GIGANEWS. Главные события 2024 года по версии «Хакера»

Атака года — опенсорс и цепочки поставок

Под­водя ито­ги прош­лого года, мы мно­го говори­ли об ата­ках на цепоч­ки пос­тавок, которые зачас­тую про­воци­руют нас­тоящий эффект домино. Увы, ухо­дящий 2024 год про­дол­жает этот тренд, толь­ко теперь «самым сла­бым зве­ном» все чаще ста­новят­ся open source решения, эко­сис­темы и их поль­зовате­ли.

За этот год мы без пре­уве­личе­ния десят­ки раз писали о все­воз­можной мал­вари, обна­ружен­ной в npm (Node Package Manager), Python Package Index (PyPI), NuGet, на GitHub. Из‑за повышен­ной активнос­ти зло­умыш­ленни­ков и огромно­го потока вре­донос­ных пакетов раз­работ­чики PyPI даже были вынуж­дены вре­мен­но зак­рыть регис­тра­цию для новых поль­зовате­лей.

К при­меру, теперь инфости­леры мас­киру­ются под легитим­ное ПО на GitHub, ком­миты могут таить в себе бэк­доры, а ком­мента­рии — мал­варь. Так­же сущес­тву­ют целые сер­висы, спе­циали­зиру­ющиеся на рас­простра­нении мал­вари через GitHub.

В npm вре­доно­сы скры­вают себя при помощи смарт‑кон­трак­тов, а акка­унты раз­работ­чиков то и дело под­верга­ются ата­кам, пос­ле чего легитим­ные про­дук­ты ста­новят­ся вре­донос­ными.

По­рой такие кам­пании пред­став­ляют собой попыт­ки похитить чужую крип­ту и дан­ные, но так­же встре­чают­ся более тар­гетиро­ван­ные и про­думан­ные ата­ки с при­целом на боль­шее. Так, одной из самых ярких исто­рий 2024 года ста­ло обна­руже­ние попыт­ки внед­рения бэк­дора в пакет XZ Utils. Эта ата­ка мог­ла бы зат­ронуть прак­тичес­ки все основные дис­три­бути­вы Linux, и зло­умыш­ленни­ки под­готав­ливали поч­ву для ком­про­мета­ции нес­коль­ко лет, пос­тепен­но вти­раясь в доверие к соп­ровож­дающе­му про­екта.

Ху­же того, поз­же вы­ясни­лось, что дру­гие популяр­ные про­екты тоже мог­ли стать жер­тва­ми схо­жих атак.

Уязвимость года — regreSSHion

Хо­тя известия о багах в том или ином про­дук­те пос­тупа­ют прак­тичес­ки каж­дый день, проб­лемы калиб­ра regreSSHion, к счастью, обна­ружи­вают­ся не так час­то. Эта уяз­вимость может исполь­зовать­ся для неаутен­тифици­рован­ного уда­лен­ного выпол­нения кода и ста­вит под угро­зу мил­лионы сер­веров OpenSSH. Обна­ружив­шие ее экспер­ты полага­ют, что она пред­став­ляет не мень­шую опас­ность, чем нашумев­шая пару лет назад проб­лема Log4Shell.

Си­туация усложня­ется тем, что OpenSSH широко при­меня­ется на пред­при­ятиях для уда­лен­ного управле­ния сер­верами и безопас­ного обме­на дан­ными. По дан­ным ана­лити­ков Qualys, в сети мож­но най­ти более 14 мил­лионов потен­циаль­но уяз­вимых экзем­пля­ров OpenSSH.

Утечка года — пользователи Internet Archive

Еще в прош­лом году мы отме­чали, что утеч­ки дав­но перес­тали кого‑либо удив­лять. Кажет­ся, единс­твен­ным спо­собом надеж­но защитить свои дан­ные ско­ро ста­нет жизнь в глу­хом угол­ке тай­ги без интерне­та, сотовой свя­зи, телефо­на и про­чих благ цивили­зации.

