Новости про атака

Исследователи из университета Бен-Гуриона показали способ кражи данных с компьютеров, не подключённых к сети. Целевые для этой атаки компьютеры как правило содержат важную информацию, а потому изолированы от сети, или как минимум, от интернета. И для того, чтобы получить к ним доступ, обязателен способ передачи данных «по воздуху».

Ранее нам уже демонстрировали способы получения информации с помощью системных динамиков, и простое их отключение позволяет избежать утечки. Теперь же речь идёт о получении информации с помощью аудиоволн, генерируемых вентиляторами системы.

Вредоносное ПО, названное Fansmitter, способно управлять скоростями вентиляторов. Оно создаёт различные акустические тона, которые и используются для передачи данных. Для приёма данных и дальнейшей её передачи хакеры воспользовались мобильным телефоном. Этот телефон способен декодировать шум в данные, при условии, что он находится не далее 8 м от компьютера.

Конечно, у этого способа есть много ограничений, и в первую очередь – это скорость передачи данных, которая составляет лишь 15 бит в минуту. Однако даже этой скорости вполне достаточно, для передачи логинов или паролей. Безусловно, взлом системы таким образом не слишком практичен, однако ввиду того, что большинство техники оснащено вентиляторами, его потенциальная опасность невероятно широка.

Команда написала о группе, называемой Platinum. В центре внимания взломщиков находились группы, которые содержали избранные цели и определялись по неустановленной системе. В обоих случаях выявить их противоправную деятельность было тяжело. Хакеры Platinum нацеливались на компании из Юго-Восточной Азии. Большая часть их целей располагалась в Малайзии.

Более половины атак было совершено на правительственные организации и даже на провайдеров интернета. Однако в отличие от традиционных целей обогащения, эти хакеры занимались экономическим шпионажем.

Группой применялся широкий набор средств взлома, от самоудаляемого вредоносного ПО, до средств ограничения трафика, блокирующего передачу определённых данных в определённое время. Для своей работы хакерская группировка устанавливала вредоносное ПО на один из Windows компьютеров. Для гарантирования актуальности своего ПО, хакеры использовали систему горячих обновлений Windows, включив динамическое обновление на операционных системах от Windows Server 2003 до Windows 7.

Возможность горячих обновлений была исключена из Windows 8 и более поздних ОС, поэтому новые системы не стали жертвами хакеров из Platinum.

Чтобы защитить ресурсы от атак подобного рода компания Google создала специальный инструмент под названием «Project Shield», который и предотвращает атаки на вашу сеть с использованием перенаправленного через серверы Google трафика.

Данный проект предлагается в качестве бесплатного инструмента, который нацелен на фильтрацию настоящего трафика, от вредоносного.

Однако инструмент Sheild не будет доступен повсеместно. Поисковый гигант предлагает его лишь новостным ресурсам, а также организациям, занимающимся мониторингом деятельности политиков и соблюдения прав человека. Это значит, что отдельные блогеры, предприятия и игровые сервисы не смогут получить доступ к Project Shield. Кроме того, чтобы воспользоваться сервисом, сайту необходимо использовать утилиту, позволяющую слушать трафик и определять его тип, чтобы осуществлять эффективную фильтрацию вредоносных пакетов.

Новый сервис Windows Defender Advanced Threat Protection (ATP), предназначенный для корпоративной версии системы, способен определять признаки кибератаки, чтобы принять ранние меры по защите, предотвратив разрушительные последствия. Чтобы выявить внедрения, ATP изучает журнал активности и определяет эксплоиты и необычную активность.

При подозрении на кибератаку, Windows Defender предоставляет IT департаменту компании рекомендации. При более широком распространении утилита может помочь предприятиям определять внедрения, которые бы остались незамеченными или привели бы к плачевным последствиям.

Сейчас ATP доступна некоторым бета тестерам операционной системы, для остальных же утилита появится в этом году после завершения проверок.

Уязвимость заключается в целочисленном переполнении, при обработке службой mediaserver файла MKV. При декодировании звука он считывает данные из буфера или записывает данные в нулевой адрес. Исследователи пояснили, что создав MKV файл с намеренно неправильной структурой, и запустив приложение, служба mediaserver будет давать сбой. Это приведёт к тому, что устройство перестанет отвечать на запросы. Таким образом, нельзя будет ни совершать звонки, ни отправлять и принимать текстовые сообщения, не будут работать уведомления. Графический интерфейс станет очень медленным либо окончательно перестанет отвечать. Если устройство заблокировано, то разблокировать его не получится.

Виш Ву, исследователь из Trend Micro, сообщил, что уязвимость может быть использована двумя способами: «посредством установки вредоносного приложения на устройство либо посредством специального вебсайта. Первая техника может привести к долгосрочному эффекту на устройство. Приложение, со встроенным файлом MKV, которое зарегистрировало себя в автозапуске, будет обрушать ОС всякий раз при загрузке устройства».

Аналитики отмечают, что уязвимость довольно серьёзная и может быть использована в разных направлениях. В Google известно об этой проблеме с мая, но патч пока ещё не был разработан. Таким образом, даже владельцы устройств с новейшей версией Android могут подвергнуться такой атаке.

Как известно, за запуск системы отвечает именно BIOS, и, если хакеры смогут инфицировать BIOS, им удастся обойти все антивирусные сканеры. В теории, шпионы могут изготавливать заражённые микросхемы и устанавливать их в компьютеры жертвы, оставаясь при этом незамеченными. Также не будет возможности избавиться от инфекции её удалением или переустановкой ОС.

