cybersec news | ИБ и IT

Исследователи кибербезопасности из Citizen Lab уже не первый год отслеживают деятельность израильской компании NSO Group, разработчика шпионского ПО Pegasus. В 2019 году специалисты выявили, что данное программное обеспечение использовалось для взлома телефонов журналистов и защитников прав человека через уязвимость в WhatsApp. Несмотря на благие намерения исследователей, компания NSO, находящаяся в чёрном списке правительства США, активно судится с Citizen Lab, пытаясь выведать методы, которыми компания проводила свой анализ. Суд, впрочем, последовательно отклоняет попытки NSO получить доступ к документации Citizen Lab, однако обстановка продолжает постепенно накаляться. Судебное разбирательство против NSO началось ещё в 2019 году, когда WhatsApp и Meta подали в суд на производителя шпионского софта, обвиняя его в отправке вредоносных программ на около 1400 устройств по всему миру. В последнее время NSO активно пытается пересмотреть свой медийный образ, особенно после включения в черный список в 2021 году. Так, в ноябре прошлого года после атак ХАМАС 7 октября компания обратилась в Госдепартамент с предложением обсудить использование Pegasus как «критически важного инструмента в борьбе с терроризмом». Судебные иски против NSO включают не только дело WhatsApp, но и другие иски, в том числе от журналистов из Сальвадора, компании Apple и вдовы убитого журналиста Джамаля Хашогги. Все эти иски в той или иной степени опираются на исследования Citizen Lab. В связи с чем, как было сказано выше, NSO уже дважды пыталась добиться предоставления дополнительной информации от Citizen Lab по поводу методов их расследования. Первая попытка была отклонена в марте, а вторая в апреле этого года. Судья Гамильтон осудила требования NSO как «явно чрезмерные». Однако она оставила компании шанс попробовать ещё раз, если NSO сможет предоставить доказательства того, что лица, отнесённые Citizen Lab к категории целей из гражданского общества, фактически занимались «криминальной/террористической деятельностью».

Microsoft развертывает GPT-4 в изолированной от интернета облачной среде Azure Government Top Secret, предназначенной для использования армией США. О решении стало известно по итогам интервью с Уильямом Шаппелем, главным техническим директором по стратегическим миссиям и технологиям. Новая система предназначена для обработки огромных объемов секретной информации в интересах американских разведывательных служб. Это первый случай, когда LLM-модель функционирует в полной изоляции от Всемирной паутины и работает по принципу Air Gap. Такой подход позволяет предотвратить утечку или преднамеренный взлом данных. Как только технология получит необходимые аккредитации, Пентагон сможет использовать GPT-4 в защищенной среде. Microsoft, являющаяся крупным инвестором OpenAI, гарантирует, что Пентагон сможет использовать возможности генеративного ИИ в безопасной среде без риска разглашения секретной информации. По словам Шаппелла, благодаря возможностям GPT-4, которые Microsoft развернула через Azure OpenAI Service в Azure Government Top Secret, Пентагон сможет адаптировать технологию под свои нужды, настраивать ее и добавлять собственные данные. Работа над системой длилась 18 месяцев, в том числе капитальный ремонт существующего ИИ-суперкомпьютера в Айове. Модель, размещенная в облаке, является статической, то есть она может читать файлы, но не учиться на их основе или в открытом Интернете. По словам Шаппелла, правительство может сохранить свою модель «чистой» и предотвратить попадание конфиденциальной информации на платформу. По его словам, около 10 000 человек теоретически смогут получить доступ к ИИ. Шаппелл отметил, что в коммерческом использовании уже применяются аналогичные приложения, и теперь правительство сможет разрабатывать подобные решения для своих задач. Однако Шаппелл отказался прогнозировать точную дату аккредитации GPT-4 для работы с секретными данными, подчеркнув, что процесс аккредитации находится под контролем правительства.

🛡 Канал для специалистов по информационной безопасности Security Vision - еженедельные статьи, бесплатные вебинары, разбор работы платформы для специалистов и актуальные новости. ➡️ Подписывайтесь и будьте в курсе ИБ вместе с @svplatform

Минцифры расширило список данных, который организаторы хранения информации хранят и передают по запросу силовым ведомствам: теперь в него входит не только IP-адрес пользователя, но и его сетевой порт. Сетевые порты — это виртуальные конечные точки, которые соединяют передачу данных между несколькими приложениями, службами или устройствами в сети. Специалисты утверждают, что иногда очень сложно определить пользователей, размещающих незаконную информацию в интернете, поэтому данные изменения позволят увеличить эффективность работы силовиков. Документ был опубликован на официальном портале проектов правовых актов. По закону к организаторам хранения информации относится любое физическое или юридическое лицо, владеющее сайтом с функцией коммуникации между пользователями. А это соцсети, мессенджеры, файловые хранилища, онлайн-магазины, площадки объявлений и другие. В рамках закона о «суверенном Рунете» данные об IP-адресах сайтов и пользователей уже сохраняются. Согласно пояснительной записке, сложность заключается в определении, кому из абонентов принадлежит IP-адрес. Ведь организаторы хранения информации используют разные методы оптимизации нагрузки и защиты от DDoS-атак, а также перенаправляют запросы пользователей и не протоколируют их порты. А некоторые абоненты и вовсе могут задействовать виртуальные частные сети и прокси-серверы. Уже осенью Роскомнадзор планирует начать собирать с операторов связи географические координаты всех используемых ими IP-адресов. По мнению специалистов, данная стратегия позволит увеличить эффективность борьбы с DDoS-атаками и позволит точечно блокировать ресурсы, размещающие незаконную информацию, в отдельно взятых регионах.

