😳 Автомобиль можно угнать при помощи Bluetooth колонки

Умные мошенники во Франции выяснили, как менее чем за минуту украсть автомобили марок Peugeot, Lexus и Toyota, используя модифицированный Bluetooth-динамик JBL, чтобы обойти их защиту. Метод заключается в использовании модифицированной версии Bluetooth-колонки JBL, в которую встроен "quick start key".

С его помощью можно менее чем за минуту завести автомобиль после подключения колонки к аудиосистеме транспортного средства через USB.

Подобные колонки-ключи свободно продаются всем желающим в тёмной сети, по ценам в районе 5000 евро, что быстро окупается угоном автомобиля стоимостью более $20 000.

К колонке даже прилагается видео инструкция, в котором предприимчивые воры показывают, как ей пользоваться.

​​🪖 Злоумышленники продолжают активно использовать тему мобилизации

«Лаборатория Касперского» обнаружила целевую атаку на крупные российские компании. Главной целью злоумышленников был шпионаж, а проникнуть в организации они пытались с помощью вредоносного документа об отсрочке от службы.

Атаки осуществлялись путем таргетированной рассылки электронных писем сотрудникам. К письму прилагался файл Word с названием, содержащим слова «отсрочка от призыва». В документе отправители просили «сформировать и направить списки специалистов организации для получения отсрочки от службы».

В случае открытия такого документа подгружался и выполнялся дополнительный макрос, скачивающий вредоносное ПО. Троянец передавал на командный сервер информацию о заражённой системе и затем по команде отправлял запрашиваемые атакующими файлы.

😱 В России зафиксировано самое большое число взломов учетных записей в мире

По данным компании Surfshark, в прошлом квартале 2022 года было взломано почти 110 милн учетных записей. Наибольшее число атак зафиксировано в России. Количество взломанных российских учетных записей выросло на 136%. За Россией, в которой было взломано 22,3 млн аккаунтов, следуют Франция (13,8 млн), Индонезия (13,3 млн) и США (8,5 млн).

Специалисты Surfshark отметили рост случаев нарушения безопасности на 70% (44,5 млн) в третьем квартале по сравнению со вторым кварталом этого года. Они считают, что каждую секунду за последние три месяца в мире утекают данные примерно 14 аккаунтов.

​​📲 Телефонные мошенники стали звонить россиянам с иранских и сирийских номеров

«Служба безопасности Сбербанка» теперь звонит россиянам из Ирана, Турции и Сирии. Неевропейские номера помогают мошенникам обходить блокировки: операторы не могут «банить» все звонки из теперь дружественных стран.

В конце октября резко выросло количество мошеннических звонков с номеров на +9 и созвучных с кодами российских мобильных операторов, например +985 (номера Ирана), +963 (Сирии), +903 (Турции).

Сами мошенники не находятся ни в Сирии, ни в Турции, а просто подставляют нужный номер. Злоумышленники пытаются провести звонок сначала через российский номер, но операторы его блокируют, поэтому они подставляют иностранный номер, даже не пытаясь использовать +7.

Мошенники и раньше могли подставлять при звонках международные номера, но, по статистике «МегаФона», чаще всего использовали европейские номера. И если раньше это был «мертвый» номер, то теперь берут реальных граждан других стран. В итоге последние жалуются на звонки «от вышедших из себя российских абонентов», которые считают, что перезванивают мошеннику.

👂🏼 Баг в iOS и macOS позволял подслушивать разговоры с Siri

Уязвимость Apple iOS и macOS, получившая название SiriSpy, позволяла приложениям с доступом к Bluetooth подслушивать разговоры пользователей с Siri, а также записывать аудио диктовки текста, если к устройству Apple подключены AirPods или Beats.

Проблему в августе текущего года обнаружил разработчик Гильерме Рэмбо (Guilherme Rambo), который создал приложение AirBuddy, упрощающее подключение AirPods и других Bluetooth-аксессуаров к устройствам Apple.

«Любое приложение с доступом к Bluetooth может записывать ваши разговоры с Siri и аудио, связанное с функцией “Диктовка”, при использовании гарнитур AirPods или Beats, — рассказывает разработчик. — Это происходит без запроса разрешения на доступ к микрофону, и приложение не оставляет каких-либо следов прослушивания микрофона».

По словам Рэмбо, проблема была связана со службой DoAP, включенной в AirPods для поддержки Siri и «Диктовки». Фактически это позволяло злоумышленнику создать приложение, которое будет работать с AirPods через Bluetooth и записывать аудио в фоновом режиме. Проблема усугублялась тем, что отсутствовал запрос доступа к микрофону, а в Control Center отображалось лишь только «Siri & Dictation», а не приложение, которое обходит разрешения и напрямую общается с AirPods через Bluetooth LE.

В итоге эта проблема получила идентификатор CVE-2022-32946, и Apple исправила ее на этой неделе с релизом iOS 16.1. За обнаружение уязвимости исследователь получил от компании вознаграждение в размере 7000 долларов.

​​🇨🇳 Китай создает свои «Госуслуги». Система позволит правительству оказывать услуги населению и хранить личные данные граждан.

Государственный совет Китая наметил план создания Национальной интегрированной системы больших данных по делам правительства, которая, как ожидается, к 2025 году сделает миллионы наборов государственных данных доступными из единого сервиса.

Уже создан первоначальный каталог данных, в котором подробно описаны более 3 млн. государственных библиотек данных и более 20 млн. единиц личных данных. На данный момент этот каталог включает наборы данных о населении Китая, юридических лицах, природных ресурсах и национальной экономике.

Однако, данные, доступные правительству, будут расширяться и включать следующую информацию:

— об электронных лицензиях;
— о медицине и здравоохранении;
— об управлении в чрезвычайных ситуациях;
— о кредитных системах.

Вся информация будет доступна для всех государственных ведомств.Ожидается, что услуги электронного правительства будут доступны в 96% деревень и в 100% в крупных центрах.

Новая система, по словам министров Китая, позволит улучшить финансовые услуги, здравоохранение, соцобеспечение, транспорт и управление в чрезвычайных ситуациях. Пекин надеется, что проект укрепит систему социального кредита Китая, которая следит за всеми гражданами и используется для определения того, имеют ли они право на определенные государственные услуги, такие как образование или жилье.

​​📲 Баг в Samsung Galaxy Store позволял тайно устанавливать приложения на устройства пользователей

Исследователи SSD Secure Disclosure рассказали о баге, который был недавно исправлен в приложении Galaxy Store для устройств Samsung. Связанная с XSS уязвимость приводила к удаленному выполнению команд на уязвимых устройствах и позволяла загружать и устанавливать сторонние приложения.

Обнаружение этой уязвимости приписывают исследователю, который пожелал остаться неизвестным. Проблема затрагивала Galaxy Store версии 4.5.32.4 и была связана с межсайтовым скриптингом (XSS), возникая при обработке определенных глубоких ссылок (deep link).

«В приложении Galaxy Store обрабатываются глубокие ссылки. Deep link можно вызывать из другого приложения или браузера. При получении подходящих глубоких ссылок Galaxy Store обработает их и отобразит их через webview. Так как проверка глубоких ссылок осуществлялась небезопасным образом, когда пользователь получал доступ к ссылке с сайта, содержащего deep link, злоумышленник мог выполнить JS-код в контексте webview приложения Galaxy Store», — объясняют специалисты.

Проблема была связана с настройками глубоких ссылок в Samsung Marketing & Content Service (MCS), что может привести к сценарию, когда инъекция произвольного кода приводила к его выполнению. Затем это обстоятельство можно было использовать для загрузки и установки сторонних приложений на устройства Samsung, без взаимодействия с пользователем, через простой переход по ссылке.

​​📲 Британские власти сканируют все устройства в стране в поисках уязвимостей

Национальный центр кибербезопасности Великобритании (NCSC) сообщил, что его специалисты регулярно сканируют все доступные через интернет устройства в стране, чтобы обнаруживать уязвимости. Цель NCSC состоит в том, чтобы оценить уязвимость Великобритании перед кибератаками, а также помочь владельцам подключенных к интернету девайсов оценить их безопасность.

«Эти действия охватывают любые доступные через интернет системы, размещенные на территории Великобритании, а также уязвимости, которые являются широко распространенными или особенно важными из-за высокой степени риска, — говорится в официальном заявлении. — NCSC использует собранные данные для создания обзора подверженности Великобритании уязвимостям после их раскрытия, а также отслеживает их устранение с течением времени».

Сообщается, что сканирование осуществляется с помощью инструментов, размещенных в выделенной облачной среде на scanner.scanning.service.ncsc.gov.uk, с двух IP-адресов (18.171.7.246 и 35.177.10.231). Подчеркивается, что перед сканированием британского интернета все сканеры уязвимостей предварительно тестируются в собственной среде NCSC для выявления любых возможных проблем.

Информация, собранная в ходе таких сканирований, включает в себя любые данные, которые могут передаваться в ответ на подключение к различным службам и веб-серверам, например полные ответы HTTP (включая хедеры). Запросы NCSC предназначены для сбора минимального количества информации, необходимой для проверки на уязвимости.

Если во время сканирований будут собраны какие-либо конфиденциальные или личные данные, NCSC уверяет, что «предпримет шаги для удаления данных и предотвращения их повторного сбора в будущем».

🗂 Сервис для сканирования URL URLScan сливает конфиденциальные данные

Специалисты по кибербезопасности предупреждают, что веб-сервис urlscan(точка)io сливает конфиденциальную информацию. Напомним, что задача URLScan — сканировать веб-сайты и выявлять подозрительные либо вредоносные URL.

Сооснователь Positive Security Фабиан Браунляйн отметил в отчёте: «В публичном доступе оказались частные ссылки на внутренние документы, страницы для сброса паролей, счета и прочее. Все эти данные также можно достать через поиск».

Positive Security углубилась в тему слива информации в феврале 2022 года, после того как GitHub уведомил пользователей о сливе имён их репозиториев сервису urlscan(точка)io. Проблема конфиденциальности усугубляется ещё и тем, что данный сервис интегрирован в ряд ИБ-продуктов посредством API.

«Поскольку интеграция позволяет сканировать каждое входящее письмо и ссылку, в базу собираемых данных могут попасть конфиденциальные сведения: URL страниц для сброса пароля, ссылки на отписку или создание аккаунта и т. п.», — подчёркивает Браунляйн.

​​👀 Специалисты Samsung совместно с учёными из США изобрели камеру для слежки сквозь стены

Массачусетский технологический институт (MIT) при участии корейской компании Samsung создали компактную камеру, которая может видеть сквозь стены.

Подобные камеры существуют уже давно, но они очень громоздкие и могут работать только в лабораториях. MIT и Samsung создали компактный вариант камеры, которая улавливает терагерцовое излучение при комнатной температуре и давлении.

Устройство работает с высокой чувствительностью и может видеть сквозь неметаллические материалы. Для сканирования сквозь стену используются волны между частотами микроволн и видимого света, они могут проникать сквозь преграду и определять рельефность поверхности различных предметов.

Новая разработка может использоваться в системах безопасности, для астрофизических наблюдений и в качестве контроля качества.

​​📄 На Apple подали в суд из-за слежки за пользователями iOS. Компания обещала полную приватность

Apple может собирать персональные данные пользователей даже при условии, что они отключили iPhone Analytics для отслеживания действий в приложениях. Об этом сообщили разработчики приложения Mysk, указав на App Store, Apple Music, Apple TV, Книги и Акции — эти программы имеют доступ к данным в любом случае.

На фоне этого против купертиновцев подали коллективный иск. В документе говорится: «Благодаря своему распространенному и незаконному бизнесу по отслеживанию и сбору данных Apple знает самые интимные и потенциально неловкие аспекты использования приложения пользователем – независимо от того, принимает ли пользователь иллюзорное предложение Apple сохранить такую деятельность в тайне.»

Иск подали 10 ноября. Сейчас суд только будет рассматривать его, а затем примет решение по дальнейшим действиям.

💸 Google выплатит компенсацию за незаконное отслеживание геолокации

В 2018 году Associated Press провело расследование и выяснило, что многие сервисы Google хранят данные о местоположении, даже если пользователь отключал функцию в настройках конфиденциальности.

После статьи 40 американских штатов подали иск против компании. Генеральный прокурор заявил, что Google вводил пользователей в заблуждение относительно своей практики отслеживания местоположения, по крайней мере, с 2014 года. Компания согласилась выплатить $391,5 млн для урегулирования иска и пообещала сделать свои методы, связанные с местонахождением, более прозрачными для пользователей.

В общей сложности эта проблема затронула около 2 млрд пользователей устройств с операционной системой Android и сотни миллионов пользователей iPhone по всему миру, которые используют Google для карт или поиска.

​​🤦🏼‍♀️ 96% российских организаций не защищены от взлома

Специалисты Positive Technologies проанализировали состояние защищенности российских компаний. В ходе пентестов 96% организаций оказались не защищены от проникновения в локальную сеть, во всех организациях был получен полный контроль над инфраструктурой (в среднем это оказалось возможно за пять дней и четыре часа).

В 57% компаний существовал вектор проникновения, состоявший не более чем из двух шагов; в среднем для этого потребовалось бы четыре шага (самая быстрая атака была проведена всего за час). Основными точками входа стали уязвимости и недостатки конфигурации веб-приложений — такие векторы были выявлены во всех без исключения компаниях. Также уязвимости были связаны с недостаточной строгостью парольной политики и отсутствием обновлений ПО.

🔻 57% протестированных организаций входят в рейтинг крупнейших компаний России по объему реализации продукции RAEX-600

🔻 Большая часть исследуемых компаний (63%) — это представители финансовой отрасли, промышленные предприятия и государственные учреждения.

🕵️‍♂️ Эксперт рассказал, как найти шпионскую программу на телефоне

Директор регионального инжинирингового центра SafeNet Национальной технологической инициативы (НТИ) Денис Кувиков рассказал, как проверить, установлено ли шпионское ПО на телефоне. Сделать это непросто, т.к. злоумышленникам проще затаиться, чтобы спокойно вести свою деятельность.

Однако выявить подозрительную активность можно, если отслеживать приложения, социальные сети и мессенджеры на предмет активных устройств.

«Нужно смотреть с каких устройств и IP адресов совершались входы. Самое главное — следить за активностью google или icloud-аккаунтов», — рассказал Денис Кувиков.

​​⚽️ Любителей футбола грабят с помощью фейковых сайтов трансляции ЧМ-2022

Эксперты Group-IB обнаружили свыше 16 тыс. мошеннических ресурсов, использующих тему чемпионата мира по футболу, стартовавшего в Катаре. Более 60 таких сайтов ориентированы на российских болельщиков, которым предлагают поучаствовать в розыгрыше призов.

Как оказалось, 66 поддельных ресурсов в рунете, посвященных ЧМ-2022, создал злоумышленник Kinohoot, хорошо знакомый экспертам. Он и ранее пытался использовать значительные спортивные события для сбора ПДн и данных банковских карт и за несколько лет наблюдений зарегистрировал 382 домена под различные схемы развода болельщиков.

Новые анонсы прямых трансляций Kinohoot, как и прежде, разместил на чужих взломанных ресурсах. Желающих посмотреть матч перенаправляют на мошеннический сайт.

Схема обмана тоже не изменилась: на специально созданном сайте болельщику предлагают поучаствовать в розыгрыше. При этом ему отображают 12 одинаковых коробочек и дают три попытки, чтобы найти ту, в которой якобы спрятан приз.

Последняя попытка всегда оказывается удачной, однако для получения выигрыша нужно заплатить некую комиссию в размере от 300 до 500 рублей — банковским переводом, для совершения которого придется вводить данные карты. Приз в итоге окажется мифом, а мошенник получит информацию, открывающую доступ к счету жертвы.

👀 Женщины в США подали иск к Apple из-за преследования экс-бойфрендами с помощью AirTag

Две женщины в США подали в суд на компанию Apple из-за смарт-меток AirTag. Они утверждают, что устройство может быть использовано навязчивыми преследователями для поиска своих жертв. Обе заявительницы ранее столкнулись с преследованиями. В иске говорится, что одна из пострадавших переехала после расставания с бывшим партнером, чтобы избежать домогательств с его стороны, но он установил AirTag в ее машине. Бывший муж второй женщины положил устройство в рюкзак ребенку, чтобы отслеживать перемещения экс-супруги.

