Эксперты по кибербезопасности раскрыли масштабную утечку данных в приложениях-трекерах Cocospy и Spyic, связанную с китайскими разработчиками и затрагивающую миллионы пользователей. Эти приложения предназначены для скрытого мониторинга смартфонов, относятся к категории сталкерского ПО и позволяют злоумышленникам собирать данные жертв — сообщения, фотографии, звонки и другую информацию.

Источник изображения: Kandinsky

Из-за выявленного бага личные данные миллионов пользователей, включая электронные адреса тех, кто установил эти приложения, оказались доступны в публичном пространстве. Исследователь, выявивший уязвимость, собрал 1,81 млн электронных адресов пользователей Cocospy и 880 тысяч адресов пользователей Spyic. Как пишет TechCrunch, эти данные переданы Трою Ханту (Troy Hunt), создателю сервиса Have I Been Pwned, где их добавили в базу утечек. В общей сложности выявлено 2,65 млн уникальных адресов.

Сталкерское ПО, включая Cocospy и Spyic, часто продаётся под видом родительского или корпоративного контроля, но на практике используется для нелегального слежения за бизнес-партнёрами и другими людьми. TechCrunch выяснил, что обе программы связаны с китайским разработчиком приложений 711.icu, сайт которого сейчас не работает. Cocospy и Spyic маскируются под системные приложения на Android, а данные пользователей передаются через серверы Amazon Web Services и Cloudflare. Анализ сетевого трафика показал, что серверы периодически отвечают на запросы сообщениями на китайском языке.

Для установки подобных приложений обычно требуется физический доступ к устройству Android, часто со знанием пароля этого устройства. В случае с iPhone и iPad сталкерское ПО может получить доступ к данным устройства без физического доступа через облачное хранилище Apple iCloud, что, правда, потребует использования украденных учётных данных Apple.

Предлагается способ определения наличия в смартфоне этих приложений и их удаления. На Android устройствах Cocospy и Spyic можно выявить, набрав ✱✱001✱✱ на клавиатуре телефона. Также можно найти их непосредственно через настройки системы. Пользователям iPhone и iPad рекомендуется проверить настройки Apple ID, включить двухфакторную аутентификацию и убедиться, что в учётной записи нет незнакомых данных. Для Android полезной функцией будет активация Google Play Protect.

Стоит сказать, что любые шпионские приложения запрещены в официальных магазинах приложений и требуют физического доступа к устройству для установки. Установка таких приложений является противозаконной и влечёт за собой правовые последствия, так как нарушает персональную конфиденциальность.

Откровения вокруг китайского стартапа DeepSeek, предположительно создавшего передовую языковую модель со значительно меньшими затратами по сравнению с западными конкурентами, заставил многих инвесторов понервничать. Представители Wedbush, однако, убеждены в готовности компаний и дальше тратить приличные деньги на ускорители Nvidia Blackwell.

Источник изображения: Nvidia

Напомним, что тезис «ИИ-скептиков» в свете прорыва DeepSeek подразумевал, что способность разработчиков больших языковых моделей обходиться более слабыми аппаратными ресурсами снизит спрос на дорогое и передовое «железо» Nvidia. Аналитики Wedbush Securities убеждены, что этого не произойдёт. По итогам очередной регулярной поездки по Азии и общения с поставщиками электроники они утверждают, что никто из желающих развивать свою ИИ-инфраструктуру не намерен снижать темпы расширения профильных мощностей после шумихи вокруг DeepSeek.

В случае с продукцией Nvidia семейства Blackwell спрос всё равно продолжает сильно превышать предложение. «Никто из клиентов Nvidia не хочет потерять своё место в очереди за чипами этой марки следующего поколения», — поясняют авторы аналитической записки. По оценкам Wedbush, в текущем году от 10 до 15 % всех бюджетов компаний в сфере информационных технологий будут направляться на покрытие потребностей в сегменте ИИ. Капитальные затраты семи крупнейших компаний технологического сектора в совокупности могут вырасти примерно в полтора раза до $325 млрд. Многие компании в этом году только ускорят внедрение искусственного интеллекта, как утверждают представители Wedbush.

Некоторые опросы общественного мнения показывают, что iPhone не так часто становятся подарком, как iPad или Apple Watch, но именно смартфоны до сих пор определяют половину выручки компании, поэтому статистика их продаж важна для бизнеса Apple в целом. Аналитики Wedbush Securities утверждают, что спрос на смартфоны семейства iPhone 16 пока как минимум оправдывает их ожидания.

