Positive Technologies: преступники могут получить доступ к информации клиентов в каждом онлайн-банке
Эксперты оценили уровень защищенности онлайн-банков в 2018 году.
Эксперты компании оценили уровень защищенности онлайн-банков в 2018 году и выяснили, что 54% из обследованных систем позволяют злоумышленникам похитить денежные средства, а угрозе несанкционированного доступа к личным данным и банковской тайне подвержены все онлайн-банки. По данным проведенного анализа, большинство изученных онлайн-банков содержат критически опасные уязвимости. В результате работ по оценке защищенности онлайн-банков в каждой исследованной системе были обнаружены уязвимости, которые могут привести к серьезным последствиям.
Угроза несанкционированного доступа к информации клиентов и банковской тайне, например к выпискам по счету или платежным поручениям других пользователей, оказалась актуальной для каждого исследованного онлайн-банка, а в отдельных случаях уязвимости позволяли развивать атаку на ресурсы корпоративной сети банка. Исследования Positive Technologies показывают, что данные входят в ТОП наиболее популярных для продажи в дарквебе продуктов. При этом непосредственно на долю учетных данных и данных банковских карт приходится более 80% в общем объеме продающихся данных. Средняя стоимость данных одного пользователя онлайн-банка составляет 22 долл. США.
В ходе анализа в 77% обследованных онлайн-банков были обнаружены недостатки реализации механизмов двухфакторной аутентификации. По словам аналитика Positive Technologies Яны Авезовой, в некоторых онлайн-банках одноразовые пароли для критически важных действий (например, для аутентификации) не применяются или имеют слишком большой срок действия. Эксперты связывают это с тем, что банки стремятся найти баланс между безопасностью и удобством использования.
«Отказ даже от части мер безопасности в пользу удобства повышает риск совершения мошеннических операций. Если нет необходимости подтверждать операцию с помощью одноразового пароля, злоумышленнику больше не требуется доступ к мобильному телефону жертвы, а слишком большой срок действия пароля повышает шанс его успешного подбора, поскольку при отсутствии ограничений на подбор одноразовый пароль из четырех символов можно подобрать за считаные минуты», — отметил руководитель группы исследования безопасности банковских систем Positive Technologies Ярослав Бабин.
Сравнительный анализ показал, что изученные готовые решения, предлагаемые вендорами, содержат в три раза меньше уязвимостей, чем системы, разработанные банками самостоятельно. А вот количество уязвимостей в продуктивных и тестовых системах сравнялось: согласно статистике, в 2018 году оба эти типа систем в большинстве случаев содержат как минимум одну критически опасную уязвимость. Эксперты связывают это с тем, что разработчики, единожды протестировав систему на безопасность, склонны откладывать повторный анализ защищенности после внесения изменений в программный код, что неминуемо приводит к накоплению уязвимостей, и со временем их число становится сопоставимо с тем, которое было обнаружено при первичной проверке.
Главной позитивной тенденцией в безопасности финансовых онлайн-приложений в 2018 году стало сокращение доли уязвимостей высокого уровня риска в общем числе всех выявленных недостатков. По данным специалистов Positive Technologies, доля критически опасных уязвимостей снизилась вдвое по сравнению с предыдущим годом. Однако в целом уровень защищенности онлайн-банков остается низким.
Источник: https://www.securitylab.ru/news/498647.php
Эксперты оценили уровень защищенности онлайн-банков в 2018 году.
Эксперты компании оценили уровень защищенности онлайн-банков в 2018 году и выяснили, что 54% из обследованных систем позволяют злоумышленникам похитить денежные средства, а угрозе несанкционированного доступа к личным данным и банковской тайне подвержены все онлайн-банки. По данным проведенного анализа, большинство изученных онлайн-банков содержат критически опасные уязвимости. В результате работ по оценке защищенности онлайн-банков в каждой исследованной системе были обнаружены уязвимости, которые могут привести к серьезным последствиям.
Угроза несанкционированного доступа к информации клиентов и банковской тайне, например к выпискам по счету или платежным поручениям других пользователей, оказалась актуальной для каждого исследованного онлайн-банка, а в отдельных случаях уязвимости позволяли развивать атаку на ресурсы корпоративной сети банка. Исследования Positive Technologies показывают, что данные входят в ТОП наиболее популярных для продажи в дарквебе продуктов. При этом непосредственно на долю учетных данных и данных банковских карт приходится более 80% в общем объеме продающихся данных. Средняя стоимость данных одного пользователя онлайн-банка составляет 22 долл. США.
В ходе анализа в 77% обследованных онлайн-банков были обнаружены недостатки реализации механизмов двухфакторной аутентификации. По словам аналитика Positive Technologies Яны Авезовой, в некоторых онлайн-банках одноразовые пароли для критически важных действий (например, для аутентификации) не применяются или имеют слишком большой срок действия. Эксперты связывают это с тем, что банки стремятся найти баланс между безопасностью и удобством использования.
«Отказ даже от части мер безопасности в пользу удобства повышает риск совершения мошеннических операций. Если нет необходимости подтверждать операцию с помощью одноразового пароля, злоумышленнику больше не требуется доступ к мобильному телефону жертвы, а слишком большой срок действия пароля повышает шанс его успешного подбора, поскольку при отсутствии ограничений на подбор одноразовый пароль из четырех символов можно подобрать за считаные минуты», — отметил руководитель группы исследования безопасности банковских систем Positive Technologies Ярослав Бабин.
Сравнительный анализ показал, что изученные готовые решения, предлагаемые вендорами, содержат в три раза меньше уязвимостей, чем системы, разработанные банками самостоятельно. А вот количество уязвимостей в продуктивных и тестовых системах сравнялось: согласно статистике, в 2018 году оба эти типа систем в большинстве случаев содержат как минимум одну критически опасную уязвимость. Эксперты связывают это с тем, что разработчики, единожды протестировав систему на безопасность, склонны откладывать повторный анализ защищенности после внесения изменений в программный код, что неминуемо приводит к накоплению уязвимостей, и со временем их число становится сопоставимо с тем, которое было обнаружено при первичной проверке.
Главной позитивной тенденцией в безопасности финансовых онлайн-приложений в 2018 году стало сокращение доли уязвимостей высокого уровня риска в общем числе всех выявленных недостатков. По данным специалистов Positive Technologies, доля критически опасных уязвимостей снизилась вдвое по сравнению с предыдущим годом. Однако в целом уровень защищенности онлайн-банков остается низким.
Источник: https://www.securitylab.ru/news/498647.php
SecurityLab.ru
Positive Technologies: преступники могут получить доступ к информации клиентов в каждом онлайн-банке
Эксперты оценили уровень защищенности онлайн-банков в 2018 году.
Прошел курс, который висит на Udemy по взлому Wi-Fi. Тема для меня не новая и особо продвинутых техник Вы не увидите в нем, но базовые вещи присутствуют.
После оконочания Вы получите навыки проникновения в сети WiFi и тестирования их на безопасность.
Курс будет интересен тем, кто всегда мечтал "Взломать соседский WIFI", начинающим пентестерам и хакерам.
Общая продолжительность: 2,5 часа.
По стоимости: 19,799 рублей, но Udemy всегда предлагает скидку 94%, т.е итоговая стоимость 1,100 рублей.
Ссылка на курс: https://www.udemy.com/wifi-2018/
Этичный хакинг | Взлом Wifi - Новый взгляд 2018
Часть первая. Получаем доступ к сети.
После окончания, мы получим навыки проникновения в сети WiFi и тестирования их на безопасность
Requirements (требования):
- ПК с Kali Linux или Parrot Security OS на борту
- Приемлимый Wifi адаптер (об этом в видео)
- Минимальные знания Linux Os на уровне пользователя
Взгляд конца 2018 года. Никаких не работающих методов!
Course content:
Введение:
1. Приветствие. - 2:28
Правильная настройка роутера:
2. Настройка роутера. - 20:19
3. Прошивки роутеров. - 08:25
Арсенал "Этичного WIFI пентестера".
4. Арсенал для вардрайвера. - 17:10
Zero Level. Osint
5. А вдруг пароль от точки доступа уже есть? - 6:16
Routerscan, взлом из WAN.Пуллы адресов.
6. Сканирование и взлом. Routerscan. - 10:01
7. Взлом Wifi через RS подбором WPS|Pixie dust. - 08:42
Linux Hacking.
