Пожалуй, сегодняшний пост я назову "Вам, аэрофобы". И говорить мы будем об отчёте команды Pen Test Partners (https://www.pentestpartners.com/security-blog/mapping-the-attack-surface-of-an-airport/), в котором ребятки исследовали уязвимость систем и средств управления, используемых в аэропортах.
Спойлер: если ты боишься летать, дальше не читай.
Находясь в аэропорту, ты наверняка замечал, что любое подобное учреждение под завязку набито электроникой и автоматизированными системами. И чем больше аэропорт, тем сильнее он автоматизирован.
Вот краткий обзор того, что во всей этой электронике накопала команда исследователей.
Системы контроля доступа, которые, в частности, отвечают за пропуск экипажа к самолёту, могут быть клонированы с помощью средств анализа, чтения и копирования меток RFID. Иными словами - если сильно захотеть, можно порулить вместо пилота.
Системы сбора информации о состоянии инфраструктуры аэропорта, которые управляют электронными замками, промышленными процессами, а также вентиляцией и отоплением, содержат в себе дыры в модулях аутентификации, а иногда и готовые эксплойты.
Собственно, сами системы вентиляции и отопления (HVAC) обычно обслуживаются на аутсорсе. То есть кем-то посторонним.
Стойки регистрации, системы выдачи багажа часто вообще остаются без внимания соответствующих служб и могут подвергаться разного рода несанкционированному воздействию.
Дисплеи полётов позволяют злоумышленникам произвольно добавлять новые объекты в общую систему мониторинга, а системы видеонаблюдения защищены легко подбираемым закрытым ключом.
Wi-Fi в каждом аэропорту может быть защищён по-разному. Но от спуфинга не застрахован никто. Создание собственной точки доступа с названием "Аэропорт_Guest" позволит насобирать информацию о тысячах неразборчивых пользователей мобильных устройств за короткое время.
Здоровенной вишней на торте краха твоей нервной системы будет новость о том, что и вся инфраструктура подготовки к полётам (радио-каналы, стыковочные системы, управление буксирами и т.д.) тоже оказалась ненадёжной.
Конечно же, всё вышесказанное не означает, что все на свете аэропорты настолько дырявы, что злоумышленники гуляют там, как про Бродвею. Конечно же, нет. Да и перечисленные уязвимости сами по себе не дают возможности кому попало устроить катастрофу. Но внимание к этой ситуации нужно привлекать, поскольку здесь цена риска самая высокая.
Спойлер: если ты боишься летать, дальше не читай.
Находясь в аэропорту, ты наверняка замечал, что любое подобное учреждение под завязку набито электроникой и автоматизированными системами. И чем больше аэропорт, тем сильнее он автоматизирован.
Вот краткий обзор того, что во всей этой электронике накопала команда исследователей.
Системы контроля доступа, которые, в частности, отвечают за пропуск экипажа к самолёту, могут быть клонированы с помощью средств анализа, чтения и копирования меток RFID. Иными словами - если сильно захотеть, можно порулить вместо пилота.
Системы сбора информации о состоянии инфраструктуры аэропорта, которые управляют электронными замками, промышленными процессами, а также вентиляцией и отоплением, содержат в себе дыры в модулях аутентификации, а иногда и готовые эксплойты.
Собственно, сами системы вентиляции и отопления (HVAC) обычно обслуживаются на аутсорсе. То есть кем-то посторонним.
Стойки регистрации, системы выдачи багажа часто вообще остаются без внимания соответствующих служб и могут подвергаться разного рода несанкционированному воздействию.
Дисплеи полётов позволяют злоумышленникам произвольно добавлять новые объекты в общую систему мониторинга, а системы видеонаблюдения защищены легко подбираемым закрытым ключом.
Wi-Fi в каждом аэропорту может быть защищён по-разному. Но от спуфинга не застрахован никто. Создание собственной точки доступа с названием "Аэропорт_Guest" позволит насобирать информацию о тысячах неразборчивых пользователей мобильных устройств за короткое время.
Здоровенной вишней на торте краха твоей нервной системы будет новость о том, что и вся инфраструктура подготовки к полётам (радио-каналы, стыковочные системы, управление буксирами и т.д.) тоже оказалась ненадёжной.
Конечно же, всё вышесказанное не означает, что все на свете аэропорты настолько дырявы, что злоумышленники гуляют там, как про Бродвею. Конечно же, нет. Да и перечисленные уязвимости сами по себе не дают возможности кому попало устроить катастрофу. Но внимание к этой ситуации нужно привлекать, поскольку здесь цена риска самая высокая.
Pentestpartners
Mapping the Attack Surface of an Airport | Pen Test Partners
Aviation security is a complex environment. What first sparked my interest in avionics security was a comment from an airport customer of ours. They had seen the media coverage of the DHS work against a Boeing 757 a few years ago and were concerned that an…
Немного практики - всегда полезно. Тьюториал по атакам на беспроводные сети от специалиста из нашей команды. Естественно, только в ознакомительных целях.
https://habr.com/ru/company/tomhunter/blog/471260/
https://habr.com/ru/company/tomhunter/blog/471260/
Хабр
Kali Linux NetHunter на Android Ч.2: атаки на беспроводные сети
Статьи из цикла Kali Linux NetHunter на Android: зачем и как установить Kali Linux NetHunter на Android Ч.2: ата...
Уязвимости биометрии
Изучая различные системы защиты, ты наверняка сталкивался с мнением, что биометрия - это круто. Уникальность рисунка отпечатка пальца или сетчатки глаза позволяет однозначно определить пользователя. Поэтому аутентификация по биологическим параметрам - вещь крайне надёжная.
Но говоря так, специалисты обычно не упоминают тот факт, что ответственность за корректное распознавание пальца, глаза или лица несёт считывающее устройство. А вот у него могут случиться и косяки.
Считывающая железка "запоминает" некоторые узловые точки биологического рисунка и сверяет их каждый раз во время сеанса аутентификации. Чем круче сканер, тем больше точек он запоминает. Первые ноутбуки с функцией блокировки по отпечатку пальца вскрывались перебором отпечатков ближайших друзей "взломщика". Современные системы, конечно же, стали на несколько порядков суровее. Но и здесь случаются обломы.
Вот и на этой неделе в сеть попала история (https://www.thesun.co.uk/tech/10127908/samsung-galaxy-s10-screen-protector-ebay/) о том, как муж подарил жене Samsung Galaxy S10, та защитила телефон отпечатком своего пальца, наклеила на экран защитную плёнку, а потом вдруг обнаружила, что через эту самую плёнку разблокировать телефон может и сам её муж, и её сестра.
Самсунг и ранее попадал в истории с биометрией. Например, при определённых обстоятельствах, он может распознать ваше лицо на фотографии и разблокироваться.
В общем-то, это вся новость. Но я добавлю немножко размышлений. Во-первых, вопросы биометрической защиты - это действительно крайне важные вопросы. С учётом справедливой уверенности специалистов в надёжности этих методов, многие защитные системы включают в себя сканеры биологических рисунков. А это значит, что любая уязвимость такого сканера должна сразу же отрабатываться и закрываться.
Во-вторых, такого рода промахи сказываются на репутации разработчиков продукта. И само по себе обнаружение таких дыр в защите несёт те самые пресловутые репутационные потери, которые, конечно, играют на руку конкурентам скомпрометированной компании.
Я ни в коем случае не утверждаю, что данная история может считаться заказной. Наоборот, все подобные ошибки должны публиковаться, дабы не допустить кражу информации. Но для полноты картинки оба этих пункта обозначить стоило.
Изучая различные системы защиты, ты наверняка сталкивался с мнением, что биометрия - это круто. Уникальность рисунка отпечатка пальца или сетчатки глаза позволяет однозначно определить пользователя. Поэтому аутентификация по биологическим параметрам - вещь крайне надёжная.
Но говоря так, специалисты обычно не упоминают тот факт, что ответственность за корректное распознавание пальца, глаза или лица несёт считывающее устройство. А вот у него могут случиться и косяки.
Считывающая железка "запоминает" некоторые узловые точки биологического рисунка и сверяет их каждый раз во время сеанса аутентификации. Чем круче сканер, тем больше точек он запоминает. Первые ноутбуки с функцией блокировки по отпечатку пальца вскрывались перебором отпечатков ближайших друзей "взломщика". Современные системы, конечно же, стали на несколько порядков суровее. Но и здесь случаются обломы.
Вот и на этой неделе в сеть попала история (https://www.thesun.co.uk/tech/10127908/samsung-galaxy-s10-screen-protector-ebay/) о том, как муж подарил жене Samsung Galaxy S10, та защитила телефон отпечатком своего пальца, наклеила на экран защитную плёнку, а потом вдруг обнаружила, что через эту самую плёнку разблокировать телефон может и сам её муж, и её сестра.
Самсунг и ранее попадал в истории с биометрией. Например, при определённых обстоятельствах, он может распознать ваше лицо на фотографии и разблокироваться.
В общем-то, это вся новость. Но я добавлю немножко размышлений. Во-первых, вопросы биометрической защиты - это действительно крайне важные вопросы. С учётом справедливой уверенности специалистов в надёжности этих методов, многие защитные системы включают в себя сканеры биологических рисунков. А это значит, что любая уязвимость такого сканера должна сразу же отрабатываться и закрываться.
Во-вторых, такого рода промахи сказываются на репутации разработчиков продукта. И само по себе обнаружение таких дыр в защите несёт те самые пресловутые репутационные потери, которые, конечно, играют на руку конкурентам скомпрометированной компании.
Я ни в коем случае не утверждаю, что данная история может считаться заказной. Наоборот, все подобные ошибки должны публиковаться, дабы не допустить кражу информации. Но для полноты картинки оба этих пункта обозначить стоило.
The Sun
Horrified mum discovered anyone could access her information after glitch on new Samsung phone fitted with eBay screen protector
A MUM found that anyone could access her Samsung phone after she fitted a £2.70 screen protector she got on eBay. Lisa Neilson, 34, bought the gel cover to protect her new S10. With the screen on, …
Возможно, листая каталоги интернет-магазинов, ты удивляешься, как много всего выпускает, скажем, Xiaomi. Телефонами и фитнес-браслетами уже никого не удивишь. Ребятки штампуют кроссовки, куртки с подогревом, ёршики для унитазов.
Но сегодня, мой друг, китайцы нервно курят в сторонке. Потому что на IT-рынок буквально ворвался... Ватикан!
С 15 октября мировая католическая столица начала продажу электронных чёток, способных отследить момент, в который их пользователь начинает молиться. Далее, чётки запускают приложение Click To Pray на его смартфоне. Эта программка оказывает поддержку пользователя во время молитвы.
Да... Интернет вещей ещё никогда не был так близок к миру духовному. Но зачем я пишу об этом в своём канале? Думаю, ты уже догадался. Умные чётки оказались уязвимы к атакам злоумышленников (https://www.theregister.co.uk/2019/10/18/vatican_erosary_insecure/).
Дело заключалось в том, что для авторизации в связке "чётки-приложение" требуется четырёхзначный пин-код, перебор которого не был ограничен некоторым количеством попыток ввода. Таким образом, злоумышленник получал возможность перебрать все десять тысяч комбинаций и украсть данные пользователя, запрашиваемые приложением.
Вообще, Click To Pray не хранит в себе непосредственно персональных данных, кроме фотографий пользователей. Но именно этот момент и вызвал обеспокоенность экспертов, ведь фотография в католическом приложении может стать причиной многих проблем у верующего из страны, где к христианам относятся враждебно. Здесь, правда, возникает вопрос - откуда христиане из таких стран достанут электронные чётки.
Но, независимо от ответа на данный вопрос, могу сказать, что уязвимость уже закрыта и праву на свободное электронное вероисповедание ничего не угрожает.
Deus vult!
Но сегодня, мой друг, китайцы нервно курят в сторонке. Потому что на IT-рынок буквально ворвался... Ватикан!
С 15 октября мировая католическая столица начала продажу электронных чёток, способных отследить момент, в который их пользователь начинает молиться. Далее, чётки запускают приложение Click To Pray на его смартфоне. Эта программка оказывает поддержку пользователя во время молитвы.
Да... Интернет вещей ещё никогда не был так близок к миру духовному. Но зачем я пишу об этом в своём канале? Думаю, ты уже догадался. Умные чётки оказались уязвимы к атакам злоумышленников (https://www.theregister.co.uk/2019/10/18/vatican_erosary_insecure/).
Дело заключалось в том, что для авторизации в связке "чётки-приложение" требуется четырёхзначный пин-код, перебор которого не был ограничен некоторым количеством попыток ввода. Таким образом, злоумышленник получал возможность перебрать все десять тысяч комбинаций и украсть данные пользователя, запрашиваемые приложением.
Вообще, Click To Pray не хранит в себе непосредственно персональных данных, кроме фотографий пользователей. Но именно этот момент и вызвал обеспокоенность экспертов, ведь фотография в католическом приложении может стать причиной многих проблем у верующего из страны, где к христианам относятся враждебно. Здесь, правда, возникает вопрос - откуда христиане из таких стран достанут электронные чётки.
Но, независимо от ответа на данный вопрос, могу сказать, что уязвимость уже закрыта и праву на свободное электронное вероисповедание ничего не угрожает.
Deus vult!
www.theregister.co.uk
Deus ex hackina: It took just 10 minutes to find data-divulging demons corrupting Pope's Click to Pray eRosary app
Vatican coders exorcise API gremlins but, we must confess, they missed one little monster....
Человеку свойственно стремиться к комфорту и уюту, забираться туда, где его никто не потревожит. И злоумышленники не являются исключением.
В ночь с 26 на 27 сентября немецкая полиция взяла штурмом подземный бункер (https://www.apnews.com/be9947471fb74360b6cf9d1d2b535927), в котором размещался здоровенный анонимный датацентр.
Заброшенный и впоследствии переоборудованный под ЦОД многоуровневый бункер НАТО штурмовали 650 человек, включая не только полицейских, но и медперсонал, и айтишников, и операторов дронов. Операция по захвату готовилась не один год, а задержанными оказались... всего 13 граждан в возрасте от 20 до 59 лет.
Собственно, хозяином анонимного хостинга и является тот самый пятидесятилетний товарищ. Про него известно, что уже довольно давно по документам он находится в Сингапуре, а по национальности является голландцем.
Стоит ли теперь удивляться, что на этом хостинге были обнаружены ресурсы по продаже всего многообразия наркотиков (Cannabis Road, Flight Vamp 2.0, Orange Chemicals и Wall Street Market). Кроме этого, Кибербункер (а именно так они себя и называли) являлся одним из самых больших мировых хостингов аниме и детской порнографии. Кстати, именно за это его официально и ликвидировали. И я имею ввиду не обычные аниме, конечно.
Вся эта история лишний раз указывает нам на то, как тесно связаны мир информационный и мир реальный.
В ночь с 26 на 27 сентября немецкая полиция взяла штурмом подземный бункер (https://www.apnews.com/be9947471fb74360b6cf9d1d2b535927), в котором размещался здоровенный анонимный датацентр.
Заброшенный и впоследствии переоборудованный под ЦОД многоуровневый бункер НАТО штурмовали 650 человек, включая не только полицейских, но и медперсонал, и айтишников, и операторов дронов. Операция по захвату готовилась не один год, а задержанными оказались... всего 13 граждан в возрасте от 20 до 59 лет.
Собственно, хозяином анонимного хостинга и является тот самый пятидесятилетний товарищ. Про него известно, что уже довольно давно по документам он находится в Сингапуре, а по национальности является голландцем.
Стоит ли теперь удивляться, что на этом хостинге были обнаружены ресурсы по продаже всего многообразия наркотиков (Cannabis Road, Flight Vamp 2.0, Orange Chemicals и Wall Street Market). Кроме этого, Кибербункер (а именно так они себя и называли) являлся одним из самых больших мировых хостингов аниме и детской порнографии. Кстати, именно за это его официально и ликвидировали. И я имею ввиду не обычные аниме, конечно.
Вся эта история лишний раз указывает нам на то, как тесно связаны мир информационный и мир реальный.
AP News
Germany shuts down illegal data center in former NATO bunker
German investigators say they have shut down a data processing center installed in a former NATO bunker that hosted sites dealing in drugs and other illegal activities.
Корпоративная этика
Мы уже не раз возвращались к вопросу значимости репутации в деловом мире. И я уже не однократно повторял, что целью хакеров может стать даже не кража имущества, а твоё доброе имя.
Но самое смешное, что и сами хакеры могут стать жертвами репутационной атаки.
Дело в том, что в сети появились злоумышленники-шантажисты, которые вымогают деньги у компаний, угрожая DDoS-атаками (https://www.zdnet.com/article/a-ddos-gang-is-extorting-businesses-posing-as-russian-government-hackers/).
Сама по себе история не нова, но есть два интересных момента.
Во-первых, для того, чтобы жертва была сговорчивее, злоумышленники проводят показательные атаки.
А во-вторых, видимо, чтобы повысить свой авторитет, шантажисты выдают себя за группу Fancy Bear, известную по совсем другим делам.
Со стороны это выглядит так, будто ребяткам очень захотелось казаться круче, чем они есть. Но, вместе с тем, как ты понимаешь, подобное поведение могло бы наложить отпечаток и на Fancy Bear. Могло бы, если бы мы с тобой не знали о принципе целесообразности, исходя из которого становится понятно, что такого рода атаки не являются профилем русскоязычной группировки.
Мы уже не раз возвращались к вопросу значимости репутации в деловом мире. И я уже не однократно повторял, что целью хакеров может стать даже не кража имущества, а твоё доброе имя.
Но самое смешное, что и сами хакеры могут стать жертвами репутационной атаки.
Дело в том, что в сети появились злоумышленники-шантажисты, которые вымогают деньги у компаний, угрожая DDoS-атаками (https://www.zdnet.com/article/a-ddos-gang-is-extorting-businesses-posing-as-russian-government-hackers/).
Сама по себе история не нова, но есть два интересных момента.
Во-первых, для того, чтобы жертва была сговорчивее, злоумышленники проводят показательные атаки.
А во-вторых, видимо, чтобы повысить свой авторитет, шантажисты выдают себя за группу Fancy Bear, известную по совсем другим делам.
Со стороны это выглядит так, будто ребяткам очень захотелось казаться круче, чем они есть. Но, вместе с тем, как ты понимаешь, подобное поведение могло бы наложить отпечаток и на Fancy Bear. Могло бы, если бы мы с тобой не знали о принципе целесообразности, исходя из которого становится понятно, что такого рода атаки не являются профилем русскоязычной группировки.
ZDNet
A DDoS gang is extorting businesses posing as Russian government hackers
Exclusive: Fake "Fancy Bear" group is demanding money from companies in the financial sector, threatening DDoS attacks.
Енотики
Все мы любим енотиков. Милые видосики с этими существами заставляют нас обманываться. Во-первых, енот является хищником и воришкой. А, во-вторых, может украсть у тебя конфиденциальную информацию, в том случае, если это программка Raccoon (https://www.cybereason.com/blog/hunting-raccoon-stealer-the-new-masked-bandit-on-the-block) - инфостилер, начавший свою активность в сети совсем недавно. За короткое время он очень громко заявил о себе.
И сейчас этот представитель интернет-фауны продолжает набирать особую популярность на теневом рынке вредоносного ПО. Причина здесь в нескольких важных моментах.
Для начала - Raccoon довольно прост. Попав путём фишинга или какой-то другой подкачки на твой компьютер, он не теряет времени даром и начинает сразу тащить оттуда всё, что попадётся под руку.
При этом, разработчики злобного енота за умеренные деньги обеспечивают покупателей хостингом, панелью настроек и технической поддержкой.
Иными словами, как товар, Raccoon доступен почти каждому, а как ПО - предельно понятен и имеет техническое сопровождение.
Эти фишки выводят воришку в топ 10 самых упоминаемых малварей в Интернете на актуальный момент. Ну а для нас с тобой, это очередной пример высказывания "дёшево и сердито". А ещё, опасно.
Остерегайся енотов, друг мой!
Все мы любим енотиков. Милые видосики с этими существами заставляют нас обманываться. Во-первых, енот является хищником и воришкой. А, во-вторых, может украсть у тебя конфиденциальную информацию, в том случае, если это программка Raccoon (https://www.cybereason.com/blog/hunting-raccoon-stealer-the-new-masked-bandit-on-the-block) - инфостилер, начавший свою активность в сети совсем недавно. За короткое время он очень громко заявил о себе.
