Руководители стартапа в области искусственного интеллекта и машинного обучения Exo Labs сообщили, что неизвестное лицо пыталось изменить код их проекта в репозитории GitHub.

Источник изображения: charlesdeluvio / unsplash.com

Добавленный неизвестным программистом код имел невинный на первый взгляд заголовок, но чтобы усложнить проверку этого фрагмента, злоумышленник преобразовал его в числовой эквивалент. При анализе кода перед отправкой в репозиторий в нём обнаружилась попытка подключиться к серверу с известным адресом для скачивания полезной нагрузки первого этапа взлома. Самой полезной нагрузки по указанному адресу не оказалось — сервер вернул ошибку «404».

Изучив инцидент, исследователи обнаружили, что домен и связанные с атакой учётные записи на GitHub указывали на эксперта в области кибербезопасности Майка Белла (Mike Bell) из Техаса. Он отверг свою причастность к атаке и заявил, что это была попытка опорочить его честное имя. Белый (этичный) хакер подчеркнул, что полезной нагрузки в схеме атаки в действительности не оказалось, а соответствующая учётная запись на GitHub была удалена. Злоумышленник получил и доступ к принадлежащему Беллу доменному имени — эксперт списал инцидент на то, что, возможно, кого-то разозлил.

Сеть T-Mobile оказалась в числе систем, подвергшихся взлому в ходе крупномасштабной китайской операции в области кибершпионажа. Операция затронула множество американских и международных телекоммуникационных компаний, сообщила Wall Street Journal (WSJ) со ссылкой на собственные источники.

Источник изображения: Mika Baumeister / unsplash.com

Хакеры, предположительно связанные с китайской разведкой, взломали сеть T-Mobile в ходе многомесячной операции, целью которой был шпионаж в области телефонной связи, осуществляемой представляющими ценность для спецслужб объектами. Когда именно произошла атака, издание не сообщило. «T-Mobile внимательно следит за этой общеотраслевой атакой. На данный момент системы и данные T-Mobile не были затронуты каким-либо существенным образом, и у нас нет доказательств, что произведены действия с информацией клиентов», — заявил представитель оператора агентству Reuters. WSJ также не располагает сведениями, была ли похищена какая-либо информация, принадлежащая клиентам оператора.

ФБР и американское агентство по кибербезопасности CISA заявили, что связанные с китайскими властями хакеры перехватили данные наблюдения, предназначенные для правоохранительных органов США — для этого злоумышленники взломали некоторое количество систем телекоммуникационных компаний. Китайским хакерам также удалось получить доступ к сетям американских провайдеров широкополосного доступа, в том числе Verizon Communications, AT&T и Lumen Technologies, сообщила WSJ в октябре, — в результате киберпреступники получили информацию из систем, которые правительство использует для санкционированного судом прослушивания телефонных разговоров. Официальный Пекин ранее отвергал обвинения в том, что власти страны пользовались услугами хакеров для взлома компьютерных систем других государств.

После выхода iOS 18.1 появились сообщения о том, что смартфоны с обновлённой операционной системой самопроизвольно перезагружаются, после чего сотрудникам полиции становится сложнее их разблокировать. Хотя комментариев от Apple не поступило, экспертам удалось выяснить причину происходящего — у iOS 18.1 появилась новая функция для защиты iPhone.

Как выяснилось, Apple добавила в iOS 18.1 новую функцию безопасности Inactivity Reboot ( «Перезагрузка бездействия»), которая заставляет iPhone перезагружаться после определённого периода бездействия, возвращая его в состояние повышенной безопасности, что затрудняет взлом устройства. Причём данная функция не направлена на противодействие полиции, а скорее призвана защитить потерянный или украденный iPhone от взлома.

По словам эксперта по вопросам безопасности Йиска Классена (Jiska Classen), функция «Перезагрузка бездействия» предназначена для автоматической перезагрузки iPhone, если его не разблокировали в течение определённого периода времени. В свою очередь, основатель Corellium Крис Уэйд (Chris Wade) отметил, что перезагрузка происходит через четыре дня. То есть если iPhone не используется более четырёх дней, он автоматически перезагружается.

