Поиск

В сентябре 2017 года исследователи из компании Armis обнародовали информацию о восьми уязвимостях, получивших общее название Blueborne, затрагивающих реализации Bluetooth в устройствах на базе различных платформ - Android, Windows, Linux и iOS (до версии iOS 10). В худшем случае эксплуатация проблемы позволяла получить полный контроль над устройством и содержащимися на нем данными. По оценкам специалистов на тот момент, число уязвимых устройств превышало 5 млрд. Как показал новый анализ, год спустя порядка 2 млрд устройств по-прежнему являются уязвимыми к данным атакам. По словам экспертов, причина заключается двух факторах: многие пользователи так и не применили выпущенные производителями патчи, а для некоторых устройств корректирующие обновления попросту недоступны, в частности, для устаревшего оборудования, поддержку которого вендоры намерены прекратить в скором времени. По оценкам исследователей, незащищенными от данного типа атак остаются 768 млн устройств на базе Linux; 734 млн Android-гаджетов (под управлением версий Android 5.1 Lollipop и ниже); 261 млн устройств на базе Android 6 Marshmallow и более ранних; 200 млн устройств на базе уязвимых версий Windows; 50 млн гаджетов под управлением iOS 9.3.5 и ниже. За последний год специалисты в области кибербезопасности выявили немало уязвимостей, связанный с реализацией Bluetooth. К примеру, в июле текущего года сотрудники Израильского технологического института обнаружили криптографическую уязвимость (CVE-2018-5383), затрагивающую многочисленные реализации Bluetooth и драйверы ряда производителей, включая Apple, Broadcom, Intel и Qualcomm.

Чешский эксперт по безопасности Владимир Смитка призвал операторов web-сайтов проверить, каким образом настроены их ресурсы, особенно если они используют систему .git для развертывания и управления порталом. Недавно специалист провел сканирование 230 млн различных сайтов по всему миру и нашел 390 тыс. страниц с открытым каталогом .git. По словам эксперта, несанкционированные лица могут получить доступ к файлам с информацией о структуре web-сайта, а также к конфиденциальным данным, таким как пароли базы данных, ключи API и пр. Злоумышленник может воспользоваться доступом для постепенного восстановления репозитория .git либо выявления потенциальных уязвимостей на основе данных об используемых библиотеках. На некоторых открытых сайтах специалист обнаружил пароли от баз данных и неавторизованные загрузчики. Исследователь уведомил часть владельцев сайтов и, по его словам, на многих ресурсах данная проблема уже исправлена.

Популярные смартфоны Samsung Galaxy S7 содержат уязвимость в чипе, обнаруженную ещё в начале этого года, что ставит под удар десятки миллионов устройств, которые могут быть взломаны злоумышленниками — об этом исследователи из Технического университета в Граце (Австрия) сообщили журналистам Reuters. Речь идёт о пресловутой уязвимости Meltdown, которая, как считалось, не затрагивает ARM-чипы, используемые в Galaxy 7 и других смартфонах Samsung. Команда исследователей собирается обнародовать свои выводы в среду на конференции по безопасности Black Hat в Лас-Вегасе. Специалист Майкл Шварц (Michael Schwarz) сказал, что они изучают влияние Meltdown и на другие модели смартфонов и ожидают, что в ближайшем будущем обнаружат больше уязвимых устройств. «Возможно, уязвимостью затронуто гораздо больше смартфонов, о которых мы пока не знаем, — подчеркнул он. — Теоретически речь идёт о сотнях миллионов аппаратов, которые подвержены атакам Meltdown, и проблема не может быть исправлена, потому что производители до сих пор о ней не знают». Samsung заявила, что выпустила заплатки в январе и июле, чтобы защитить телефоны Galaxy S7 от Meltdown. «Samsung очень серьёзно относится к безопасности, и при разработке продуктов и услуг приоритет всегда отдаётся безопасности», — сказал корейский производитель в своём заявлении. Представительница Samsung поспешила отметить, что до сих пор не было доказанных случаев, когда Meltdown использовался бы для атаки на Galaxy S7 и что ничего не известно об уязвимости других смартфонов Samsung. Meltdown и схожая уязвимость Spectre эксплуатируют особенности работы механизма спекулятивных вычислений современных процессоров и могут быть использованы для доступа к защищённым областям кеш-памяти CPU. Пока нет громких случаев взлома с использованием подобных атак, вариантов которых обнаружено уже более десятка. Тем не менее, производители вынуждены выпускать заплатки, которые нередко сказываются на производительности системы. Согласно данным исследовательской фирмы Strategy Analytics, Galaxy S7 в настоящее время используется примерно 30 миллионами человек.

Новые модели яхт могут быть оснащены роутерами и другими системами, уязвимыми ко взлому, отметил Стефан Герлинг (Stephan Gerling) из компании ROSEN Group во время конференции Security Analyst Summit 2018. По его словам, в современных суднах есть «дыры» вроде работающих по FTP-протоколу роутеров, которые могут использовать злоумышленники. На яхте могут быть установлены устройство для обслуживания судов, системы автоматической идентификации и контроля двигателя, автопилот, GPS-приёмники, радар, камеры, эхолоты и так далее. Все эти технологии подключены к сети, которой можно управлять с внешнего устройства вроде смартфона. Поэтому у хакеров есть возможность взять под контроль всю яхту целиком. В рамках демонстрации Герлинг открыл на смартфоне, планшете и компьютере приложение для управления судном, которое подключилось к роутеру и загрузило XML-файл с его полной конфигурацией — в том числе с именем и паролем беспроводной точки доступа. Поскольку файл передавался по незащищённому FTP-протоколу, злоумышленники могли получить контроль над роутером и сетью. После этого у них появилась бы возможность перехватывать HTTP-ссылки и потоки аудио и видео, а также управлять устройствами на судне. Помимо этого, был обнаружен аккаунт с root-доступом к маршрутизатору — его, вероятно, создали разработчики для удалённой технической поддержки. После демонстрации поставщик яхты, на которой проводились опыты, выпустил обновление, исправив ряд уязвимостей — например, он заменил FTP-протокол на SSH. Но вот учётную запись с root-доступом поставщик так и не удалил. «В целом, у нас не особо много советов для владельцев яхт, — говорится в отчёте «Лаборатории Касперского», в котором появилась информация о потенциальной уязвимости. — Если вкратце, то мы рекомендуем выбирать производителя информационно-развлекательного решения с умом».

Все большее число домашних электронных устройств оказывается подключено к интернету. Вкупе с разнообразием выполняемых ими функций несанкционированный удаленный доступ может привести к неприятным последствиям. Например, взломав умную акустическую систему, злоумышленник может похитить данные или получить контроль над другими компонентами умного дома, такими, как дверной замок. Как выяснили исследователи компании Trend Micro, работающие в области компьютерной безопасности, множество акустических систем Sonos и Bose уязвимы перед удаленной атакой. Уязвимость позволяет получить доступ к разнообразным данным, начиная с адреса электронной почты, связанного с сервисом потокового вещания, и заканчивая примерным местоположением устройства, определяемым по точке доступа, к которой оно подключено. Выявить уязвимые АС можно простым сканированием сетей. В частности, исследователи смогли обнаружить около 2000-5000 АС Sonos и 400-500 АС Bose. В их числе — новейшие модели Sonos One и Bose SoundTouch. Злоумышленник может не только посмотреть, что воспроизводится в данный момент, но и включить воспроизведение звукозаписи, указав ссылку на нее. Это значит, что уязвимость может быть использована, чтобы подать команду голосовому помощнику Amazon Echo или Google Home, если они находятся в зоне действия АС Sonos или Bose.

Во всех без исключения проектах по анализу защищенности исследователи Positive Technologies обнаружили проблемы безопасности, открывающие возможность проведения атак через беспроводные сети компаний. Решить эти проблемы можно только с помощью комплексного подхода к обеспечению безопасности корпоративной инфраструктуры, сообщили в Positive Technologies. Одна из самых распространенных проблем безопасности корпоративных Wi-Fi-сетей — использование словарных паролей, которые легко подобрать. С ними исследователи Positive Technologies сталкивались практически во всех проектах по анализу защищенности ИТ-инфраструктуры. Кроме того, часто встречаются и ошибки конфигурирования сетей Wi-Fi, расширяющие возможности нарушителя для проведения атак. К таким недостаткам безопасности относится отсутствие ограничения мощности сигнала беспроводных маршрутизаторов, в результате которого подключение к сети компании можно осуществлять вне пределов контролируемой зоны — из соседнего здания или с парковки. Это, например, позволяет хакерам проводить атаки на устройства сотрудников компании за пределами контролируемой зоны и перехватывать аутентификационные данные для доступа к корпоративным ресурсам, рассказали в Positive Technologies. Помимо этого, как показывает опыт работ по анализу защищенности, во многих случаях после подключения к гостевой сети может быть получен доступ к другим сетевым сегментам, в том числе к ресурсам ЛВС, указали в компании. Часто бывает, что в компании ограничен доступ к интернету для сотрудников, заблокированы отдельные веб-ресурсы. Чтобы обойти эти ограничения, зачастую работники подключаются к нужным им сайтам со смартфонов. А для большего удобства они могут разворачивать на смартфоне беспроводную точку доступа, к которой подключают рабочую станцию и пользуются интернет-ресурсами через такое несанкционированное соединение, которое никак не защищено. По данным Positive Technologies, в среднем три несанкционированные точки доступа выявлялись в ходе работ по анализу защищенности беспроводных сетей на каждом объекте в 2016 г. В одной из компаний обнаружено сразу 7 таких точек. «Отказываться от использования Wi-Fi-сетей не нужно, гораздо более эффективный метод — внедрение комплексного подхода к обеспечению информационной безопасности, — убежден исследователь Positive Technologies Дмитрий Каталков. Нужно уделять внимание повышению осведомленности сотрудников в вопросах ИБ, а также перекрывать потенциальные векторы атак на Wi-Fi — например, внедрять безопасные методы аутентификации с проверкой сертификатов, ограничивать доступ клиентов гостевой сети к ЛВС, проводить регулярный анализ защищенности беспроводных сетей, выявлять и отключать несанкционированные точки доступа».

Браузеры, такие как Chrome, Firefox и Opera, уязвимы перед новой вариацией известной атаки, позволяющей фишерам зарегистрировать поддельные домены, имитирующие настоящие ресурсы Apple, Google, eBay и прочих компаний, предупреждает исследователь из Китая Сюйдун Чжэн. Техника, описанная специалистом, основана на так называемой омографической атаке, известной с 2001 года. Несколько лет назад ICANN разрешила использование не входящих в набор ASCII символов (Unicode) в доменных именах. Поскольку некоторые символы Unicode выглядят одинаково, например «а» в кириллице (U+0430) и «а» в латинице (U+0041), ICANN пришла к выводу, что использование символов Unicode может привести к путанице и усложнит отличие легитимных доменов от фишинговых сайтов. В этой связи вместо реального Unicode было решено использовать при регистрации доменов Punycode, представляющий текст Unicode в виде символов ASCII. По умолчанию производители браузеров должны были трансформировать Punycode URL в символы Unicode внутри браузера. Однако вскоре стало ясно, что Punycode может использоваться для маскировки фишинговых сайтов. Например, если атакующий зарегистрирует домен xn-pple-43d.com, это будет аналогом apple.com, однако в начале слова была бы использована кириллическая «а». Именно поэтому производители браузеров реализовали фильтры, отображающие URL в Unicode, только в том случае, если адрес содержит символы только из одного языка (например, только китайские или только японские). По словам Чжэна, злоумышленники могут обойти эти фильтры. Существует множество языков, использующих латинский алфавит, а следовательно, и символы Unicode. Исследователь зарегистрировал домен на одном из таких языков. Поскольку был использован набор символов только из одной группы языков в Unicode, антифишинговый фильтр не распознал присутствие символов из других языков. К примеру, зарегистрированных специалистом домен xn-80ak6aa92e.com отразился как арре.com (но с символами из кириллицы). В таком случае, единственным способом распознать фишинговый сайт будет проверка лицензии страницы, где домен отображается в Punycode. Перед подобными атаками уязвимы браузеры Chrome, Firefox, а также Opera (в том числе новая версия Opera Neon). Браузеры Edge, Internet Explorer, Safari, Vivaldi и Brave проблеме не подвержены. Чжэн связался с Google и Mozilla в январе нынешнего года. Google уже исправила проблему в Chrome Canary 59, полноценный патч будет выпущен в составе Chrome Stable 58. Инженеры Mozilla еще не подготовили исправление, а пока рекомендуют пользователям отключить поддержку Punycode.

В следующей инсайдерской сборке Windows 10 будет улучшена защита от атак с использованием прямого доступа к памяти (DMA), позволяющих злоумышленникам получать ключи шифрования BitLocker и другую конфиденциальную информацию пользователей Windows 8.1 и 10. Прямой доступ к памяти обеспечивается через порты в аппаратном обеспечении, позволяющие внешним компонентам подключаться к основной памяти компьютера без участия центрального процессора. В ходе атак с использованием DMA хакеры получают доступ к памяти через один из портов DMA. Подобные атаки отнюдь не новы и известны еще с 1990-х годов. В Windows 8.1 и 10 компания Microsoft реализовала защиту от них, включив групповые политики, деактивирующие порты DMA во время включения и блокировки компьютера. Тем не менее, если до блокировки через порты были подключены устройства, эти порты оставались открытыми. Как сообщает финский исследователь Сами Лайхо, вышеупомянутые меры безопасности неэффективны и касаются не всех портов DMA. Защита срабатывает для шин на базе PCI (ExpressCard, Thunderbolt, некоторых док-станций и пр.), но более старые шины (например, 1394 и CardBus) по-прежнему уязвимы. В результате атакующий может получить доступ к информации, даже если пользователь активировал защиту портов. Лайхо продемонстрировал атаку через порт FireWire в прошлом году на конференции Microsoft Ignite. В ближайшее время Microsoft исправит проблему в инсайдерской сборке Windows 10, а позже и в финальной версии.