Ну а пока я вам пишу небольшой гайд про настройку своего собственного безопасного (насколько это возможно) VPN-сервиса, ловите мем из запрещенных соцсетей.

#КиебрМем

Твой Пакет Безопасности

​Нет, ну ты видел?

Судя по всему, такой формат вам зашел, поэтому сегодня снова будет сразу несколько новостей из схожих тематик.

Начнем с того, что власти решили инициировать создание отечественного мессенджера. Тендер забрала себе компания, связанная с VK, а доступ к новому средству коммуникации получат (судя по всему) все чиновники и люди, связанные с госструктурами. Хочется надеяться на то, что упор на безопасность там сделают основной задачей. Если я все правильно понял, то это детище должно стать заменой Телеграму, а в пакет сервисов от нового разработчика войдет также календарь, менеджер задач, электронная почта, облако и видеозвонки.

Вторая новость касается наших любимых утечек данных граждан РФ. РКН решил ввести уголовную ответственность за все манипуляции (включая покупку, продажу и перепродажу) со слитыми персональными данными в даркнетах и прочих местах скопления злоумышленников. Привлекать всех будут по статье 137 УК РФ. К слову, всем известный Глаз Бога, также подпадает под эту статью. Инициатива кажется здравой, особенно с учетом того, что бОльшая часть наших данных уже гуляет по сети. Не ясно только, как таких людей будут искать и привлекать к этой ответственности.

Ну и завершим наш дайджест новостей инфоповодом, который касается серых симок. Всё тот же Роскомнадзор решил потребовать от операторов связи заблокировать сим-карты абонентов с неактуальными данными их владельцев. Это должно усложнить жизнь тем, кто звонит обычным гражданам от лица служб безопасности различных компаний и пытается их обмануть. На фоне этого, само собой, начали появляться новые схемы мошенничества, в которых жертвам теперь звонят от имени самих операторов с новостью о блокировке номера в случае отказа назвать код из смс (его они вам тоже отправят). По итогу они получают доступ к вашему аккаунту на Госуслугах.

К слову о серых симках – активность затронет не только плохих ребят, но и тех, кто до сих пор пользуется архивными корпоративными номерами (оформленными не на них), тех, кто использует серые симки в своих дачных роутерах и прочих невиновных.

#НовостьДня

Твой Пакет Безопасности

Совсем забыл поделиться с вами еще одной гордостью – я тут дал интервью одному крутому кибербезопасному изданию – Cyber Media. Поговорили с ребятами на тему построения информационной безопасности в различных отраслях и сферах бизнеса.

Если будет интересно, то велкам – https://securitymedia.org/articles/interview/roman-panin-mts-bazovye-printsipy-postroeniya-informatsionnoy-bezopasnosti-ostayutsya-neizmennymi-i-.html

Если вдруг у вас есть знакомые в каких-то СМИ, то не сдерживайте себя в рекомендациях, я всегда открыт к диалогу 😌

Твой Пакет Безопасности

​Искусство или интеллект?

Мы с вами уже не раз обсуждали, как злоумышленники применяют нейросетевые технологии и модный ИИ в своих целях (раз, два, три, четыре, пять). Но тут подкопилоась еще горстка инфоповодов на эту тему, которые настало время разобрать.

Все больше популяризируется FraudGPT – эта нейронка с платной подпиской (не самой дешевой), которая выступает в роли швейцарского ножа для тех, кто хочет навредить другим. Из названия ясно, что это чат-бот по аналогу с ChatGPT. Он умеет и выдавать вредоносный код по запросу, и писать фишинговые сообщения/письма, и создавать инструменты для дальнейшего обогащения на жертвах, и искать утечки персональных данных, и искать уязвимости в ПО.

Теперь же появились еще два детища от тех же энтузиастов – DarkBERT и DarkBART. Судя по всему, они не стали перегружать FraudGPT, чтобы диверсифицироваться, заработать побольше денег и разделить обучающие выборки. Нужны они для того, чтобы заниматься ревер-инжинирингом, OSINT-ом (о котором мы уже говорили ранее), а также распространять малвари. Обучаются они, судя по заявлениям разработчиков и сообщества, на данных прямо из даркнета.

