А вот и мем от одного из читателей на тему, которую мы с вами когда-то обсуждали тут и тут.

#КиберМем

Твой Пакет Безопасности

​Хакерский кэшбек

Не самая свежая, но интересная новость про то, как хакеров на официальную работу берут. Началось всё с того, что один злоумышленник взломал криптобиржу HTX (Huobi) в конце сентября и выкрал оттуда немаленькую сумму эфиров, а точнее – 5000 ETH (это примерно 8 000 000 долларов или 760 726 395 рублей).

Руководство компании не растерялось и решило сделать хакеру выгодное предложение в виде кэшбека (5%) от украденной суммы и должности советника по безопасности самой криптобиржи. Ну а от злоумышленника требовалось всего лишь вернуть всё украденное (которое он еще не успел потратить). В случае, если бы сделка не состоялась, представительство компании передало бы всю информацию об инциденте в правоохранительные органы.

По итогу предприимчивый хакер согласился на предложенные условия и получил всё обещанное, а именно – ту самую должность и премию в размере 407 000 долларов (или 39 700 000 рублей). Вот такой вот хэппи-энд.

#НовостьДня

Твой Пакет Безопасности

​Безопасности пост

У нас тут всё-таки Пакет Безопасности, поэтому пора вспомнить былое базовые принципы для защиты своего аккаунта в нашем любимом мессенджере – Телеграме. Да, мы уже обсуждали с вами эту тему раньше (например, раз, два, три), и я помню даже, как делал подборку постов по кибегигиене в тг (раз, два), но в последнее время что-то участились взломы и угоны аккаунтов, поэтому пора освежить информацию и быстро пробежаться по самому важному и основному.

В первую очередь помните, что самый важный для вас раздел в приложении называется "Конфиденциальность" (найти его можно на экране настроек). Рекомендую туда зайти хоть раз и пробежаться по всем пунктам, может найдете для себя что-то интересное и новое. Второй по важности раздел – "Устройства". Именно туда надо бежать со всех ног, если у вас возникли подозрения, что ваша сессия взломана и кто-то прямо сейчас что-то делает с вашего аккаунта.

Так вот, вернемся к настройкам "Конфиденциальности". Тут сразу рекоменду настроить "Облачный пароль" – это тот самый второй фактор для авторизации на новых устройствах. Да, некоторые его умельцы уже научились обходить, но он действительно может спасти вас, так что лишним не будет. Пароль надо будет запомнить и сохранить в укромном месте.

Если вы пользуетесь новой встроенной функцией "Кошелек" (бывший wallet) для криптовалютных операций или иными платёжными ботами, то рекомендую также настроить "Код-пароль" в том же разделе "Конфиденциальности". Там есть и альтернатива в виде удобного Face ID. Данная функция по-умолчанию активирована на всех ваших мобильных банках, так что тут сомнений в ее необходимости быть не должно. К слову, встроенный криптокошелек рекомендую освоить – крайне удобная вещь и даже замена криптобиржам.

Ну и регулярно проверяйте раздел "Устройства", не ведитесь на те самые конкурсы детских рисунков и не заходите ни на каких сайтах через ваш тг-аккаунт. Все ссылки, которые я приложил выше, рекомендую также протыкать и почитать. Само собой, не стесняйтесь делиться этой памяткой с вашими родными и близкими. Всем мир.

#КиберГигиена

Твой Пакет Безопасности

​Лабораторная работа по фишингу

Тут произошла одна ироничная и странная ситуация, к которой у меня сразу несколько вопросов. Но начнём с самой ситуации.

Дело было в Кемерово (это недалеко от Новосибирска) – там и живет главное действующее лицо этой новости – преподаватель по кибербезопасности одного технического ВУЗа. Ирония заключается в том, что он попался на фишинг и автоматически стал жертвой злоумышленников, добровольно отдав им 4 000 000 рублей.

Легенда мошенников заключалась в том, что его данные (и всего остального пед-состава университета) были проданы каким-то злоумышленникам, которые позже пытались взять (при помощи этих слитых данных) кредит на имя нашей жертвы, подтверждением чего стал наш любимый звонок из службы безопасности банка. Так вот, только после всего этого наш герой решил отдать деньги мошенникам.

