
При этом на сайте поддержки Microsoft указано, что стек сетевых протоколов IPv6 является «неотъемлемой частью Windows Vista, Windows Server 2008 и более новых версий ОС» и не рекомендуется отключать IPv6 или его компоненты, поскольку это может спровоцировать некорректную работу некоторых компонентов ОС.
Специалисты Trend Micro Zero Day Initiative сообщили, что уязвимость CVE-2024-38063 является одной из наиболее серьезных проблем, исправленных Microsoft в этом месяце, и предостерегли, что баг обладает потенциалом червя.
«Самой серьезной в этом месяце, вероятно, стала ошибка в TCP/IP, которая позволяет удаленному злоумышленнику, не прошедшему аутентификацию, добиться выполнения кода, просто отправляя специально подготовленные пакеты IPv6 цели, — пишут эксперты. — Это означает, что проблема обладает потенциалом червя. Вы можете отключить IPv6, чтобы предотвратить эксплуатацию, но IPv6 включен по умолчанию практически на всех устройствах».
Сколько стоит ботнет?
- Аналитики «Лаборатории Касперского» изучили объявления о предоставлении услуг, связанных с ботнетами в даркнете и специализированных Telegram-каналах.
- Выяснилось, что самая низкая цена за использование ботнета составила 99 долларов США, а самая высокая — 10 000 долларов США.
- Что касается аренды ботнетов, стоимость такой услуги варьируется от 30 до 4800 долларов США в месяц.
- Ботнеты, исходники которых утекли в сеть, являются наиболее доступными: доступ к ним можно получить бесплатно или за почти символическую плату: от 10 до 50 долларов США.
![](https://static.xakep.ru/images/6fc8ceb2cc5b1a029aa4a8973a3511bf/37767/botnet-new.png)
- Стоимость создания ботнета по индивидуальному заказу, с нуля, начинается от 3000 долларов США.
- В целом среди распространенных вариантов коммерческого использования ботнетов перечисляют сдачу в аренду, разработку на заказ, а также приобретение дешевых ботнетов с утекшим исходным кодом.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37742/astra.jpg)
OSINT против Astra Linux
В блоге Совета по международным отношениям (Council on Foreign Relations, CFR) была опубликована статья, посвященная импортозамещению в РФ. Ее автор призвал использовать разведку по открытым источникам для изучения защищенности Astra Linux, на что вскоре отреагировали представители «Группы Астра».
CFR позиционирует себя как независимую организацию в сфере международных связей, а в состав ее совета директоров входят бывшие разведчики, журналисты и представители деловых кругов (К примеру, финансовый директор Alphabet).
Автором текста, посвященного импортозамещению в России и усиливающемуся влиянию китайских технологий, выступил некто Джастин Шерман (Justin Sherman), при этом отмечается, что это «приглашенный автор».
Внимание российских СМИ привлекла та часть текста, где Шерман предлагает США и их партнерам использовать разведку по открытым источникам (open source intelligence, OSINT) для анализа происходящего на российском рынке. К примеру, предлагается изучать информацию с российских киберконференций, а также государственные контракты и партнерства.
Отдельное внимание Шерман уделил операционной системе Astra Linux, он пишет:
«Аналитики в Соединенных Штатах и странах‑партнерах должны использовать данные из открытых источников, чтобы понять, как Россия внедряет такие технологии, как операционная система Astra Linux. Astra Linux широко применяется в российских военных и разведывательных системах, что, вероятно, создает уязвимости, которые могут использоваться в широких масштабах. Кроме того, это адаптированная и (предположительно) усиленная версия ОС с открытым исходным кодом. При переходе на китайские и отечественные продукты Россия теряет доступ к талантам в области ИБ из США, Западной Европе, Японии и других стран. Вероятно, разработчики Astra Linux имеют меньше возможностей для тестирования и защиты своего кода за счет широкой аудитории. Для Соединенных Штатов и их союзников это может стать сферой, где они смогут получить преимущество в киберпространстве».
После того как эта публикация CFR привлекла внимание СМИ, представители «Группы Астра» опубликовали официальный ответ, в котором сообщили, что «призывы со стороны иностранных агитационных ресурсов в очередной раз подтвердили верность нашей бизнес‑стратегии, ориентированной в первую очередь на создание безопасных решений, усиленных собственными средствами защиты информации».
«Информационная безопасность зашита в ДНК “Астры” — это наш ключевой приоритет. Он не определяется геополитической конъюнктурой: мы занимаемся вопросами защищенности своих продуктов постоянно, чтобы отвечать высоким требованиям регуляторов и клиентов.
Но в текущих реалиях, когда число кибератак на российскую критическую инфраструктуру кратно возросло, мы продолжим развивать и усиливать наши технологии защиты, укреплять внутреннюю инфраструктуру безопасной разработки, а также инструментарий проверки и анализа кода.
“Группа Астра” располагает достаточными ресурсами для тестирования кода, оперативного устранения уязвимостей, уделяет большое внимание таким технологиям, как мандатное разграничение доступа и контроль целостности, замкнутая программная среда и другим средствам защиты. Мы плотно взаимодействуем с центром безопасности ядра Linux Института системного программирования РАН. Год назад мы запустили программу Bug Bounty, которая позволяет выявлять и оперативно устранять слабые места в наших средствах защиты информации.
В связи со сложившейся международной обстановкой также усилены меры по выявлению вредоносных включений в программное обеспечение, проводится дополнительный антивирусный контроль с применением нескольких специализированных средств», — гласит заявление.
Также подчеркивается, что российские регуляторы, «осознавая важность информационной безопасности и технологического суверенитета», накладывают жесткие требования на разработчиков средств защиты информации.
«В частности, это касается процессов разработки безопасного программного обеспечения и оперативного устранения уязвимостей. Приоритеты в сфере информационной безопасности (ИБ) у бизнеса и государства совпадают, во многом благодаря усилиям Федеральной службы по техническому и экспортному контролю (ФСТЭК России), которая существенно модернизировала требования к ИБ компаний и лидирует направление в области разработки безопасного программного обеспечения. ОС Astra Linux сертифицирована ФСТЭК России по первому уровню доверия и классу защиты. Это подтверждает высокие результаты нашей деятельности по обеспечению ИБ», — пояснили в «Группе Астра».
В конце представители компании напомнили, что защищенность ИТ‑инфраструктуры зависит от всего комплекса средств ИБ, который применяется в организации (а не только в ОС), а также от того, насколько эти продукты интегрированы и усиливают друг друга.
«Поэтому со своей стороны “Группа Астра” настоятельно рекомендует заказчикам использовать весь комплекс средств защиты информации, необходимый для защиты информации с учетом конкретной модели угроз, правильно выбирать режимы функционирования, внимательно следовать рекомендациям и методическим инструкциям по настройке безопасности средств защиты информации, в том числе ОС Astra Linux, и своевременно применять обновления, направленные на устранение потенциальных уязвимостей», — резюмировали в компании.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37757/sentonas-crowdstrike.jpg)
Pwnie для CrowdStrike
В Лас‑Вегасе прошла хакерская конференция DEF CON, на которой традиционно объявили победителей премии Pwnie Award. Награда за самый эпичный провал (Most Epic Fail) была присуждена компания CrowdStrike, и ее получил лично президент компании Майкл Сентонас (Michael Sentonas).
Напомним, что в середине июля 2024 года обновление enterprise-решения CrowdStrike Falcon Sensor привело к тому, что миллионы Windows-систем показали «синий экран смерти» (BSOD).
«Мы неоднократно повторяли, что очень важно признавать, когда вы сделали что‑то хорошо. Но очень важно признавать и то, что вы сделали что‑то ужасно неправильное, что и произошло в данном случае.
Причина, по которой я хотел получить трофей, такова: я возвращаюсь в штаб‑квартиру. Я собираюсь взять этот трофей с собой. Он будет стоять на самом видном месте, потому что я хочу, чтобы каждый сотрудник CrowdStrike, приходящий на работу, видел его. Ведь наша цель — защищать людей, а мы допустили ошибку. Я хочу убедиться, что все понимают, что такое нельзя допускать, и именно в этом заключается суть нашего сообщества.
Так что с этих позиций я скажу вам спасибо и заберу трофей. Мы поставим его в нужном месте и убедимся, что все его увидят», —
заявил Сентонас собравшимся на DEF CON, и публика встретила речь и откровенность главы CrowdStrike бурными аплодисментами.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37748/lan-lock.jpg)
Блокировка научно-технической информации о VPN
В Роскомнадзоре подготовили проект приказа, согласно которому, научная, научно‑техническая и статистическая информация о VPN-сервисах для обхода блокировок будет признана запрещенной в РФ. Исключение будет сделано только для информации о VPN, которые используются для обеспечения защищенного удаленного доступа.
Проект предполагает, что приказ вступит в силу с 1 марта 2025 года и будет действовать до 1 сентября 2029 года.
Напомним, что с 1 марта 2024 года действует приказ Роскомнадзора, согласно по которому РКН может блокировать сайты с информацией о методах и способах использования запрещенных ресурсов и рекламой соответствующих программ.
Однако сейчас критерии для включения в реестр запрещенных ресурсов не применяются «в отношении научной, научно‑технической и статистической информации о способах, методах обеспечения доступа к информационным ресурсам и/или информационно‑телекоммуникационным сетям, доступ к которым ограничен на территории России».
В новой редакции приказа предлагается изменить этот пункт, чтобы критерии не применялись «в отношении научной, научно‑технической и статистической информации о способах, методах обмена информацией в информационно‑телекоммуникационных сетях, в том числе в сети "Интернет", при обеспечении доступа к информационным ресурсам и/или информационно‑телекоммуникационным сетям с применением защищенных каналов связи».
Со ссылкой на норму ФЗ №149 «Об информации», которая запрещает информацию «о способах, методах обеспечения доступа к информационным ресурсам и/или информационно‑телекоммуникационным сетям, доступ к которым ограничен на территории РФ», Роскомнадзор пишет, что под нее «попадают также VPN-сервисы, обеспечивающие доступ к заблокированным информационным ресурсам и/или информационно‑телекоммуникационным сетям».
«Таким образом, должна признаваться запрещенной также научная, научно‑техническая информация, описывающая способы создания, устройства VPN-сервисов, целью которых является предоставление лицам доступа к информационным ресурсам и/или информационно‑телекоммуникационным сетям, доступ к которым ограничен на территории Российской Федерации, — пишут авторы нового проекта в пояснительной записке. — Исходя из формулировки подпункта “м” пункта 1 части 5 статьи 15 Федерального закона № 149-ФЗ, доступ к такой научной, научно‑технической информации должен подлежать ограничению».
При этом в РКН добавляют, что «VPN-сервисы могут разрабатываться и использоваться только для обеспечения защищенного доступа к информационным ресурсам и/или защищенного обмена информацией в информационно‑телекоммуникационных сетях», и такие сервисы не предназначены для обхода блокировок, а «используются для защиты конфиденциальной информации, в том числе для предотвращения утечки такой информации».
«В таких целях VPN-сервисы используются, в частности, государственными органами, органами местного самоуправления, коммерческими предприятиями, в том числе организации финансовой сферы. В связи с этим проектом приказа предлагается изложить подпункт 5 пункта 5 Критериев в новой редакции», — сказано в пояснительной записке.
95% авторов сталкивались с пиратством
- По данным самиздат платформы «Литнет», 95% авторов в России сталкивались с незаконным распространением своих книг. Причем 61% опрошенных авторов встречали свои произведения на пиратских ресурсах в первую же неделю после публикации.
- Однако 48% авторов говорят об улучшении ситуации по противодействию пиратству в 2024 году, об ухудшении заявили только 8% респондентов, а 44% считают, что ситуация не меняется.
- По словам члена правления ассоциации АЗАПИ (Ассоциация по защите авторских прав в интернете) Максима Рябыко, после включения издателей в антипиратский меморандум в 2023 году претензии от АЗАПИ получили 2256 сайтов, из них 1215 (53,85%) удалили пиратский контент.
- Во втором квартале 2024 года, по его словам, процент сайтов, удаляющих контент по претензиям, составлял 52,10%.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37760/vuln.jpg)
Уязвимости в OpenVPN
На конференции Black Hat USA 2024 представители Microsoft рассказали сразу о четырех уязвимостях в OpenVPN. Эти проблемы можно объединить в цепочку, что позволит добиться удаленного выполнения кода (RCE) и локального повышения привилегий (LPE).
«Такая атака может позволить злоумышленникам получить полный контроль над целевыми эндпоинтами, что потенциально может привести к утечке данных, компрометации системы и несанкционированному доступу к конфиденциальной информации», — рассказывает Владимир Токарев из Microsoft Threat Intelligence Community.
При этом отмечается, что эксплоит, представленный на конференции, требует аутентификации и глубокого понимания внутренних механизмов работы OpenVPN.
Перечисленные ниже уязвимости затрагивают все версии OpenVPN вплоть до 2.6.10 и 2.5.10, где они были устранены.
CVE-2024-27459 — уязвимость переполнения стека, приводящая к отказу от обслуживания (DoS) и локальному повышению привилегий в Windows.
CVE-2024-24974 — проблема несанкционированного доступа к именованному каналу \\\openvpn\\\service в Windows, допускающая удаленное взаимодействие и запуск операций.
CVE-2024-27903 — уязвимость в механизме плагинов, приводящая к выполнению произвольного кода в Windows, а также локальному повышению привилегий и манипулированию данными в Android, iOS, macOS и BSD.
CVE-2024-1305 — уязвимость переполнения памяти, приводящая к DoS в Windows.
Первые три проблемы связаны с компонентом openvpnserv, а последняя — с драйвером Windows Terminal Access Point (TAP).
Все уязвимости можно использовать сразу после того, как злоумышленник получил доступ к учетным данным OpenVPN. Отмечается, что сделать это можно различными способами, включая покупку данных в даркнете, использование инфостилеров и другой малвари, сниффинг сетевого трафика для получения хешей NTLMv2 (и их последующего декодирования с помощью таких инструментов, как HashCat или John the Ripper).
«Злоумышленник может использовать как минимум три из четырех обнаруженных уязвимостей для создания эксплоитов, способствующих RCE и LPE, которые затем могут быть соединены вместе для создания мощной цепочки атак», — отметил Токарев, добавив, что после повышения привилегий атакующие могут перейти к таким техникам, как Bring Your Own Vulnerable Driver (BYOVD). — Таким образом атакующий сможет, например, отключить Protect Process Light (PPL) для критически важного процесса, такого как Microsoft Defender, а также обойти или вмешаться в работу других критически важных процессов в системе».
Вредоносы в письмах
- Специалисты FACCT проанализировали вредоносные почтовые рассылки, которые злоумышленники распространяли во втором квартале 2024 года.
- С апреля по июнь фишинговые письма чаще всего рассылались по четвергам, а в 97% рассылок малварь была скрыта во вложениях.
![](https://static.xakep.ru/images/6fc8ceb2cc5b1a029aa4a8973a3511bf/37764/ris1-new.png)
- Атакующие все чаще используют легенды, связанные с Россией и СНГ. Так, в 2024 году более 13% фишинговых рассылок, которые приходят российским компаниям, были написаны на русском или другом языке стран СНГ, а их содержимое адаптировали под местные цели.
- Несмотря на постепенное снижение количества рассылок через бесплатные почтовые сервисы, киберпреступники продолжают их использовать. Так, во втором квартале доля Gmail в фишинговых рассылках сократилась с 80,4% до 49.5%, а вот доля российских сервисов выросла почти в три раза — с 13,1 до 35,3%.
- Для доставки малвари на конечные устройства используются вложения (в 97% случаев). Аархивы форматов .rar, .zip, .7z и другие остаются самыми популярными решениями для этих целей (в общей сложности их доля составляет 81,4%).
![](https://static.xakep.ru/images/6fc8ceb2cc5b1a029aa4a8973a3511bf/37770/ris2-new2.png)
- Чаще всего через почтовые рассылки распространяются инструменты для сбора данных и шпионажа. Лидерами по‑прежнему является спайварь Agent Tesla (в 56,1% вредоносных рассылок), загрузчик CloudEyE (11%), стилер FormBookFormgrabber (10,5%).
![](https://static.xakep.ru/images/6fc8ceb2cc5b1a029aa4a8973a3511bf/37769/ris3-new2.png)
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37750/microchip-technology.jpg)
Взломана Microchip Technology
Американский производитель микросхем Microchip Technology Incorporated сообщил, что на его системы была совершена кибератака, нарушившая работу сразу нескольких производственных объектов.
У компании насчитывается около 123 000 клиентов в самых разных отраслях, включая промышленную, автомобильную, потребительскую, аэрокосмическую и оборонную, коммуникационную и вычислительную.
Из‑за инцидента некоторые производственные площадки Microchip Technology работали не в полную силу, что повлияло на способность компании выполнять заказы. Кроме того, Microchip Technology пришлось принять меры по урегулированию ситуации, а именно отключить и изолировать некоторые пострадавшие от взлома системы.
«17 августа 2024 года компания Microchip Technology Incorporated замтеила подозрительную активность в своих ИТ‑системах. Обнаружив проблему, компания начала принимать меры по оценке, локализации и устранению потенциально несанкционированной активности, — говорится в заявлении Microchip Technology, поданном в Комиссию по ценным бумагам и биржам США. — 19 августа 2024 года было установлено, что неавторизованная сторона помешала компании использовать некоторые серверы и осуществлять некоторые бизнес‑операции».
В настоящее время Microchip Technology изучает масштабы и последствия атаки, а к делу привлечены внешние ИБ‑эксперты. Также компания работает над восстановлением пострадавших ИТ‑систем и возвращением к нормальной работе.
Хотя пока в компании не раскрывают подробности инцидента, в заявлении сказано, что атака связана с неназванной программой‑вымогателем. Пока ни одна хакерская группа не взяла на себя ответственность за случившееся.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37746/eric-schmidt.jpg)
Удаленная работа мешает развитию ИИ
Выступая перед студентами Стэнфордского университета, бывший генеральный директор Google Эрик Шмидт (Eric Schmidt) ответил на вопрос о том, почему Google отстает от конкурентов в области ИИ. По его мнению, корень проблемы — это удаленная работа.
«Google решила, что баланс между работой и личной жизнью, ранний уход домой и работа из дома важнее победы. А причина, по которой у стартапов получается, заключается в том, что люди в них работают как проклятые.
Простите за прямому. Но если вы бросите университет и попытаетесь создать cсобственную компанию, не позволяйте людям работать из дома и приходить (в офис) только один день в неделю, если вы хотите конкурировать с другими стартапами», — заявил Шмидт.
Это высказывание вызвало шквал критики в СМИ и социальных сетях, после чего доступ к видео с выступлением Шмидта на официальном YouTube-канале Стэнфорда был закрыт.
«Я неправильно выразился, когда говорил о Google и их рабочих часах. Я сожалею о своей ошибке», — позже сообщил Шмидт представителям СМИ.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37755/ryzen.jpg)
AMD угрожает SinkClose
Продукты компании AMD подвержены серьезной уязвимости SinkClose, которая затрагивает несколько поколений процессоров EPYC, Ryzen и Threadripper. Проблема позволяет злоумышленникам с привилегиями уровня ядра (Ring 0) получить привилегии Ring -2, что может использоваться для установки малвари, которую практически невозможно обнаружить.
Ring -2 — один из самых высоких уровней привилегий на компьютере, который стоит выше Ring -1 (используется для гипервизоров и виртуализации) и Ring 0 — уровня привилегий, используемого ядром ОС.
В современных процессорах уровень привилегий Ring -2 связан с функцией System Management Mode (SMM). SMM управляет питанием, контролирует аппаратное обеспечение, отвечает за безопасность и выполняет другие низкоуровневые операции, необходимые для стабильности системы. Имея высокий уровень привилегий, SMM изолирован от ОС, чтобы предотвратить возможные атаки.
Проблема SinkClose, обнаруженная специалистами компании IOActive, получила идентификатор CVE-2023-31315 и оценивается в 7,5 баллов по шкале CVSS.
Исследователи заявили, что SinkClose оставалась незамеченной на протяжении почти 20 лет и в результате затрагивает широкий спектр моделей процессоров AMD.
Уязвимость позволяет злоумышленникам с доступом на уровне ядра (Ring 0) изменять настройки SMM даже если активна блокировка SMM (SMM Lock). В результате проблема может использоваться для отключения защитных функций и установки на устройство стойкого, практически не поддающегося обнаружению вредоносного ПО.
Так как уровень Ring -2 изолирован и «невидим» для ОС и гипервизора, такие вредоносные модификации не получится обнаружить или устранить с помощью средств защиты, работающих на уровне ОС. По словам исследователей, единственный способ найти и удалить малварь, установленную с помощью SinkClose, это физически подключаться к процессорам с помощью программатора SPI Flash и сканировать память.
«Представьте себе правительственных хакеров или кого угодно, кто хочет сохранить доступ к вашей системе. Даже если вы очистите диск, вредонос все равно останется. Он будет почти необнаружим и практически неустраним. Только вскрытие корпуса компьютера, физическое подключение непосредственно к определенным микросхемам (с помощью аппаратного решения, известного как SPI Flash) и тщательная очистка памяти позволят удалить вредоносную программу. По сути, вам придется выбросить свой компьютер», — говорят эксперты, называя такую атаку наихудшим из возможных сценариев.
По данным инженеров AMD, проблема затрагивает следующие модели процессоров (почти все процессоры AMD, выпущенные с 2006 года):
EPYC первого, второго, третьего и четвертого поколений;
EPYC Embedded 3000, 7002, 7003 и 9003, R1000, R2000, 5000 и 7000;
Ryzen Embedded V1000, V2000 и V3000;
Ryzen серий 3000, 5000, 4000, 7000 и 8000;
Серии Ryzen 3000 Mobile, 5000 Mobile, 4000 Mobile и 7000 Mobile;
Ryzen Threadripper серий 3000 и 7000;
AMD Threadripper PRO (Castle Peak WS SP3, Chagall WS);
AMD Athlon 3000 серии Mobile (Dali, Pollock);
AMD Instinct MI300A.
В своем бюллетене безопасности AMD сообщает, что уже подготовила исправления для десктопных и мобильных процессоров EPYC и AMD Ryzen, а исправления для встроенных процессоров появятся позже.
Как было сказано выше, доступ на уровне ядра является необходимым условием для осуществления атаки SinkClose. В своем сообщении представители AMD это подтвердили и подчеркнули сложность эксплуатации CVE-2023-31315 в реальных условиях. В ответ на это в IOActive заявили, что уязвимости уровня ядра, хотя и не являются широко распространенными, они существуют и не так уж редки.
Исследователи уверены, что SinkClose может представлять серьезную угрозу для организаций, использующих системы на базе AMD, особенно со стороны «правительственных» хакеров. Они договорились с AMD не публиковать каких‑либо PoC-эксплоитов для SinkClose в течение нескольких месяцев, чтобы у пользователей было больше времени для исправления проблемы.
55 000 расширений не перешли на Manifest V3
- Пока разработчики расширений для Chrome перенесли только 58% расширений на новый фреймворк. При этом недавно компания Google начала показывать предупреждения пользователям, которые все еще используют расширения Manifest V2, и уведомляет об их скором отключении.
![](https://static.xakep.ru/images/6fc8ceb2cc5b1a029aa4a8973a3511bf/37768/manifest-v2-new.png)
- Согласно статистике ресурса Chrome-Stats, выходит, что Google собирается удалить около 55 000 устаревших расширений из Chrome Web Store.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37744/card.jpg)
Бэкдор в MIFARE Classic
Французская компания Quarkslab сообщила, что нашла бэкдор в миллионах карт производства Shanghai Fudan Microelectronics Group, ведущего производителя чипов в Китае. Эта «закладка» позволяет мгновенно клонировать RFID-карты, построенные на чипах MIFARE Classic от NXP, которые используются в общественном транспорте, офисах, гостиницах, финансовых учреждениях и других организациях по всему миру.
Исследователи предупреждают, что для проведения атаки злоумышленнику потребуется провести всего несколько минут рядом с уязвимой картой, но в случае массовой атаки на цепочку поставок компрометацию можно осуществить практически мгновенно и в больших масштабах.
Бэкдор был найден случайно, в ходе изучения безопасности семейства смарт‑карт MIFARE Classic. Карты этого семейства, запущенного в далеком 1994 году компанией Philips (сейчас NXP Semiconductors), широко используются по всему миру и за прошедшие годы не раз подвергались атакам.