И сейчас этот представитель интернет-фауны продолжает набирать особую популярность на теневом рынке вредоносного ПО. Причина здесь в нескольких важных моментах.
Для начала - Raccoon довольно прост. Попав путём фишинга или какой-то другой подкачки на твой компьютер, он не теряет времени даром и начинает сразу тащить оттуда всё, что попадётся под руку.
При этом, разработчики злобного енота за умеренные деньги обеспечивают покупателей хостингом, панелью настроек и технической поддержкой.
Иными словами, как товар, Raccoon доступен почти каждому, а как ПО - предельно понятен и имеет техническое сопровождение.
Эти фишки выводят воришку в топ 10 самых упоминаемых малварей в Интернете на актуальный момент. Ну а для нас с тобой, это очередной пример высказывания "дёшево и сердито". А ещё, опасно.
Остерегайся енотов, друг мой!
Cybereason
Hunting Raccoon: The New Masked Bandit on the Block
Nocturnus has investigated infections of the Raccoon stealer including its origin, team members, business model, and marketing efforts. We also cover Racoon's current capabilities and delivery methods, with a look into their future plans for the malware.
Специалисты-безопасники постоянно повторяют: "Не ходите по непонятным ссылкам". Но почти все мы учимся только на собственных ошибках. Этот факт лишний раз подтверждает новость (https://www.zdnet.com/article/new-unremovable-xhelper-malware-has-infected-45000-android-devices/) о программке-рекламщике, которая за последние шесть месяцев заразила около сорока пяти тысяч устройств на Андройде.
На данный момент, героя нашей сегодняшней новости, назвать малварью можно лишь с натяжкой. Программка xHelper обладает возможностью подгружать дополнительные модули, после попадания на смартфон жертвы. Однако всё, что она делает - это иногда (часто) включает рекламу на экране мобильного устройства. Бесит, но прямого урона не наносит.
Другой вопрос, что заражая более двух тысяч устройств ежемесячно, xHelper, однажды может перепрофилироваться в заметный ботнет, готовый выполнять приказы с командного сервера, с которым у него уже присутствует соединение по SSL-каналу.
Весёлой особенностью xHelper можно назвать высокий приоритет, с которым он запускается на заражённом устройстве. Рекламщик не только работает даже при забитой оперативной памяти, но и не отображается в списке запущенных программ. Это означает, что удалить обычными методами его не получится. Откатиться до заводских настроек ты, конечно, можешь, но и это не решит проблему. Да, этот странный зверь не исчезнет с твоего смартфона даже тогда.
Как же защитить себя и свой телефон от нагрузки бесполезной рекламой? Очень просто. xHelper заражает своих жертв, когда те пытаются установить программы с непроверенных репозиториев. После закачки паразит активируется при перезагрузке телефона, при подключении зарядного устройства, а также при удалении или установке какой-нибудь другой программы.
Таким образом, ты никогда не нарвёшься на этого паразита, если будешь использовать проверенные репозитории. Береги гаджет смолоду, что называется
На данный момент, героя нашей сегодняшней новости, назвать малварью можно лишь с натяжкой. Программка xHelper обладает возможностью подгружать дополнительные модули, после попадания на смартфон жертвы. Однако всё, что она делает - это иногда (часто) включает рекламу на экране мобильного устройства. Бесит, но прямого урона не наносит.
Другой вопрос, что заражая более двух тысяч устройств ежемесячно, xHelper, однажды может перепрофилироваться в заметный ботнет, готовый выполнять приказы с командного сервера, с которым у него уже присутствует соединение по SSL-каналу.
Весёлой особенностью xHelper можно назвать высокий приоритет, с которым он запускается на заражённом устройстве. Рекламщик не только работает даже при забитой оперативной памяти, но и не отображается в списке запущенных программ. Это означает, что удалить обычными методами его не получится. Откатиться до заводских настроек ты, конечно, можешь, но и это не решит проблему. Да, этот странный зверь не исчезнет с твоего смартфона даже тогда.
Как же защитить себя и свой телефон от нагрузки бесполезной рекламой? Очень просто. xHelper заражает своих жертв, когда те пытаются установить программы с непроверенных репозиториев. После закачки паразит активируется при перезагрузке телефона, при подключении зарядного устройства, а также при удалении или установке какой-нибудь другой программы.
Таким образом, ты никогда не нарвёшься на этого паразита, если будешь использовать проверенные репозитории. Береги гаджет смолоду, что называется
ZDNet
New 'unremovable' xHelper malware has infected 45,000 Android devices
Factory resets aren't helping. Neither are mobile antivirus solutions. Malware keeps reinstalling itself.
Что делать, если ты не хочешь быть частью новостей про утечки данных из банков
Что-то часто последнее время стали утекать данные клиентов не самых маленьких отечественных банков.
Вот и сейчас появилась очередная новость (https://xakep.ru/2019/11/05/alfa-leak/). На этот раз, жертвами злоумышленников оказались клиенты Альфа-банка. Часть утекших в сеть данных оказалась недостоверной, но и счета реальных пользователей действительно были скомпрометированы.
