Search the Community

Исследователь безопасности под псевдонимом SerHack обнаружил в расширении MEGA.nz для браузера Google Chrome вредоносный код, позволяющий злоумышленникам похищать пароли от учетных записей Google, Amazon, Microsoft и GitHub, а также приватные ключи кошельков для криптовалюты Monero и Ethereum. Вредоносный функционал был обнаружен в исходном коде расширения MEGA.nz версии 3.39.4. Инженеры Google уже вмешались и удалили расширение из официального интернет-магазина Chrome, а также отключили расширение для существующих пользователей. Согласно анализу источника расширения, вредоносный код запускается на таких сайтах, как Amazon, Google, Microsoft, GitHub, MyEtherWallet и MyMonero, а также платформе для обмена криптовалютами IDEX. Вредоносный код похищает имена пользователей, пароли и другие данные сеанса, необходимые злоумышленнику для авторизации. Расширение отправляет всю собранную информацию на сервер megaopac[.]host, размещенный в Украине. Пользователям Chrome, использовавшим расширение, рекомендуется просмотреть раздел «Расширения» браузера и убедиться, что MEGA.nz отключено, а также сменить пароли и переместить криптовалюту на новые кошельки.

Считывание теплового следа с цифровой панели набора пароля публика видела не раз в голливудских фильмах. И, согласно недавно опубликованной исследовательской работе трёх учёных из Калифорнийского университета Ирвина (UCI), тепловой остаток, оставляемый пальцами человека, действительно можно использовать для получения пароля. «Этот новый тип атаки позволяет злоумышленникам с тепловой камерой среднего диапазона определять клавиши, нажатые на обычной клавиатуре в течение одной минуты после того, как жертва осуществила ввод, — отметил участвовавший в исследовании профессор по компьютерным наукам UCI Джин Цудик (Gene Tsudik). — Если вы наберёте свой пароль и уйдёте или же отойдёте, кто-то может получить важные данные о вводе». Команда UCI назвала эту атаку Thermanator и уверяет, что её можно использовать для восстановления коротких строк текста: это может быть код подтверждения, банковский PIN-код или обычный пароль. Для работы атаки Thermanator злоумышленники должны иметь возможность использовать камеру с функциями тепловой записи сразу после ввода информации жертвой, причём камера должна хорошо видеть клавиши. Когда эти условия соблюдены, злоумышленник, даже не эксперт, может восстановить набор клавиш, на которые нажимала жертва, а затем собрать их в возможные строки для последующей атаки методом подбора по словарю. В экспериментах исследовательской группы принимал участие 31 пользователь, которые вводили пароли на четырёх разных типах клавиатур. Исследователи из UCI затем попросили восемь неспециалистов получить набор нажатых клавиш из записанных тепловых данных. Тест показал, что информации, полученной через 30 секунд после ввода пароля, достаточно, чтобы злоумышленник, не являющийся экспертом, восстановил весь набор нажатых жертвой кнопок. Частично восстановить данные можно в течение одной минуты после нажатия клавиш. Исследователи говорят, что пользователи, которые набирают тексты, нажимая по одной клавише двумя пальцами, постоянно глядя на клавиатуру, более уязвимы к тому, чтобы злоумышленники заполучили их важную информацию при помощи такого метода. Учитывая всё бо́льшую доступность качественных тепловизоров, это может стать проблемой.

Twitter предложила всем своим более чем 330 млн пользователей сменить пароли. К их утечке могла привести ошибка во внутренней системе компании. Главный технический директор Twitter Параг Аграваль (Parag Agrawal) написал, что недавно компания обнаружила баг в процессе хеширования. Из-за него пароли пользователей хранились во внутреннем журнале в виде обычного текста. Хеширование представляет собой превращение паролей в последовательность символов, которая на первый взгляд кажется совершенно случайной. По словам Аграваля, из-за бага пароли «записывались во внутреннем журнале ещё до завершения процесса хеширования». Ошибка была обнаружена непосредственно сотрудниками Twitter, поэтому нет причины бояться, что пароли могли попасть за пределы компании и быть использованы злоумышленниками. Тем не менее, компания порекомендовала пользователям сменить пароли в Twitter, а также на всех других сайтах, где они используют такие же пароли. Генеральный директор Джек Дорси (Jack Dorsey) добавил, что проблема была исправлена, и ничто не указывает на утечку паролей или их неправомерное использование. «Нам очень жаль, что это произошло, — подытожил Аграваль. — Мы видим и ценим ваше доверие к нам, и мы стремимся оправдать его каждый день». Компания не рассказала, сколько паролей было затронуто багом. Reuters со ссылкой на достоверный источник пишет, что число «значительное», и что ошибка возникла ещё «несколько месяцев» назад. Twitter обнаружила проблему всего несколько недель назад и сообщила о ней регулирующим органам.

Web-сайты под управлением Anchor CMS могут выдавать пароли своих баз данных в общественно доступных логах. Проблема была обнаружена голландским исследователем безопасности Тижме Гоммерсом. По его словам, злоумышленник может пройти по ссылке site-name.com/anchor/errors.log и загрузить логи ошибок, которые в некоторых случаях содержат пароли БД в незашифрованном виде. По данным системы для поиска исходного кода PublicWWW, в настоящее время порядка 500 сайтов под управлением Anchor CMS легко находятся online по атрибуту meta name. Портал Bleeping Computer загрузил логи ошибок и действительно обнаружил среди них пароли баз данных некоторых сайтов из поисковой выдачи PublicWWW. Предполагается, что файл errors.log должен быть защищен, однако в дефолтных установках Anchor CMS доступ к нему открыт. Пользователи даже могут не знать важности файла, поскольку в документации Anchor CMS нигде не сказано о необходимости закрыть к нему публичный доступ. Однако дело даже не в отсутствии у файла errors.log надлежащей защиты. Система управления контентом в принципе не должна выдавать пароли БД в логах ошибок. Как бы то ни было, Гоммерс не намерен сообщать о проблеме разработчикам Anchor CMS. «Я считаю, что это больше проблема DevOps», – заявил исследователь. По его мнению, в первую очередь сами владельцы сайтов должны позаботиться о закрытии доступа к errors.log. DevOps – набор практик, нацеленных на активное взаимодействие специалистов по разработке со специалистами по информационно-технологическому обслуживанию и взаимную интеграцию их рабочих процессов друг в друга.

Исследование, проведённое «Лабораторией Касперского», говорит о том, что российские пользователи Интернета стали чаще применять надёжные пароли, подбор которых затруднён. Эксперты выяснили, что доля людей, уверенных в необходимости сложного пароля для систем онлайн-банкинга, выросла на 15 процентных пунктов — с 50 % в 2016 году до 65 % в 2017 году. Кроме того, всё больше пользователей стараются обезопасить свои аккаунты в интернет-магазинах: сложные и устойчивые к взлому пароли для них выбирают сегодня 39 % респондентов против 31 % в 2016 году. Применение сложных паролей привело к сокращению случаев взлома аккаунтов российских веб-пользователей. Так, количество пользователей в нашей стране, столкнувшихся с попытками взлома онлайн-аккаунтов, за последний год уменьшилось с 30 % до 24 %. В то же время исследование показало, что пользователи зачастую небрежно относятся к хранению паролей. Так, 28 % записывают комбинации символов в блокнот, а 9 % — на листок бумаги, лежащий рядом с компьютером. Ещё 11 % доверяют пароли интернет-браузерам, а 8 % сохраняют их в отдельном файле на компьютере. И только около 6 % пользователей применяют для хранения паролей специальные программы, обеспечивающие максимальную безопасность.

Житель районного центра Буй Костромской области обвиняется в похищении паролей и логинов порядка 620 тыс. учетных записей и электронных кошельков интернет-пользователей. Об этом сообщает местная прокуратура. Следствием было установлено, что в 2016-2017 годах 27-летний киберпреступник нашел в Сети и скачал ПО для нейтрализации средств защиты компьютерной информации. С его помощью злоумышленнику удалось похитить более полумиллиона учетных данных для авторизации в сервисах, позволяющих зачислять денежные средства. В частности, хакер получил доступ к кошелькам PayPal и eBay, учетным записям Skype и пр. Сотрудникам УФСБ удалось вовремя вмешаться и предотвратить снятие средств с кошельков. В настоящее время расследование завершено, и житель Буя ожидает суда. Против него заведено уголовное дело по статье 273 УК РФ (создание, использование и распространение вредоносных компьютерных программ). Если мужчина будет признан виновным, ему грозит наказание в виде пяти лет лишения свободы.