Умные трекеры AirTag — устройства размером с монету, которые можно прикрепить к личным вещам, например к ключам или рюкзаку. В случае потери вещи можно будет найти с помощью специального приложения.

В России AirTag лишились одного из главных плюсов — возможности определять точное местоположение устройства с помощью U1. Это связано с отсутствием разрешения на использование определенных частот.

​​👂🏼 Датчики движения смартфона можно использовать для прослушивания разговоров

Группа исследователей из пяти американских университетов разработала технику атаки по сторонним каналам EarSpy, позволяющую организовать прослушивание ведущихся на телефоне разговоров через анализ информации от датчиков движения.

Современные смартфоны комплектуются достаточно чувствительными акселерометром и гироскопом, которые реагируют и на колебания динамика телефона даже при общении без громкой связи. Используя методы машинного обучения, исследователем удалось на основе полученной от датчиков движения информации восстановить звучащую на устройстве речь.

Атака может быть проведена в любых мобильных приложениях для платформы Android, так как доступ к датчикам движения предоставляется приложениям без специальных полномочий.

Для защиты от рассматриваемого вида атак в платформу Android 13 уже внесены изменения, ограничивающие до 200 Hz точность данных от датчиков, предоставляемых без специальных полномочий. При выборке с частотой 200 Hz точность атаки снижается до 10%.

👀 Система распознавания лиц привела к ошибочному аресту

Система распознавания лиц ошибочно определила чернокожего преступника, за что он был задержан за бегство с места преступления. Эта ситуация вновь привлекла внимание к расовому неравенству в использовании искусственного интеллекта.

28-летний Рэндалл Рид был арестован в конце ноября 2022 года в штате Джорджия. Его адвокат заявил, что власти ошибочно обвинили Рида в кражах кошельков в Луизиане. Более того, Рид никогда не был в Луизиане. Арестованный был освобожден 1 декабря.

Рид — темнокожий, и его арест привлекает новое внимание к использованию технологий, которые, по словам критиков, приводят к более высокому уровню ошибочной идентификации чёрных.

Детектив округа получил ордер на арест, утверждая, что Рид был среди трех мужчин, причастных к другой краже кошельков. Однако, из-за различий во внешности Рида шериф отменил ордер. Он заметил родинку на лице подозреваемого и большую разницу в весе (примерно 18 кг) между Ридом и настоящим вором на кадрах наблюдения.

Системы распознавания лиц подвергались критике из-за их возможностей массового наблюдения, которые вызывают проблемы с конфиденциальностью, а также из-за того, что эта технология часто неправильно идентифицирует чернокожих как преступников, что приводит к ошибочным арестам.

​​📲 Заражённые VPN-клиенты распространяют шпионское ПО

Исследователи кибербезопасности Bitdefender обнаружили , что с мая 2022 года заражённые установщики VPN используются для доставки шпионского ПО EyeSpy.

В отчете Bitdefender говорится, что вредоносная кампания использует «компоненты легитимного приложения для мониторинга SecondEye для слежки за пользователями иранского VPN-сервиса 20Speed VPN с помощью троянизированных установщиков. Большинство заражений происходит в Иране, в Германии и США – в меньшей степени.

Коммерческое ПО SecondEye предназначено для мониторинга активности, которое может работать как система родительского контроля. SecondEye может:

— делать снимки экрана;
— записывать звук с микрофона;
— регистрировать нажатия клавиш;
— собирать файлы и сохраненные пароли из веб-браузеров;
— удаленно управлять компьютером для выполнения произвольных команд.

Цепочка атак начинается, когда ничего не подозревающий пользователь загружает вредоносный исполняемый файл с веб-сайта 20Speed VPN, что указывает на два вероятных сценария: либо серверы сайт были взломаны для размещения шпионского ПО, либо это преднамеренная попытка шпионить за иранцами, которые загружают VPN для обхода отключений интернета в стране.