В связи с таким неприятным трендом, я бы хотел дать несколько советов по защите твоих банковских карт. Конечно, многое здесь зависит от кредитного учреждения Но и ты можешь приложить некоторые усилия, чтобы максимально обезопасить себя.
Итак.
Для начала, будь осторожен с банкоматами. Есть такие нехорошие ребятки, которых называют кардерами. Кардеры устанавливают на порт приёма карточек банкомата специальные устройства для считывания информации - скиммеры. Эти девайсы специально замаскированы под элемент терминала и ты можешь не сразу понять, что конкретный банкомат твоего банка чем-то отличается от всех остальных. Говорят, что кардеров не очень много, потому что их методы с большой натяжкой можно назвать выгодными.
Еще один нехитрый приём кражи - это когда злоумышленники подслушивают частоту, с которой ты набираешь пинкод. Задержка между нажатиями клавиш может дать вору представление о том, как расположены нажатые тобой кнопки. Дальше остаётся только вытащить карточку у тебя из кармана.
А ещё, храни карточку в специальном чехле, который защищает её от нежелательной бесконтактной оплаты. Эта мера выглядит немного паранойной и не всегда работает, но все же.
Дальше - проще. Не говори никому и никогда свой ПИН-код, не сообщай коды подтверждения по смс, нигде и никогда не озвучивай свой cvv. Помни, все эти данные открывают злоумышленнику дорогу к твоим финансам.
Пользуясь онлайн-сервисами, не забывай выходить из них по завершении работы. А когда во время оплаты заказа онлайн у тебя запросят данные карточки, убедись, что ты не попался на удочку фишинговой атаки. Помни - атаки на цепочки поставок никто не отменял и иной ресурс оплаты заботливо сохранит данные твоей карточки, чтобы передать их своему боссу-злоумышленнику.
Ну и самое главное - помни, что самая страшная (и часто - успешная) атака - это атака на человека. Если тебе позвонил сотрудник банка и начал уточнять данные карточки, убедись, что звонят действительно из банка. В конце концов, прерви разговор и сгоняй в ближайшее отделение или просто перезвони. Кстати, этот вариант мошенничества в топе за последние месяцы по аналитике Центробанка.
Вот как-то так. Конечно, возможных атак и угроз в нашем мире гораздо больше. Но главная защита - это твоя бдительность. Помни, что большинство грабежей происходят не из-за утечек данных пользователей, а из-за банальной доверчивости рядовых граждан, которых бессовестные воры обкрадывают повсеместно каждый день.
Что-то часто последнее время стали утекать данные клиентов не самых маленьких отечественных банков.
Вот и сейчас появилась очередная новость (https://xakep.ru/2019/11/05/alfa-leak/). На этот раз, жертвами злоумышленников оказались клиенты Альфа-банка. Часть утекших в сеть данных оказалась недостоверной, но и счета реальных пользователей действительно были скомпрометированы.
В связи с таким неприятным трендом, я бы хотел дать несколько советов по защите твоих банковских карт. Конечно, многое здесь зависит от кредитного учреждения Но и ты можешь приложить некоторые усилия, чтобы максимально обезопасить себя.
Итак.
Для начала, будь осторожен с банкоматами. Есть такие нехорошие ребятки, которых называют кардерами. Кардеры устанавливают на порт приёма карточек банкомата специальные устройства для считывания информации - скиммеры. Эти девайсы специально замаскированы под элемент терминала и ты можешь не сразу понять, что конкретный банкомат твоего банка чем-то отличается от всех остальных. Говорят, что кардеров не очень много, потому что их методы с большой натяжкой можно назвать выгодными.
Еще один нехитрый приём кражи - это когда злоумышленники подслушивают частоту, с которой ты набираешь пинкод. Задержка между нажатиями клавиш может дать вору представление о том, как расположены нажатые тобой кнопки. Дальше остаётся только вытащить карточку у тебя из кармана.
А ещё, храни карточку в специальном чехле, который защищает её от нежелательной бесконтактной оплаты. Эта мера выглядит немного паранойной и не всегда работает, но все же.
Дальше - проще. Не говори никому и никогда свой ПИН-код, не сообщай коды подтверждения по смс, нигде и никогда не озвучивай свой cvv. Помни, все эти данные открывают злоумышленнику дорогу к твоим финансам.
Пользуясь онлайн-сервисами, не забывай выходить из них по завершении работы. А когда во время оплаты заказа онлайн у тебя запросят данные карточки, убедись, что ты не попался на удочку фишинговой атаки. Помни - атаки на цепочки поставок никто не отменял и иной ресурс оплаты заботливо сохранит данные твоей карточки, чтобы передать их своему боссу-злоумышленнику.
Ну и самое главное - помни, что самая страшная (и часто - успешная) атака - это атака на человека. Если тебе позвонил сотрудник банка и начал уточнять данные карточки, убедись, что звонят действительно из банка. В конце концов, прерви разговор и сгоняй в ближайшее отделение или просто перезвони. Кстати, этот вариант мошенничества в топе за последние месяцы по аналитике Центробанка.