Уязвимость в Windows позволяет злоумышленникам похищать хеши паролей NTLM без какого-либо участия пользователя. Проэксплуатировать уязвимость довольно легко, и для осуществления атаки не нужны особые технические навыки. Все, что нужно – добавить вредоносный SCF-файл в общедоступную папку Windows. После добавления в папку файл выполняется, а затем собирает хеши паролей NTLM и отправляет их на подконтрольный злоумышленникам сервер. С помощью легкодоступного ПО атакующие могут взломать хеш и получить доступ к компьютерам жертв. Получив непосредственный доступ к сети, где находится атакуемый компьютер, хакеры способны эскалировать доступ к соседним системам. Проблема не затрагивает общие папки с парольной защитой. Поскольку пароль является в Windows опцией по умолчанию, многим пользователям нечего опасаться. Тем не менее, в компаниях, школах и других организациях для удобства пользования общие папки паролем не защищены, что делает их уязвимыми. Уязвимость была обнаружена колумбийским исследователем безопасности Хуаном Диего. В апреле текущего года Диего сообщил Microsoft о проблеме, и в октябре компания выпустила патч в рамках плановых обновлений. Однако исправление предназначено только для Windows 10 и Windows Server 2016. Остальные версии ОС остаются уязвимыми, поскольку модификации реестра не совместимы с более ранними версиями Windows Firewall. Как сообщил Диего порталу Bleeping Computer, выпушенный Microsoft бюллетень ADV170014 действительно исправляет проблему, однако исследователь так и не смог определить причину ее появления. «Атака осуществляется автоматически. Причина, делающая ее возможной, до сих пор мне не ясна. Microsoft хранит все в большом секрете», - отметил Диего. NTLM (NT LAN Manager) – протокол сетевой аутентификации, разработанный фирмой Microsoft для Windows NT.

Исследователи безопасности из Kromtech обнаружили утечку более полумиллиона записей компании SVR Tracking, специализирующейся на отслеживании местоположения автомобилей. База данных хранилась на незащищенном облачном сервере Amazon S3. В ней содержалась информация о 540 642 учетных записях клиентов, включая адреса электронной почты, хэши паролей, IMEI GPS-трекеров, номерные знаки, идентификационные номера транспортных средств (VIN) и пр. База данных также содержала информацию о месте расположения устройства для отслеживания в транспортных средствах, отметили исследователи. Помимо этого, исследователи выявили 339 журналов, содержащих информацию о транспортных средствах, включая изображения и записи об обслуживании, а также документы, подробно описывающие контракты с более чем 400 автосалонами, использующими услуги SVR Tracking. Согласно информации на сайте SVR Tracking, устройства компании обеспечивают непрерывное отслеживание транспортных средств - каждые две минуты при перемещении и в течение четырех часов после остановки. Имея на руках правильные учетные данные, пользователь может получить информацию о всех передвижениях автомобиля за последние 120 дней с помощью приложения для ПК и мобильных устройств. Общее количество скомпрометированных устройств может быть гораздо больше, поскольку продавцы автомобилей и клиенты могут владеть несколькими GPS-трекерами. Также трудно сказать, как долго данные находились в свободном доступе, отмечают исследователи из Kromtech. По словам исследователей, утечка была обнаружена 18 сентября 2017 года. SVR Tracking была уведомлена 20 сентября и через несколько часов доступ к серверу был заблокирован. Ранее исследователь безопасности из компании UpGuard Крис Викери обнаружил в открытом доступе порядка 1 ГБ конфиденциальных данных, конфигурационных файлов и ключей доступа медиаконгломерата Viacom, хранящихся на некорректно настроенном сервере Amazon Web Server S3. SVR Tracking - американская компания, которая предоставляет клиентам услуги по круглосуточному отслеживанию автомобилей и грузовиков на случай, если транспортное средство будет отбуксировано или угнано.

Eset предупреждает о новой спам-атаке. Мошенники рассылают письма с «билетами в США», распространяя таким образом троян Win32/PSW.Fareit для кражи паролей из браузеров и почтовых приложений. Потенциальная жертва получает по электронной почте уведомление от лица авиакомпании Delta Air Lines. В письме сообщается, что билет в Вашингтон успешно оплачен и его можно скачать по ссылке. Перейдя по ссылке, пользователь может загрузить документ Microsoft Office, содержащий вредоносный макрос. Если жертва игнорирует сообщение безопасности и включает макрос, стартует процесс заражения трояном PSW.Fareit. Троян PSW.Fareit предназначен для кражи логинов и паролей, сохраненных в веб-браузерах Internet Explorer, Google Chrome, Mozilla Firefox и др., а также в приложениях для работы с электронной почтой Windows Live Mail и Mozilla Thunderbird. Различные версии этой вредоносной программы известны с 2012 года, но она по-прежнему активно используется кибермошенниками. Троян отправляет украденные пароли на удаленный сервер атакующих, а затем удаляется из системы, стирая все следы активности. Далее эти пароли могут быть использованы для взлома веб-сервисов пользователя. Eset рекомендует игнорировать спам, не переходить по подозрительным ссылкам и защитить компьютеры и мобильные устройства комплексным антивирусным ПО.

Компания Eset обнаружила на Google Play новую вредоносную программу. Троян Android/Charger.B крадет пароли от мобильных приложений банков и социальных сетей, с его помощью можно атаковать почти любое приложение, сообщили в Eset. Троян маскируется под приложение-фонарик Flashlight LED Widget. После установки и запуска программа запрашивает права администратора устройства и разрешение открывать окна поверх других приложений. Далее троян отправляет на командный сервер злоумышленников информацию об устройстве, включая список установленных приложений, и фотографию владельца, сделанную фронтальной камерой. Если зараженное устройство находится в России, Украине или Беларуси, троян деактивируется. В Eset предполагают, что атакующие таким образом пытаются избежать уголовного преследования в своей стране. Когда жертва запускает интересующее злоумышленников приложение (например, мобильный банк или соцсеть), на экране появится поддельное окно для ввода данных. Логины, пароли или данные банковских карт, введенные в фишинговом окне, будут отправлены злоумышленникам. В ходе исследования специалисты Eset наблюдали перехват паролей Commbank, NAB и Westpac Mobile Banking, а также Facebook, Instagram и Google Play. Опасность трояна в том, что атакующие могут перенацелить его почти на любое приложение, указали в компании. Кроме того, троян может блокировать экран устройства, выводя сообщение о загрузке обновлений. В Eset предполагают, что эта функция используется при краже средств со счета. Злоумышленники удаленно блокируют смартфон, чтобы жертва не заметила подозрительную активность и не смогла принять меры. Для профилактики заражения в Eset рекомендуют загружать приложения только на официальных площадках, предварительно изучив оценки и отзывы пользователей. Подозрительные запросы разрешений (например, права администратора для приложения-фонарика) — повод отказаться от установки софта. Антивирусные продукты Eset NOD32 детектируют новый троян как Trojan.Android/Charger.B.

Специалисты Eset обнаружили в Google Play новые опасные приложения. Как рассказали в компании, программы специализируются на краже данных аккаунтов PayPal и Paxful и действуют при помощи социальной инженерии. Первое вредоносное приложение – Boost Views, продвигалось в Google Play как инструмент для заработка на YouTube. После запуска приложения пользователю предлагалось выбрать одну из двух функций: смотреть видео с YouTube, получая за это «зарплату», или увеличить число просмотров собственного канала. Программу скачали до 100 тыс. раз. Для просмотра видео с YouTube в приложение встроен видеоплеер Viewer. Стоимость услуг пользователей оценивается в $0,0001–0,0005 в минуту (такие расценки действовали во время исследования), заработанная сумма отображается в окне под плеером. Накопив $0,09, исследователи попытались перевести их на PayPal – для этого в приложении предусмотрена специальная форма авторизации. Получить «зарплату» не удалось – после ввода логина и пароля приложение выдавало сообщение об ошибке, в то время как учетные данные PayPal отправлялись на удаленный сервер разработчиков. Менее востребованная функция приложения – увеличить трафик YouTube-канала пользователя. Стоимость услуги начинается от 3,29 долларов, чтобы оплатить ее, нужно ввести данные банковской карты – эта информация также поступит в распоряжение разработчиков. Второе приложение – PaxVendor, использовало популярность биткоин-обменника Paxful. Программа собирала логины и пароли от этого сервиса при помощи фальшивого экрана авторизации и не имела других функций. После ввода учетных данных пользователь увидит сообщение об ошибке, тем временем, операторы PaxVendor смогут войти в скомпрометированный аккаунт. В ходе исследования Eset была зафиксирована попытка входа в тестовый аккаунт Paxful с территории Украины. После сообщения Eset вредоносные приложения были удалены с Google Play. Антивирусные продукты Eset NOD32 детектируют вредоносные приложения как Trojan.Android/FakeApp.FK и Android/FakeApp.FI соответственно.