В частности, большой проблемой были уязвимости, допускающие атаки типа card-only (требующие доступа к карте, но не к считывающему устройству), что позволяло клонировать карты или считывать и перезаписывать их содержимое, просто находясь рядом в течение нескольких минут.
Однако с течением времени уязвимости, обнаруженные ИБ‑экспертами, устранялись в новых версиях MIFARE Classic. И в 2020 году компания Shanghai Fudan Microelectronics, ведущий китайский производитель нелицензированных MIFARE-совместимых чипов, представила версию FM11RF08S MIFARE Classic. Этот вариант имел ряд защитных мер, направленных на предотвращение известных атак типа card-only, и быстро завоевал популярность по всему миру.
Изучая FM11RF08S, где используется защита static encrypted nonce, исследователи сумели разработать атаку, способную взламывать ключи FM11RF08S за несколько минут, если те используются повторно как минимум в трех секторах или на трех картах.
Именно во время проведения этого исследования аналитики Quarkslab обнаружили аппаратный бэкдор, позволяющий выполнять аутентификацию с помощью неизвестного ключа. Использовав разработанную ими атаку для взлома ключей, специалисты поняли, что бэкдор‑ключ одинаков для всех существующих карт FM11RF08S — A396EFA4E24F.
После этого открытия аналогичный бэкдор, связанный с другим ключом, был найден и в предыдущем поколении карт (FM11RF08). После того как был взломан и второй секретный ключ (A31667A8CEC1), выяснилось, что он тоже является общим для всех карт FM11RF08, а также других моделей этого производителя (FM11RF32, FM1208-10) и даже ряда старых карт NXP Semiconductors и Infineon Technologies.
Исследователи полагают, что бэкдор появился еще в 2007 году. То есть миллионы карт, выпущенных за последние 17 лет, можно без труда клонировать за несколько минут или даже секунд.
«Бэкдор FM11RF08S позволяет любому лицу, знающему о нем, скомпрометировать все установленные пользователем ключи на этих картах, даже если они полностью диверсифицированы, просто получив доступ к карте на несколько минут, — сообщается в отчете Quarkslab. — Многие, вероятно, даже не подозревают о том, что карты MIFARE Classic, которые они получили от своего поставщика, на самом деле представляют собой Fudan FM11RF08 или FM11RF08S, поскольку эти два чипа распространены не только на китайском рынке. Например, мы обнаружили, что эти карты используются во многих отелях в США, Индии и странах Европы».
6 дней на установку патчей
- Обычно злоумышленники разрабатывают и публикуют в даркнете эксплоиты для критических уязвимостей менее чем за неделю, предупредили в Positive Technologies.
- В среднем PoC-эксплоит становится доступен уже через 6 дней после публикации информации о критическом баге и через неделю — для некритических уязвимостей.
![](https://static.xakep.ru/images/6fc8ceb2cc5b1a029aa4a8973a3511bf/37762/6days-new.png)
- Спустя еще 5 дней обсуждения критически опасных уязвимостей начинают появляться на специализированных площадках в даркнете и в Telegram-каналах .
- Чаще всего злоумышленники обсуждают уязвимости с сетевым вектором атаки (доля таких сообщений составила 70%).
- Также наиболее упоминаемыми среди киберпреступников стали уязвимости в WinRAR (CVE-2023-38831), продуктах Fortinet (CVE-2022-40684) и Java-фреймворке Spring Framework (CVE-2022-22965). Также пристального внимания удостоились проблемы Linux (CVE-2022-0847) и Microsoft Support Diagnostic Tool (CVE-2022-30190).
![](https://static.xakep.ru/images/6fc8ceb2cc5b1a029aa4a8973a3511bf/37763/time-new.png)
- В подавляющем большинстве сообщений в даркнете (92%) злоумышленники обсуждают публичные версии PoC-эксплоитов, и лишь 8% сообщений связаны с обсуждением покупки или продажи эксплоита для проведения реальных атак.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37739/0000.jpg)
Проблема 0.0.0.0 Day
Обнаруженная 18 лет назад уязвимость, получившая название 0.0.0.0 Day, позволяет вредоносным сайтам обходить защиту браузеров Google Chrome, Mozilla Firefox и Apple Safari и взаимодействовать с сервисами в локальной сети. Проблема затрагивает только устройства под управлением Linux и macOS, но не работает в Windows.
Несмотря на то, что изначальная уязвимость была найдена в далеком 2008 году, она до сих пор не устранена в Chrome, Firefox и Safari, хотя разработчики всех трех компаний уже признали наличие проблем и заверили, что работают над их устранением.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37741/18years.jpg)
Внимание к 0.0.0.0 Day привлекли исследователи из компании Oligo Security, которые подчеркивают, что риск в данном случае вовсе не теоретический, и несколько хак‑групп уже используют проблему в своих цепочках атак.
Уязвимость связана с несогласованностью механизмов безопасности в разных браузерах и отсутствием стандартизации, что позволяет сайтам взаимодействовать со службами в локальной сети, используя «wildcard» IP-адрес 0.0.0.0.