Пара учёных провела тест 10 тысяч машин промышленного уровня и обнаружила, что в 80% из них имеется как минимум одна уязвимость BIOS. Что ещё более опасно, так то, что эти уязвимости означают возможность утечки любой информации на компьютере. Более того, даже использование средств шифрования не спасёт пользователя, ведь при доступе к данным их придётся расшифровать.

Несмотря на то, что эксперты в общедоступном пресс-релизе не стали рассказывать подробно о способах взлома, известно, что атаки были проведены благодаря использованию изменений в UEFI прошивках. Сам же UEFI создан в качестве замены старого BIOS и позволяет упростить работу операционной системы с аппаратной частью компьютера. В отличие от старого BIOS, UEFI активно работает не только при старте, но и после загрузки ОС, выполняя некоторые функции взаимодействия с «железом». По сути UEFI — это операционная система, прошитая в микросхему памяти, а значит, как и любая операционная система, она подвержена уязвимостям. Ещё больший риск состоит в том, что если хакеры смогут найти брешь в «базовой реализации» UEFI, утверждённой IBV и OEM, уязвимость получит огромное распространение.

Этот коннектор считается портом будущего и имеет массу преимуществ перед обычными USB разъёмами. Он не только реверсивный, но и позволяет передавать до 100 Вт энергии и данные, со скоростью до 10 Гб/с.

Однако, несмотря на все преимущества, он обладает одной большой проблемой. Помните BadUSB? В прошлом году эксперты в области безопасности Карстен Ноль и Якоб Лелль заявили, что USB «сломан изначально» и продемонстрировали, как они могут заразить компьютер и заработать на присущих USB уязвимостях.

Проблема заключается в том, что MacBook и Chromebook Pixel полагаются для зарядки на порт USB Type-C. В этом и заключается проблема, когда вы, находясь вне дома, полагаетесь на чужое зарядное устройство. Хакер, с правильным опытом, может инфицировать зарядное устройство BadUSB, и оставить его на видном месте, например, в кафе. После того, как жертва подключит ноутбук, её устройство подвергнется атаке. Основная сложность в разрешении данной проблемы заключается в том, что USB является открытым стандартом, быстро решить данную проблему не получится, даже выпустив новый, безопасный стандарт USB.

Хакеры могут запускать специальную программу в ОЗУ, которая создана, чтобы быстро обращаться к определённому ряду транзисторов в памяти компьютера. Эта «чеканка» по транзисторам приводит к тому, что, заряд из них перетекает на соседний ряд памяти. Данная электромагнитная утечка может привести к так называемому эффекту «переворачиванию битов», в котором транзисторы в соседних рядах памяти изменяют своё состояние на противоположное.

Впервые исследователи Google показали возможность использования переворачивания битов для получения неавторизованного уровня доступа для контроля над компьютером жертвы. Выявленная техника Rowhammer может повлечь «эскалацию привилегий», расширяя влияние хакеров за пределы определённых огороженных пространств памяти в более чувствительные зоны. Таким образом, учёные выявили одну из фундаментальных уязвимостей компьютерного аппаратного обеспечения, которую нельзя полностью исправить в существующих системах.

Конечно, это не тот хак, который легко выполнить. Команда Project Zero была ограничена тестовым ноутбуком с Linux на борту, и только затем учёные установили, что уязвимость работает лишь на менее чем половине моделей компьютеров, на которых они проводили эксперимент.

Ошибка была обнаружена в системе ZynOS, которая была разработана ZyXEL и применяется как в продуктах самой ZyXEL, так и устанавливается на свой страх и риск энтузиастами на изделия от других производителей, включая TP-Link, ZTE и D-Link.

Для подтверждения выявленной проблемы был продемонстрирован взлом роутера D-Link DSL2740R, который провела болгарская группа «белых» хакеров под названием Ethical Hacking.

Ошибка в программе приводит к тому, что для внесения изменений в настройки не требуется даже соответствующий уровень доступа. Хакеры просто получили доступ к странице удалённой настройки роутера, также можно получить и доступ к локальной сети. Вредоносный код, исправленный прямо в браузере пользователя, можно использовать для проведения атаки через интерфейс и отправлять сообщения определенному IP адресу.

Это звучит как просто невозможный факт, но ведь раньше уже похожая проблема с роутером выявлялась, причём произошло это чуть больше года назад, в октябре 2013. Также в марте 2014 года была проведена атака по схеме мажсайтовой подделке запроса. Тогда Team Cymru выявила данную проблему на примере целой «зомби сети».

p.s. Прошивки от сторонних производителей действительно могут быть установлены в некоторые устройства D-Link (как в случае с установкой ZynOS на роутер), но при этом компания D-Link не несет ответственности за работоспособность модифицированного таким образом устройста, и более того, такое устройство снимается с гарантии, о чем указано на официальном сайте компании. И хотя это обычная практика гарантийного сопровождения устройств, энтузиастам не лишне будет об этом помнить, приступая к модификации (перепрошивке) устройств.

По информации Forbes, брешь была выявлена на первой неделе декабря, и об этом сообщил персоналу старший вице-президент компании и старший информационный директор Боб Уоролл в электронном письме.

Он сообщил персоналу, что IT команда предприняла «всесторонние меры» для повышения безопасности с момента выявления бреши и предотвратила подобные атаки в будущем. Он предупредил персонал о необходимости контроля за своими банковскими счетами и платежами, а также о необходимости информировать полицию в случае подозрения, что они стали жертвами воров, и остерегаться фишинговых писем.

Директор также посоветовал всем пользователям менять свои пароли и избегать использования одинаковых паролей для более чем одного аккаунта.

Основываясь на письме, разосланном Уороллом, в Forbes предположили, что атака стала результатом фишинговой схемы, т. е. кто-то смог использовать пароль, полученный у одного из сотрудников компании обманным путём.