Eset сообщила об обнаружении в магазине Google Play 13 вредоносных приложений для кражи логинов и паролей Instagram. Как сообщили в компании, количество загрузок превысило полтора миллиона. Приложения использовали один и тот же способ сбора учетных данных. Они предлагали раскрутку аккаунтов в Instagram – быстрый рост числа подписчиков, лайков и комментариев. После установки приложение запрашивает у пользователя логин и пароль от Instagram. Введенные данные отправляются на удаленный сервер мошенников в виде простого текста. При этом пользователь не сможет войти в учетную запись – приложение выводит на экран сообщение о неверном пароле. В Instagram предусмотрено оповещение пользователей о несанкционированных попытках доступа. Чтобы авторизоваться во взломанной учетной записи, не вызывая подозрений, мошенники добавили в сообщение о неверном пароле предложение пройти верификацию аккаунта. Предполагается, что пользователь подтвердит «законность» действий злоумышленников. В Eset отследили серверы, на которые поступали украденные логины и пароли, и связали их с сайтами, продающими услуги раскрутки аккаунтов в Instagram. Взломанные учетные записи использовались для распространения спама, а также «пакетной» продажи подписчиков, лайков и комментариев. После предупреждения Eset вредоносное ПО было удалено из Google Play. Эксперты Eset рекомендуют пострадавшим сменить пароли от Instagram, а также от других сервисов, если пароль где-либо повторялся. Антивирусные продукты Eset NOD32 детектируют приложения как Android/Spy.Inazigram.

Вирусная лаборатория Eset обнаружила мобильный банковский троян для Android с функцией блокировки экрана. Зловред маскируется под приложения с прогнозом погоды на Google Play, сообщили сегодня в Eset. В ходе установки вредоносная программа запрашивает у пользователя расширенные права в системе. Когда установка завершена, троян выводит на главный экран виджет с прогнозом погоды, «позаимствованный» у легального приложения. Параллельно с этим информация об устройстве передается в фоновом режиме на командный сервер. Троян распознает популярные банковские приложения, собирает логины и пароли при помощи фальшивых форм ввода и направляет эти данные своим операторам. Функция перехвата текстовых сообщений позволяет обойти двухфакторную аутентификацию на базе SMS. Кроме того, программа может блокировать и разблокировать экран устройства по команде злоумышленников, меняя пароль — предположительно, эта функция используется в момент списания средств со счета, чтобы скрыть кражу от жертвы, отметили в компании. Специалисты Eset обнаружили первую версию трояна на Google Play 4 февраля. Зловред маскировался под приложение Good Weather и искал на скомпрометированных устройствах одно из 22 банковских приложений, используемых в Турции. Через два дня поддельное приложение было удалено из магазина. Уже 14 февраля на Google Play появилась обновленная версия вредоносной программы. Она распространялась до 20 числа включительно — на этот раз под названием World Weather. Функционал трояна не изменился, но теперь кампания расширила охват и была нацелена на пользователей 69 британских, австрийских, немецких и турецких банковских приложений. После предупреждения Eset вредоносные приложения были удалены из Google Play, хостинговая компания обезвредила сервер злоумышленников. Троян можно удалить при помощи мобильного антивируса или вручную, предварительно отключив права администратора устройства. Eset NOD32 Mobile Security для Android детектирует новые угрозы как Trojan.Android/Spy.Banker.HU и Trojan.Android/Spy.Banker.HW.