Для правоохранительных органов это стало дополнительной проблемой, поскольку после перезагрузки смартфон потенциального преступника сложнее разблокировать.

Мэтью Грин (Matthew Green), криптограф и доцент Университета Джонса Хопкинса заявил по этому поводу в интервью 404 Media следующее: «Помните, что настоящая угроза здесь — не полиция. Это те люди, которые украдут ваш iPhone со злыми намерениями. Эта функция означает, что если ваш телефон украдут, воры не смогут использовать его месяцами, пока не разработают технологию для его взлома. Я готов поспорить, что перезагрузка после разумного периода бездействия, вероятно, никому не доставляет неудобств, но делает ваш телефон намного более безопасным. Так что это кажется довольно хорошей идеей».

Американские правоохранители уведомили чиновников и криминалистов о том, что изъятые у задержанных и хранившиеся в ожидании взлома iPhone, каким-то образом сами перезагружаются, после чего устройства переходят в состояние, в котором их гораздо сложнее разблокировать. Об этом сказано в официальном документе, который составили правоохранители и который попал в распоряжение портала 404 Media.

Источник изображения: Nicolas Thomas/Unsplash

Точная причина перезагрузки смартфонов Apple неизвестна. Авторы упомянутого документа, которые являются сотрудниками полиции Детройта (штат Мичиган), предполагают, что это происходит из-за новой функции безопасности, реализованной в iOS 18. Речь идёт о функции, которая отправляет iPhone в перезагрузку, если аппарат какое-то время не подключается к сети оператора связи. Соответственно после перезагрузки разблокировать смартфон становится существенно сложнее.

«Цель этого уведомления — привлечь внимание к ситуации с iPhone, когда происходит перезагрузка устройств через короткий промежуток времени (возможно, в течение 24 часов) при их отключении от сотовой сети», — говорится в документе правоохранителей. На момент публикации материала по данной проблеме Apple официально не подтвердила, действительно ли в iOS 18 реализована функция автоматической перезагрузки в случае длительного отсутствия подключения к сети сотовой связи.

В документе правоохранителей сказано, что в лаборатории криминалистики хранились несколько iPhone в состоянии «после первой разблокировки» (After First Unlock). Некоторые смартфоны работали в режиме полёта, а один из iPhone находился в клетке Фарадея для защиты от возможного уничтожения хранящейся на устройствах информации посредством удалённого подключения. Состояние AFU означает, что после включения iPhone кто-то (обычно владелец устройства) хотя бы раз разблокировал смартфон с помощью пароля или иным способом. Как правило, полицейским проще взломать смартфон в состоянии AFU с помощью специализированных инструментов. После перезагрузки устройство переходит в состояние «до первой разблокировки» (Before First Unlock). В этом состоянии криминалистам становится значительно сложнее взломать устройство, сказано в документе правоохранителей.

В документе упоминаются три iPhone с iOS 18, которые были доставлены в лабораторию 3 октября. Правоохранители предполагают, что при определённых условиях iPhone с iOS 18, которые доставили в лабораторию, взаимодействовали с уже имеющимися там iPhone, находящимися в состоянии AFU. В процессе этого взаимодействия и подавался сигнал на перезагрузку в случае отсутствия подключения к сети оператора в течение продолжительного времени. Так же не исключается, что такое взаимодействие могло происходить не только с доставленными в лабораторию iPhone, но и личными смартфонами сотрудников.

Авторы также дали некоторые рекомендации коллегам. В частности, они советуют изолировать хранящиеся у них iPhone в состоянии AFU, чтобы избежать взаимодействия с другими iPhone под управлением iOS 18. Также рекомендуется провести инвентаризацию хранящихся в лабораториях iPhone, чтобы убедиться, что они не перезагружались самостоятельно.

Канадское министерство юстиции сообщило об аресте Александра «Коннора» Мука (Alexander «Connor» Moucka) по запросу правительства США. На судебном заседании 30 октября рассмотрение его дела было отложено до 5 ноября 2024 года. Мука подозревается в краже информации примерно у 165 компаний, использующих облачные хранилища данных Snowflake.