Ну а теперь к моим вопросам и странной причинно-следственной связи. Во-первых, зачем преподаватель отдал деньги мошенникам уже после того, как данные были слиты? Во-вторых, почему нашу жертву так сильно волновал вопрос слитых ПДн? В-третьих, почему преподаватель по кибербезопасности не знает о том, что такое фишинг?

А еще, эта новость изначально была опубликована (внимание!) в официальном Телегам-канале "Главного управления МВД России по Кемеровской области – Кузбассу". Отсюда еще один вопрос – давно ли у таких заведений есть свои тг-каналы? Это конечно хорошо и удобно, просто очень неожиданно. Ах да, еще смутило то, что в этом Телеграм-канале очень уж детально раскрывают подробности этого преступления.

#НовостьДня

Твой Пакет Безопасности

​Заповеди, которые мы заслужили

Казалось бы, как можно урегулировать деятельность хакеров или попробовать загнать их действия в какие-то гуманные рамки. А вот ребята из Красного Креста (это такое международное гуманитарное движение) попытались. Они опубликовали аж 8 правил, которым должны следовать все гражданские (что бы это не значило) хакеры при ведении любой кибервойны. По сути, это преимущественно запреты на всё негуманное и аморальное, а тончее:

Запрет на:
⛔️ осуществление кибератак на гражданские объекты;
⛔️ использование вредоносного ПО (вирусы, шифровальщики и прочие), которые бесконтрольно наносят всем ущерб;
⛔️ проведение кибератак против медицинских и гуманитарных объектов;
⛔️ проведение кибератак против объектов, необходимых для выживания гражданского населения;
⛔️ подстрекательство к нарушению любых норм международного гуманитарного права;

Ну и плюс к этому:
⛔️ избегание ущерба для гражданских лиц при проведении атак;
⛔️ непринятие любых угроз насилия в отношении гражданского населения;
⛔️ соблюдение вышеупомянутых правил даже если их игнорирует противник.

Судя по всему, под гражданскими хакерами ребята из Красного Креста подразумевают любых граждан, которые самостоятельно решили перейти на тёмную сторону и ввязаться в кибербой. И да, само собой, это заявление гуманитарной организации сразу вызвало бурления среди многих хакерских группировок. Бурления основаны на том, что эти правила банально ослабят ту сторону, которая первая им подчинится. Вот так мы и регулируем киберпространство.

#Мнение

Твой Пакет Безопасности

​Всё очень сложно

Сегодня должен был быть пост, посвященный всяким душным терминам, инструментам и фреймворкам для безопасников, но я решил поделиться с вами парой мыслей и одной интересной статьей. Ах да, пост менее душным от этого не стал.

Так вот, в сфере кибербезопасности есть одна очень узкая ниша – хардверный реверс-инжиниринг и обеспечение защиты на уровне железа. Лично я считаю, что это самая сложная специфика во всём ИБ и приклоняю своё колено перед всеми, кто в этом действительно разбирается. На практике всё обычно защищается программными средствами, чтобы не допустить злоумышленников до того самого железа – контроллеров, микропроцессоров и прочих его элементов. Если у вас есть навыки хардверного инжиниринга, то на рынке вас оторвут с руками, причем за очень большие деньги.

Ну а по поводу интересной статьи – ребята из одной немалоизвестной компании (не реклама) сделали небольшое исследование на тему того, что устройства (которые есть уже практически в каждом доме) могут совершенно спокойно нас подслушивать (и не только) даже в выключенном состоянии. Разбор они сделали на примере самого обычного саундбара от компании Yamaha, раскрутив его по болтикам в прямом смысле этого слова. Так что рекомендую к прочтению. Да, там будет очень много непонятных слов, но я в вас верю.

Ну и небольшой вывод – все мы должны понимать, что абсолютно любое техническое устройство в нашем доме может собирать (и передавать) о нас информацию, вне зависимости от того, что производитель клятвенно будет убеждать нас в обратном. Ну а вам я советую не быть параноиками, пользоваться плодами технологической эволюции и принять суровую реальность такой, какая она есть.

