Обзор инцидентов безопасности за период с 7 по 13 октября 2019 года

Коротко о главных событиях минувшей недели.

На прошедшей неделе группа депутатов внесла в Госдуму РФ законопроект, предусматривающий введение блокировки пользователей электронных сервисов и мессенджеров, уличенных в распространении запрещенной информации. Как считают авторы инициативы, действующие для мессенджеров нормы законодательства должны распространяться и на сервисы электронной почты. С этой целью законопроект вводит общее понятие «организатор сервиса обмена сообщениями», а также предлагает соответствующие поправки в КоАП, предусматривающие административную ответственность указанных организаторов сервисов.

Минувшая неделя не обошлась без инцидентов, связанных с утечками данных. В частности, неизвестные разместили в открытом доступе базу, включающую более 75 тыс. записей, содержащих коды замков и домофонов в подъездах Москвы и некоторых городах Подмосковья. В общей сложности утечка затронула около 40 тыс. домов, однако выборочная проверка показала, что только часть кодов является актуальной.

Как показывает практика, причинами утечки данных могут быть различные факторы, например, уязвимость в программном обеспечении, используемом web-сайтами. Именно это и произошло в случае с двумя форумами «для взрослых» - EscortForumIt.xxx (Италия) и Hookers.nl (Нидерланды). Некто под псевдонимом InstaKilla взломал ресурсы, воспользовавшись уязвимостью в форумном движке vBulletin, и похитил персональные данные более 300 тыс. пользователей сайтов. Похищенную информацию преступник выставил на продажу на одном из общедоступных хакерских форумов.

Операторы вымогательского ПО BitPaymer активно используют уязвимость нулевого дня в сервисе iTunes для Windows для запуска вредоносного кода и обхода обнаружения. Проблема затрагивает встроенный в iTunes для Windows механизм обновления Bonjour. С ее помощью злоумышленник может воспользоваться ошибкой unquoted path (отсутствие кавычек в пути поиска) и благодаря этому не только обойти обнаружение антивирусным решением, но и добиться персистентности на системе.

Киберпреступники атаковали инфраструктуру облачной платформы электронной коммерции Volusion, внедрив на страницы подтверждения заказов на сайтах вредоносный JavaScript-код, который крадет данные платежных карт. По оценкам экспертов, число пострадавших сайтов превышает 6 тыс. Пока точно неизвестно, кто именно стоит за взломом, однако характер атак указывает на причастность группировок, известных под общим названием Magecart.

Исследователи обнаружили новую схему распространения ПО для трейдинга криптовалюты, устанавливающего бэкдор на компьютеры под управлением macOS и Windows. Злоумышленники создали фиктивную компанию, предлагающую бесплатную трейдинговую платформу под названием JMT Trader. Во время ее установки на компьютер также устанавливается троян.

Источник: https://www.securitylab.ru/news/501737.php

Уязвимость в sudo позволяет запускать на Linux-машинах команды с правами суперпользователя

Проблема возникает только при нестандартных настройках конфигурации и не затрагивает большинство Linux-серверов.

Специалист компании Apple Джо Венникс (Joe Vennix) обнаружил уязвимость (CVE-2019-14287) в команде sudo в Linux, позволяющую непривилегированным пользователям запускать команды с правами суперпользователя. К счастью, проблема возникает только при нестандартных настройках конфигурации и не затрагивает большинство Linux-серверов.

Команда sudo (super user do) позволяет непривилегированным пользователям, которым было дано соответствующее разрешение или известен пароль суперпользователя, выполнять на Linux-машинах команды с правами суперпользователя. Sudo можно также сконфигурировать для запуска команд от имени другого пользователя (за исключением суперпользователя) путем добавления особых инструкций в конфигурационный файл /etc/sudoers.

Уязвимость возникает как раз при настройках конфигурации sudo, позволяющих пользователям запускать команды от имени других пользователей. Добавив в командную строку -u#-1, они могут обойти ограничения и запускать команды с привилегиями суперпользователя.

Допустим, администратор создал на сервере mybox пользователя sudo с именем bob, добавив в конфигурационный файл строку mybox bob = (ALL, !root) /usr/bin/vi. По идее, это даст пользователю bob возможность запускать текстовый редактор Vi с привилегиями любого пользователя за исключением суперпользователя. Однако, если bob запустит команду sudo -u#-1 vi, то сможет запускать Vi с привилегиями суперпользователя.

Почему так происходит? Скажем, -u#1234 может использоваться в командной строке с sudo для запуска команд, в данном случае Vi, в качестве идентификатора (ID) пользователя 1234. Sudo передает это значение идентификатора через системные вызовы setresuid и setreuid для изменения эффективного ID пользователя команды.

В результате, -u#-1 передает через вызовы -1 для изменения эффективного идентификатора на -1. Системный вызов принимает данный ID в качестве особенного и не меняет идентификатор пользователя. Поскольку sudo изначально обладает правами суперпользователя, -1 продолжает работать как суперпользователь. Интересно, что идентификатор пользователя 4294967295 также способен обходить ограничения, поскольку, будучи подписанной 32-разрядной целочисленной переменной, он равен -1.

Во избежание возможных атак с использованием данной уязвимости пользователям настоятельно рекомендуется обновить sudo до версии 1.8.28 или более поздней. В обновленной версии sudo -1 больше не принимается в качестве идентификатора пользователя, поэтому эксплуатация уязвимости невозможна.

Источник: https://www.securitylab.ru/news/501759.php

Мистер Робот 4 сезон 2-я серия.

Озвучка LostFilm.

https://mister-robot.tv/4-sezon/188-4-sezon-2-seriya.html

«...Книгу по программированию (любую) мало прочитать. С ней нужно работать. Последнее предполагает изучение, анализ и проработку программных кодов из книги или иных кодов, близких по духу и смыслу. Как бы там ни было, чтобы научиться программировать, разумно, вооружившись минимальными теоретическими познаниями, приступить к написанию кодов. Для этого необходимы программные средства разработки, или, проще говоря, программное обеспечение...»

ИБ-эксперт задержан за «хакерство» из-за твита об утечке правительственных данных

Федеральная полиция Аргентины расследует масштабную утечку данных своих сотрудников.

В Аргентине сотрудники правоохранительных органов временно задержали известного исследователя безопасности и устроили обыск в его квартире. Хавьер Смальдоне (Javier Smaldone) подозревается во взломе правительственных компьютерных систем и похищении конфиденциальных документов, но у самого исследователя есть другая теория на этот счет.

Смальдоне является хорошо известным в Аргентине активистом в области кибербезопасности. Он активно выступает против использования электронных машин для голосования и регулярно делает в своем блоге публикации с критикой решения правительства все-таки прибегнуть к ним. В 2016 году Смальдоне даже выступал в Сенате Аргентины, агитируя против использования на выборах уязвимого оборудования.

Как сообщил исследователь новостному изданию Perfil, его жилье и дома еще двух специалистов по безопасности были обысканы на прошлой неделе после того, как они сообщили об уязвимостях в электронных машинах для голосования от аргентинской компании Smartmatic. В настоящее время правительство страны проводит тестирование данного оборудования с целью использовать его на будущих выборах.

Однако, как сообщает другое новостное издание Clarin, Смальдоне является одним из целого ряда подозреваемых в похищении и публикации 5 ГБ персональных данных служащих Федеральной полиции Аргентины. По данным издания, 8 октября нынешнего года правоохранители провели обыски во множестве домах в разных городах страны в поисках хакера, известного под псевдоним La Gorra Leaks 2.0.

12 августа La Gorra Leaks 2.0 опубликовал в даркнете, Telegram и Twitter 200 тыс. PDF-файлов с персональной информацией сотрудников Федеральной полиции. В файлах содержались имена, фамилии, домашние адреса, номера телефонов, идентификационные номера и банковские данные полицейских.

Судя по опубликованным Смальдоне судебным документам, он является подозреваемым в утечке, поскольку первым сообщил о ней в Twitter. Помимо него, у следствия есть еще один задержанный подозреваемый.

Источник: https://www.securitylab.ru/news/501787.php

Сценарий, состоящий из описания обработчика для события, связанного с движением мышью. Более конкретно, свойству onmousemove объекта документа document присваивается анонимная функция.