Вот как-то так. Конечно, возможных атак и угроз в нашем мире гораздо больше. Но главная защита - это твоя бдительность. Помни, что большинство грабежей происходят не из-за утечек данных пользователей, а из-за банальной доверчивости рядовых граждан, которых бессовестные воры обкрадывают повсеместно каждый день.
XAKEP
СМИ сообщили об утечке данных клиентов «Альфа-банка»
По информации РБК, в сети выставили на продажу информацию о владельцах кредитных карт «Альфа-банка» и клиентах «АльфаСтрахования».
Internet of the things
Технологии умного дома не перестают "радовать" нас новыми уязвимостями.
Дверной звонок от Amazon Ring Video Doorbell Pro позволяет владельцу общаться с пришедшим гостем из любой точки мира, если уж так вышло, что тот пришёл, когда никого нет дома.
Для этой цели умный звонок подключается к домашней сети Wi-Fi, доступ к которой легко может раззвенеть злоумышленникам (https://thehackernews.com/2019/11/ring-doorbell-wifi-password.html).
Фишка заключается в том, что за связь звонка и хозяина квартиры, как обычно, отвечает приложение на смартфоне. При первоначальной настройке этой нехитрой связки звонок открывает приложению незащищённый доступ, через который он должен получить данные, включая пароль от домашней сети Wi-Fi. Вся информация в момент настройки передаётся в незащищённом виде и может быть перехвачена пресловутой атакой "человек по середине" (man-in-the-middle).
Думаю, ты разумно заметишь, что не надо настраивать такую важную систему, стоя пореди улицы так, что любой желающий сможет поймать нужный момент и оказаться достаточно близко, чтобы атаковать твой дверной звонок.
Но есть один нюанс. После настройки и успешного ввода звонка в эксплуатацию злоумышленник может выждать удобный ему момент и начать отсылать запросы на деаутентификацию. При таких условиях, как оказалось (https://www.bitdefender.com/files/News/CaseStudies/study/294/Bitdefender-WhitePaper-RDoor-CREA3949-en-EN-GenericUse.pdf), звонок может прервать общение с приложением и пользователю придётся дружить их по-новой. А уж тут злодей будет на чеку!
Сейчас эта уязвимость уже закрыта. Достаточно накатить обновления и дверной звонок перестанет быть слабым звеном защиты твоей квартиры.
Но сколько ещё открытий чудных готовит internet of things...
Технологии умного дома не перестают "радовать" нас новыми уязвимостями.
Дверной звонок от Amazon Ring Video Doorbell Pro позволяет владельцу общаться с пришедшим гостем из любой точки мира, если уж так вышло, что тот пришёл, когда никого нет дома.
Для этой цели умный звонок подключается к домашней сети Wi-Fi, доступ к которой легко может раззвенеть злоумышленникам (https://thehackernews.com/2019/11/ring-doorbell-wifi-password.html).
Фишка заключается в том, что за связь звонка и хозяина квартиры, как обычно, отвечает приложение на смартфоне. При первоначальной настройке этой нехитрой связки звонок открывает приложению незащищённый доступ, через который он должен получить данные, включая пароль от домашней сети Wi-Fi. Вся информация в момент настройки передаётся в незащищённом виде и может быть перехвачена пресловутой атакой "человек по середине" (man-in-the-middle).
Думаю, ты разумно заметишь, что не надо настраивать такую важную систему, стоя пореди улицы так, что любой желающий сможет поймать нужный момент и оказаться достаточно близко, чтобы атаковать твой дверной звонок.
Но есть один нюанс. После настройки и успешного ввода звонка в эксплуатацию злоумышленник может выждать удобный ему момент и начать отсылать запросы на деаутентификацию. При таких условиях, как оказалось (https://www.bitdefender.com/files/News/CaseStudies/study/294/Bitdefender-WhitePaper-RDoor-CREA3949-en-EN-GenericUse.pdf), звонок может прервать общение с приложением и пользователю придётся дружить их по-новой. А уж тут злодей будет на чеку!
Сейчас эта уязвимость уже закрыта. Достаточно накатить обновления и дверной звонок перестанет быть слабым звеном защиты твоей квартиры.
Но сколько ещё открытий чудных готовит internet of things...
Мы тут отвлеклись на доклады @zeronights и чуть не пропустили ТАКОЕ событие! Congratulations!
https://habr.com/ru/post/475354/?utm_campaign=475354&utm_source=habrahabr&utm_medium=rss
https://habr.com/ru/post/475354/?utm_campaign=475354&utm_source=habrahabr&utm_medium=rss
Хабр
Поздравляем с Днём специалиста по безопасности
За безопасность приходится платить, а за ее отсутствие расплачиваться. Уинстон Черчилль Всех, кто связан со сферой обеспечения безопасности поздравляем с их пр...
Скучали по мне?
Настало время вернуться к нашим новостям. Сегодня я хочу поговорить об одной не очень приятной тенденции.
На днях в сети появилась новость (https://www.cyberscoop.com/iprsoftware-data-exposure-upguard-chris-vickery/) об обнаруженном облаке, в котором хранилось 477 тысяч контактов пользователей различных сервисов, включая 35 тысяч хэшированных паролей. Пикантность данной ситуации состоит в том, что вся эта информация лежала в открытом доступе!
Проблема усугубилась ещё и тем, что после оповещения, компания - владелец облака ещё три недели не предпринимала попыток исправить дело. Более терабайта пользовательской информации было доступно всем и каждому.
Владельцем данного хранилища является маркетинговая компания iPR Software. Облако арендовано у Amazon. Причиной открытости данных послужила неправильная настройка сервиса.
Халатность, с которой компания пиарщиков подошла к вопросу защиты информации, заставляет только развести руками. Сотрудникам, получившим оповещение об ошибке, было плевать не только на данные собственных клиентов, их пароли доступа в социальные сети, но и на собственную репутацию и документы, составляющие коммерческую тайну.
По данным Threatpost (https://threatpost.ru/ipr-software-amazon-s3-bucket-exposing-data-on-half-million-media-contacts/34998/), этот случай стал уже третьим за прошедший год. И всегда дело было связано именно с маркетинговыми компаниями.
Удивительно, но людям, напрямую занимающимся вопросами репутации и имиджа, нет никакого дела до самих себя.
Что же это получается? Не нужна мне ваша конфиденциальность! Я пиарщик, я так вижу?
Настало время вернуться к нашим новостям. Сегодня я хочу поговорить об одной не очень приятной тенденции.
На днях в сети появилась новость (https://www.cyberscoop.com/iprsoftware-data-exposure-upguard-chris-vickery/) об обнаруженном облаке, в котором хранилось 477 тысяч контактов пользователей различных сервисов, включая 35 тысяч хэшированных паролей. Пикантность данной ситуации состоит в том, что вся эта информация лежала в открытом доступе!
Проблема усугубилась ещё и тем, что после оповещения, компания - владелец облака ещё три недели не предпринимала попыток исправить дело. Более терабайта пользовательской информации было доступно всем и каждому.
Владельцем данного хранилища является маркетинговая компания iPR Software. Облако арендовано у Amazon. Причиной открытости данных послужила неправильная настройка сервиса.
Халатность, с которой компания пиарщиков подошла к вопросу защиты информации, заставляет только развести руками. Сотрудникам, получившим оповещение об ошибке, было плевать не только на данные собственных клиентов, их пароли доступа в социальные сети, но и на собственную репутацию и документы, составляющие коммерческую тайну.
По данным Threatpost (https://threatpost.ru/ipr-software-amazon-s3-bucket-exposing-data-on-half-million-media-contacts/34998/), этот случай стал уже третьим за прошедший год. И всегда дело было связано именно с маркетинговыми компаниями.
Удивительно, но людям, напрямую занимающимся вопросами репутации и имиджа, нет никакого дела до самих себя.
Что же это получается? Не нужна мне ваша конфиденциальность! Я пиарщик, я так вижу?
CyberScoop
Exclusive: PR software firm exposes data on nearly 500k contacts
iPRSoftware exposed data on 477,000 media contacts, including 35,000 user password hashes, to the public internet via an Amazon Web Services repository.
Привет! Если ты потерял меня из ленты, то так оно и нужно было. Пока я готовлю порцию потрясающих историй, полезный материал написали мои коллеги. Его можно посмотреть прямо по этой ссылке.
https://habr.com/ru/company/tomhunter/blog/486338/
https://habr.com/ru/company/tomhunter/blog/486338/
Хабр
Facebook плачет, Social Links смеется, Maltego курит
И снова здравствуйте, дорогие друзья. Очень рад, что вы следите за публикациями и пришли прочесть новую статью из цикла про Maltego. Изначально, я планировал объединять плагины и делать обзор на 2-3...
Но есть в этом мире и непоколебимые вещи. Подробные разборы моих коллег. Сегодня - очередная серия про Maltego. Наслаждайтесь!
Хабр
Maltego Часть 4. ВК, Instagram, LinkedIN и другие фантастические твари
И снова здравствуйте, дорогие друзья. Мы опять готовимся окунуться в прекрасный мир OSINT. Статьи в нашем цикле прибавляются, поэтому пора уже вводить некое подобие оглавления, ведь дальше их будет...
Пока ваши воспоминания еще свежи, делюсь еще одним материалом про использование Maltego для OSINT от моих коллег. В этот раз статья про систему распознавания лиц. Как всегда, все исключительно в ознакомительных целях.
Хабр
Maltego Часть 5. Твое лицо тебя сдало
Здравствуйте, дорогие друзья. Сегодня поговорим о более тяжелой артиллерии в рамках OSINT, а именно, о применении технологии распознавания лиц от Social Links для Maltego. Если не читали предыдущие...
Мои коллеги познакомились с ниндзя и готовы представить его вам. Новая ОС от Microsoft, если ты устал от своей Kali Linux и хочешь внести разнообразия в ваши отношения.
Подробности - по ссылке https://habr.com/ru/company/tomhunter/blog/501560/
Подробности - по ссылке https://habr.com/ru/company/tomhunter/blog/501560/
Хабр
«Я тише шептуна в открытом поле» или что такое Ninjutsu-OS
Ninjutsu-OS — это специализированная ОС на базе Windows 10 (сборка 1909), которая содержит более 800 инструментов для тестирования кибербезопасности. Эдакий Kali Linux, только от мира Windows....