Ловим хакера на сладенькое

Мы с вами уже как-то обсуждали, что такое ханипоты и какими они бывают. Теперь давайте углубимся в тему и разберемся, как это работает в масштабах всей инфраструктуры, а не отдельного хоста. Эту задачу закрывают решения класса Deception.

Deception – это класс средств активной защиты, который намеренно создает для атакующего ложную, но правдоподобную поверхность атаки (как же это красиво звучит). Вместо того чтобы только блокировать действия, атакующему подсовывают фальшивые системы, учетные данные, файлы, API, сетевые сервисы и другие артефакты, чтобы обнаружить взлом, увести атакующего от реальных активов и собрать его TTP (кого кого). CISA, например, относит к deception platforms решения от отдельных decoy-машин до целых ложных сетевых инфраструктур.

Откуда я так много об этом знаю, спросите вы? А я вам отвечу, что просто в прошлом году на одном мероприятии я как обычно пришел залутаться мерчем послушать доклады и совершенно случайно познакомился на стенде с ребятами из Infrasec, которые как раз развивают свою Deception-платформу. Они то мне и рассказали, что с помощью таких решений можно наворотить разветвленную систему из сотен файлов и процессов разной степени интерактивности. У них, кстати, есть бесплатная коммьюнити версия на 3 года, для тех, кто хочет попробовать этот класс решений, но не хочет пока тратить на него деньги.

Решения этого класса, к слову, особенно полезны тем, что позволяют поймать атакующего на этапах, когда он уже получил первичный доступ и закрепился внутри инфраструктуры.

При этом важно, чтобы ханипот был интерактивным и действительно похожим на инфраструктуру, внутри которой развернут – поэтому скачать какое-нибудь типовое решение с Гитхаба и просто развернуть у себя внутри будет не самой лучшей идеей.

Ну вот и всё, теперь вы знаете, на что тратит деньги энтерпрайз, когда у него уже построен кибербез. Всем мир.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Вы там точно готовы к конкурсу?!?!?

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Линукс обсудили в одном из прошлых постов, а что там про macOS?

Сразу вывалю цитату уровня ВК пабликов: купить качественную технику ≠ купить безопасность.

И с этим пришлось столкнуться миллионам счастливых обладателей яблока. Сначала реклама Apple нулевых утверждала, что их компьютеры не подвержены вирусным атакам. А потом случилось несколько прецедентов, которые вернули всех в реальность.

Один из первых громких случаев – троян Flashback в 2012 году. Заражение шло через уязвимость в Java прямо при заходе на сайт (никаких «сам скачал и запустил»). В итоге было заражено около 600–700 тысяч Mac, а это на минуту примерно каждый сотый компьютер Apple в мире на тот момент. После этой истории Apple переписали на своем сайте формулировку «Mac не подвержен вирусам» на осторожное «создан, чтобы быть безопасным» 🙌

А дальше пошло по накатанной. В 2016 году появился первый рабочий шифровальщик для macOS KeRanger – он распространялся внутри зараженной сборки популярного торрент-клиента (скачанной с официального сайта) и вымогал у людей биткоины.

В 2021 загадочный зловред Silver Sparrow тихо расселился на десятки тысяч Mac, включая новейшие на тот момент модели. Плюс рекламное ПО вроде Shlayer – одна из самых массовых зараз в истории платформы.

А что по угрозам для macOS на сегодня?

Главный жанр – стиллеры (от слова "красть"). Это не вирус, который живет в системе годами, а программа одного визита: запустилась, показала поддельное окно «введите пароль», за несколько секунд выгребла связку ключей, куки и сессии браузера, данные автозаполнения и криптокошельки – и отправила все злоумышленнику. Закрепляться в системе ей незачем: дело сделано.

Яркий пример – Atomic Stealer и его многочисленные клоны. Каналы распространения: фейковая реклама в поисковиках, поддельные обновления браузера на взломанных сайтах, кряки и «бесплатные» версии платного софта, фальшивые приложения для созвонов.

Ключевой момент – во всех сценариях жертва сама запускает файл и вводит пароль администратора. Потому что мы привыкли думать, что у macOS есть надежная защита.

Да, защита есть, и хорошая. Gatekeeper не дает запускать неподписанные приложения. Нотаризация означает, что Apple проверила файл. Встроенный антивирус XProtect в наличии. Система разрешений спрашивает про доступ к камере, микрофону и папкам. SIP защищает системные файлы даже от root.

Проблема в том, что все эти механизмы спроектированы против софта, а атакуют человека. (Да, я не устану об этом говорить, потерпите). Инструкция к кряку прямым текстом пишет: если система не дает открыть файл – зайдите в настройки и нажмите «Все равно открыть». И человек идет и нажимает, вводит пароль, выдает разрешения. Социальную инженерию не считает ни один Gatekeeper: формально вы не жертва взлома, а соавтор установки.

И дальше будет только интереснее. Доля Mac растет год от года, macOS прочно прописался в корпорациях и у состоятельной аудитории. Для злоумышленника это буквально описание идеальной цели: платежеспособные пользователи, у которых в связке ключей лежит много ценного и которые при этом уверены, что защищены самим фактом покупки. Стиллеры под Mac уже продаются в аренду как сервис – с поддержкой и обновлениями.

Так что не расслабляемся и продолжаем выполнять необходимую базу:

⚡️ Ставим обновления macOS и приложений: большинство реальных атак использует давно закрытые дыры.
⚡️ Устанавливаем софт из App Store и с сайтов разработчиков. Бесплатный Photoshop сегодня – это легкий способ нарваться на стиллер.
⚡️ Не отключаем Gatekeeper и SIP «потому что мешают» и не вводим пароль администратора на автомате. Не забываем задать себе вопрос: точно ли я доверяю этой программе?
⚡️ Читаем, что именно вы разрешаете в системных запросах.
⚡️ Используем менеджер паролей и двухфакторную аутентификацию: даже если пароли утекут, аккаунты устоят.

Mac действительно безопаснее многого «из коробки», это факт. Но важно помнить, что безопасный не означает неуязвимый. И что не всегда хорошо, когда техника умнее своего владельца. Всем мир 🫶

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT