💻 Поиск руткитов в Kali (и не только) с помощью Chrootkit и Rkhunter

Руткит — это вредоносная программа, которая позволяет неавторизованному пользователю (читай злоумышленнику) получить доступ к системе и ее ограниченному программному обеспечению.

В этом посте мы поговорим о 2 самых известных программах с открытым исходным кодом — chkrootkit и rkhunter. Мы можем установить их в Kali Linux или любой другой дистрибутив Linux и проверить наш компьютер на наличие руткитов.


🗄Chkrootkit

chkrootkit — это простая программа, которая может гарантировать, что наш Kali Linux не был заражен. Мы также можем запустить chkrootkit на других дистрибутивах Linux, установив его на эти системы.

Ставится chkrootkit очевидным образом:
sudo apt install chkrootkit

Для проверки на наличие руткитов нужно просто запустить chkrootkit:
sudo chkrootkit


🗄Rkhunter (Охотник за руткитами)

rkhunter — это инструмент на базе Linux/Unix для сканирования возможных руткитов, бэкдоров и локальных эксплойтов.

Для этого он сравнивает SHA-1 хэши важных файлов с известными хорошими файлами в онлайн-базах данных, ищет каталоги по умолчанию (руткитов), неправильные разрешения, скрытые файлы, подозрительные строки в модулях ядра и специальные тесты для Linux.

Он не поставляется предустановленным в Kali Linux, поэтому:
sudo apt install rkhunter

После установки мы можем запустить rkhunter для сканирования всей нашей системы:
sudo rkhunter -c

Также сохраняет выходной файл журнала в /var/log/rkhunter.log

@linuxkalii

💻 Наиболее известное коммерческое шпионское ПО

🗄Pegasus — NSO Group

Атакуемые ОС: iOS, Android

Использование уязвимостей нулевого дня: Apple iOS, Apple Safari, WhatsApp, Apple iMessage

Использование zero-click-эксплойтов: да

Страна происхождения: Израиль

Альтернативные названия: Chrysaor, DEV-0336, Night Tsunami


🗄DevilsTongue, Sherlock — Candiru

Атакуемые ОС: Windows, macOS, iOS, Android

Использование уязвимостей нулевого дня: Microsoft Windows, Google Chrome

Использование zero-click-эксплойтов: вероятно

Страна происхождения: Израиль

Альтернативные названия: SOURGUM, Caramel Tsunami, Saito Tech Ltd.


🗄Alien, Predator — Cytrox/Intellexa

Атакуемые ОС: Android, iOS

Использование уязвимостей нулевого дня: Google Chrome, Google Android, Apple iOS

Использование zero — click-эксплойтов: нет (частичный аналог при использовании комплекса Mars)

Страна происхождения: Северная Македония/Кипр

Альтернативные названия: Helios, Balinese Ltd., Peterbald Ltd.


🗄Subzero — DSIRF

Атакуемые ОС: Windows

Использование уязвимостей нулевого дня: Microsoft Windows, Adobe Reader

Использование zero — click-эксплойтов: нет

Страна происхождения: Австрия

Альтернативные названия: KNOTWEED, Denim Tsunami, MLS Machine Learning Solutions GmbH


🗄Heliconia — Variston IT

Атакуемые ОС: Windows, Linux

Использование уязвимостей нулевого дня: Microsoft Defender, Google Chrome, Mozilla Firefox

Использование zero — click-эксплойтов: нет

Страна происхождения: Испания


🗄 Читать подробнее

@linuxkalii

💻 Упс, 12+ млн API-токенов на GitHub

🗄Эксперты по кибербезопасности GitGuardian выяснили, что в 2023 году пользователи GitHub случайно раскрыли 12,8 млн аутентификационных и конфиденциальных токенов API. Утечки произошли в более чем 3 млн общедоступных репозиториев.

🗄В частности, на GitHub раскрывали ключи Google API и Google Cloud, MongoDB, токены ботов OpenWeatherMap и Telegram, учётные данные MySQL и PostgreSQL, а также ключи OAuth GitHub. 91,6% данных были доступны пять и более дней.
Тренды раскрытия данных определяются и развитием ИИ. Так, количество утечек ключей API OpenAI на GitHub выросло в 1212 раз по сравнению с 2022 годом. У HuggingFace также резко возросло количество утечек.

🗄В GitGuardian отмечают, что технологии ИИ можно использовать для обнаружения и защиты раскрытых данных. Однако огромные операционные масштабы, стоимость и эффективность идентификации пока ограничивают внедрение таких инструментов.

🗄С 1 марта GitHub по умолчанию активировала защиту от принудительной отправки push-уведомлений для всех общедоступных репозиториев при отправке нового кода. Это позволит предотвратить случайное раскрытие данных, в том числе токенов доступа и ключей API.

@linuxkalii

💻 «Звуковая» атака позволяет перехватывать нажатия клавиш на основе паттернов набора текста

🗄Исследователи продемонстрировали новую атаку, которая позволяет распознавать нажатые пользователем клавиши, даже если вокруг довольно шумно.

🗄Эксперты из Университета Огасты (США) опубликовали технический документ, в котором подробно описали созданную ими side-channel атаку. Хотя эффективность этого метода в среднем составляет 43% (что значительно ниже, чем у других похожих атак), в данном случае потенциальному злоумышленнику не требуется создавать контролируемые условия для записи аудио, и он не привязан к конкретной платформе в вопросе набора текста.

🗄Атака строится на использовании характерных звуков, издаваемых клавишами при нажатии, и паттернов набора текста, присущих каждому пользователю, которые фиксируются специализированным ПО для сбора датасетов. То есть перед проведением атаки важно собрать несколько аудиообразцов набора текста, чтобы можно было соотнести конкретные нажатия клавиш со звуковыми колебаниями.

🗄В статье исследователей подробно рассматриваются возможные методы перехвата набора текста, но также отмечается, что это можно осуществить с помощью малвари, вредоносных сайтов и расширений для браузеров, взломанных приложений, XSS или даже заранее взломанных USB-клавиатур.

🗄Сам исследователи предлагают записывать звуки, сопровождающие набор текста, с помощью скрытого микрофона, расположенного рядом с целевой машиной, или удаленно — с помощью взломанных устройств, находящихся поблизости (например, смартфонов, ноутбуков или умных колонок).

🗄Полученный в результате набор данных не обязательно должен быть большим, но лучше записать звук клавиш в разных условиях, так как это помогает атаке стать эффективнее.

🗄 Читать подробнее

@linuxkalii

💻 Хакеры объявили о выпуске джейлбрейка для Apple TV

🗄Хакерская группировка palera1n анонсировала новый инструмент для джейлбрейка устройств Apple TV. Разработчики рассказали, чего ждать от нового релиза, и с какими версиями tvOS он будет совместим.

🗄Согласно источнику, джейлбрейк направлен на устройства Apple TV HD и Apple TV 4K (1-го поколения), работающие под управлением tvOS в диапазоне версий от 15.0 до 17.4. Отмечается, что джейлбрейк использует собственный root-загрузчик для реальной файловой системы, при этом инъекция твиков тоже работает.

🗄Согласно источнику, джейлбрейк направлен на устройства Apple TV HD и Apple TV 4K (1-го поколения), работающие под управлением tvOS в диапазоне версий от 15.0 до 17.4. Отмечается, что джейлбрейк использует собственный root-загрузчик для реальной файловой системы, при этом инъекция твиков тоже работает.

@linuxkalii