Источник изображения: pexels.com

В мае материнская компания Ticketmaster Live Nation сообщила, что пострадала от масштабной утечки данных, украденная информация о клиентах была размещена для продажи на хакерских форумах.

В дальнейшем стало известно о других случаях взлома в компаниях, использовавших облачные сервисы хранения Snowflake, включая AT&T, Santander Bank, Advanced Auto Parts и дочернюю компанию Lending Tree Quote Wizard. В результате противоправных действий пострадали миллионы клиентов этих компаний.

Расследование, проведённое Mandiant, дочерней компанией Google, установило, что «финансово мотивированный субъект угроз» украл «значительный объём данных» у примерно 165 клиентов Snowflake, используя скомпрометированные учётные данные для входа. Никаких доказательств того, что сама компания Snowflake была взломана, обнаружено не было.

Компания Nokia расследует сообщение о возможном взломе хакером одного из её подрядчиков и получении через него доступа к различным данным финской компании, пишет портал BleepingComputer.

Источник изображений: BleepingComputer

«Nokia знает о сообщениях, в которых утверждается, что некий неавторизованный субъект якобы получил доступ к определённым данным стороннего подрядчика и, возможно, данным Nokia. Компания серьёзно относится к этим заявлениям, поэтому мы проводим расследование. На сегодняшний день наше расследование не нашло никаких доказательств того, что какие-либо из наших систем или данных были скомпрометированы. Мы продолжаем внимательно следить за ситуацией», — сообщила компания в разговоре с BleepingComputer.

Комментарий компании последовал после того, как хакер или группа злоумышленников, скрывающаяся за псевдонимом IntelBroker, заявил(а) о продаже украденного исходного кода, полученного в результате взлома внутренней сети одного из подрядчиков Nokia.

«Сегодня я продаю большую коллекцию исходного кода Nokia, который мы получили от стороннего подрядчика, напрямую работавшего с Nokia, и помогавшего ей в разработке некоторых внутренних инструментов», — заявил злоумышленник на одном из форумов в даркнете.

IntelBroker утверждает, что украденная информация содержит ключи SSH, исходный код, ключи RSA, логины BitBucket, аккаунты SMTP, вебхуки, а также жёстко закодированные учётные данные. В разговоре с BleepingComputer злоумышленник заявил, что они получили доступ к серверу SonarQube подрядчика, используя учётные данные по умолчанию, что позволило украсть проекты клиентов данной организации, написанные на Python, включая те, что принадлежат Nokia.

Хакер предоставил BleepingComputer изображение файлового дерева якобы похищенных данных. Портал передал эту информацию Nokia с просьбой подтвердить или опровергнуть заявление злоумышленника. Однако в компании не ответили на данный запрос.

IntelBroker привлёк к себе внимание после взлома сети страховой компании DC Health Link, которая предоставляет медицинскую страховку законодателям США и жителям Вашингтона. В ходе взлома была раскрыта конфиденциальная информация о 21 действующем члене Конгресса, их помощниках и членах семьи. IntelBroker также приписывают участие во взломе серверов Hewlett Packard Enterprise (HPE) и продуктового сервиса Weee! Хакер также публиковал утечки данных различных компаний, включая T-Mobile, AMD и Apple, которые были похищены у их подрядчиков через SaaS-сервисы.

Японский гигант электроники Casio подтвердил, что атака с использованием вируса-вымогателя в начале этого месяца привела к краже данных клиентов.

Источник изображения: Bleeping Computer

Casio сообщила 7 октября, что подверглась кибератаке, но тогда не раскрыла характер инцидента, который вызвал неуказанный «сбой системы» во всей компании. В новом заявлении в пятницу компания подтвердила, что стала жертвой вируса-вымогателя.

В заявлении Casio отмечается, что злоумышленники получили доступ к личной информации, принадлежащей сотрудникам Casio, подрядчикам, деловым партнёрам и соискателям на должность в компании, а также к конфиденциальным данным компании, включая счета-фактуры, файлы кадровых ресурсов и некоторую техническую информацию.

Хакеры также получили доступ к «информации о некоторых клиентах», заявила Casio, но не указала, к каким именно типам данных был получен доступ или сколько человек затронуто на данный момент. Компания утверждает, что данные о кредитных картах не были скомпрометированы, поскольку её службы Casio ID и ClassPad не были затронуты взломом.