И да, такое мы не одобряем, но знать о таких вещах надо.

#НовостьДня

Твой Пакет Безопасности

​Лицо Apple Silicon видели?

Не так давно были обнаружены критические уязвимости в процессорах сразу двух крупных вендоров (чуть ли не единственных) – Intel и AMD.

Первое пробитие было у красных AMD. Уязвимость программная, поэтому затронула всю линейку процессоров с микроархитектурой ZEN (иными словами, практически все продаваемые устройства). Само собой, в компании уже собрали отчет с описанием проблемы и способов ее решения. Если кратко, то надо самим накатывать обновление, чтобы защититься от возможной атаки. Если этого не сделать, то, в случае эксплуатации злоумышленником этой уязвимости на вашем устройстве, вы можете лишиться всех своих важных данных, включая пароли, ключи шифрования и прочие ценности.

Думаю, что скоро AMD выпустят полноценное обновление безопасности, в котором всё уже будет зашито. Иронично то, что сам механизм найденной уязвимости стар как мир – это банальное переполнение буффера, а еще для его эксплуатации злоумышленнику нужно получить доступ к вашему железу.

Ну а второе пробитие произошло у конкурентов AMD – Intel. Тут уже затронуто не так много линеек процессоров, но все равно достаточно для поднятия шумихи. Ребята из Intel также уже выпустили небольшой патч для закрытия дыры, но официального отчета я так и не нашел – есть только такой. Тут уже не такие тривиальные механизмы взлома процессоров, но последствия схожи – риск потерять важные данные с устройства.

Ждем новостей от Qualcomm, Nvidia и остальных крупных игроков.

#НовостьДня

Твой Пакет Безопасности

​Птичий скам

Ловите очередную мошенническую схему вам в копилку кибергигены. Все вы наверное слышали о том, что у банка Qiwi сейчас есть некоторые проблемы с аудиторскими проверками (помню, как около года назад получил от них оффер на одну из ключевых позиций в ИБ, на которой должен был эти проверки курировать), из-за чего введены ограничения на вывод средств и денежные переводы для клиентов.

Собственно, на этом инфоповоде и начали плодиться новые мошеннические схемы. Все они концентрируются вокруг одной боли – ограничения. В разных местах (телеграм-каналы, телеграм-чаты, вотсап, вайбер, реклама в вк) начали появляться заманчивые предложения о том, что вам могут помочь с выводом средств с киви-кошельков за небольшой процент. Условия просты – вы переводите нужную сумму вашему новому помощнику на его киви-кошелек, а он вам пересылает эти деньги на счет другого банка за вычетом процента. Само собой, заканчивается всё уже на вашем переводе.

Могут быть еще и опции с обналичиванием ваших средств, когда вам обещают привезти бумажные деньги и отдать их лично в руки, но там схема обрывается на том же этапе. Это далеко не все вариации скама, который появился на фоне киви-новостей, но, я думаю, концепцию вы поняли.

Ну а ребятам из Qiwi я желаю поскорее избавиться от этих ограничений и восстановить свою репутацию. Уровень зрелости кибербеза там, кстати, очень крутой.

#КиберГигиена

Твой Пакет Безопасности

​Так Колибри или Импульс?

Совсем недавно мы с вами говорили о создании нового аналога Телеграма, и, это творение увидело свет. Более того, сразу на двух операционках – Андроид и (внимание) Авроре. Если вы пропустили, то это отечественная операционная система, а вот тут (ссылка) можно посмотреть, какие устройства на ней уже работают.

Так вот, вернемся к новому мессенджеру, а точнее, сразу к двум его версиям – Колибри и Импульс. Почему их две? Я не знаю, но заявленная логика такова, что под каждую ОС будут разные названия программы. При этом, можно спокойно отправлять сообщение с Имульса на Колибри, например. Видимо, ребятам из руководства понравилось сразу два названия и они не смогли договориться.

Через мессенджер можно уже обмениваться не только СМС-ками, но и прикреплять файлы и отправлять голосовые сообщения (думаю, что даже Импульс с Колибри скоро обгонят Вотсап по функциональности). Как и заявлялось ранее, большой упор при разработке приложения был сделан на безопасность, а ключевую роль в этом сыграл некий "Пензенский научно-исследовательский электротехнический институт". Лично я ничего про ПНИЭИ в контексте кибербеза не слышал, но погуглил и нашел, что у него действительно есть все необходимые лицензии на оказание услуг в сфере ИБ.

Продукт пока что в стадии зародыша, но я думаю, что пентестеры уже затачивают свои рабочие инструменты.

#НовостьДня

Твой Пакет Безопасности

Всё растёт

Наткнулся тут на один отчет по анализу рынка кибербезопасности в РФ аж до 2027 года. Не думаю, что вы откроете для себя что-то новое, но на циферки посмотреть интересно.

Если кратко – все растет, особенно, с учетом того, что внешние условия буквально заставляют кибербез в стране развиваться, да и денег на это сейчас не жалеют. Если думали делать свой стартап и не знаете, в какой сфере, вэлкам в безопасность.

#Полезное

Твой Пакет Безопасности

​А ловко ты это придумал

Приготовьтесь, сейчас будет новая схема мошенничества в Телеграм. В общем, кто-то наконец-то догадался указывать в поле своего имени в ТГ номер телефона. В итоге, если этот человек вам позвонит через мессенджер, то у вас на экране высветится указанный им номер телефона (выглядит это примерно как настоящий звонок).

Злоумышленник может указать там всем известный трёхзначный номер Сбера или вообще номер вашего родственника (который вы, возможно, помните наизусть). Если знать о такой уловке заранее, то махинация кажется вполне очевидной и простой, но поверьте, многих так уже застали врасплох.

Для того, чтобы защититься от такой угрозы можно просто запретить в приложении входящие вызовы от всех, кто не находится в вашем списке контактов. Ну или, при возникновении каких-то подозрений, вы можете просто сбросить вызов и разобраться, откуда и от кого поступил этот вызов.

Если вы установили уже кому-то из ваших родных этот прекрасный мессенджер, то лучше перешлите им этот пост, лишним не будет.

#КиберГигиена

Твой Пакет Безопасности

​Профессия будущего

Ребята из Хэдхантера тут попросили нейросеть сгенерировать ТОП перспективных специальностей, которые будут востребованы в будущем. Первое место занял специалист по кибербезопасности. Да, все следующие варианты вызывают некоторые вопросы, но, в целом, можно представить, что это такое, и почему они попали в этот рейтинг. В общем, работаем дальше, мир же надо кому-то спасать.

#НовостьДня

Твой Пакет Безопасности

🔐 Защита промышленных IT-инфраструктур: новый выпуск подкаста «Безопасно говоря»

Актуальные угрозы и новые подходы к защите промышленных IT-инфраструктур — какие они? Какие плюсы и минусы видят компании промышленной отрасли в переходе к облачной инфраструктуре?

В третьем эпизоде подкаста «Безопасно говоря» обсудили с гостями из «УльтимаТек» и «ФосАгро», как меняются стратегии безопасности в IT для промышленного сектора, какие ключевые изменения в векторах атак злоумышленников наблюдались за последнее время, насколько отрасль готова к новым вызовам и что кардинально изменилось в построении моделей угроз и расчете рисков.

🎧 Слушайте на Яндекс Музыке.

💻 Смотрите на YouTube.

#Реклама

​Вы перешли на новый уровень

Ну что, настало время обсудить новую инициативу по упрощению доступа силовых структур к личным данным пользователей. Всё, как и всегда, максимально просто – органам хотят дать доступ ко всем данным пользователей до соответствующего судебного предписания. То есть, просто дать им доступ.