Источник изображения: Apple

Новинки Apple в этом сегменте вышли на рынок в конце сентября, но многие эксперты единодушно говорили, что их успех будет зависеть от темпов экспансии комплекса функций Apple Intelligence. По мнению представителей Wedbush, состояние спроса на iPhone 16 можно охарактеризовать как соответствующее ранним прогнозам или даже немного превосходящее их. Поскольку Apple Intelligence ещё не вышла во многих странах, включая Китай, в соответствующих регионах это событие должно стать катализатором продаж новейшего поколения смартфонов марки.

Выход iOS 18.2 с точки зрения стимулирования спроса на iPhone 16 гораздо важнее, чем выход iOS 18.1, поскольку более свежее по времени обновление как минимум обеспечивает реализацию интеграции голосового интерфейса Siri с чат-ботом ChatGPT. Сторонние разработчики приложений смогут создавать на платформе iOS 18.2 сотни программных решений для работы с ИИ в ближайшие месяцы, и в целом цикл спроса на подобные функции для Apple растянется на несколько лет. Выход iOS 18.2 запланирован на начало текущего месяца.

Если учесть, что в мире накопилось около 300 млн iPhone, нуждающихся в замене на более новые по признаку возраста более четырёх лет, и примерно 100 млн из них находятся в Китае, то Apple ожидает достаточно длинный цикл обновления, подкреплённый стабильным спросом на iPhone 16. Выручка компании в целом будет расти в течение ближайших 12 или 18 месяцев, как резюмируют эксперты Wedbush.

Масштабная уязвимость в системе безопасности Secure Boot, получившая название PKfail, оказалась гораздо более распространённой, чем предполагалось ранее. Проблема, названная PKfail, затрагивает банкоматы, платёжные терминалы, медицинские устройства, игровые консоли, корпоративные серверы и даже машины для голосования. Использование тестовых ключей платформы в производственных системах на протяжении более 10 лет поставило под угрозу безопасность устройств от ведущих производителей отрасли.

Источник изображения: geralt / Pixabay

Исследователи компании Binarly обнаружили, что количество моделей устройств, использующих скомпрометированные тестовые ключи платформы, возросло с 513 до 972. Среди затронутых производителей — Acer, Dell, Gigabyte, Intel, Supermicro, Aopen, Fornelife, Fujitsu, HP и Lenovo. Ключи, помеченные фразами «DO NOT TRUST» (НЕ ДОВЕРЯТЬ) в сертификатах, никогда не предназначались для использования в промышленных системах, однако оказались внедрены в сотни моделей устройств.

Платформенные ключи формируют криптографический якорь доверия (root-of-trust anchor) между аппаратным обеспечением и прошивкой. Они являются фундаментом для Secure Boot — отраслевого стандарта, обеспечивающего криптографическую защиту в предзагрузочной среде устройства. Интегрированный в UEFI (Unified Extensible Firmware Interface), Secure Boot использует криптографию с открытым ключом для блокировки загрузки любого кода, не подписанного предварительно одобренной цифровой подписью. Компрометация этих ключей подрывает всю цепочку безопасности, установленную Secure Boot.

Ситуация усугубилась после публикации в 2022 году на GitHub закрытой части одного из тестовых ключей. Это открыло возможность для проведения сложных атак с внедрением руткитов в UEFI устройств, защищённых Secure Boot. Количество моделей, использующих этот конкретный скомпрометированный ключ, выросло с 215 до 490. Всего исследователи выявили около 20 различных тестовых ключей, четыре из которых были обнаружены недавно.

Анализ 10 095 уникальных образов прошивок, проведённый с помощью инструмента Binarly, показал, что 8 % (791 образ) содержат непроизводственные ключи. Проблема затрагивает не только персональные компьютеры, но и медицинские устройства, игровые консоли, корпоративные серверы и критически важную инфраструктуру.

Ранее все обнаруженные ключи были получены от компании AMI, одного из трёх основных поставщиков комплектов средств разработки (SDK) программного обеспечения (ПО), которые производители устройств используют для настройки прошивки UEFI, чтобы она работала на их конкретных аппаратных конфигурациях. С июля Binarly обнаружил ключи, принадлежащие конкурентам AMI — компаниям Insyde и Phoenix. Binarly также обнаружила, что следующие три производителя также продают устройства, пострадавшие от PKfail:

• Hardkernel Odroid-H2, Odroid-H3 и Odroid-H4
• Beelink Mini 12 Pro
• Minisforum HX99G

Уязвимости присвоены идентификаторы CVE-2024-8105 и VU#455367. PKfail не представляет угрозы для устройств, не использующих Secure Boot, но подрывает безопасность систем, где эта защита обязательна — например, у государственных подрядчиков и в корпоративных средах.

