Иллюзия безопасности

А помните, как в 2016 году все (ладно, не все) смеялись над Цукербергом и называли его паранойиком за то, что он заклеивает скотчем камеру и микрофон своего макбука?

На самом деле, слежка через камеры – это не такая уж и городская легенда, а скорее реальная возможность для атаки. Еще со времен нулевых трояны удаленного доступа (RAT) умели включать веб-камеры по запросу хакера. На теневых форумах того времени существовал целый рынок, где доступ к взломанным компьютерам продавали пачками (camfecting). Делалось это с двумя конкретными целями: подсмотреть за человеком (ради удовольствия) или шантажировать (ради денег).

Один из самых громких случаев произошел в 2010 году в США, когда школьный округ выдал ученикам макбуки с «противоугонным» софтом, в результате чего были сделаны десятки тысяч фотографий школьников в их личных комнатах и спальнях. Дело закончилось скандалом и судом. После этого в СМИ все чаще стали всплывать мнения о том, что заклеивать камеру – это не всегда про паранойю, а все-таки еще и про безопасность.

Обычно в этом споре главный контраргумент звучит так: зачем переживать, ведь камера не сможет включиться без светового индикатора, и я все равно замечу, что меня снимают. Ну правда?)

Во-первых, на части ноутбуков индикатор камеры управляется программно: прошивкой или драйвером.
Еще в 2013 году была исследована потенциальная атака iSeeYou. На макбуках старых поколений можно было перепрошить контроллер камеры и снимать с погашенным светодиодом.

А во-вторых, даже учитывая, что на современных Mac светодиод соединен с камерой аппаратно, есть важный момент – горящий индикатор надо успеть заметить. Для кадра достаточно доли секунды.

Ну и еще один важный момент, который нужно держать в голове. Если в вашей машине сидит зловред, у которого хватает прав включить камеру, то у него есть доступ и к микрофону, экрану, файлам, паролям и перепискам. А зачастую разговоры и переписки содержат намного больше информации для шантажа, чем фото вашей спальни. Так что наклейка на камере закрывает лишь один канал утечки из десяти возможных.

Так заклеивать камеру или нет?

Да, если хотите себя обезопасить, то заклеивать можно и разумно. Это бесплатная страховка от зловредов, от криво написанных приложений и от собственной ошибки (например, незаметно включившейся камеры во время созвона).

Физика все равно надежнее любого софта. Шторка на камере или отключенная от USB внешняя вебка снимать не будет даже во время взлома. Но не стоит забывать, что помимо ноутбука, мы еще и повсюду носим с собой смартфон, у которого камер даже больше. И однажды я работал с человеком, у которого на его андроид-смартфоне была заклеена стикером каждая камера 😬

А вы заклеиваете камеру на ноутбуке?

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Ну и как это замерять

Сегодня расскажу вам про боль. В мире кибербеза шутка про то, что в одной деревне метрики (не важно какие конкретно) мерили линейкой, а в соседней – просто опросили респондентов, и какой разлет результатов при этом получился, давно уже стала бородатой, но от того не потеряла актуальности.

Характеристики средства защиты (вообще любого), описанные вендором, получены в одному ему известных условиях. Все прямо как на презентациях Эппл и Xiaomi. Да и в том же направлении ИИ, где с выходом каждой новой модели разгоняется колесо бенч-максинга и получаются результаты, которые никто потом не может воспроизвести.

Собственно поэтому возрастает ценность независимой аналитики от третьей стороны, у которой должны быть и компетенции и возможность развернуть какую-нибудь навороченную железку на приближенных к реальности стендах.

В России, например, тестированием того же NGFW (это такой умный межсетевой экран) занимаются Джеты. По публичной методологии, все версии которой можно найти и почитать вот тут.

Сценарии тестирования изощренные и многоэтапные, метрик столько, что позавидует любой дашборд. Классная статья на тему того, как вообще трактовать эти самые цифры из итогов тестирований, выходила в апреле уже вот тут.

Тестирование по последней версии методики Джетов прошли все ведущие российские решения класса межсетевых экранов нового поколения (и даже вроде как уходящий Чекпойнт). Буквально на днях были опубликованы итоги тестирования решения PT NGFW 1.11 от «ТризТех» (это дочка Позитивов с фокусом на сетевую безопасность).