Специфика ситуации в том, что у функции имеется аргумент, обозначенный как evt. Этот аргумент отождествляется с объектом события, которое обрабатывается. JavaScript

В сценариях тоже можно создавать изображения.

Для обхода антивирусов киберпреступники прячут вредоносное ПО в аудиофайлы

Злоумышленники встраивают в WAV-файлы криптомайнер XMRig и код Metasploit для установки обратной оболочки.

Специалисты BlackBerry Cylance обнаружили новую вредоносную кампанию по распространению бэкдоров и ПО для майнинга криптовалюты. Главная особенность данной операции заключается в том, что для сокрытия и загрузки вредоносного ПО на атакуемые компьютеры злоумышленники используют аудиофайлы в формате WAV.

Техники сокрытия вредоносного ПО с помощью стеганографии в файлах графических форматов JPEG и PNG очень часто используются киберпреступниками для обхода антивирусных решений. Однако аудиофайлы для этих целей применяются крайне редко. Если говорить точнее, то недавно обнаруженная вредоносная кампания является второй в своем роде.

Как в июне нынешнего года сообщали исследователи компании Symantec, киберпреступная группировка Turla прятала общественно доступный бэкдор Metasploit Meterpreter в WAV-файле и с его помощью заражала атакуемые системы. Однако недавно специалисты BlackBerry Cylance обнаружили, что данная техника также стала использоваться для распространения криптовалютного майнера XMRig и кода Metasploit для установки обратной оболочки.

К каждому WAV-файлу прилагается загрузчик для декодирования и выполнения вредоносного контента, незаметно вплетенного в аудиоданные. При воспроизведении некоторых аудиофайлов действительно играет музыка без каких-либо помех и проблем с качеством, однако при воспроизведении других слышен лишь белый шум.

Кто стоит за новой кампанией, исследователи пока не могут понять. Хотя метод распространения вредоносного ПО с помощью WAV-файлов ранее уже использовала группировка Turla, новая операция может быть делом рук кого-то другого.

Источник: https://www.securitylab.ru/news/501808.php

Новые ИБ-решения недели: 21 октября 2019 года

Российская компания «Метаскан» представила одноименный сканер уязвимостей для сетей и web-сайтов. METASCAN позволяет провести проверку на наличие открытых портов, присутствие уязвимостей (на основе базы CVEdetails) в web-приложениях, плагинах для WordPress и пр., уязвимость к угрозам из списка OWASP ТОП-10, а также выявить забытые поддомены и IP-адреса, которыми могут воспользоваться злоумышленники для атак на организацию.

Компания FireEye выпустила FireEye Digital Threat Monitoring - решение, которое автоматически собирает и анализирует контент в открытом и теневом интернете и уведомляет команды безопасности об обнаруженных угрозах. Обнаружение угроз на ранней стадии позволит организациям более эффективно выявить утечки данных и прочие проблемы без дополнительной нагрузки на команды безопасности.

FileCloud представила интеллектуальное решение Smart DLP , позволяющее предотвратить утечки данных в реальном времени и обеспечить безопасность локальных и облачных сред. Smart DLP упрощает организацию корпоративного контента и обеспечивает соответствие нормативным положениям о защите данных, включая требования Общего регламента по защите данных ЕС и Закона США о переносимости и подотчетности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA).

Компания Aparavi анонсировала новое решение Aparavi File Protect & Insight для резервного копирования файлов в гибридных и многооблачных средах. FPI позволяет организациям справиться с быстрорастущей нагрузкой на управление неструктурированными данными, включая резервное копирование файлов из центральных хранилищ и большого количества эндпойнтов в облачные хранилища.

Компания Moogsoft представила свежую версию платформы AIOps для выявления и реагирования на инциденты безопасности. Версия AIOps 7.3 получила расширенные возможности автоматизации интегрированного рабочего потока; в целях упрощения работы с платформой улучшены пользовательский интерфейс и навигация.

Источник: https://www.securitylab.ru/news/501852.php

Россия вместо блокировки начнет штрафовать нарушителей в интернете

Российские власти планируют перейти от блокировки нарушителей в интернете к применению штрафов. Об этом сообщил информагентству ТАСС глава Роскомнадзора Александр Жаров.