С последним ежемесячным обновлением безопасности Microsoft посеяла хаос на ПК с двойной загрузкой Windows и Linux. Оно было призвано исправить двухлетнюю уязвимость в загрузчике с открытым исходным кодом GRUB, не затронув компьютеры с двумя ОС, но апдейт всё-таки стал мешать системам семейства Linux нормально загружаться.

Источник изображения: BoliviaInteligente / unsplash.com

Пользователи, у которых на одной машине установлены Windows и Linux, начали жаловаться, что при попытке загрузить вторую систему стали выводиться сообщения о «нарушении политики безопасности», или что «что-то всерьёз пошло не так». Ошибки зафиксированы в работе дистрибутивов Ubuntu, Debian, Linux Mint, Zorin OS и Puppy Linux.

Обновление было призвано устранить уязвимость, которая позволяла хакерам обходить Secure Boot — защиту от запуска вредоносного ПО до загрузки ОС, которая широко применяется в Windows и дистрибутивах Linux. Microsoft обещала, что обновление заблокирует уязвимые загрузчики Linux, способные повлиять на безопасность Windows, но не будет применяться к ПК с двойной загрузкой, поэтому оно «не должно влиять на эти системы».

Комментариев от Microsoft о неполадках в последнем обновлении не поступало, но пользователи Ubuntu уже нашли решающий проблему обходной путь. Необходимо отключить Secure Boot в BIOS, войти в учётную запись пользователя Ubuntu и через терминал удалить политику Microsoft SBAT (Secure Boot Advanced Targeting). Microsoft использует Secure Boot уже много лет, и поддержка этого протокола необходима для работы Windows 11 для защиты от руткитов BIOS. Правда, за последние годы в Secure Boot было обнаружено множество уязвимостей, а недавно выяснилось, что протокол скомпрометирован на большом числе ПК.

Эксперты по вопросам кибербезопасности компании Binarly обнаружили, что используемый в прошивках UEFI протокол Secure Boot скомпрометирован на более чем 200 моделей ПК и серверов крупнейших мировых производителей. Причиной проблемы называется безответственное отношение производителей к управлению криптографическими ключами, обеспечивающими защиту Secure Boot.

Источник изображения: Pete Linforth / pixabay.com

Технология Secure Boot стала отраслевым стандартом в 2012 году, когда сформировалось понимание, что может появиться вредоносное ПО, способное заражать BIOS —набор низкоуровневых микропрограмм, которые выполняются до загрузки операционной системы. Накануне исследователи из компании Binarly объявили, что протокол Secure Boot полностью скомпрометирован на более чем 200 моделях компьютеров, выпускаемых под марками Acer, Dell, Gigabyte, Intel и Supermicro, потому что в 2022 году в одном из репозиториев GitHub был скомпрометирован криптографический ключ, обеспечивающий доверие между аппаратной частью компьютера и работающей на ней прошивкой. Исследователи Binarly обнаружили утечку в январе 2023 года.

Вскоре стало ясно, что под угрозой ещё более 300 моделей компьютеров от практически всех крупных производителей — был обнаружен ещё 21 ключ с пометками «DO NOT SHIP» («не отгружать») и «DO NOT TRUST» («не доверять»). Эти ключи созданы компанией AMI (American Megatrends Incorporated) — одним из трёх крупнейших разработчиков ПО, с помощью которого производители оборудования создают собственные прошивки UEFI для конкретных конфигураций. Пометки указывают, что эти ключи не предназначались для использования в серийно выпускаемой продукции — они поставлялись AMI актуальным или потенциальным клиентам для тестирования, но в действительности использовались на продукции в серийном производстве. Проблема коснулась Aopen, Foremelife, Fujitsu, HP, Lenovo и Supermicro.