В 2024 году база агре­гато­ра информа­ции об утеч­ках Have I Been Pwned (HIBP) попол­нилась сра­зу 361 мил­лионом адре­сов элек­трон­ной поч­ты, а так­же учет­ными дан­ными, укра­ден­ными при помощи мал­вари и атак типа credential stuffing.

Ис­ходные коды утек­ли даже у изда­ния The New York Times, а фанаты зак­рытой в 2018 году ММОРПГ Club Penguin вооб­ще умуд­рились взло­мать сер­вер, при­над­лежащий ком­пании Disney, что­бы похитить и слить в сеть информа­цию о сво­ей любимой игре.

Од­нако, на наш взгляд, одна из самых грус­тных уте­чек это­го года была свя­зана со взло­мом Internet Archive: осенью текуще­го года сайт Wayback Machine, при­над­лежащий неком­мерчес­кой орга­низа­ции «Архив интерне­та» (Internet Archive), был взло­ман и дефей­снут, и неиз­вес­тные похити­ли аутен­тифика­цион­ную БД поль­зовате­лей, содер­жащую более 31 мил­лиона уни­каль­ных записей.

Спус­тя нес­коль­ко недель пос­ле это­го инци­ден­та «Архив интерне­та» и его поль­зовате­ли пос­тра­дали от еще одной ата­ки, уже с исполь­зовани­ем укра­ден­ных дан­ных.

Но самый грус­тный аспект этой ситу­ации зак­люча­ется в том, что мотивы зло­умыш­ленни­ков не были полити­чес­кими или финан­совыми. Ресурс, занима­ющий­ся край­не полез­ным делом, взло­мали прос­то так, потому что мог­ли. Яко­бы эта ата­ка помог­ла повысить репута­цию хакера сре­ди дру­гих прес­тупни­ков.

Исследование года — клонирование YubiKey

Од­ним из наибо­лее занима­тель­ных иссле­дова­ний ухо­дяще­го года ста­ло опи­сание side-channel-ата­ки EUCLEAK, пред­став­ленное экспер­тами NinjaLab.

Эта ата­ка нацеле­на на крип­тогра­фичес­кую биб­лиоте­ку защищен­ных мик­рокон­трол­леров Infineon и тре­бует физичес­кого дос­тупа, поз­воляя извле­кать клю­чи с устрой­ств, исполь­зующих решения Infineon. То есть проб­лема, которая сущес­тву­ет более 14 лет, зат­рагива­ет мно­жес­тво про­дук­тов, вклю­чая TPM, элек­трон­ные пас­порта, кар­ты дос­тупа Feitian, крип­токошель­ки, умные авто­моби­ли и аппа­рат­ные клю­чи YubiKey, которые иссле­дова­телям в ито­ге уда­лось кло­ниро­вать.

Ком­пания Yubico, про­изво­дящая клю­чи YubiKey, заяви­ла, что уяз­вимыми приз­нают­ся все клю­чи YubiKey с про­шив­кой до вер­сии 5.7, которая была выпуще­на в мае 2024 года (в вер­сии 5.7 крип­тобиб­лиоте­ку Infineon замени­ли на собс­твен­ное решение Yubico). Так как обно­вить про­шив­ку в клю­чах YubiKey невоз­можно, все зат­ронутые EUCLEAK устрой­ства оста­нут­ся уяз­вимыми нав­сегда.

Сто­ит отме­тить, что для реали­зации такой ата­ки пот­ребу­ется обо­рудо­вание сто­имостью око­ло 11 тысяч дол­ларов США, а так­же глу­бокие поз­нания в области элек­тро­тех­ники и крип­тогра­фии. Из‑за этих слож­ностей реали­зовать EUCLEAK на прак­тике, ско­рее все­го, смо­гут толь­ко «пра­витель­ствен­ные» хакеры и дру­гие орга­низа­ции, обла­дающие сопос­тавимы­ми ресур­сами, при­чем в ред­ких и узко­нап­равлен­ных сце­нари­ях.

Блокировка года — замедление YouTube

Приш­ло вре­мя для самой грус­тной руб­рики нашего топа, в которой мы вспом­ним бло­киров­ки ухо­дяще­го года. «Победи­телем» в этой номина­ции опре­делен­но ста­новит­ся YouTube, проб­лемы в работе которо­го на­чались еще летом 2024 года, а к середи­не декаб­ря он прак­тичес­ки перес­тал работать в Рос­сии.

На­пом­ним, что в Рос­комнад­зоре и Гос­думе объ­ясня­ют сни­жение качес­тва работы YouTube тем, что пос­ле ухо­да Google из Рос­сии ком­пания перес­тала под­держи­вать и свои кеширу­ющие сер­веры Google Global Cache. Одна­ко пред­ста­вите­ли Google уже не раз ком­менти­рова­ли ситу­ацию и не­однократ­но за­явля­ли, что про­исхо­дящее не явля­ется резуль­татом тех­ничес­ких проб­лем или дей­ствий со сто­роны ком­пании.

Так­же отме­тим, что в этом году Рос­комнад­зор внес изме­нения в «Кри­терии оцен­ки матери­алов и (или) информа­ции, необ­ходимых для при­нятия решений, явля­ющих­ся осно­вани­ями для вклю­чения в реестр зап­рещен­ной информа­ции». В ито­ге зап­рещен­ной была приз­нана даже «науч­ная, науч­но‑тех­ничес­кая и ста­тис­тичес­кая информа­ция о спо­собах, методах обес­печения дос­тупа к информа­цион­ным ресур­сам и/или информа­цион­но‑телеком­муника­цион­ным сетям, дос­туп к которым огра­ничен на тер­ритории Рос­сии», для которой ранее делалось исклю­чение.

Нарушитель приватности года — IoT-устройства

Мы с тру­дом усто­яли перед иску­шени­ем сно­ва отдать зва­ние глав­ного наруши­теля при­ват­ности ком­пании Google, как уже делали в 2023 году. Посуди сам, за про­шед­ший год Google:

• на­чала раз­верты­вание Manifest V3, который зат­рудня­ет работу бло­киров­щиков рек­ламы, анти­виру­сов, решений для родитель­ско­го кон­тро­ля и раз­личных про­дук­тов для защиты кон­фиден­циаль­нос­ти;

• ра­бота­ла над API Google Play Integrity, который поз­волит бло­киро­вать Android-при­ложе­ния, уста­нов­ленные из сто­рон­них источни­ков;

• толь­ко пос­ле судеб­ного решения сог­ласилась уда­лить мил­лиар­ды записей с дан­ными 136 мил­лионов поль­зовате­лей, соб­ранные в режиме «Инкогни­то».

Так­же вы­ясни­лось, что за поль­зовате­лями в сети чаще все­го сле­дят имен­но тре­керы быв­шей «кор­порации доб­ра», чей основной прин­цип ког­да‑то гла­сил Don’t be evil.

Од­нако глав­ными наруши­теля­ми нашей с тобой при­ват­ности в этом году все же ста­ла не Google, а все­воз­можные «умные» девай­сы, которые «слу­шают» сво­их поль­зовате­лей, изу­чают их при­выч­ки и зап­росы или рас­кры­вают дан­ные пос­торон­ним.

К при­меру, иссле­дова­тели об­наружи­ли, что мно­гие телеви­зоры (вклю­чая про­дук­ты Samsung и LG) исполь­зуют похожую на Shazam тех­нологию авто­мати­чес­кого рас­позна­вания кон­тента (Automatic Content Recognition, ACR). Она поз­воля­ет сле­дить за всем, что смот­рят поль­зовате­ли, даже если телеви­зоры исполь­зуют­ся в качес­тве внеш­них дис­пле­ев, то есть под­клю­чены через HDMI к дру­гим девай­сам.

Ум­ные колон­ки Sonos содер­жали сра­зу нес­коль­ко уяз­вимос­тей, одна из которых мог­ла исполь­зовать­ся зло­умыш­ленни­ками для под­слу­шива­ния поль­зовате­лей. «Но их же ник­то не экс­плу­ати­ровал», — ска­жешь ты. Тог­да лови дру­гой похожий при­мер, где уяз­вимос­ти исполь­зовались: из‑за багов в камерах ком­пании Wyze Labs не менее 13 тысяч человек по­лучи­ли дос­туп к чужим устрой­ствам и тран­сля­циям, заг­лянув в чужие дома.

Так­же не сто­ит забывать о проб­леме устрой­ств, которые явля­ются вре­донос­ными сра­зу «из короб­ки» и шпи­онят за поль­зовате­лями в инте­ресах хакеров. Мы уже уде­ляли вни­мание это­му воп­росу в прош­лом году, но ситу­ация, увы, не ста­новит­ся луч­ше.

Так, в ухо­дящем году китай­ский про­изво­дитель ПК Acemagic под­твер­дил, что его устрой­ства пос­тавля­лись с пре­дус­танов­ленной мал­варью. Бот­неты, сос­тоящие из бюд­жетных ТВ‑прис­тавок, телеви­зоров и про­чих IoT-девай­сов, уже нас­читыва­ют сот­ни тысяч активных устрой­ств. Хуже того, выяс­нилось, что в наше вре­мя встро­енный бэк­дор мож­но встре­тить даже в кно­поч­ном телефо­не.

Малварь года — LockBit

Вре­доно­сы мас­шта­ба Pegasus и WannaCry появ­ляют­ся и попада­ют на радары спе­циалис­тов не так уж час­то, поэто­му лан­дшафт угроз 2024 года мож­но срав­нить с ярким лос­кутным оде­ялом: хакер­ские груп­пы дро­бят­ся на новые фили­алы и про­водят «реб­рендин­ги», а спе­циалис­ты едва успе­вают рас­ска­зывать о раз­нооб­разных сти­лерах, шиф­роваль­щиках, бэк­дорах, спай­вари и новых бот­нетах.

Но один вре­донос был у всех на слу­ху весь 2024 год — это вымога­тель LockBit и одно­имен­ная груп­пиров­ка, сто­ящая за его раз­работ­кой. Дело в том, что еще в фев­рале пра­воох­ранитель­ные орга­ны десяти стран мира про­вели опе­рацию Cronos, в ходе которой взло­мали инфраструк­туру груп­пы и смог­ли получить мно­жес­тво дан­ных о хакерах, их пар­тне­рах и самой мал­вари.

Вслед за этим про­изош­ли мно­гочис­ленные арес­ты учас­тни­ков и пар­тне­ров груп­пы и де­анон ее адми­нис­тра­тора, извес­тно­го в сети под ником LockBitSupp. Аме­рикан­ские сле­дова­тели утвер­жда­ют, что под этим псев­донимом скры­вает­ся граж­данин РФ Дмит­рий Юрь­евич Хорошев.

Тем не менее вско­ре пос­ле ата­ки пра­воох­ранитель­ных орга­нов LockBit на­чала вос­ста­нав­ливать свою инфраструк­туру и по‑преж­нему оста­ется активной. В середи­не декаб­ря пред­ста­вите­ли груп­пиров­ки и вов­се начали тизерить новую вер­сию сво­ей мал­вари — шиф­роваль­щик LockBit 4.0, который яко­бы дол­жен появить­ся в фев­рале 2025 года.

Хардверный взлом года — взорвавшиеся пейджеры

В про­шед­шем году одним из самых резонан­сных, страш­ных и мас­штаб­ных инци­ден­тов, который весь мир опре­делен­но запом­нит надол­го, ста­ла мас­совая де­тона­ция пей­дже­ров и ра­ций, при­над­лежав­ших учас­тни­кам воени­зиро­ван­ного шиит­ско­го дви­жения «Хез­болла». В резуль­тате про­изо­шед­шего минув­шей осенью в Ливане погиб­ли не менее 12 человек, а око­ло 3000 получи­ли ранения.