Как правило, 0.0.0.0 олицетворяет все IP-адреса на локальной машине или все сетевые интерфейсы на хосте. Он может использоваться в качестве адреса‑заменителя в запросах DHCP или интерпретироваться как localhost (127.0.0.1) при работе в локальной сети.
Проблема в том, что вредоносные сайты могут отправлять HTTP-запросы на 0.0.0.0, нацеленные на службу, работающую на локальной машине жертвы. Из‑за отсутствия комплексной защиты эти запросы часто действительно передаются службе и обрабатываются. Как поясняют эксперты, существующие механизмы защиты, включая Cross-Origin Resource Sharing (CORS) и Private Network Access (PNA), не способны остановить такую атаку.
По умолчанию браузеры не позволяют сайтам отправлять запросы на другие сайты и использовать полученную в ответ информацию. Это сделано для того, чтобы вредоносные ресурсы не могли получить доступ к другим URL-адресам в браузере пользователя, на которых тот может быть аутентифицирован (например, к порталу онлайн‑банкинга, почте и так далее).
Однако в браузерах существует технология CORS, позволяющая сайтам получать доступ к данным с других сайтов, если это явно разрешено.
«CORS — это замечательно, это делает интернет намного безопаснее. CORS предотвращает попадание ответов к злоумышленникам, поэтому злоумышленники не могут прочитать данные, отправляя недействительные запросы. При отправке запроса, если в ответе отсутствуют заголовки CORS, Javascript-код атакующих не сможет прочитать содержимое ответа. Но непрозрачные запросы могут быть отправлены в режиме no-cors и успешно дойдут до сервера, особенно если нас в целом не интересуют ответы», — объясняют в Oligo Security.
То есть, когда цель угрожающего злоумышленника заключается в том, чтобы просто добраться до HTTP-эндпоинта, запущенного на локальном устройстве и подходящего для изменения настроек или выполнения какой‑то задачи, output вообще не нужен.
Защита PNA работает немного иначе, чем CORS, блокируя любые запросы, которые пытаются подключиться к IP-адресам, считающимся локальными и приватными. Однако анализ показал, что IP-адрес 0.0.0.0 не включен в список запрещенных адресов PNA (как, например, 127.0.0.1). То есть когда запрос в режиме no-cors отправляется на этот специальный адрес, он может обойти защиту PNA и подключиться к URL веб‑сервера, запущенного на 127.0.0.1.
В своем отчете специалисты рассказывают сразу о нескольких случаях эксплуатации проблемы 0.0.0.0 Day. В первом случае речь идет о кампании ShadowRay, о которой аналитики Oligo Security уже писали в марте прошлого года, Эта кампания нацелена уязвимость в опенсорсном ИИ‑фреймворке Ray.
Атака начинается с того, что жертва переходит по ссылке, полученной по почте или найденной на вредоносном сайте. По ссылке запускается JavaScript для отправки HTTP-запроса на http://0.0.0.0(.)0:8265, обычно используемого Ray. В итоге эти запросы достигают локального кластера Ray и могут привести к выполнению произвольного кода, развертыванию реверс‑шеллов и изменению конфигурации.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37758/shadow-ray.jpg)
Во втором случае 0.0.0.0 Day используется в кампании, нацеленной на Selenium Grid и обнаруженной специалистами компании Wiz в прошлом месяце. В этом случае злоумышленники используют JavaScript на публичном домене для отправки запросов на http://0.0.0(.)0:4444. Эти запросы направляются на серверы Selenium Grid, что позволяет хакерам выполнить код или произвести разведку.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37756/selenium.jpg)
Кроме того, в октябре 2023 года Oligo Security сообщала об уязвимости ShellTorch, связанной с тем, что веб‑панель TorchServe по умолчанию привязана к IP-адресу 0.0.0.0 вместо localhost, что открывало ее для вредоносных запросов.
Исследователи предупреждают, что в последнее время наблюдается стремительный рост количества сайтов, пытающихся взаимодействовать с 0.0.0.0: недавно их количество превысило 100 000.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37759/sites.jpg)
Разработчики браузеров уже отреагировали на публикацию отчета исследователей.
В Google Chrome сообщили, что заблокируют доступ к 0.0.0.0, но развертывание исправления будет постепенным, начиная с версии 128 и заканчивая версией 133.
В Mozilla Firefox PNA не применяется, но это один из приоритетов разработчиков. Пока PNA не будет реализована, запущена работа над временным исправлением, хотя дата его выпуска неизвестна.
Apple внедрила дополнительные проверки для IP-адресов в Safari с помощью изменений в WebKit, и доступ к 0.0.0.0 будет заблокирован в грядущей версии 18, которую представят вместе с macOS Sequoia.
До момента выхода исправлений в Oligo Security рекомендуют разработчикам приложений использовать следующие меры безопасности:
внедрять заголовки PNA;
проверять заголовки HOST для защиты от атак типа DNS rebinding;
не доверять даже localhost и всегда использовать авторизацию;
по возможности использовать HTTPS;
внедрять CSRF-токены, даже для локальных приложений.