Источник изображения: Gerd Altmann / pixabay.com

Эксперты по безопасности рекомендуют, чтобы эти криптографические ключи были уникальными для каждой линейки продукции или как минимум для каждого производителя. А в идеале их следует даже время от времени менять. В реальности обнаруженные Binarly ключи использовались более чем десятком различных производителей более десяти лет. Идентичные тестовые ключи обнаруживались как в потребительских ПК, так и в серверах; и по меньшей мере один использовался тремя разными производителями. Компания озаглавила своё открытие PKfail, чтобы подчеркнуть неспособность всей отрасли обеспечить должное управление ключами шифрования, в результате чего возникла угроза для всей цепочки поставок. Обход защиты Secure Boot означает возможность запускать любые исполняемые файлы на уязвимой машине ещё до загрузки ОС.

Инциденты меньших масштабов отмечались и раньше. В 2016 году в продукции Lenovo был обнаружен ключ AMI с пометкой «DO NOT TRUST» — тогда была зарегистрирована уязвимость CVE-2016-5242. В прошлом году хакеры группировки Money Message похитили два ключа MSI, из-за чего под угрозой оказались 57 моделей ноутбуков компании. Ресурс Ars Technica направил в упомянутые в связи с PKfail компании запросы и получил ответы не от всех. Только в Supermicro заявили, что решили проблему, выпустив обновления BIOS. В Intel, HP, Lenovo и Fujitsu дали очень похожие ответы, отметив, что потенциально уязвимая продукция уже снята с производства, продаж и больше не поддерживается. Полный список уязвимой продукции Binarly опубликовала на GitHub.

В прошивках Phoenix UEFI присутствует уязвимость, которая затронула широкий спектр ПК, выпущенных крупнейшими производителями на широком ассортименте процессоров Intel разных поколений. Рекомендовано установить последнюю версию BIOS.

Источник изображения: Thomas / pixabay.com

Уязвимость CVE-2024-0762 обнаружена в прошивке Phoenix SecureCore UEFI экспертами по кибербезопасности компании Eclypsium на ноутбуках Lenovo ThinkPad X1 Carbon 7 поколения и X1 Yoga 4 поколения. Дальнейшее её изучение показало, что она затрагивает машины на широком спектре процессоров Intel, включая Alder Lake, Coffee Lake, Comet Lake, Ice Lake, Jasper Lake, Kaby Lake, Meteor Lake, Raptor Lake, Rocket Lake и Tiger Lake — под ударом могут оказаться ПК производства Lenovo, Dell, Acer и HP. Уязвимость связана с ошибкой переполнения буфера в конфигурации Trusted Platform Module (TPM) — она позволяет злоумышленникам повышать привилегии и выполнять код в UEFI. Само наличие TPM для эксплуатации уязвимости не обязательно.

Прошивка UEFI считается более безопасной из-за функции Secure Boot, которая поддерживается современными ОС, включая Windows, macOS и Linux. Но, пользуясь ошибками в её реализации, хакеры создают буткиты, такие как BlackLotus, CosmicStrand и MosaicAggressor — они срабатывают на ранних этапах загрузки UEFI и предоставляют потенциальным злоумышленникам низкоуровневый доступ к системе, обнаружить который чрезвычайно сложно.

Lenovo начала выпуск обновлений прошивки для затронутых уязвимостью устройств. Пока обновления доступны не для всех моделей, но значительную часть ассортимента компания надеется охватить до конца года. Phoenix Technologies сообщила, что закрыла уязвимость в апреле, а в мае предала огласке информацию о ней.

Ранее на этой неделе Microsoft выпустила патч для исправления уязвимости Secure Boot, используемой буткитом BlackLotus, о котором мы сообщали в марте. Первоначальная уязвимость CVE-2022-21894 была исправлена в январе. Новый патч безопасности CVE-2023-24932 устраняет другой активно используемый злоумышленниками обходной путь для систем под управлением Windows 10/11 и версий Windows Server, начиная с Windows Server 2008.

Источник изображения: pixabay

Буткит BlackLotus — это вредоносное ПО, которое способно обходить средства защиты Secure Boot, позволяя выполнять вредоносный код до того, как компьютер начнёт загружать Windows и её многочисленные средства защиты. Безопасная загрузка уже более десяти лет включена по умолчанию на большинстве ПК с Windows, продаваемых такими компаниями, как Dell, Lenovo, HP, Acer и другими. На компьютерах под управлением Windows 11 она должна быть включена, чтобы соответствовать системным требованиям программного обеспечения.

