💻 Упс, 12+ млн API-токенов на GitHub

🗄Эксперты по кибербезопасности GitGuardian выяснили, что в 2023 году пользователи GitHub случайно раскрыли 12,8 млн аутентификационных и конфиденциальных токенов API. Утечки произошли в более чем 3 млн общедоступных репозиториев.

🗄В частности, на GitHub раскрывали ключи Google API и Google Cloud, MongoDB, токены ботов OpenWeatherMap и Telegram, учётные данные MySQL и PostgreSQL, а также ключи OAuth GitHub. 91,6% данных были доступны пять и более дней.
Тренды раскрытия данных определяются и развитием ИИ. Так, количество утечек ключей API OpenAI на GitHub выросло в 1212 раз по сравнению с 2022 годом. У HuggingFace также резко возросло количество утечек.

🗄В GitGuardian отмечают, что технологии ИИ можно использовать для обнаружения и защиты раскрытых данных. Однако огромные операционные масштабы, стоимость и эффективность идентификации пока ограничивают внедрение таких инструментов.

🗄С 1 марта GitHub по умолчанию активировала защиту от принудительной отправки push-уведомлений для всех общедоступных репозиториев при отправке нового кода. Это позволит предотвратить случайное раскрытие данных, в том числе токенов доступа и ключей API.

@linuxkalii

💻 «Звуковая» атака позволяет перехватывать нажатия клавиш на основе паттернов набора текста

🗄Исследователи продемонстрировали новую атаку, которая позволяет распознавать нажатые пользователем клавиши, даже если вокруг довольно шумно.

🗄Эксперты из Университета Огасты (США) опубликовали технический документ, в котором подробно описали созданную ими side-channel атаку. Хотя эффективность этого метода в среднем составляет 43% (что значительно ниже, чем у других похожих атак), в данном случае потенциальному злоумышленнику не требуется создавать контролируемые условия для записи аудио, и он не привязан к конкретной платформе в вопросе набора текста.

🗄Атака строится на использовании характерных звуков, издаваемых клавишами при нажатии, и паттернов набора текста, присущих каждому пользователю, которые фиксируются специализированным ПО для сбора датасетов. То есть перед проведением атаки важно собрать несколько аудиообразцов набора текста, чтобы можно было соотнести конкретные нажатия клавиш со звуковыми колебаниями.

🗄В статье исследователей подробно рассматриваются возможные методы перехвата набора текста, но также отмечается, что это можно осуществить с помощью малвари, вредоносных сайтов и расширений для браузеров, взломанных приложений, XSS или даже заранее взломанных USB-клавиатур.

🗄Сам исследователи предлагают записывать звуки, сопровождающие набор текста, с помощью скрытого микрофона, расположенного рядом с целевой машиной, или удаленно — с помощью взломанных устройств, находящихся поблизости (например, смартфонов, ноутбуков или умных колонок).

🗄Полученный в результате набор данных не обязательно должен быть большим, но лучше записать звук клавиш в разных условиях, так как это помогает атаке стать эффективнее.

🗄 Читать подробнее

@linuxkalii

💻 Хакеры объявили о выпуске джейлбрейка для Apple TV

🗄Хакерская группировка palera1n анонсировала новый инструмент для джейлбрейка устройств Apple TV. Разработчики рассказали, чего ждать от нового релиза, и с какими версиями tvOS он будет совместим.

🗄Согласно источнику, джейлбрейк направлен на устройства Apple TV HD и Apple TV 4K (1-го поколения), работающие под управлением tvOS в диапазоне версий от 15.0 до 17.4. Отмечается, что джейлбрейк использует собственный root-загрузчик для реальной файловой системы, при этом инъекция твиков тоже работает.

🗄Согласно источнику, джейлбрейк направлен на устройства Apple TV HD и Apple TV 4K (1-го поколения), работающие под управлением tvOS в диапазоне версий от 15.0 до 17.4. Отмечается, что джейлбрейк использует собственный root-загрузчик для реальной файловой системы, при этом инъекция твиков тоже работает.

@linuxkalii

🖥 Python-разработчики подверглись сложной атаке на цепочку поставок

⏩Аналитики компании Checkmarx сообщили, что после загрузки вредоносного клона популярной утилиты Colorama несколько Python-разработчиков, включая сопровождающего Top.gg, оказались заражены малварью, похищающей информацию. По мнению специалистов, основной целью кампании, скорее всего, была кража данных и их последующая монетизация.

⏩Атака началась аж в ноябре 2022 года, когда хакеры впервые загрузили вредоносные пакеты в Python Package Index (PyPI). В последующие годы на PyPI было добавлено еще больше пакетов с малварью. Все они были похожи на популярные опенсорсные инструменты, что повышало вероятность их попадания в результаты поисковых систем.

⏩Утилита Colorama, которую в числе прочих подделали злоумышленники, обеспечивает работу последовательностей символов ANSI в Windows и в настоящее время насчитывает более 150 млн загрузок ежемесячно.

⏩Чтобы организовать атаку на цепочку поставок, хакеры клонировали эту утилиту, внедрили в нее вредоносный код и разместили вредоносную версию на поддельном домене. Благодаря тому, что атакующие использовали тайпсквоттинг, сайт хакеров (files.pypihosted[.]org) походил на легитимное зеркало files.pythonhosted.org.

⏩Для распространения вредоносного пакета злоумышленники не только создали вредоносные репозитории под собственными учетными записями, но также взломали ряд известных аккаунтов. В их числе был GitHub-аккаунт editor-syntax, поддерживающий платформу для поиска и обнаружения серверов, ботов и других социальных инструментов в Discord, Top.gg, сообщество которой насчитывает более 170 000 участников.

⏩Аккаунт, скорее всего, был взломан через украденные cookies, которые злоумышленники использовали для обхода аутентификации и выполнения вредоносных действий, при этом не зная пароля аккаунта. В результате взлома пострадали несколько членов сообщества Top.gg.

📎 Читать подробнее

@linuxkalii