Объем утечек увеличился на 14%
- По данным сервиса разведки утечек данных и мониторинга даркнета DLBI (Data Leakage & Breach Intelligence), объем утечек персональных данных за первые полгода 2024 года превысил объем аналогичного периода прошлого года на 14%, однако общее число утечек снизилось.
- За январь‑июнь у российских компаний произошло 144 утечки данных, включавших в себя 46 млн уникальных email-адресов и 140 млн уникальных телефонных номеров. Для сравнения — за аналогичный период прошлого года произошло более 200 утечек.
- Также в три раза (с 60 до 20) снизилось количество крупных утечек данных, чей объем превышает 1 000 000записей.
- Основным источником утечек, как и в прошлом году, остаются взломы с использованием известных уязвимостей, найденных с помощью сканирования сетевой инфраструктуры компаний или хищения данных для удаленного доступа к ней.
![](https://static.xakep.ru/images/6db1c96eebcd9b1c9fb48384c35a0e0b/37754/romhacking.jpg)
ROMhacking закрылся
О закрытии объявил известный ресурс ROMhacking (RomHacking.net), посвященный ромхакингу, на котором около 20 лет публиковались всевозможные ремейки, переводы, исправления и экспериментальные версии игр. Сайт останется доступен только для чтения.
Огромная коллекция ROMhacking, включающая в себя как очень малоизвестные, так и мейнстримовые игры, будет сохранена. Однако основатель сайта, Nightcrawler, опубликовал заявление, в котором выразил благодарность сообществу, но осудил действия некоторых его участников.
Nightcrawler рассказал, что еще в прошлом году хотел свернуть все дела и попытался передать управление сайтом небольшой команде пользователей, которые были готовы работать над ресурсом. Именно тогда, пишет создатель сайта, он «обнаружил самую бесчестную и полную ненависти группу» людей, которые попытались отстранить его от управления, устроили травлю и раскрыли его личные данные.
«Я узнал, что очень долгое время меня обесчеловечивали. Мои личные данные были разглашены. Были разработаны тайные коварные планы, чтобы избавиться от меня и “сбросить бомбу”, будто я — цель, которую нужно уничтожить. Моя семья видела все это, и после обсуждения мы решили немедленно свернуть всю активность, связанную с сайтом. Мы разрываем связь с социальными сетями (Discord и Twitter) и более не будем контактировать с этими людьми. Черта пройдена», — пишет Nightcrawler.
БД сайта (за исключением аккаунтов и профилей участников) уже передана архивариусам Internet Archive. С 1 августа 2024 года на ROMhacking остались только новостные посты и форумы, а все остальное будет доступно только для чтения. Официальные аккаунты ресурса в Twitter и Discord прекратили работу.
С публикацией Nightcrawler выразил несогласие Гидеон Чжи (Gideon Zhi), владелец Time Capsule Games и участник ROMhacking на протяжении более 20 лет.
Чжи признает, что у сайта имеются технические долги, денежные затраты, а его администратор не может не выгорать. Однако, по словам Чжи, в конце 2023 года Nightcrawler собирался просто отключить ресурс, без подготовки какого‑либо архива и передачи данных. А требования к возможному преемнику, которые выдвигал основатель сайта, Чжи назвал «нереалистичными по любым меркам». Тогда участники сообщества попытались предложить помощь, однако ничего не вышло.
«Он (Nightcrawler) выступал в роли единственной точки отказа для сайта и железной рукой контролировал весь созданный сообществом контент, а также категорически отвергал практически любые предложения о помощи за последнее десятилетие», — говорит Чжи.
Так, в прошлом году сайт якобы был практически заброшен, после чего заинтересованные участники сообщества объединились в Discord и попытались перевести бэкэнд ресурса на современные системы хранения и обслуживания файлов, включая Amazon Web Services S3, но Nightcrawler в последнюю минуту наложил вето на эти изменения. Также Чжи уверяет, что добровольцы, участвовавшие в этих преобразованиях, никогда не угрожали Nightcrawler и не пытались его доксить.
Администратор теперь неофициального Discord-сервера ROMhacking подтвердил СМИ, что отношения между основателем ресурса и группой энтузиастов были натянутыми. Однако администратор Discord-сервера тоже отрицает любые угрозы и попытки преследования Nightcrawler со стороны пользователей.
Другие интересные события месяца
- Смартфоны Xiaomi смогут обнаруживать скрытые камеры
- 35 000 доменов захвачены хакерами благодаря DNS-атаке Sitting Ducks
- Скоро uBlock Origin перестанет работать в Google Chrome
- Даунгрейд‑атака помогает использовать старые уязвимости в Windows
- Специалисты НКЦКИ ФСБ предупредили об опасности браузера «Спутник»
- Роскомнадзор сообщил о блокировке мессенджера Signal
- Операторы просят Минцифры и РКН предоставить разъяснение о замедлении YouTube
- В открытый доступ утекли 2,7 млрд записей с данными американцев
- Google закрывает программу по поиску багов в приложениях Google Play
- Разработчик Styx Stealer случайно слил собственные данные