Лаборатория Касперского представила обзор изменений в ландшафте киберугроз за первый квартал 2024 года. В отчёте отмечается рост числа уязвимостей в программном обеспечении, что подчеркивает важность своевременной реакции на новые угрозы. По статистике, последние 5 лет демонстрируют устойчивый рост количества уязвимостей, зарегистрированных с CVE-идентификаторами. Такая тенденция связана с развитием программ поощрения за выявление уязвимостей и соревнований по поиску недостатков в системе безопасности, что стимулирует научные исследования в этой области. Кроме того, разработчики популярного ПО, операционных систем и языков программирования внедряют все более эффективные механизмы защиты и мониторинга, что также приводит к частому обнаружению уязвимостей. Наконец, с увеличением сложности и количества программных продуктов возрастает и вероятность появления новых уязвимостей. В 2023 году было зарегистрировано рекордное количество критических уязвимостей. Например, доля критических уязвимостей в первом квартале 2024 года остаётся высокой, что указывает на необходимость усиления защитных мер и внедрения менеджмента исправлений. Отчёт также выделяет важность эксплойтов — программ, позволяющих использовать уязвимости для вредоносных целей. Статистика показывает, что наибольший интерес среди злоумышленников вызывают уязвимости, которые позволяют получить контроль над системой. Дополнительно приводится анализ эксплуатации уязвимостей в рамках APT-атак, которые нацелены на инфраструктуры организаций. В 2023 году особенно активно эксплуатировались уязвимости в сервисах удалённого доступа и механизмах разграничения доступа. В первом квартале 2024 года наблюдалось значительное количество эксплойтов, направленных на серверы Microsoft Exchange. Кроме того, многие эксплойты затрагивали различные программные продукты, используемые в бизнес-системах для решения разнообразных задач, что связано с широким спектром ПО, которое может быть интегрировано в корпоративные сети.

В начале 2024 года в киберпространстве активизировалась группировка MorLock, атакующая предприятия с использованием программ-вымогателей. За короткий период времени было атаковано не менее 9 крупных и средних российских компаний. О тактике группы рассказали специалисты F.A.C.C.T. в новом отчете. Злоумышленники MorLock используют вымогательские программы LockBit 3.0 и Babuk, что характерно и для других кибергрупп, но благодаря уникальным тактикам, техникам и процедурам MorLock удается выделить среди прочих. Группа предпочитает действовать втайне, не проявляя активности на киберфорумах и в соцсетях, контакты для выкупа передают через зашифрованные каналы коммуникации. Интересный момент в деятельности MorLock связан с отсутствием эксфильтрации данных перед их шифрованием, что сокращает время проведения атаки и уменьшает шансы на предотвращение инцидента. В случаях успешной атаки компании-жертвы сталкиваются с требованиями о выкупе, размер которого может достигать сотен миллионов рублей. Как начальный вектор атаки MorLock часто использует уязвимости в публично доступных приложениях, например, Zimbra, или скомпрометированные учетные данные, приобретенные на закрытых торговых платформах. Для дальнейшего распространения вредоносного ПО в сетях жертв применяются инструменты – Sliver для постэксплуатации и SoftPerfect Network Scanner для сетевой разведки. Некоторые инструменты киберпреступники загружали на хосты непосредственно с официальных сайтов с помощью веб-браузера жертвы. Особенность MorLock также в том, что в случае наличия в сети жертвы «популярного российского корпоративного антивируса», атакующие получают доступ к его административной панели, отключают защиту и используют этот вектор для дальнейшего распространения вредоносного ПО. Инструменты и методы MorLock постоянно развиваются, а список индикаторов компрометации доступен для общего ознакомления на GitHub, что позволяет IT-специалистам и компаниям-жертвам оперативно реагировать на угрозы.