Casio не сообщила, кто стоит за атакой. Однако хакерское сообщество Underground взяло на себя ответственность за взлом, пишет портал TechCrunch, ссылаясь на заявление группы на одном из форумов в даркенете. Underground — относительно новая хакерская группа, активность которой в кибератаках была впервые замечена в июне 2023 года.

В своём сообщении в даркнете Underground отметила, что украла порядка 200 Гбайт данных у Casio, включая юридические документы, информацию о заработной плате и личную информацию сотрудников Casio. Хакерская группа опубликовала примеры украденных данных, с которыми ознакомились журналисты TechCrunch. Неизвестно, получила ли Casio требование о выкупе от Underground. В компании отказались отвечать на вопросы TechCrunch.

В своём последнем заявлении Casio сообщила, что «полный объём ущерба», нанесённого программой-вымогателем, всё ещё исследуется. По словам компании, некоторые системы Casio остаются «непригодными для использования».

Китайские учёные опубликовали в национальном рецензируемом журнале Chinese Journal of Computers статью, в которой сообщили об эффективных атаках на ряд алгоритмов AES-шифрования. Атаки были проведены с использованием квантового компьютера канадской компании D-Wave Systems. Но основным «ударным» механизмом стал новый математический аппарат, разработанный в Китае. Специалисты оценили угрозу как «реальную и существенную».

1200-кубитовый процессор поколения Advantage 2. Источник изображения: D-Wave

Шифрование AES с ключами выше определённой длины сегодня считается чрезвычайно защищённым. Но это с точки зрения обычных компьютерных вычислений. Квантовые компьютеры и соответствующие алгоритмы потенциально обещают играючи взламывать ключи AES. Считается, что для этого должно пройти 10, 20 или даже больше лет. Однако есть опасения и признаки того, что всё произойдёт намного раньше — уже через 3-5 лет. Группа китайских учёных из Шанхайского университета в своей новой работе показала, что ряд алгоритмов шифрования, лежащих в основе AES, могут быть скомпрометированы квантовыми компьютерами.

Используя квантовый компьютер канадской компании D-Wave Systems учёные провели атаку на алгоритмы Present, Gift-64 и Rectangle, которые относятся к так называемому блочному шифрованию Substitution-Permutation network (подстановочно-перестановочная сеть). Код не был взломан окончательно, как говорится в работе, но команда исследователей была близка к этому как никто и никогда ранее. Сеть SP является частью AES-шифрования, с помощью которого банковский сектор, госструктуры и военные всего мира хранят свои секреты. Даже призрачная угроза в данном случае должна рассматриваться, как реальная.

«Это первый случай, когда настоящий квантовый компьютер представляет реальную и существенную угрозу для множества полномасштабных структурированных алгоритмов SPN, используемых сегодня», — говорится в рецензируемой статье.

Сам квантовый компьютер D-Wave Systems с трудом можно назвать квантовым. Он использует принцип квантового отжига — работает на поиске энергетических минимумов, что в физике соответствует стремлению атомов к наименьшему энергетическому состоянию. Всё, что осталось после обработки — «прогорания» — данных и есть искомый результат. Учёным нужно было лишь создать математический аппарат для обработки данных в нужном для них направлении. Такой аппарат с привлечением ИИ был создан, но он не универсальный и это затрудняет практическое использование квантовых платформ сегодня, в том числе, для успешного взлома AES-ключей.

Пользователи роботов-пылесосов Ecovacs Deebot X2 из нескольких городов США сообщили, что их устройства взломали. Хакеры смогли управлять устройствами, а через динамики пылесосов они транслировали расистские оскорбления, повергая владельцев в шок. Эти инциденты выявили серьёзные уязвимости в системах безопасности современных умных устройств и поставили под угрозу конфиденциальность пользователей.