Ко­неч­но, этот инци­дент нель­зя наз­вать «взло­мом» в пря­мом смыс­ле это­го сло­ва. Ведь взры­вы не были выз­ваны вре­донос­ным ПО или умыш­ленным перег­ревом акку­муля­торов устрой­ств, как мно­гие пред­положи­ли изна­чаль­но. Одна­ко про­изо­шед­шее ока­залось самой нас­тоящей ата­кой на цепоч­ку пос­тавок: пей­дже­ры и рации были заранее модифи­циро­ваны спец­служ­бами, которые и заложи­ли в устрой­ства взрыв­чатку.

Странность года — виртуальные летучие мыши

Но­вос­ти, свя­зан­ные с проб­лемами в VR-гар­нитурах, ста­ли одни­ми из наибо­лее стран­ных в про­шед­шем году (и, веро­ятно, такие баги мог­ли бы не на шут­ку напугать поль­зовате­лей).

Сна­чала незави­симый ИБ‑спе­циалист Рай­ан Пик­рен (Ryan Pickren) обна­ружил уяз­вимость в Apple Vision Pro. Но ког­да ком­пания Apple клас­сифици­рова­ла ее как проб­лему отка­за в обслу­жива­нии (DoS), иссле­дова­тель не сог­ласил­ся и про­демонс­три­ровал, что баг мож­но при­менить для соз­дания 3D-объ­ектов любого типа, вклю­чая ани­миро­ван­ные и со зву­ковы­ми эффекта­ми. Для ата­ки же дос­таточ­но было вынудить поль­зовате­ля в гар­нитуре посетить вре­донос­ный сайт.

В качес­тве proof-of-concept Пик­рен показал, что ком­ната поль­зовате­ля может напол­нить­ся сот­нями вир­туаль­ных пауков и гром­ко кри­чащих летучих мышей. При­чем оче­вид­ного спо­соба изба­вить­ся от них нет, пос­тра­дав­шему оста­нет­ся толь­ко бегать по ком­нате и «касать­ся» каж­дого объ­екта.

Еще одна проб­лема была обна­руже­на в гар­нитуре Quest 3 ком­пании Meta ** дру­гим незави­симым спе­циалис­том, Харишем Сан­тха­налак­шми Ганеса­ном (Harish Santhanalakshmi Ganesan). В дан­ном слу­чае иссле­дова­тель за­разил свое устрой­ство вымога­телем CovidLock в рам­ках экспе­римен­та. В ито­ге ока­залось, что зак­рыть окно вре­донос­ного при­ложе­ния или уда­лить его через нас­трой­ки не пред­став­ляет­ся воз­можным.

Фейл года — обновление CrowdStrike

Выб­рать «победи­теля» в этой номина­ции было сов­сем нет­рудно, здесь всё уже решили за нас: в этом году наг­раду Pwnie Award в номина­ции «Самый эпич­ный про­вал» (Most Epic Fail) при­суди­ли ИБ‑ком­пании CrowdStrike. И с этим выбором дей­стви­тель­но не пос­поришь.

Ми­нув­шим летом enterprise-решение CrowdStrike Falcon Sensor об­новилось столь «удач­но», что мил­лионы Windows-сис­тем по все­му миру показа­ли «синий экран смер­ти» (BSOD). Это при­вело к мас­совым сбо­ям в работе аэро­пор­тов, бан­ков, медицин­ских учрежде­ний и мно­жес­тва дру­гих орга­низа­ций в США, Великоб­ритании, мно­гих стра­нах ЕС, Индии, Новой Зелан­дии, Авс­тра­лии и так далее.

Спе­циалис­ты стра­ховой ком­пании Parametrix оце­нива­ли пря­мые финан­совые потери от это­го инци­ден­та сре­ди аме­рикан­ских ком­паний из спис­ка Fortune 500 в 5,4 мил­лиар­да дол­ларов. При­чем в эту оцен­ку не вклю­чили убыт­ки Microsoft, так как она «была клю­чевым игро­ком в этом событии».

