Смартфоны можно взломать с помощью оставленных на стакане отпечатков пальцев

Команда исследователей из Tencent Security X-Lab продемонстрировала на мероприятии GeekPwn 2019 в Шанхае, как можно взломать смартфон с помощью отпечатков пальцев, оставленных на стакане. Исследователь Чень Ю просканировал отпечатки пальцев со стакана с помощью приложения на телефоне, а затем за 20 минут создал физическую копию отпечатков, способных обмануть сканеры смартфонов или автомобилей.

«Необходимое для данной атаки аппаратное обеспечение стоило в общей сложности более 1000 юаней (примерно $140), а оборудование представляет собой всего лишь один телефон и приложение», — пояснил исследователь изданию The Paper.

Как сообщают исследователи, им первым удалось взломать ультразвуковой датчик отпечатков пальцев — один из самых распространенных типов, используемых в смартфонах, наряду с емкостными и оптическими сенсорами.

Однако напомним, ранее в этом месяце британка продемонстрировала, как можно обмануть ультразвуковой датчик отпечатков пальцев в Samsung Galaxy S10. Женщина приобрела гелевую защитную пленку за $3 и обнаружила , что может разблокировать устройство с помощью незарегистрированного пальца. Как вскоре оказалось, ее семья также может разблокировать телефон. Компания Samsung уже выпустила обновление, призванное устранить данную проблему. Также в апреле нынешнего года пользователю форума Reddit под псевдонимом Darkshark удалось обойти систему защиты смартфона при помощи трехмерной модели отпечатка пальца.

Источник: https://www.securitylab.ru/news/502222.php

Зафиксированы первые попытки массовой эксплуатации уязвимости BlueKeep в Windows

Эксперты в области кибербезопасности выявили первые аматорские попытки эксплуатации нашумевшей RCE-уязвимости в Windows для добычи криптовалюты на уязвимых системах. Речь идет об уязвимости CVE-2019-0708 (BlueKeep), патч для которой Microsoft выпустила еще в мае текущего года.

Проблема позволяет выполнить произвольный код и перехватить контроль над устройством путем отправки специально сформированных запросов к службам удаленного рабочего стола, при этом взаимодействие с пользователем не требуется. Баг затрагивает версии Windows 2003, XP, Windows 7, Windows Server 2008 и 2008 R2 и представляет существенную опасность, поскольку может использоваться для осуществления атак наподобие WannaCry и NotPetya. По данным на 2 июля 2019 года число систем, подверженных уязвимости BlueKeep, превышало 805 000 устройств.

Первым попытки эксплуатации данной уязвимости зафиксировал специалист Кевин Бомон (Kevin Beaumont) в субботу, 2 ноября, когда несколько его систем-«ловушек» внезапно вышли из строя и перезагрузились.

Проанализировав данные, которыми поделился Бомон, ИБ-эксперт Майкл Хатчинс, известный тем, что временно приостановил эпидемию WannaCry в мае 2017 года, подтвердил попытки эксплуатации бага для добычи криптовалюты Monero.

По его словам, используемый эксплоит содержит зашифрованные команды PowerShell для загрузки конечного вредоносного модуля с удаленного сервера и его выполнения на атакуемых системах. Согласно данным сервиса VirusTotal, в атаках используется вредоносная программа для майнинга криптовалюты Monero.

Как отметил специалист, вредонос не обладает возможностями «самораспространения» и не может перемещаться от компьютера к компьютеру. Судя по всему, атакующие сперва сканируют Сеть в поисках уязвимых систем и затем эксплуатируют их. В настоящее время нет данных о количестве систем, скомпрометированных в недавних атаках.

https://www.securitylab.ru/news/502260.php

5 серия 4 сезона уже вышла в озвучке LostFilm:
https://mister-robot.tv/4-sezon/192-4-sezon-5-seriya.html

Компания Nikkei потеряла $29 млн из-за мошенников

Американское подразделение компании Nikkei пострадало от крупного мошенничества, в результате которого лишилось около 3,2 млрд. японских иен (примерно $29 млн). Средства были переведены сотрудником компании по указанию мошенника, действовавшего под видом руководителя международной фирмы.

BEC-атаки (Business Email Compromise) представляют собой мошенническую схему, при которой злоумышленники просят сотрудника компании перевести деньги на подконтрольный им банковский счет, отправив просьбу в электронном письме якобы от имени директора компании или доверенного партнера.

Компания уведомила правоохранительные органы в США и Гонконге, поскольку киберпреступники часто перенаправляют украденные деньги на счета в Гонконге.

«Мы проводим расследование, а также проверяем подробности и причины данного инцидента», — сообщила компания в официальном заявлении.

Напомним, в сентябре нынешнего года производитель автомобильных компонентов Toyota Boshoku Corporation (входит в Toyota Group) также сообщил о мошенничестве, в результате которого одна из ее европейских дочерних компаний потеряла более $37 млн. Инцидент произошел 14 августа текущего года.

Источник: https://www.securitylab.ru/news/502297.php

В России появится механизм конфискации криптовалют

По итогам заседания, состоявшегося 1 ноября нынешнего года, Коллегия МВД РФ поручила профильным ведомствам разработать правовой механизм ареста виртуальных активов, в частности криптовалют, для их конфискации. До 31 декабря 2021 года свои предложения должны представить МВД, Росфинмониторинг, Генпрокуратура, Следственный комитет, Минюст, ФСБ, ФТС и ФССП при участии Верховного суда, пишет «РБК».

В настоящее время правовой статус криптовалюты в России не определен, поэтому для того, чтобы ее можно было конфисковать, криптовалюту нужно признать либо денежным эквивалентом, либо товаром. Для регулирования сферы криптовалюты в России с 2017 года разрабатывается законопроект о цифровых финансовых активах (ЦФА). Документ был принят Госдумой в первом чтении в мае прошлого года, но с тех пор все еще готовится ко второму чтению.

Законопроект о ЦФА предназначен для регулирования выпуска, учета и обращения цифровых финансовых активов. Согласно документу, таковыми следует считать оформленные через блокчейн цифровые аналоги долговых расписок, облигаций и прав участия в капитале. Законопроект также вводит понятие «цифровые валюты», но не дает этому термину однозначного определения.

По мнению экспертов, разработка механизмов конфискации криптовалюты фактически означает ее легализацию. Тем не менее, в международной и даже в российской практике уже неоднократно встречались случаи конфискации криптовалюты по решению суда в отсутствие регулирующего ее законодательства.

Конфискация криптовалюты по решению суда теоретически может быть введена и в России. Однако в таком случае неизбежны технические трудности с доступом к криптовалютным кошелькам. Правоохранителям придется не только каким-то образом заполучить учетные данные владельца кошелька, им также нужно будет доказать, что кошелек принадлежит данному конкретному лицу.

Напомним, по итогам заседания 1 ноября Коллегия МВД также поручила разработать эффективные методы блокировки сигнала сотовой связи в тюрьмах и приняла решение по созданию в своей структуре нового подразделения для борьбы с киберпреступностью.

https://www.securitylab.ru/news/502371.php

Pwn2Own 2019 в Токио: Итоги двух дней соревнований

В общей сложности $315 тыс. заработали участники хакерских соревнований Pwn2Own 2019, проходивших 6-7 ноября в Токио. В ходе соревнований участниками было обнаружено 18 ранее неизвестных уязвимостей, о которых производители затронутых продуктов были сразу же уведомлены. На исправление проблем производителям отведен срок в 90 дней.

Организатором Pwn2Own является Trend Micro Zero Day Initiative (ZDI), а призовой фонд составил $750 тыс. Наибольшую сумму по итогам двух дней ($195 тыс.) выиграла хорошо известная по прошлым соревнованиям команда Fluoroacetate в составе двух человек – Амата Камы (Amat Cama) и Ричарда Чжу (Richard Zhu). По итогам двух дней Pwn2Own Fluoroacetate стала чемпионом уже третий раз подряд.

В первый день соревнований участники Pwn2Own заработали $195 тыс. за эксплуатацию уязвимостей в смарт-телевизорах, маршрутизаторах и смартфонах. Для взлома им было предоставлено 17 различных устройств, в том числе «умный» дисплей Portal и шлем виртуальной реальности Oculus Quest от Facebook. Оба эти устройства участвовали в Pwn2Own впервые.

Участники соревнований осуществили 10 попыток взлома, и большинство из них оказались успешными. Команде Fluoroacetate удалось взломать смарт-телевизоры Sony X800G и Samsung Q60, «умную» аудиоколонку Amazon Echo и смартфон Xiaomi Mi9, а также похитить изображение с Samsung Galaxy S10 через NFC.

Команда Flashback взломала «умные» маршрутизаторы NETGEAR Nighthawk Smart WiFi Router (R6700) и TP-Link AC1750 Smart WiFi Router. Команда F-Secure Labs попыталась взломать маршрутизатор TP-Link и смартфон Xiaomi Mi9, однако попытки оказались успешными только частично.

Во второй день соревнований участники Fluoroacetate смогли выполнить произвольный код на Samsung Galaxy S10, за что получили $50 тыс. Команды Flashback и F-Secure Labs взломали маршрутизатор TP-Link AC1750, получив $20 тыс. каждая. Во второй день F-Secure Labs все-таки удалось взломать Xiaomi Mi9 и заработать $30 тыс.

https://www.securitylab.ru/news/502389.php

Низкая зарплата сотрудников – главная причина утечки данных в РФ

Главная причина утечек данных российских пользователей – большое количество организаций, в которые они предоставляют информацию о себе, а также низкая зарплата сотрудников таких организаций. К таким выводам пришли специалисты компании EY по результатам проведенного исследования.