Исследователи из компании Oversecured обнаружили многочисленные уязвимости в различных приложениях и системных компонентах устройств Xiaomi и Google, работающих под управлением Android. По словам экспертов, эти баги дают доступу к произвольным операциям, ресиверам и сервисам с системными привилегиями, чреваты кражей произвольных файлов, а также утечкой данных устройства, настроек и учетной записи. В Oversecured сообщают, что 20 уязвимостей затрагивают различные приложения и компоненты Xiaomi, включая: Gallery; GetApps; Mi Video; MIUI Bluetooth; Phone Services; Print Spooler; Security; Security Core Component; Settings; ShareMe; System Tracing; Xiaomi Cloud. Отмечается, что Phone Services, Print Spooler, Settings и System Tracing являются легитимными компонентами из Android Open Source Project (AOSP), но они были модифицированы китайским производителем для добавления дополнительной функциональности, что и привело к появлению обнаруженных недостатков. Среди наиболее значимых проблем, найденных исследователями, можно отметить инъекцию шелл-команд, затрагивающую приложение System Tracing, а также ошибки в приложении Settings, которые могли привести к хищению произвольных файлов, а также утечке через намерения информации об устройствах Bluetooth, подключенных сетях Wi-Fi и экстренных контактах. Также был обнаружен баг, связанный с повреждением памяти в приложении GetApps, которое, в свою очередь, берет начало от Android-библиотеки LiveEventBus. По словам Oversecured, сопровождающим проекта сообщили о проблеме больше года назад, однако она до сих пор не устранена. Oversecured пишет, что уведомила Xiaomi об уязвимостях в конце апреля 2023 года, и к настоящему времени все проблемы уже устранены. Теперь пользователям рекомендуется как можно скорее установить последние обновления для защиты от потенциальных рисков. Интересно, что помимо перечисленного исследователи обнаружили еще шесть уязвимостей в ОС Google в целом. Две из них характерны для устройств Pixel, а остальные четыре затрагивают любые Android-устройства.

🏆 Ими не рождаются, ими становятся: кто такой Security Champion и где компании его найти Безопасная разработка ПО предполагает, что все уязвимости будут выявлены и исправлены до того, как их найдут злоумышленники. При этом желательно уделять внимание вопросу безопасности продукта на всех фазах жизненного цикла ПО: от определений потребностей и планирования до развертывания. Такой подход позволяет снизить затраты компании и риски благодаря выявлению слабых мест на ранних этапах. В команде разработчиков контролем безопасности занимается Security Champion. ➡️ В новой статье на сайте обсудили с экспертами роль Security Champion в команде, его преимущества и навыки.

Команда Google разработала новый способ идентификации оригинальных государственных приложений. Новое обозначение правительственных приложений появилось в Google Play Store. Оно выглядит как небольшой значок в виде здания с колоннами, подписанное словом Government и найти его можно в верхней части странички с описанием приложения, рядом с рейтингом и возрастной категорией. Новое обозначение усложнит жизнь мошенникам: теперь будет невозможно выдать фейковое приложение за правительственное, даже если модерация Google Play Store и пропустит клона в магазин. Единственными жертвами фейков будут лишь самые невнимательные пользователи. Чтобы получить значок, госучреждения-владельцы приложений должны соблюсти определенные условия, например, использовать для аккаунта разработчика официальный email ведомства. Сейчас приложения активно получают новое обозначение в США и некоторых странах Европы и Азии, а через некоторое время нововведение распространится на весь мир.

Как отметила в своем блоге вице-президент Google по безопасности, с 2022 года более 400 миллионов учетных записей Google активировали защиту с помощью ключей доступа (passkeys). Юзеры аккаунтов Google прошли аутентификацию, используя passkeys, более 1 миллиарда раз. Это явный показатель того, что новая функция безопасности становится все популярнее. В мире ИТ в первый четверг мая отмечается Всемирный день пароля, который обращает внимание людей на необходимость их использования. Passkeys состоят из двух частей: открытый ключ хранится на сервере, а закрытый — на устройстве пользователя. Сам девайс является одним из факторов аутентификации. Хоть и звучит все это очень сложно, но на деле ключи доступа помогают пользователю легко и быстро войти в систему. Владелец устройства лишь использует своё лицо, отпечаток пальца или ПИН-код. По сообщению Google, время входа пользователей в систему с помощью ключей доступа на 50% быстрее, чем при использовании традиционной двухэтапной верификации, включая одноразовые пароли на основе СМС и OTP-коды в приложениях. Этот факт повышает безопасность и эффективность процессов аутентификации. В планах Google уже лежит идея по интеграции ключей доступа в программу Advanced Protection Program, которая обеспечивает повышенные меры безопасности для пользователей Google-аккаунтов с повышенным риском, к которым относятся активисты, политики и журналисты. Юзеры смогут использовать только passkeys для входа, а также сочетать их с традиционными паролями или аппаратными ключами безопасности, что звучит очень удобно и безопасно. Но вопрос о том, почему же люди не переходят на использование простых и надежных ключей доступа, остается открытым. Юзерам много лет говорили, что длинные и сложные пароли — это лучший метод защиты учетных записей. Людям тяжело поспевать за стремительным темпом развития цифровой безопасности.