Microsoft заявляет, что уязвимость может быть использована злоумышленником, имеющим либо физический доступ к системе, либо права администратора. Новое исправление безопасности выделяется тем, что компьютер больше не сможет загружаться со старых загрузочных носителей, не содержащих исправления. Не желая внезапно сделать пользовательские системы незагружаемыми, Microsoft намерена выпускать обновление поэтапно в течение следующих нескольких месяцев. В июле последует второе обновление, которое не включит исправление по умолчанию, но упростит его включение. Третье обновление в первом квартале 2024 года активирует обновление безопасности по умолчанию и сделает старые загрузочные носители недоступными для загрузки на всех ПК с установленными исправлениями Windows. Microsoft говорит, что «ищет возможности ускорить этот график».

Это не единственный недавний инцидент с безопасностью, подчёркивающий трудности исправления низкоуровневых уязвимостей Secure Boot и UEFI. У компании MSI недавно произошла утечка ключей подписи в результате атаки программы-вымогателя, после чего Intel, ответственная за аппаратную защиту целостности загрузки BIOS, выпустила официальное заявление по поводу случившегося.

26 марта Western Digital сообщила о серьёзном инциденте информационной безопасности в своей корпоративной сети, затронувшем данные разработчика и клиентов, а также вызвавшем ряд проблем в функционировании онлайновых сервисов компании, в том числе интернет-магазина, работа которого до сих пор не восстановлена.

Источник изображения: pixabay

5 мая Western Digital опубликовала пресс-релиз, раскрывающий некоторые подробности по этому вопросу. В официальном заявлении сообщается о планах по запуску интернет-магазина 15 мая. Помимо кражи сведений о клиентах, также был скомпрометирован ряд данных партнёров и частных организаций. Киберпреступники получили доступ к цифровым сертификатам, однако Western Digital утверждает, что у компании есть возможность отзывать любые скомпрометированные сертификаты по мере необходимости.

Кибератака также понесла за собой и финансовые последствия для вендора. Western Digital опубликовала отчёт о финансовых результатах за третий квартал 2023 года, в котором показано влияние последних событий на финансовый результат. Согласно отчёту, выручка снизилась на 10 % в квартальном исчислении, хотя отчасти это, вероятно, связано с глобальным спадом на рынке, а не с взломом.

На данный момент неясно, сколько времени потребуется, чтобы полностью восстановить предыдущую функциональность онлайн-систем и устранить последствия утечки данных.

Программное обеспечение Endpoint detection and response (EDR) стало популярным способом защиты от атак программ-вымогателей. Однако исследователи говорят, что взломы, связанные с этой технологией, хоть и редкие, но постепенно происходят всё чаще.

Источник изображения: freepik

По мере того, как хакерские атаки становятся все более разрушительными и всепроникающими, мощные инструменты защиты от таких компаний, как CrowdStrike Holdings и Microsoft, стали очень важны для индустрии кибербезопасности. Программное обеспечение для обнаружения конечных точек и реагирования на них (EDR) предназначено для обнаружения ранних признаков вредоносной активности на ноутбуках, компьютерах, серверах и других устройствах — «конечных точках» в компьютерной сети — и блокирования их до того, как злоумышленники смогут украсть данные или сами заблокируют устройство.

Однако эксперты говорят, что хакеры разработали обходные пути для некоторых форм технологии EDR, что позволило им обойти продукты, которые стали золотым стандартом для защиты критически важных систем. Исследователи из нескольких фирм, занимающихся кибербезопасностью, заявили, что количество атак, в которых EDR отключается или обходится, невелико, но растёт, и что хакеры становятся все более изобретательными в поиске способов обойти более надёжную защиту, которую он обеспечивает. По данным IDC, рынок EDR и других новых технологий безопасности конечных точек вырос на 27% и достиг 8,6 млрд долларов в мире в прошлом году, во главе с CrowdStrike и Microsoft.

Один ранее не сообщавшийся инцидент, раскрытый Bloomberg News, произошёл в октябре, когда датская группа безопасности CSIS расследовала взлом европейской производственной компании. По словам Яна Каструпа (Jan Kaastrup), директора по инновациям CSIS, хакеры использовали ранее неизвестную уязвимость в EDR Microsoft и упаковали вредоносное ПО таким образом, чтобы оно было обнаружено инструментом безопасности, который предупредил ИТ-команду жертвы о том, что атака была заблокирована.

Нарушение не было обнаружено до тех пор, пока жертва не заметила, что данные покидают корпоративную сеть, и не связалась с датской фирмой. Каструп добавил, что «программное обеспечение для безопасности не может работать само по себе — нам нужны глаза на экране в сочетании с технологиями».