#Мнение

Твой Пакет Безопасности

#ИБ

Твой Пакет Мемов

​Антивирусный пост

За всю историю канала я несколько раз замечал в комментариях запрос на то, чтобы сделать подборку самых крутых антивирусов. И, как вы можете заметить, я так её и не сделал. А дело всё в том, что нельзя просто взять и сказать, что "вот существует на рынке антивирус Х, который лучше всех остальных". Я бы это сравнил с миром автопрома, где у всех конкурентов есть какие-то нюансы, уникальные функции и свои фанаты (хоть все и знают, что bmw лучше всех (шутка)).

Метрик/параметров, по которым можно сравнить антивирусное ПО очень много, более того, это такой вид сервисов, который очень сильно зависит от регулярного и своевременного обновления баз уязвимостей. То есть, из этого можно выдвинуть гипотезу о том, что чем круче и больше компания-производитель (этого антивируса), тем круче и само решение. Если покопать глубже, то можно наткнуться еще на несколько гипотез, которые только помешают сделать тот самый верный выбор. Ах да, если вы думаете, что любой безопасник наизусть знает тот самый идеальный антивирус, то это не так. Я бы даже сказал, что в каждый момент времени они друг друга в чём-то опережают.

В общем, вместо того, чтобы делать для вас субъективную оценку и сухой рейтинг, я решил сэкономить ваше время и нашел уже готовые подборки и сравнения антивирусных сервисов – раз, два, три. Для того, чтобы сделать взвешенный вывод и понять, что подходит именно вам и конкретно под ваши задачи – рекомендую посмотреть все 3 ссылки. Ну и на десерт – небольшой топ по опенсорсным антивирусам для тех, кто любит экономить на лицензиях – ссылка.

Главное помните, что никакое средство защиты информации не является панацеей и не даёт вам 100% безопасность. Ну и про мой любимый VirusTotal тоже не забываем. Всем мир, гештальт закрываю.

#Полезное

Твой Пакет Безопасности

​Сильное заявление

Тут ребята из РКН сделали официальное заявление о том, что в августе они достигли стопроцентного покрытия всех узлов связи своими ТСПУ (это такие устройства для защиты от внешних атак и активации блокировки). Для того, чтобы этого добиться, у Роскомнадзора, судя по всему, ушло аж 4 года, если считать время с момента введения в действие "закона об устойчивом/суверенном рунете".

Что это значит для нас – обычных граждан? Если я всё правильно понимаю, а инженеры из РКН всё правильно подключили, то теперь парой телодвижений можно изолировать добрую часть отечественного интернета и всех мобильных телекоммуникаций. Нюанс состоит в том, что, как и всегда, сложно заставить что-то правильно работать с первого раза. И ночные тесты не сильно помогают спрогнозировать то, что произойдет, когда на всех узлах передачи данных вдруг одновременно включится ТСПУ и начнет блокировать что-то под нагрузкой.

К слову, в новости есть дисклеймер о том, что теперь установленные "блокираторы" требуют постоянного улучшения в плане добавления мощности и прочих ресурсов для обработки и блокировки растущего с каждым днём объема трафика.

Вообще, при проектировании любой системы закладываются риски на то, что при сильной атаке пограничные узлы могут не выдержать, поэтому должна быть возможность их экстренно отключить, дабы изолировать всё внутри системы. Поэтому мне не очень понятно, почему решения класса ТСПУ не были установлены раньше по всему периметру.

В общем, я так и не понял, зачем нас держат в курсе таких деталей, но есть ощущение, что подобных новостей будет еще не мало. Так и живем.

#НовостьДня

Твой Пакет Безопасности

​​Кибервойска заказывали?

Как-то раз мы с вами обсуждали зачатки идеи об оцифровке Росгвардии (вот тут) и, судя по всему, дело набирает обороты. Сейчас все СМИ трубят о возможном появлении так называемых Кибервойск. Насколько я понял, речь идёт о полноценном наборе ИТ/ИБ-специалистов под крыло Минобороны в формате диджитал-службы в армии.