Как показало исследование, российский пользователь предоставляет государству или различным компаниям для подтверждения своей личности в среднем 15 идентификаторов (наборов данных). У жителей Москвы число идентификаторов еще выше и достигает 24.

По данным исследования EY, 88% утечек данных российских пользователей случаются по вине сотрудников компаний, запрашивающих эти данные. Для сравнения, в мире этот показатель составляет 56%.

Как сообщил изданию «РБК» руководитель центра технологий, медиа и телеком EY Юрий Гедгафов, у сотрудников, имеющих доступ к данным пользователей, средняя зарплата составляет 27 тыс. руб. – именно столько можно выручить на черном рынке за несколько записей с персональными данными. Тем не менее, в 2018 году в России было подано не более ста исков, связанных с утечками персональных данных.

В качестве решения проблемы Гедгафов предложил организациям перейти к модели, когда для подтверждения личности гражданина они будут обращаться к специальному ID-провайдеру. Этот провайдер не будет предоставлять данные, а будет подтверждать, что запрашиваемый гражданин подходит под определенные критерии (например, ему можно выдать кредит). ID-провайдер может передавать свой ответ с помощью блокчейна для обеспечения безопасности.

Источник: https://www.securitylab.ru/news/502477.php

Протокол 5G оказался уязвим к самым разным видам атак

Команда исследователей безопасности из Университета Пердью и Университета штата Айова (США) обнаружила почти десяток уязвимостей в стандарте мобильной связи пятого поколения (5G). Эксплуатация уязвимостей позволила осуществить несколько атак, таких как отслеживание местоположение, передача ложных аварийных оповещений и полное отключение 5G-соединения телефона от сети.

По словам специалистов, протокол 5G «не имеет формальной спецификации и, следовательно, неоднозначен и недостаточно конкретен». Существующий стандарт «часто формулирует требования безопасности и конфиденциальности абстрактным образом» с наборами тестов на соответствие, охватывающими «только примитивные требования безопасности, в которых не хватает полноты и рассмотрения состязательных сред».

Для подтверждения теории исследователи создали вредоносную базовую радиостанцию и с помощью инструмента 5GReasoner успешно провели несколько атак на подключенный к 5G смартфон. В одном из сценариев DoS-атака на телефон привела к полному отключению соединения от сотовой сети. Исследователям также удалось отслеживать и фиксировать местоположение устройства в режиме реального времени. Более того, специалисты смогли осуществить перехват пейджингового канала телефона для трансляции поддельных оповещений о чрезвычайных ситуациях, которые, по мнению исследовательской группы, могут вызвать «искусственный хаос». Уязвимости также могут быть проэксплуатированы для понижения стандарта сотовой связи до менее безопасного, позволяя правоохранительным органам и злоумышленникам отслеживать пользователей.

Исследователи уведомили Ассоциацию GSM о данных уязвимостях, но ее представитель Клэр Крэнтон (Claire Cranton) заявила, что «на практике уязвимости являются либо незначительными, либо не представляют никакой опасности».

Международная ассоциация операторов GSM - организация, объединяющая около 700 операторов мобильной связи стандарта GSM из 218 стран. Разрабатывает различные стандарты и рекомендации для операторов GSM. Играет ведущую роль в работе по устранению технических и технологических барьеров к созданию и развитию клиентских сервисов на базе стандарта GSM, а также всемерно содействует распространению сетей стандарта GSM в развивающихся странах.

Источник: https://www.securitylab.ru/news/502542.php

Преступники из Нижнего Тагила грабили банкоматы с помощью радиопомех

Преступная группировка в составе трех жителей Нижнего Тагила грабила банкоматы с помощью радиопомех. Как сообщает пресс-служба МВД РФ, в период с ноября 2017-го по февраль 2019 года таким способом злоумышленники похитили более 8 млн руб.

Деятельность группировки была пресечена сотрудниками ГУ МВД России по Свердловской области при участии Росгвардии в феврале нынешнего года. В настоящее время завершено предварительное расследование, и материалы уголовного дела направлены в Ленинский районный суд Нижнего Тагила.

Как выяснилось в ходе расследования, руководителем группировки является 46-летний ранее судимый мужчина. Он разработал план, согласно которому один из соучастников подыскивал банкоматы, расположенные на первых этажах зданий. Злоумышленник проверял наличие охранной сигнализации, изучал возможность взлома с использованием специального оборудования, путем пролома пола или с помощью разбора стен.

Подтвердив наличие всех необходимых условий для ограбления банкомата, преступники незаконно проникали в помещение и отключали сигнализацию. Далее с помощью электронного устройства для создания радиопомех они блокировали каналы связи комплексов для выдачи и приема денег и, используя газосварочное оборудование, разрезали боковые стенки банкоматов, после чего доставали деньги. Во время процесса один из соучастников следил за окружающей обстановкой и обеспечивал незамедлительный отъезд с награбленным.

Источник: https://www.securitylab.ru/news/502568.php