Сто­ит отме­тить, что Pwnie Award из рук орга­низа­торов пре­мии при­нял лич­но пре­зидент ком­пании Май­кл Сен­тонас (Michael Sentonas). Со сце­ны он заявил, что это «опре­делен­но не та наг­рада, получе­нием которой сто­ит гор­дить­ся».

«Мы неод­нократ­но пов­торяли: очень важ­но приз­навать, ког­да вы сде­лали что‑то хорошо. Но так­же очень важ­но приз­навать, ког­да вы сде­лали что‑то ужас­но неп­равиль­ное, что и про­изош­ло в дан­ном слу­чае.
При­чина, по которой я хотел лич­но получить этот тро­фей, такова: я воз­вра­щаюсь в штаб‑квар­тиру. И собира­юсь взять этот тро­фей с собой. Он будет сто­ять на самом вид­ном мес­те, потому что я хочу, что­бы каж­дый при­ходя­щий на работу сот­рудник CrowdStrike видел его. Ведь наша цель — защищать людей, а мы допус­тили ошиб­ку. Я хочу убе­дить­ся, что все понима­ют, что такое нель­зя допус­кать, и имен­но в этом зак­люча­ется суть нашего сооб­щес­тва.
С этих позиций я ска­жу вам спа­сибо и заберу тро­фей. Мы пос­тавим его в нуж­ном мес­те и убе­дим­ся, что его уви­дят все», — заявил пре­зидент CrowdStrike и сор­вал бур­ные апло­дис­менты.

Хайп года — фальшивые люди

LLM все еще везут нас на хай­повозе в свет­лое будущее, одна­ко ИИ‑инс­тру­мен­тами все активнее поль­зуют­ся и зло­упот­ребля­ют хакеры.

В 2024 году мно­жес­тво проб­лем ИБ‑спе­циалис­там, ком­пани­ям и прос­тым поль­зовате­лям соз­дали дип­фей­ки всех мас­тей (как голосо­вые, так и визу­аль­ные). К при­меру, в начале года у гон­конг­ской фир­мы ук­рали 25,6 мил­лиона дол­ларов, исполь­зовав слож­ную мошен­ничес­кую схе­му с при­мене­нием дип­фей­ков, а мошен­ники уже начали под­делывать го­лоса людей, обща­ясь с жер­тва­ми в мес­сен­дже­рах. Кро­ме того, уже был обна­ружен вре­донос, собира­ющий биомет­ричес­кие дан­ные спе­циаль­но для соз­дания дип­фей­ков и про­веде­ния таких атак.

Так­же в этом году ИИ прис­пособи­ли для генера­ции фаль­шивых докумен­тов, ре­шения CAPTCHA, на­писа­ния и улуч­шения мал­вари.

У гиган­тов тех­нологи­чес­кого сек­тора тоже не все идет глад­ко. Нап­ример, обна­ружи­лось, что ИИ‑алго­рит­мы Google Search Generative Experience прод­вига­ют в поис­ке мошен­ничес­кие сай­ты, а инс­тру­мент Google AI Overviews вооб­ще пред­лагал поль­зовате­лям есть кам­ни.

И чуть выше мы уже упо­мина­ли круп­ный про­вал Microsoft и ее ИИ‑инс­тру­мен­та Recall, который приз­ван помочь «вспом­нить» любую информа­цию, которую поль­зователь прос­матри­вал в прош­лом, сде­лав ее дос­тупной с помощью прос­того поис­ка. Недав­но Recall сно­ва стал дос­тупен учас­тни­кам прог­раммы Windows Insiders, но теперь он сох­раня­ет номера бан­ков­ских карт, номера соци­аль­ного стра­хова­ния и дру­гую кон­фиден­циаль­ную информа­цию, даже если это зап­рещено.

• При­над­лежат ком­пании Meta, деятель­ность которой приз­нана экс­тре­мист­ской, орга­низа­ция зап­рещена в Рос­сии. ** Meta Platforms Inc. приз­нана экс­тре­мист­ской орга­низа­цией и зап­рещена в РФ.