«В настоящее время в РФ проходит обсуждение законопроекта, предписывающего достаточно серьезные штрафы для компаний, которые не соблюдают законодательство в области регулирования интернета. Мне кажется, это очень серьезный и эффективный шаг вперед. Если мы еще несколько лет назад говорили о том, что нарушители должны быть заблокированы, то теперь, мне кажется, есть более цивилизованный и эффективный метод, когда наказывают «экономическим рублем» — таким образом мы добиваемся, чтобы он соблюдал местное законодательство», — отметил Жаров.

По словам главы Роскомнадзора, государственные органы должны добиваться соблюдения законов, особенно в условиях появления сетей связи пятого поколения и новых типов их шифрования. Подобные вопросы необходимо регулировать на международном уровне, а правила должны быть одинаковыми для всех, в том числе для государств, корпораций, людей.

«Обеспечить защиту национальных интересов при проникновении интернета в различные сферы нашей жизни достаточно просто: необходимо добиваться, чтобы все участники рынка и все граждане соблюдали локальные национальные законодательства. У государства должны быть различные инструменты воздействия на нарушителей, прежде всего экономические. У нас есть необходимые инструменты для регулирования», — отметил Жаров.

По его словам, РФ поддерживает идею многополярности в управлении интернетом, и прав по его управлению у международных организаций, например, Международного союза электросвязи, должно быть больше.

Источник: https://www.securitylab.ru/news/501892.php

Пиратские сайты в России лишились стримингового плеера Moonwalk

В рамках борьбы с пиратством Нидерладский фонд защиты авторских прав (BREIN), Американская ассоциация кинокомпаний (MPAA) и Альянс креативности и развлечений (ACE) добились отключения серверов стриминогового плеера Moonwalk, который, по некоторым оценкам, предоставлял услуги примерно 80% российских пиратских online-кинотеатров.

По данным правообладателей, база данных Moonwalk содержит 26 тыс. фильмов и более 10 тыс. телешоу. Moonwalk обслуживал значительное количество пиратских сайтов в Рунете, включая ресурсы HDrezka, KinoGo, «ГидОнлайн». Система представляла собой пиратскую сеть доставки контента (CDN), а для ее использования достаточно было встроить код плеера на страницу сайта.

В рамках спецоперации BREIN совместно с правоохранительными органами добилась отключения серверов, а также выдачи метаданных трех нидерландских и двух зарубежных компаний, связанных с Moonwalk.

Как отметили в BREIN, на 50 самых популярных сайтов суммарно приходилось около 395 млн посещений от 89 млн уникальных пользователей в месяц. Для правообладателей подобные цифры означали потери сотен миллионов долларов.

Как сообщается на web-сайте, связанном с Moonwalk, из-за данных действий сервис не только прекратил свою работу, но закрылся навсегда.

Источник: https://www.securitylab.ru/news/501948.php

Базовый уровень для пентестера (Penetration tester). Что нужно знать?

- Linux
- Bash
- SQL
- HTTP
- HTML/CSS/JavaScript
- PHP/Java/Python
- Особенности веб-технологий

Новая версия браузера Tor получила ряд улучшений безопасности

Разработчики Tor выпустили новую, девятую версию своего браузера. Tor Browser 9.0 является первым стабильным релизом на базе Firefox 68 ESR, и помимо всех обновлений безопасности для Firefox он также содержит обновления для других компонентов. В частности, Tor обновлен до версии 0.4.1.6, OpenSSL – до версии 1.1.1d (для настольных ПК), а Tor для Android – до версии 0.4.1.5.

Весь трафик в браузере Tor направляется только через сеть Tor. Поскольку обращение напрямую через штатное сетевое соединение текущей системы невозможно, отследить реальный IP-адрес пользователя также нельзя.

В новой версии браузера появилось расширение HTTPS Everywhere от «Фонда электронных рубежей» (EFF), автоматически переключающее сайты на использование HTTPS вместо HTTP (при условии, что сайты поддерживают HTTPS).

Разработчики также улучшили защиту от атак с использованием JavaScript, добавив расширение NoScript, блокирующее исполняемый контент. Для обхода блокировок и инспектирования трафика в браузере появились инструменты fteproxy и obfs4proxy.

Для передачи зашифрованного трафика в окружениях, разрешающих передачу данных только по HTTP, появились альтернативные протоколы.