Нюанс состоит в том, что тут может появиться конфликт интересов между Минцифры и Минобороны, о чем, собственно, и высказался глава первого ведомства – Максут Шадаев. По сути, для новой инициативы ключевые кадры будут перетягиваться из одной важной отрасли в другую. Более того, не ясно, как при этом будет работать отсрочка для IT-специалистов.

В общем, ждём, когда к обсуждению подключится и РКН, которому, кажется, тоже есть что сказать на эту тему. А еще напомню, что в стране лютый дефицит ИТ и ИБ кадров. Ну а мы продолжаем жить эту жизнь дальше.

#НовостьДня

Твой Пакет Безопасности

​Незаконные маркетплейсы

Наткнулся тут на интересную статью (ссылка), автор которой, судя по всему, потратил немало времени на сбор и структурирование информации (такое мы одобряем).

Если вдруг захотите узнать, сколько стоят ваши данные в даркнете, услуги по взлому аккаунтов практически любой социальной сети, платежной системы или криптобиржи, изготовление поддельных документов или вредоносных программ, то вэлкам к прочтению.

Плюс ко всему, там есть небольшое сравнение цен за прошедший год. Пробежался по тексту и цифрам – выглядит вполне правдоподобно. И да, само собой, мы осуждаем все эти незаконные вещи (без сарказма).

#Мнение

Твой Пакет Безопасности

​Очередной кибербезопасный пост

Вдыхаем. В одном из постов на прошлой неделе я успел упомянуть тему реверс-инжиниринга и обеспечения безопасности на уровне железа. Так вот есть еще одна смежная специфика (которую также не назовёшь простой) – это безопасность IoT (умных устройств). Сюда подпадают все ваши умные колонки и лампочки, управляемые розетки и прочие атрибуты современных домов.

Появление подобных устройств в жизни людей абсолютно точно расширило поверхность атаки, привнесло в жизнь атакующих новые возможности, а в жизнь безопасников – новую головную боль. Поэтому сегодня предлагаю посмотреть, что там интересного и полезного люди уже придумали на эту тему.

– Готовая модель угроз – ссылка
– Адаптация Zero Trust под IoT – раз, два, три
– Небольшой гайд по протоколам – ссылка
– Принцип построения модели угроз (с разными вводными) – ссылка
– Комплексное обеспечения безопасности в IoT – раз, два

Если вы или ваши друзья как-то связаны с обеспечением безопасности интернета вещей, то точно должно пригодиться. Выдыхаем.

#Полезное

Твой Пакет Безопасности

Старый, но слишком жизненный мем.

#КиберМем

Твой Пакет Безопасности

​Самая крупная утечка?

Недавно мы с вами уже говорили (вот тут) о кибербезопасности в одной густонаселенной стране – Индии. А еще, возможно вы помните об одном инциденте (вот этом), где злоумышленник умудрился слить данные всего населения целой Австрии. А теперь скрещиваем два этих события из прошлого и получаем одно новое и максимально масштабное – утечка персональных данных 815 000 000 граждан Индии.

Ну а начнем мы, как и всегда, с небольшой предыстории. На родине карри и шахмат (если вы вдруг забыли) есть свой аналог Госуслуг – Aadhaar. Более того, работает (и собирает данные) эта централизованная система уже порядка 15 лет. Судя по статье из ссылки выше, на ней хранится больше миллиарда биометрических паспортов, включающих в себя нехилую биометрию в виде отпечатков пальцев, сканов радужек глаз и фотографий. Плюс к этому, индийские Госуслуги интегрированы со многими государственными и частными организациями, чтобы подтягивать из них необходимую информацию.

Собственно, именно этот Aadhaar и был взломан злоумышленниками (хоть правительство Индии и отрицает все еще этот факт). Судя по заявлению того, кто выложил демо слитых данных, вытекло суммарно порядка 1,8 терабайта персональных данных.

Без иронии, само собой, не обошлось. Заключается она в том, что объявление о продаже этой мега-утечки висит с начала октября по цене в 80 000 долларов (это около 7 500 000 рублей), и есть теория, что никто эти данные так и не выкупил.

#НовостьДня

Твой Пакет Безопасности

Всем привет 👋

Как вы помните, в августе я выступал на крутом ИБ-мероприятии от АвитоТех – Avito Security Meetup. Посмотреть видео-запись можно вот тут, но я решил состряпать из этого материала полезную статью со всеми ссылками и иллюстрациями, чтобы всем было удобно держать под рукой всё самое необходимое.

Там я подробно расписал, как не заскучать и оставаться заинтересованным в своей области, как не растерять скилл среди рабочей рутины и регулярно выходить на новый уровень. И да, применимо это не только для кибербезопасников и айтишников ☝️

Ну а вот и сама статья – https://habr.com/ru/companies/ru_mts/articles/771524/

Всем буду признателен за обратную связь 😌

Твой Пакет Безопасности

Ну всё, настало время неинтересных и душных историй кибербеза.

Если вы думаете (или думали), что для тестирования безопасности каких-либо ресурсов обязательно нужно мучиться с установкой у себя на виртуалке Kali Linux, то это не совсем так. Зачастую достаточно обычного браузера, к которому можно подключить все необходимые плагины. Самые основные и популярные из них подробно описаны вот в этой статье – ссылка.

Ну а для тех, кому этого будет мало, дублирую из статьи развёрнутый майндмап со всеми остальными плагинами. Всё это точно будет работать в Firefox от Mozilla, но аналоги для других браузеров также есть.

Само собой, использование этих инструментов во вредоносных целях мы осуждаем ☝️

#Полезное

Твой Пакет Безопасности

​Фишинговая пятница

Я решил перенести сегодняшний пост на завтра, чтобы лишний раз напомнить вам о том, что в Черную пятницу (я думаю, что вы знаете, что это такое) свою выгоду ищут не только добропорядочные покупатели и сетевые магазины, но и злоумышленники.

Этот один из тех периодов (еще Новый год и гендерные праздники) в году, когда на свет появляется огромное количество поддельных сайтов с выгодными ценами и рекордными скидками. И, к сожалению, именно в эти периоды внимательность людей снижается, так как они боятся банально не успеть урвать заветный товар.

Собственно, перечислять тут все правила я наверное не буду, так как делал это уже не раз в прошлых постах, которые вы можете найти по хештегу #Кибергигиена. Ну и заодно ловите небольшую памятку, где собраны некоторые базовые правила – ссылка. Берегите себя и своих родных, и бегите уже скорее за своим роботом-пылесосом по скидке.

#Кибергигиена

Твой Пакет Безопасности

​Фальшивое свидание

В мире фишинга (о котором мы много раз говорили, например, тут, тут или тут) есть одна отработанная схема обмана, связанная с романтическими знакомствами по интернетам – называется она Fake Date. Схема стара, но мало того, что она всё еще работает, так она еще и развивается.

Классическая схема заключается обычно в том, что жертву разводят еще до первого свидания. Чаще всего всё крутится вокруг покупки билетов на концерт, в кино или депозитную бронь в дорогих заведениях. То есть, например, злоумышленник под видом симпатичной девушки (и не только) знакомится с жертвой через социальные сети, втирается к ней в доверие, они договариваются на первое оффлайн-свидание, и для этого как раз нужно купить те самые билеты в кино. Девушка заботливо сама ищет фильм и скидывает ссылку на оплату своей жертве. Ну а там по-стандарту – вводим данные карты и отдаём все свои деньги "нуждающимся".

Это была классическая и проверенная временем схема. Ноу-хау же заключается в том, что теперь злоумышленники (всё также до первого свидания) жалуются на проблемы с интернетом и просят своих жертв оплатить нужный тариф (еще я встречал схемы с оплатой VPN). Но тут в дело вступают уже не только поддельные сайты, но еще и мобильные приложения, которые нужны не только для того, чтобы данные карты угнать, но и к СМС-подтверждениям доступ получить.

В целом, оплата может быть чего-угодно или какой-угодно услуги. Суть всегда остается той же – поддельный сайт/приложение и ввод карточных данных. Так что берегите себя и пересылайте это своим друзьям, которые часто знакомятся в сети.

#Кибергигиена

Твой Пакет Безопасности