Согласно новым поправкам, они смогут забрать данные откуда-угодно, включая дата-центры, облачные хранилища, от операторов связи и устройств граждан. По поводу первых двух – еще ладно. В дата-центрах они, например, могут искать ваши впн-сервера, чтобы понять, какие ресурсы вы посещаете, а в облачных хранилищах они могут найти что-то поинтереснее, по типу дампов БД со слитыми ПДн пользователей (даже если утечка – не ваших рук дело).

Но с телекомом и личными устройствами у меня уже возникают более серьезные вопросы. Во-первых, данные о наших звонках и переписках являются не просто персональными данными, а Тайной Связи, доступ к которой у всех максимально ограничен, даже среди сотрудников сотовых операторов. Ну а про устройства граждан мне вообще не понятно, что именно имеется в виду – не легальное ли это удаленное подключение к смартфонам и ПК подозреваемых (лицо владельцев телефонов на ОС Аврора видели?).

Есть теория, что скоро все наши личные данные просто будут общественными сразу сохраняться на силовых облаках (смайлик осуждения).

#НовостьДня

Твой Пакет Безопасности

​Облачно, возможны осадки

Сейчас будет пост для кибербезопасников, а также девопсов, и прочих хардкорных айтишников, которых могут интересовать облака, инфраструктура и ее защита (так что всем остальным предлагаю просто поставить лайк под постом и задержать дыхание). Но есть и хорошая новость – пост будет не таким уж и длинным!

Так вот, многие, почему-то, до сих пор опасаются и напрягаются, когда речь заходит об облаках и их безопасности, а зря. По сути, с вас наоборот снимают часть ответственности, а многие вещи можно просто описать в SLA. Но да ладно, перейдем к полезностям.

Начнем с крутого гайда (ссылка) от рэд-тима, в котором описано сразу несколько десятков методов атак на облачные сервисы. На его основе можно и поверхность атаки изучить, и модель угроз смоделировать.

В дополнение к этому (сразу после этого поста) скину для вас в канал небольшой отчет по облачным угрозам (в который даже модное Cloud Native добавили). Внутри есть не только описание ключевых угроз, но еще и аналитика по ним.

Ну а для тех, кто только начинает свое знакомство с этими облачными технологиями, рекомендую почитать страничку с очень хорошей выжимкой по их безопасности на сайте Майкрософта (не забудьте еще раскрыть раздел с вопросами и ответами внизу страницы) – ссылка

Ну вот и всё. Если у кого-то будут еще какие-то полезные материалы по теме – вэлкам в комментарии.

#Полезное

Твой Пакет Безопасности

Что-то давно не было мемов тут, надо исправлять.

#КиберМем

Твой Пакет Безопасности

​Багбаунти пост

Как-то раз (вот тут) мы с вами уже разговаривали на тему культуры поиска уязвимостей и ошибок за деньги, так что все вы уже знаете, что это такое и с чем это едят. Сегодня продолжим эту тему.

Во-первых, вознаграждение за найденные уязвимости растут как на дрожжах и порой на них можно сразу квартиру покупать. Так, например, VK готов был отдать за найденную уязвимость с возможностью удалённого исполнения кода до 7 200 000 рублей. Сейчас цены чуть снизились, но поверьте, там, всё равно, достаточно (актуальные расценки можно глянуть тут).

Во-вторых, если вы давно не практиковали или вообще ни разу не пробовали свои силы в баг-хантинге, то без насмотренности вы далеко не уедете, даже если будете вооружены всеми инструментами хакинга. Насмотренность можно выработать изучая отчеты о найденных уязвимостях – они называются репортами. С этим вам поможет гугл или сайты, наподобие этого, где эти репорты регулярно публикуются в открытый доступ.

В-третьих, рекомендую делать упражнение из прошлого пункта и своим коллегам из блю-тима (сторона защиты), ведь для того, чтобы что-то эффективно защищать, надо понимать, откуда и как будут атаковать. Лично я, после того, как перечитал огромное количество репортов (не без помощи этих ребят), переосмыслил некоторые вещи в своей работе. С радостью бы поделился самыми сочными отчетами с вами здесь, но все они, к сожалению, защищены NDA.

Ну всё, выдыхайте, пост духоты закончился.

#Мнение

Твой Пакет Безопасности