Источник изображения: cliff1126 / Pixabay

Дэниел Свенсон (Daniel Swenson), адвокат из Миннесоты, столкнулся с проблемами в работе своего робот-пылесоса, когда устройство начало издавать странные звуки, похожие на прерывистый радиосигнал. Заглянув в мобильное приложение Ecovacs, он увидел, что неизвестный получил доступ к камере робота и функции дистанционного управления. Сначала Свенсон решил, что это всего лишь технический сбой, и сменил пароль, перезагрузив устройство. Однако вскоре пылесос вновь начал движение, и из его динамиков раздались громкие расистские оскорбления.

24 мая в Лос-Анджелесе был зафиксирован схожий инцидент. Взломанный робот-пылесос Ecovacs Deebot X2 начал преследовать собаку владельцев, в то время как хакеры, управляя устройством на расстоянии, выкрикивали оскорбления через его динамики. Пять дней спустя, в Эль-Пасо, был взломан ещё один робот-пылесос Ecovacs, и из его динамиков снова раздались расистские оскорбления. Владелец был вынужден отключить устройство от сети, чтобы прекратить происходящее. События, развернувшиеся в течение нескольких дней, вызвали тревогу среди пользователей и экспертов по кибербезопасности.

Источник изображения: Ecovacs

Шестью месяцами ранее исследователи по кибербезопасности предупреждали компанию Ecovacs о критических уязвимостях в их устройствах. В частности, они обнаружили проблему с беспроводным соединением, которая позволяла злоумышленникам управлять пылесосами с расстояния до 100 метров. Несмотря на эти предупреждения, компания не предприняла необходимых мер, что и привело к массовым взломам в мае этого года.

После инцидента Дэниел Свенсон обратился в службу поддержки Ecovacs, но его запрос был встречен недоверием. Представитель компании несколько раз спрашивал, существует ли видеозапись произошедшего, хотя Свенсон настаивал, что его больше беспокоит сам факт взлома и нарушение конфиденциальности. Такое отношение заставило его задуматься, пытается ли компания скрыть истинные масштабы проблемы.

В декабре 2023 года исследователи по безопасности Деннис Гизе (Dennis Giese) и Брейлин Людтке (Braelynn Luedtke) публично представили доказательства уязвимости PIN-кода в роботах Ecovacs. Они подчеркнули, что проверка PIN-кода выполнялась только на уровне приложения, а не на сервере или устройстве, что позволяло злоумышленникам легко обойти защиту умного пылесоса. Компания заявила, что эта уязвимость была исправлена, однако эксперты полагают, что предпринятых мер оказалось недостаточно.

Ответственность за взлом внутренней инфраструктуры российского разработчика антивирусного ПО «Доктор Веб» (Dr.Web) взяла на себя хакерская группировка DumpForums. Об этом в своём Telegram-канале сообщили эксперты сервиса поиска утечек и мониторинга даркнета DLBI.

Источник изображения: Bleeping Computer

Через официальный Telegram-бот компании «Доктор Веб» (@DrWebBot) пользователям приходят сообщения о взломе.

В качестве подтверждения хакеры предоставили несколько дампов баз данных внутренних ресурсов, таких как, ldap.dev.drweb.com, vxcube.drweb.com, bugs.drweb.com, antitheft.drweb.com, rt.drweb.com и др. Судя по информации из дампов, данные в них актуальны на 17.09.2024.

Хакеры заявляют, что взломали и выгрузили сервер корпоративного GitLab, где хранились внутренние разработки и проекты, сервер корпоративной почты, Confluence, Redmine, Jenkins, Mantis, RocketChat — системы, где велась разработка и обсуждались задачи. Общий объём полученных данных составил около 10 Тбайт. Злоумышленники добавляют, что после проникновения во внутреннюю инфраструктуру компании «Доктор Веб», они оставались незамеченными на протяжении целого месяца.

О взломе своей инфраструктуры «Доктор Веб» сообщила в середине сентября. В компании пояснили, что атака началась 14-го числа, а признаки внешнего воздействия на инфраструктуру обнаружены 16-го, тогда же «оперативно отключили серверы». На протяжении этого времени исследователи Dr.Web «внимательно наблюдали за угрозой».

«В субботу 14 сентября специалисты "Доктор Веб" зафиксировали целевую атаку на ресурсы компании. Попытка навредить нашей инфраструктуре была своевременно пресечена. На данный момент в соответствии с протоколом безопасности все ресурсы отключены от сети с целью проверки. В связи с этим временно приостановлен выпуск вирусных баз Dr.Web. Следуя установленным политикам безопасности, мы отключили все наши серверы от сети и начали комплексную диагностику безопасности».

Позже Dr.Web сообщила, что обновление вирусной базы данных возобновилось. В компании добавили, что нарушение безопасности не затронуло ни одного из её клиентов.

«Для анализа и устранения последствий инцидента мы реализовали ряд мер, включая использование Dr.Web FixIt! для Linux. Собранные данные позволили нашим экспертам по безопасности успешно изолировать угрозу и гарантировать, что наши клиенты не пострадают от неё».

Исследователи Андреас Плеснер (Andreas Plesner), Тобиас Фонтобель (Tobias Vontobel), Роджер Ваттенхофер (Roger Wattenhofer) из Швейцарской высшей технической школы Цюриха с помощью ИИ взломали систему проверки reCAPTCHAv2, которая используется на сайтах для подтверждения того, что пользователь является человеком, а не роботом. Учёные утверждают, что обученная ими нейросеть способна пройти 100 % проверок, тогда как раньше этот процент не превышал 71 %.

Источник изображения: Pixabay

Исследователи изучали эффективность использования передовых методов машинного обучения для решения проверок (капч) из системы reCAPTCHAv2 от Google. Они пытались оценить эффективность автоматизированных систем в решении капч, используя передовые модели YOLO (You Only Look Once) для сегментации и классификации изображений.

reCAPTCHAv2 требует от пользователей отмечать на изображении области с определёнными предметами, подразумевая, что бот на такое не способен. Исследователи пришли к выводу, что на современном этапе развития ИИ разница в сложности подобных задач для человека или нейросети нивелируется. Это означает, что современные технологии ИИ могут без проблем проходить проверки, основанные на распознавании изображений.

Источник изображения: humansnotinvited.com

«Мы также заглядываем под капот reCAPTCHAv2 и находим доказательства того, что reCAPTCHAv2 в значительной степени основана на данных cookie и истории браузера при оценке того, является ли пользователь человеком или нет», — добавили исследователи.

Tor является одним из важнейших интернет-сервисов, обеспечивающим анонимность пользователей. Он бесплатен и может использоваться любым желающим, кто стремится скрыть, например, публичный IP-адрес своего компьютера. Проектом, предназначенным для благих целей, злоупотребляют и преступники, которые стремятся остаться анонимными и уйти от правоохранительных органов. Конец этому решили положить правоохранительные органы Германии.

Источник изображения: blog.torproject.org

Немецкие правоохранительные органы в течение нескольких месяцев отслеживали серверы Tor, чтобы идентифицировать отдельных пользователей теневой сети. Им удалось идентифицировать сервер хакерской группировки Vanir Locker, который она использовала в сети Tor. Киберпреступники объявили, что опубликуют данные, похищенные в ходе одной из своих последних акций. Немецким властям удалось определить местоположение ресурса при помощи метода временного анализа.

Временной анализ используется, чтобы связать подключения к сети Tor и локальные подключения к интернету. Для реализации этого метода производится мониторинг как можно большего числа узлов Tor, потому что это увеличивает вероятность идентификации. Таким образом, правоохранительные органы действительно отслеживают узлы Tor, и делается это не только в Германии. Немецкие специалисты перехватили контроль над адресом ресурса группы кибервымогателей в сети Tor и перенаправили его на свою страницу — в результате хакеры не смогли опубликовать данные на своём ресурсе.

Репортёры государственной радиовещательной компании ARD ознакомились с документами, которые подтверждают, что в результате операции были успешно идентифицированы четверо лиц. Этот метод использовался также для идентификации участников платформы, на которой публиковались материалы, содержащие жестокое обращение с детьми. Администрация Tor Project подтвердила, что правоохранительным органам удалось лишить анонимности нескольких киберпреступников, но заявила, что для большинства интернет-пользователей Tor остаётся одним из лучших вариантов сохранения конфиденциальности.

Российский разработчик антивирусного ПО «Доктор Веб» (Dr.Web) сообщил о кибератаке на свою внутреннюю сеть, осуществлённой неизвестной стороной в минувшие выходные. После обнаружения «признаков несанкционированного вмешательства» в свою ИТ-инфраструктуру компания отключила все серверы от внутренней сети. Dr.Web также была вынуждена прекратить доставку обновлений вирусных баз клиентам в понедельник на время расследования инцидента.

Источник изображения: Bleeping Computer

«В субботу 14 сентября специалисты "Доктор Веб" зафиксировали целевую атаку на ресурсы компании. Попытка навредить нашей инфраструктуре была своевременно пресечена. На данный момент в соответствии с протоколом безопасности все ресурсы отключены от сети с целью проверки. В связи с этим временно приостановлен выпуск вирусных баз Dr.Web. Следуя установленным политикам безопасности, мы отключили все наши серверы от сети и начали комплексную диагностику безопасности», — заявил разработчик антивирусного ПО.

В новом заявлении, опубликованном в среду, Dr.Web сообщила, что обновление вирусной базы данных возобновилось во вторник. В компании добавили, что нарушение безопасности не затронуло ни одного из её клиентов.

«Для анализа и устранения последствий инцидента мы реализовали ряд мер, включая использование Dr.Web FixIt! для Linux. Собранные данные позволили нашим экспертам по безопасности успешно изолировать угрозу и гарантировать, что наши клиенты не пострадают от неё», — заявила компания.

Dr.Web не первая российская компания, занимающаяся вопросами кибербезопасности, которая сама подверглась кибератакам за последние годы. Как пишет портал Bleeping Computer, в июне этого года хакеры взломали серверы российской компании по информационной безопасности Avanpost, украли и опубликовали, как они утверждали 390 Гбайт данных и зашифровали более 400 её виртуальных машин.

В июне 2023 года компания Kaspersky Lab также сообщила, что использующиеся её сотрудниками смартфоны iPhone были заражены шпионским ПО через эксплойты iMessage zero-click, нацеленные на уязвимости iOS нулевого дня в рамках кампании, которая теперь известна как «Операция “Триангуляция”». На тот момент в компании также заявили, что атаки, затрагивающие её московский офис и сотрудников в разных странах, начались ещё с 2019 года и продолжаются до сих пор.

В ночь на 11 сентября инфраструктура центра выдачи электронной подписи УЦ «Основание», включающего АО «Аналитический центр» и АО «Единый портал ЭП», подверглась кибератаке, из-за чего сайты компаний стали недоступны, и процесс выдачи ЭП прекратился, пишет «Коммерсантъ» со ссылкой на заявление центра. На данный момент сайты uc-osnovanie.ru и iecp.ru по-прежнему недоступны.

Источник изображения: TheDigitalArtist/Pixabay

В опубликованном компанией письме сообщается, что «в настоящее время выдача новых сертификатов ключей проверки электронной подписи приостановлена, совместно с НКЦКИ (подведомственный ФСБ Национальный координационный центр по компьютерным инцидентам) проводится аудит инцидента, ведутся работы по восстановлению работоспособности удостоверяющего центра». Возобновление выдачи сертификатов было намечено на 12 сентября, но пока сдвигов не наблюдается.

В письме отмечено, что АО «Аналитический центр» не осуществляет хранение ключей ЭП, поэтому атака на его информационные ресурсы не могла затронуть и скомпрометировать электронные подписи клиентов. «Инфраструктура, связанная с программно-аппаратным комплексом УЦ, не пострадала, говорить о компрометации ключей нельзя, и тем, кто уже имеет электронную подпись, выпускать новый сертификат не требуется», — подтвердил «Коммерсанту» коммерческий директор УЦ Алексей Сенченков.

Как сообщается, атака была проведена методом дефейса (подмена надписи или картинки на сайте) — на сайтах организации (uc-osnovanie.ru и iecp.ru) были размещены надписи «Ваши сертификаты в надёжных руках», а также объявление о том, что сертификаты будут впоследствии проданы. По словам Сенченкова, атаку провели с ресурсов в США, Нидерландах и Эстонии.

Как отметил начальник отдела по кибербезопасности «Кода безопасности» Алексей Коробченко, такие организации, как УЦ «Основание», имеют эшелонированную систему кибербезопасности, включая сегментацию внутренней корпоративной сети, многофакторную аутентификация и т. д. Этого вполне достаточно, чтобы обеспечить надёжную защиту данных.

Вместе с тем руководитель отдела сетевых технологий Angara Security Денис Бандалетов предупредил о возможных проблемах с CRL — списками «отозванных сертификатов», с помощью которых аутентифицирующий ресурс проверяет легитимность подключающегося пользователя через ЭП. При их недоступности провести аутентификацию на каком-либо ресурсе невозможно. «Также недоступность CRL вызовет неработоспособность смежных ресурсов, которые проверяли сертификаты аутентификации на этих порталах», — сообщил эксперт.

На грядущей конференции Black Hat в Лас-Вегасе сотрудники компании NetSPI — белые хакеры Сэм Бомонт (Sam Beaumont ) и Ларри «Патч» Троуэлл (Larry “Patch” Trowell) — представят недорогое устройство RayV Lite для аппаратного взлома чипов с помощью лазеров. Инструмент RayV Lite — это попытка создать бюджетный вариант сверхдорогих лазерных инструментов спецслужб для взлома и реверс-инжиниринга чипов. И эта попытка удалась.

Инструмент RayV Lite (нажмите для увеличения). Источник изображения: NetSPI

По словам разработчиков, с помощью RayV Lite с открытым кодом лазерный (оптический) взлом чипов сможет совершать широкий круг специалистов и любителей. Стоимость профессионального оборудования для подобных целей достигает $150 тыс., тогда как Бомонт и Троуэлл вложились в бюджет всего лишь $500. По их словам, это «одомашнивание» хакерских инструментов, что позволит, как они надеются, усилить защиту от подобных методов взлома, к которому сегодня подавляющее число разработчиков чипов относятся с безразличием.

Лазерный метод взлома использует два основных подхода — это целенаправленное внесение сбоев (laser fault injection) и лазерная визуализация состояния логики (laser logic state imaging). В первом случае лазер заставляет транзисторы чипа переключить состояния, просто ударяя по корпусу микросхемы в тех или иных точках, а во втором происходит съём отражённого от оголённого чипа (кремния) лазерного сигнала, который по-разному ведёт себя при отражении от включённого и выключенного транзистора.

Атака методом LFI может банально отключить проверку безопасности микросхемой, например, отключив запрос PIN-кода для входа в аппаратный криптовалютный кошелёк (что было показано на примере). Зато атака LLSI способна на более интересные вещи, вплоть до воссоздания архитектуры чипа, что найдёт применение не только для взлома, но также для реверс-инжиниринга.

Самыми дорогими узлами инструмента RayV Lite стали объектив лазера и FPGA-чип для синхронизации лазеров: оба по $100. Лазеры взяты недорогие — едва ли не из лазерных указок. На современном уровне развития производства микросхем для задач взлома недостаток мощности лазеров можно с лихвой компенсировать длительностью экспозиции, чем и воспользовались разработчики инструмента. Управляет инструментом обычный компьютер Raspberry Pi стоимостью $68. Программный пакет для работы RayV Lite создан на основе открытого кода и также будет распространяться.

Корпус инструмента напечатан на 3D-принтере по открытой модели для станины микроскопа. Шаговые двигатели и специальные пластиковые рычаги позволяют перемещать взламываемый чип в пространстве с шагом в несколько нанометров. В случае нужды корпус можно напечатать заново, если пластиковые детали износятся. Всё вместе позволило уложиться в бюджет $500. Инструмент сможет повторить у себя каждый желающий. Похоже, инструкции по его сборке будут выложены в открытый доступ. Пока речь идёт об инструменте с атакой LFI, позже появится модификация с поддержкой LLSI и, вероятно, со временем выйдет универсальное решение, сочетающее обе атаки.

Как говорят разработчики, они просто поражены, насколько проектировщики чипов не осведомлены о возможностях лазерного взлома. Широкое распространение RayV Lite заставит их повысить ответственность за свои разработки. В конечном итоге вокруг нас засилье микросхем, подавляющее большинство из которых сегодня не устоят перед лазерным взломом.