Пользователи также получили дополнительную защиту от профилирования и отслеживания местоположения благодаря отключению/ограничению API WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, Permissions, MediaDevices.enumerateDevices и screen.orientation. Кроме того, отключены механизмы отправки телеметрии, такие как Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, "link rel=preconnect".

Источник: https://www.securitylab.ru/news/501984.php

Новые ИБ-решения недели: 25 октября 2019 года

Компания «Рефактор-ИКС» представила новый программный продукт RFX-СОПКА для мониторинга объектов критической информационной инфраструктуры (КИИ) и обеспечения их безопасности. RFX-СОПКА предназначен для выполнения требований закона №187-ФЗ («О безопасности критической информационной инфраструктуры Российской Федерации»). Решение позволяет обеспечить эффективное исполнение требований законодательства и упростить контроль за ИТ-инфраструктурой, подлежащей мониторингу на предмет уязвимостей. RFX-СОПКА доступен как для локального внедрения, так и в облачном варианте.

Российская компания «Лаборатория Касперского» выпустила инструмент автоматического тестирования Android-приложений Kaspresso . Решение разработано на основе популярных библиотек для создания автоматизированных тестов Android – Espresso и Kakao. Фреймворк также предоставляет возможность использования в тестах ADB и отличается гибкими настройками и простотой в использовании.

Kaspersky Antidrone – еще одно решение от «Лаборатории Касперского». Продукт позволяет предотвратить нежелательное проникновение беспилотных летательных аппаратов (без их повреждения) на различные объекты, например, на охраняемую территорию крупных промышленных предприятий, массовых мероприятий, частных домов и т.д. Особенность данного решения заключается в уникальной технологии определения положения дрона по облаку точек с помощью лазерного сканера и последующей его классификации при помощи нейросети.

Российский производитель DLP-систем DeviceLock выпустил новую версию программного комплекса DeviceLock DLP , включающую обновленный модуль DeviceLock Enterprise Server с поддержкой СУБД Postgres для хранения и обработки данных о событиях, происходивших в контролируемом контуре. Поддержку получили как открытая СУБД PostgreSQL, так и российская усовершенствованная разработка Postgres Pro, входящая в реестр Минкомсвязи и имеющая сертификат ФСТЭК. DeviceLock Enterprise Server – часть комплекса предотвращения утечек данных DeviceLock DLP, предназначенная для управления защитой, включая работу агентов и распространение DLP-политик, а также централизованного сбора данных теневого копирования и событийного протоколирования с агентов DeviceLock и сервера DeviceLock EtherSensor и создания отчетов на их базе.

Компания Pradeo выпустила решение Pradeo Secure Private Store , позволяющее организациям предоставлять мобильные сервисы (публичные и частные приложения, документы и пр.), не опасаясь за их безопасность. Secure Private Store представляет собой магазин приложений, который устанавливается на устройство как обычное ПО, откуда сотрудники организации могут скачивать нужные программы, документы и пр. Организации могут сами настраивать магазин, давать ему название, выбирать иконки и цвета.

Elastic Endpoint Security – решение для обеспечения безопасности конечных точек. Продукт сочетает в себе технологии SIEM и методы обеспечения безопасности конечных точек, что позволяет организациям автоматически реагировать на угрозы в реальном времени будь то в облачных, локальных или гибридных средах.

Решение ThreatEye от компании CounterFlow AI представляет собой гибкую масштабируемую AIOps (Artificial Intelligence for IT Operations) платформу, использующую технологии машинного обучения и перехвата пакетов для оперативного выявления неисправностей в сети, аномалий и угроз.

Компания Symantec представила Symantec Endpoint Security (SES) – единое решение, включающее в себя функции защиты, обнаружения и реагирования на угрозы. Функциональные возможности продукта также помогают уменьшить поверхность атаки, выявить угрозы, а также провести оценку и предотвратить утечки данных.

Trustwave Security Testing Services – обширный пакет сервисов, предоставляющий предприятиям и правительственным учреждениям возможность приобретать, применять и полностью управлять сканированием и тестированием безопасности в различных средах с помощью единой панели управления.

Источник: https://www.securitylab.ru/news/502071.php