8. Airgeddon знакомство. - 09:25
9. Атака на WEP используя Airgeddon. - 05:44
10. Denial of Service Airgeddon. - 07:35
11. Airgeddon handshake capture. - 08:09
12. Airgeddon handshake bruteforce. - 03:49
13. Создание своих собственных словарей через утилиту CRUNCH. - 03:30
14. Взлом пароля используя GPU и hashcat. - 09:29
15. Online сервисы взлома паролей. - 05:56
16. Evil Twin атака используя Fluxion. - 09:51
17. Wifi Slax - Дистрибутив для тестирования беспроводных сетей. - 07:14
Bye!
18. Спасибо за внимание! Увидимся в следующей части посвященной пост эксплуатации! - 01:57
После оконочания Вы получите навыки проникновения в сети WiFi и тестирования их на безопасность.
Курс будет интересен тем, кто всегда мечтал "Взломать соседский WIFI", начинающим пентестерам и хакерам.
Общая продолжительность: 2,5 часа.
По стоимости: 19,799 рублей, но Udemy всегда предлагает скидку 94%, т.е итоговая стоимость 1,100 рублей.
Ссылка на курс: https://www.udemy.com/wifi-2018/
Этичный хакинг | Взлом Wifi - Новый взгляд 2018
Часть первая. Получаем доступ к сети.
После окончания, мы получим навыки проникновения в сети WiFi и тестирования их на безопасность
Requirements (требования):
- ПК с Kali Linux или Parrot Security OS на борту
- Приемлимый Wifi адаптер (об этом в видео)
- Минимальные знания Linux Os на уровне пользователя
Взгляд конца 2018 года. Никаких не работающих методов!
Course content:
Введение:
1. Приветствие. - 2:28
Правильная настройка роутера:
2. Настройка роутера. - 20:19
3. Прошивки роутеров. - 08:25
Арсенал "Этичного WIFI пентестера".
4. Арсенал для вардрайвера. - 17:10
Zero Level. Osint
5. А вдруг пароль от точки доступа уже есть? - 6:16
Routerscan, взлом из WAN.Пуллы адресов.
6. Сканирование и взлом. Routerscan. - 10:01
7. Взлом Wifi через RS подбором WPS|Pixie dust. - 08:42
Linux Hacking.
8. Airgeddon знакомство. - 09:25
9. Атака на WEP используя Airgeddon. - 05:44
10. Denial of Service Airgeddon. - 07:35
11. Airgeddon handshake capture. - 08:09
12. Airgeddon handshake bruteforce. - 03:49
13. Создание своих собственных словарей через утилиту CRUNCH. - 03:30
14. Взлом пароля используя GPU и hashcat. - 09:29
15. Online сервисы взлома паролей. - 05:56
16. Evil Twin атака используя Fluxion. - 09:51
17. Wifi Slax - Дистрибутив для тестирования беспроводных сетей. - 07:14
Bye!
18. Спасибо за внимание! Увидимся в следующей части посвященной пост эксплуатации! - 01:57
Обзор инцидентов безопасности за период с 1 по 7 апреля 2019 года
Коротко о главном за минувшую неделю.
Свыше полумиллиарда записей с данными пользователей соцсети Facebook хранились в открытом доступе на облачных серверах Amazon S3. В этот раз источником утечки стал не сам техногигант, а сторонние разработчики приложений для Facebook - мексиканская медиакомпания Cultura Colectiva и приложение «At the pool». Базы данных включали различную информацию о пользователях, в том числе комментарии, предпочтения, логины, идентификаторы пользователя, имена, пароли в текстовом виде, электронные адреса, а также сведения о друзьях, лайках, группах и пр.
Крупнейшая фармацевтическая компания Германии Bayer подверглась кибератаке, предположительно осуществленной киберпреступной группировкой Winnti. Вредоносное ПО было обнаружено в сетях компании еще в начале прошлого года, однако исследователи продолжали тайно наблюдать за его активностью. Никаких свидетельств компрометации данных эксперты не выявили, однако оценка общего ущерба все еще продолжается.
Специалисты компании Bromium обнаружили более десяти серверов, используемых для распространения нескольких семейств вредоносного ПО в рамках фишинговых кампаний, вероятнее всего, связанных с ботнетом Necurs. Примечателен тот факт, что все серверы были зарегистрированы в США, поскольку злоумышленники редко выбирают эту страну для регистрации своих управляющих серверов.
Сотрудники Секретной службы США задержали гражданку Китая, пытавшуюся под ложным предлогом проникнуть на территорию принадлежащей президенту США Дональду Трампу резиденции Мар-а-Лаго в Палм Бич (штат Флорида). При обыске у женщины были изъяты четыре смартфона, ноутбук, внешний жесткий диск и USB-накопитель с вредоносной программой. Истинная цель «визита» китаянки пока неизвестна.
Великобритания обвинила Иран в кибератаках на «ключевые элементы национальной инфраструктуры». В числе пострадавших Почтовая служба, ряд органов местного самоуправления, частные компании и банки. В атаках подозревается иранское военно-политическое формирование Корпус стражей исламской революции.
Злоумышленники атакуют пользователей домашних маршрутизаторов с целью перехвата трафика и переадресации его на вредоносные сайты. За прошедшие три месяца были зафиксированы три волны атак. Список атакуемых маршрутизаторов включает модели D-Link DSL-2640B, D-Link DSL-2740R, D-Link DSL-2780B, D-Link DSL-526B, ARG-W4 ADSL, DSLink 260E, устройства Secutech и TOTOLINK. Атакующие взламывают устройства через известные уязвимости в прошивках и меняют настройки DNS-сервера. По имеющимся данным, кампания все еще активна.
Немецкий специалист Кристофер Блекман-Дрехер (Christopher Bleckmann-Dreher) написал слово «PWNED!» на картах сотен GPS-часов Vidimensio в попытке привлечь внимание производителя к уязвимостям. Исследователь обнаружил проблемы в 20 моделях часов от Vidimensio, в том числе возможность подслушивать и следить за владельцами гаджетов, а также отправлять различные команды на устройства. Блекман-Дрехер сообщил об уязвимостях производителю, однако за полтора года компания так и не исправила их. В результате исследователь решил взломать сотни часов.
Источник: https://www.securitylab.ru/news/498673.php
Коротко о главном за минувшую неделю.
Свыше полумиллиарда записей с данными пользователей соцсети Facebook хранились в открытом доступе на облачных серверах Amazon S3. В этот раз источником утечки стал не сам техногигант, а сторонние разработчики приложений для Facebook - мексиканская медиакомпания Cultura Colectiva и приложение «At the pool». Базы данных включали различную информацию о пользователях, в том числе комментарии, предпочтения, логины, идентификаторы пользователя, имена, пароли в текстовом виде, электронные адреса, а также сведения о друзьях, лайках, группах и пр.
Крупнейшая фармацевтическая компания Германии Bayer подверглась кибератаке, предположительно осуществленной киберпреступной группировкой Winnti. Вредоносное ПО было обнаружено в сетях компании еще в начале прошлого года, однако исследователи продолжали тайно наблюдать за его активностью. Никаких свидетельств компрометации данных эксперты не выявили, однако оценка общего ущерба все еще продолжается.
Специалисты компании Bromium обнаружили более десяти серверов, используемых для распространения нескольких семейств вредоносного ПО в рамках фишинговых кампаний, вероятнее всего, связанных с ботнетом Necurs. Примечателен тот факт, что все серверы были зарегистрированы в США, поскольку злоумышленники редко выбирают эту страну для регистрации своих управляющих серверов.
Сотрудники Секретной службы США задержали гражданку Китая, пытавшуюся под ложным предлогом проникнуть на территорию принадлежащей президенту США Дональду Трампу резиденции Мар-а-Лаго в Палм Бич (штат Флорида). При обыске у женщины были изъяты четыре смартфона, ноутбук, внешний жесткий диск и USB-накопитель с вредоносной программой. Истинная цель «визита» китаянки пока неизвестна.
Великобритания обвинила Иран в кибератаках на «ключевые элементы национальной инфраструктуры». В числе пострадавших Почтовая служба, ряд органов местного самоуправления, частные компании и банки. В атаках подозревается иранское военно-политическое формирование Корпус стражей исламской революции.
Злоумышленники атакуют пользователей домашних маршрутизаторов с целью перехвата трафика и переадресации его на вредоносные сайты. За прошедшие три месяца были зафиксированы три волны атак. Список атакуемых маршрутизаторов включает модели D-Link DSL-2640B, D-Link DSL-2740R, D-Link DSL-2780B, D-Link DSL-526B, ARG-W4 ADSL, DSLink 260E, устройства Secutech и TOTOLINK. Атакующие взламывают устройства через известные уязвимости в прошивках и меняют настройки DNS-сервера. По имеющимся данным, кампания все еще активна.
Немецкий специалист Кристофер Блекман-Дрехер (Christopher Bleckmann-Dreher) написал слово «PWNED!» на картах сотен GPS-часов Vidimensio в попытке привлечь внимание производителя к уязвимостям. Исследователь обнаружил проблемы в 20 моделях часов от Vidimensio, в том числе возможность подслушивать и следить за владельцами гаджетов, а также отправлять различные команды на устройства. Блекман-Дрехер сообщил об уязвимостях производителю, однако за полтора года компания так и не исправила их. В результате исследователь решил взломать сотни часов.
Источник: https://www.securitylab.ru/news/498673.php
SecurityLab.ru
Обзор инцидентов безопасности за период с 1 по 7 апреля 2019 года
Коротко о главном за минувшую неделю.
Пользователи Electrum лишились «миллионов долларов» из-за кибератаки
Атака осуществляется ботнетом из более чем 140 тыс. ботов, которые переадресовывают пользователей на фальшивые версии Electrum.org.
Серверы популярного биткойн-кошелька Electrum около недели находятся под DoS-атакой, в результате чего пользователи лишились уже «нескольких миллионов долларов». Об этом сообщило издание The Next Web со ссылкой на исследователя безопасности, пожелавшего сохранить анонимность.
В минувшие выходные представители Electrum подтвердили факт атаки, но не уточнили объем возможного ущерба.
По данным TNW, атака осуществляется ботнетом, включающим более чем 140 тыс. ботов, которые переадресовывают пользователей на фальшивые версии Electrum.org, где им предлагают обновиться до новой версии клиента Electrum, содержащей бэкдор. При установке поддельной версии ПО, средства из кошельков пользователей похищаются. Объем украденных средств исчисляется миллионами долларов, а один отдельно взятый пользователь потерял биткойнов на сумму $140 тыс.
Как отметил источник издания, атака продолжается уже примерно неделю и происходит на совершенно новом уровне – в некоторых случаях ее мощность достигает 25 Гб/с.
По словам ведущего разработчика Electrum Томаса Вегтлина (Thomas Voegtlin), команда надеется решить проблему «в ближайшие часы или дни». Он также отметил, что в группе особого риска находятся пользователи, давно не обновлявшие ПО.
В целях безопасности пользователям рекомендуется загружать приложение Electrum только с сайта electrum.org или из официального репозитория на GitHub, а также устанавливать соединение с серверами в ручном режиме.
Источник: https://www.securitylab.ru/news/498690.php
Атака осуществляется ботнетом из более чем 140 тыс. ботов, которые переадресовывают пользователей на фальшивые версии Electrum.org.
Серверы популярного биткойн-кошелька Electrum около недели находятся под DoS-атакой, в результате чего пользователи лишились уже «нескольких миллионов долларов». Об этом сообщило издание The Next Web со ссылкой на исследователя безопасности, пожелавшего сохранить анонимность.
В минувшие выходные представители Electrum подтвердили факт атаки, но не уточнили объем возможного ущерба.
По данным TNW, атака осуществляется ботнетом, включающим более чем 140 тыс. ботов, которые переадресовывают пользователей на фальшивые версии Electrum.org, где им предлагают обновиться до новой версии клиента Electrum, содержащей бэкдор. При установке поддельной версии ПО, средства из кошельков пользователей похищаются. Объем украденных средств исчисляется миллионами долларов, а один отдельно взятый пользователь потерял биткойнов на сумму $140 тыс.
Как отметил источник издания, атака продолжается уже примерно неделю и происходит на совершенно новом уровне – в некоторых случаях ее мощность достигает 25 Гб/с.
По словам ведущего разработчика Electrum Томаса Вегтлина (Thomas Voegtlin), команда надеется решить проблему «в ближайшие часы или дни». Он также отметил, что в группе особого риска находятся пользователи, давно не обновлявшие ПО.
В целях безопасности пользователям рекомендуется загружать приложение Electrum только с сайта electrum.org или из официального репозитория на GitHub, а также устанавливать соединение с серверами в ручном режиме.
Источник: https://www.securitylab.ru/news/498690.php
SecurityLab.ru
Пользователи Electrum лишились «миллионов долларов» из-за кибератаки
Атака осуществляется ботнетом из более чем 140 тыс. ботов, которые переадресовывают пользователей на фальшивые версии Electrum.org.