Подводя итог, центры независимого тестирования – это очень крутая и ценная история для сообщества, которая позволяет получить более детальные представления о продуктах до запуска пилота на своей инфраструктуре и железе.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Лучше сядьте

Потому что мы досняли и домонтировали тот самый ролик. Ролик с самым полномасштабным разбором всех ролей и направлений в мире кибербезопасности. Без воды, с кучей графики и мемов. Все, как вы любите.

https://youtu.be/_mLan7QdY8Q
https://youtu.be/_mLan7QdY8Q
https://youtu.be/_mLan7QdY8Q

Какие профессии есть в ИБ? Чем отличаются SOC, пентест, AppSec, DevSecOps, DFIR, реверс-инжиниринг и другие направления? И главное — как выбрать роль, с которой стоит начать карьеру?

Ссылки на ролик:
- 📹 Youtube
- 📺 VK Video (а надо?)

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Как заскамить жену безопасника

А я вам сейчас расскажу. Причем на личном примере любимой своей жены 🥰

Началась эта история с того, как я увидел ее ошарашенное лицо в тот момент, как она клала трубку телефона, порываясь мне в чем-то раскаяться. Собственно, так и оказалось, ведь за минуту до этого момента она продиктовала своему собеседнику 4 цифры из СМС от отправителя под названием "2-berega".

Схема, при этом, ей попалась уже обкатанная годами. Более того, мы с ней ее даже проговаривали как-то раз. Но ничто не может тебя удержать, если в голове у человека в момент отыгрывания легенды сходятся факты из реальной жизни.

Собственно, начальная фаза схемы стартует с "замены домофона в вашем подъезде". Вам звонят из компании-подрядчика и рассказывают о том, что в вашем подъезде меняют домофон. В связи с этим, теперь нужно всем жильцам раздать новые ключи. Но перед этим нужно пройти легкую аутентификацию для того, чтобы связать ваш подъезд, ваш номер квартиры, ваше имя и ваш номер телефона. Как? Да очень просто – при помощи одноразового кода из СМС. Оператор даже называет отправителя этого кода – "2 берега". Через секунду приходит СМС, а мошенник получает 4 заветные цифры оттуда.

Я зашел в комнату именно в этот момент. Более того, моя жена уже сама смекнула, что это были мошенники, потому что после того, как она уже передала им код, человек на той стороне решил уточнить, какая у нее сейчас фамилия (девичья или мужа).

Мне почему-то сразу показалось, что ничего страшного от этих утекших 4 цифр быть не должно. Я сразу решил проверить, какие коды приходят от Госуслуг, ТБанка, Яндекса и еще пары сервисов, и обнаружил, что там у всех минимум 6 цифр (спасибо, ребята). Перебрав все возможные варианты, пересмотрев активные сессии во всех сервисах и приложениях, мы не нашли никаких следов и решили, что это просто был первый этап.

Так и оказалось, так как буквально через полчаса мы вошли в фазу два. Жене сначала пришла СМСка от левого номера телефона с текстом "Вход в "Мои документы" по СМС прошел успешно. При подозрении на несанкционированный доступ обратитесь в службу поддержки [еще один левый номер телефона]". Ну после поступил звонок из МИНЦИФРЫ (а вы как думали) и оператор начал ее грузить тем, что они узнали о ее оплошности, о коде от 2-berega и что с ее Госуслуг уже выписали на кого-то доверенность, подменили "основное устройство", и вот это вот все. Дальше оператор попытался выяснить актуальный адрес электронной почты, чтобы выслать на него уведомление о том, что была выдана доверенность (что?).

Письмо я это в итоге на одной из почт жены (само собой, в спаме) нашел, и отправлено оно было с адреса "office@digitals.gov.ru". Настоящий же адрес "office@digital.gov.ru". В общем, в какой-то момент я взял трубку, потому что хотел завершить этот разговор, но увлекся и в итоге звонок продлился минут 30. По итогу мы дали понять, что до фазы три мы не дойдем, и оператор повесил трубку.

Но фаза три таки настала, потому что минут через 10 после этого на номер телефона жены начали сыпаться десятки СМС (в итоге их было около 100) с одноразовыми кодами из банков, аптек, онлайн-кинотеатров, соцсетей и тд. Параллельно шли звонки, где голосом ей также диктовали коды аутентификации. Ну а в мобильных приложениях (по типу WB) также сыпались пуши с кодами. И длилось это порядка часа.

Извините, но на этом моменте эта остросюжетная история окончилась, потому что дойти до установки на смартфон вредоносного ПО и звонков от силовиков мы уже не смогли. Вот как-то так. Надеюсь, что эта небольшая история будет уроком и для вас, друзья. Всем мир.

И да, спасибо @popepiusXIII за дельный совет – добавлять номера мошенников в базы телекомов.

Например, вот тут – ссылка

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT