• Zerodium повысила сумму вознаграждения за удаленный jailbreak для iOS

      Пока компания Apple устраивала приватное мероприятие для узкого круга security-ресерчеров своих продуктов (анонсированная недавно программа bug bounty), фирма Zerodium анонсировала повышение вознаграждений, которые она выплачивает за обнаруженные уязвимости. В частности, вознаграждение за удаленный jailbreak устройства под управлением iOS 10 выросло до $1,5M. Напомним, что iOS 10 на iPhone 7 уже была скомпрометирована 19-летним security-ресерчером, также приглашенным на закрытое мероприятие Apple.


      Мы уже не раз упоминали в своих постах корпоративного блога основателя фирмы Zerodium Chaouki Bekrar, который известен своими скандальными высказываниями в адрес Apple и Google в связи с недостаточными выплатами вознаграждений исследователям безопасности. В одном из своих твитов Bekrar подтвердил, что Zerodium не имела отношения к Trident эксплойтам, о которых мы писали ранее. Связка из этих эксплойтов позволяла осуществлять удаленный jailbreak iOS 9 и оценивалась Zerodium в $1M.

      Читать дальше →
      • +11
      • 8,8k
      • 6
    • Microsoft представила защитную технологию Windows Defender Application Guard для веб-браузера Edge

        Microsoft ранее уже анонсировала специальные защитные меры от вредоносного ПО и кибератак, которые основаны на механизме виртуализации Hyper-V. С выпуском Windows 10 компания представила так называемую среду Virtual Secure Mode (VSM) и две основанные на VSM защитные меры: Device Guard и Credential Guard (доступны для enterprise версий Windows 10). Основное их предназначение заключается в изоляции критических для безопасности операций в мини-ОС, которая работает в отдельной виртуальной машине с высоким уровнем доверия.


        К таким критическим операциям относится проверка легитимности данных UEFI-прошивки компьютера, драйверов режима ядра (Device Guard) и выполнение процедур, которые относятся к аутентификации пользователей (Credential Guard). Новая функция безопасности под названием Windows Defender Application Guard для веб-браузера Edge выполняет аналогичную изоляцию на основе Hyper-V, но только, в этом случае, ненадежных источников контента в веб-браузере.

        Читать дальше →
      • Группировка Fancy Bear использует в кибератаках вредоносное ПО для OS X

          Кибергруппировка Fancy Bear (Sofacy, APT 28, Sednit, Pawn Storm, TsarTeam) уже получила достаточную известность в медийном пространстве в связи с недавними кибератаками на сервера всемирного антидопингового агентства WADA. Позже в твиттере появился аккаунт, предположительно принадлежащий этой группировке, в котором время от времени анонсировалась публикация разных частей данных WADA, полученных Fancy Bear.


          Вчера известная американская security-компания Palo Alto Networks опубликовала результаты исследования нового трояна для OS X под названием Komplex, который использовался Fancy Bear для кибератак на пользователей маков. AV-продукты ESET обнаруживают данное вредоносное ПО как OSX/Komplex.A. Komplex собирает основную информацию о системе пользователя и отправляет ее на сервер. К этой информации относится версия системы, имя пользователя, список запущенных процессов. После этого данные отправляются в зашифрованном виде на управляющий C&C-сервер.

          Читать дальше →
        • Драйвер компьютерной игры Street Fighter V отключает встроенный механизм защиты Windows

            Драйверы компьютерных игр, которые используются для защиты целостности файлов игры, а также легитимности данных игроков не являются редкостью. Ранее публиковалось несколько обзоров наиболее известных подобных драйверов, например, nProtect GameGuard и Blizzard Lockdown. Такие драйверы могут использовать в своих целях перехваты API-вызовов на уровне ядра Windows, постоянное сканирование виртуального адресного пространства процессов, отслеживание доступа операций к системному реестру и др.



            Несколько дней назад компания Capcom уведомила своих пользователей об обновлении anti-hack драйвера (Capcom.sys), который используется для контроля за целостностью файлов игры и предотвращает возможную компрометацию содержимого памяти процесса игры с целью предотвращения читерства. Однако, пользователей в этом обновлении ждал неприятный сюрприз в одной из функций драйвера. Она позволяет отключать защитную меру ядра SMEP и исполнять код по указателю, полученному из пользовательского режима.

            Читать дальше →
          • Учетные записи пользователей Yahoo оказались скомпрометированы

              Компания Yahoo сообщила в своем блоге о масштабной компрометации учетных данных пользователей своих сервисов. Результаты расследования инцидента показали, что компрометация имела место в конце 2014 г. и ее результатом стала утечка 500 млн. аккаунтов. Особенность этой ситуации еще и в том, что Yahoo заверяет о компрометации своих сервисов со стороны state-sponsored кибергруппировки.


              We have confirmed that a copy of certain user account information was stolen from the company’s network in late 2014 by what we believe is a state-sponsored actor. The account information may have included names, email addresses, telephone numbers, dates of birth, hashed passwords (the vast majority with bcrypt) and, in some cases, encrypted or unencrypted security questions and answers.

              Читать дальше →
              • +13
              • 4,9k
              • 5
            • Механизмы шифрования в современных вымогателях

                Вымогатели представляют из себя основную угрозу для пользователей ПК, активность которой растет с течением времени. Согласно недавнему полугодовому отчету Cisco, вымогатели доминируют на рынке вредоносных программ и являются самым прибыльным типом вредоносного ПО для злоумышленников за всю историю. О вымогателях уже было написано достаточно много и большинство людей понимает, что они из себя представляют. Вымогатели используют различные приемы для блокирования доступа к компьютеру жертвы или ее файлам, после чего требуют выкуп за восстановление к ним доступа. В последнее время мы наблюдаем существенное увеличение активности вымогателей-шифровальщиков, которые специализируются на шифровании файлов пользователя. Рассмотрим используемые ими методы шифрования.
                Читать дальше →
              • Шкатулка с эксплойтами Equation Group пополнилась новым экземпляром

                  Компания Cisco выпустила уведомление безопасности CISCO-SA-20160916-IKEV1, которое подтверждает присутствие еще одной 0day уязвимости в продуктах Cisco из архива Shadow Brokers. Уязвимость типа Information Disclosure получила идентификатор CVE-2016-6415 (IKEv1 Information Disclosure Vulnerability in Multiple Cisco Products) и присутствует в коде обработки сетевых пакетов протокола Internet Key Exchange version 1 (IKEv1) в продуктах Cisco IOS, IOS XE, а также IOS XR. С использованием уязвимости атакующий удаленно может получить доступ к содержимому памяти с конфиденциальной информацией. Как и в случае других аналогичных уязвимостей, эксплуатация CVE-2016-6415 возможна за счет отправки на уязвимое устройство специальным образом сформированного сетевого пакета IKEv1.

                  Читать дальше →
                • Microsoft может интегрировать CFG в ядро Windows

                    Мы неоднократно хвалили Microsoft в тех постах своего корпоративного блога, которые были посвящены новым функциям безопасности Windows 10 & 8.1. Windows 10 постоянно обзаводится новыми функциями безопасности для противодействия эксплуатации как RCE, так и LPE уязвимостей. Эти функции доступны приложениям через API kernel32!SetProcessMitigationPolicy. В нашем прошлом посте мы рассказывали о модернизированной функции Kernel ASLR, которая стала распространяться не только на загружаемые образы режима ядра, но также на такие критические структуры данных как список рабочего набора (WSL), каталог и таблицы страниц, база данных PFN, гиперпространство и т. д. Данную функцию получили все пользователи большого юбилейного обновления для Windows 10. Мы также более детально останавливались на подсистеме Linux в Windows 10. На сей раз речь пойдет о возможной реализации защитной меры Control Flow Guard (CFG) в режиме ядра.

                    Читать дальше →
                  • Пользователям веб-браузера Tor рекомендуют обновить его как можно скорее

                      Пользователям веб-браузера Tor рекомендуют обновить его как можно скорее до актуальной версии 6.0.5. Новая версия веб-браузера включает в себя исправление серьезной уязвимости Firefox с внутренним идентификатором ESR-45, которая позволяет атакующим, получившим в распоряжение действительный или фальшивый цифровой сертификат TLS для веб-сайта addons.mozilla.org, удаленно устанавливать вредоносное ПО через доставку вредоносного обновления для расширения NoScript.

                      This release features important security updates to Firefox including the recently disclosed extension update vulnerability. All users should upgrade as soon as possible.

                      Читать дальше →
                    • Apple выпустила iOS 10.0.1

                        Не все пользователи iOS 10, которые обновили недавно свои устройства iDevice, заметили, что они обновились сразу до версии 10.0.1. Apple довольно тихо решила выпустить обновление для iOS 10 в тот же самый день, когда была выпущена версия 10.0.0. Существует несколько причин, по которым Apple вынуждена была выпустить обновление прошивки. Первая заключается в том, что некоторые пользователи iOS 10 столкнулись с ошибками при обновлении до новой ОС через OTA на своих устройствах. Другая причина менее заметная, но не менее важная. В iOS 10.0.1 Apple во второй раз закрыла ставшую известной уязвимость CVE-2016-4655, которая была «исправлена» в iOS 9.3.5 и использовалась злоумышленниками в сложной направленной атаке Trident для удаленного jailbreak. В частности, уязвимость используется для обхода Kernel ASLR в iOS и делает возможным эксплуатацию другой LPE уязвимости для получения прав root.

                        Читать дальше →
                        • +10
                        • 11,2k
                        • 8
                      • Microsoft выпустила обновления для своих продуктов

                          Microsoft обновила свои продукты, выпустив 14 обновлений, 7 из которых получили статус Critical. Обновления адресуются веб-браузерам Internet Explorer и Edge, различным компонентам Windows, Office, а также Exchange Server. Закрытая обновлением MS16-104 уязвимость CVE-2016-3351 типа Information Disclosure в веб-браузере Internet Explorer 9-11 используется злоумышленниками в направленных атаках. Одно из обновлений MS16-111 исправляет Local Privilege Escalation (LPE) уязвимости в загрузчике Windows (Winload.efi), а также в файлах ядра ntoskrnl и ntdll. Уязвимости позволяют атакующему получить максимальные права SYSTEM в системе.

                          Читать дальше →
                          • +12
                          • 10,3k
                          • 4
                        • Настройки безопасности iOS 10, на которые следует обратить внимание

                            Сегодня Apple выпустила iOS 10. Пользователи iPhone 5+, iPad mini 2+, iPad 4, iPad Air 1/2, iPad Pro, а так же iPod touch 6 уже могут установить обновление на свои устройства. О функциях этой новой версии мобильной ОС от Apple уже достаточно написано в различных обзорах, так что не будет повторять эту информацию еще раз. Вместо этого, остановимся более детально на ее настройках конфиденциальности и безопасности. Отметим, что в iOS 10 Apple переключилась на более безопасный механизм доставки обновлений — протокол HTTPS. Этой новой security функцией Apple исправляет уязвимость с идентификатором CVE-2016-4741, которая позволяла атакующим удаленно блокировать доставку обновлений устройству с iOS. Apple также исправила проблему с OTA-обновлением iOS 10 для устройств, на которую уже успели пожаловаться некоторые владельцы устройств iDevice.

                            Читать дальше →
                          • Intel и Hewlett Packard выпустили уведомления безопасности для уязвимости ThinkPwn

                              Ранее мы несколько раз писали об LPE-уязвимости ThinkPwn, которая была обнаружена в одном из драйверов UEFI-прошивок ноутбуков Lenovo. Уязвимость была обнаружена security-ресерчером под ником Cr4sh и считается достаточно опасной, поскольку с ее помощью можно скомпрометировать наиболее современные защитные механизмы Windows 10 для загрузочного и Hyper-V кода как Secure Boot, Virtual Secure Mode (VSM) и Credential Guard. ThinkPwn присутствует в SMM-драйвере под названием SystemSmmRuntimeRt и позволяет атакующему запустить свой код в режиме SMM. Мы также указывали, что компания Lenovo выпустила уведомление безопасности LEN-8324 и начала постепенно исправлять ThinkPwn в UEFI-прошивках и выпускать эти обновления для владельцев компьютеров Lenovo. На сей раз очередь дошла до прошивок компьютеров Intel и HP, поскольку ThinkPwn актуальна и для них.

                              Читать дальше →
                            • Google обновила Android

                                Google выпустила обновление для Android, закрыв ряд важных уязвимостей. Обновление было трехступенчатым и включало в себя несколько уровней: 2016-09-01, 2016-09-05, 2016-09-06. В рамках первого уровня обновления исправляются общие уязвимости для всех прошивок Android, второй уровень используется для исправления уязвимостей в ядре Android и его драйверах от Broadcom, NVIDIA, Qualcomm (устройства Nexus), а третий для двух уязвимостей в ядре и драйвере Qualcomm. Это первое обновление Google, которое адресуется Android 7. Оно исправляет критическую RCE-уязвимость с идентификатором CVE-2016-3862 в известном компоненте MediaServer. Так как в Android 7 используется модульная архитектура MediaServer, эта уязвимость для него не актуальна. Устаревшие версии Android используют монолитную версию сервиса MediaServer, поэтому при эксплуатации уязвимости в одной из ее подсистем, у атакующих большие шансы удаленно исполнить код в системе с расширенными привилегиями.
                                Читать дальше →
                                • +6
                                • 13,1k
                                • 8
                              • Новые функции безопасности Android 7

                                  Google уже выпустила Android 7. В ближайшее время владельцы различных устройств под управлением Android получат обновление прошивки. Одними из первых новую версию получат пользователи фирменных устройств Google Nexus 6P, 5X, 6, 9, Google Pixel C, Nexus Player, Android One. Так как Google распространяет обновления Android волнами, не все пользователи этих устройств смогут оперативно получить обновление. Android 7 также смогут получить флагманские модели устройств таких вендоров как Samsung (Galaxy S6 и S7), HTC (HTC 10, One A9 и One M9), Sony (Xperia Z3+, Xperia Z4 Tablet, Xperia Z5, Xperia X), LG (V20), Huawei. В новой версии Android появился ряд новых серьезных функций безопасности (security features), о некоторых из которых мы писали в предыдущих постах. Первый был посвящен функции Direct Boot, которая упростит владельцам устройств работу с шифрованием. Второй содержал информацию об улучшениях безопасности ядра Linux, на котором основана Android.

                                  Читать дальше →
                                • Анализ новых модификаций вымогателя TorrentLocker

                                    В декабре 2014 г., специалисты ESET опубликовали white paper с информацией о семействе вымогателей-шифровальщиков под названием TorrentLocker, экземпляры которого распространялись с использованием фишинговых сообщений электронной почты от имени, якобы, местного почтового отделения, энергетических или телекоммуникационных компаний. Документ исчерпывающим образом описывал схему распространения этого типа вредоносного ПО, его основную функциональность, а также используемый сетевой протокол. Мы также указали на некоторые сходства кода TorrentLocker с банковским трояном Hesperbot. На протяжении прошлых нескольких месяцев, в нашем распоряжении оказались новые образцы семейства TorrentLocker, так что мы смогли отследить текущее состояние функций и кода этой вредоносной программы.
                                    Читать дальше →
                                    • +10
                                    • 5,9k
                                    • 1
                                  • Сервис безопасных заметок OneLogin Secure Notes оказался скомпрометирован

                                      Сервис OneLogin Secure Notes, который предоставляет пользователям возможность безопасного создания заметок с использованием надежного шифрования, оказался скомпрометирован. В сервисе присутствовала уязвимость, которая позволяла сотрудникам OneLogin получать данные заметок пользователей в открытом виде. Уязвимостью воспользовался злоумышленник, которому удалось добыть данные учетной записи одного из сотрудников и успешно аутентифицироваться в системе. Злоумышленник мог просмотреть заметки, подвергавшиеся обновлению со стороны пользователей в промежутке времени, как минимум, от 25 июля по 25 августа 2016 г. OneLogin начала процесс уведомления пользователей, чьи заметки потенциально могли подвергнуться компрометации.

                                      Читать дальше →
                                      • +18
                                      • 5,1k
                                      • 5
                                    • AMD представляет новые механизмы безопасности своего гипервизора AMD-V

                                        Компания AMD анонсировала выпуск новой технологии защиты памяти виртуальных машин гипервизора под названием Secure Encrypted Virtualization (SEV). Новая технология AMD имеет общие черты с другой аналогичной инициативой от Intel под названием Intel Software Guard Extensions (SGX), которая позволяет приложению выделять особые регионы виртуальной памяти (анклавы), не доступные для чтения даже приложениям с более высоким уровнем привилегий. В отличие от SGX, SEV предлагает аналогичную концепцию для памяти виртуальных машин, но защита, в таком случае, будет строиться за счет шифрования содержимого блоков памяти. Шифрование приватной части памяти виртуальных машин осуществляется guest-ключом, а памяти, находящейся в общем доступе (shared) специальным ключом гипервизора.

                                        Читать дальше →
                                        • +12
                                        • 5,7k
                                        • 5
                                      • Вредоносная программа OSX/Keydnap распространяется с использованием доверенного приложения Transmission

                                          В прошлом месяце мы писали о вредоносном ПО OSX/Keydnap, которое специализируется на краже содержимого связки ключей Apple OS X (keychain). Оно также предоставляет злоумышленникам удаленный доступ к скомпрометированному компьютеру (backdoor). На момент написания прошлого анализа, специалистам ESET не было ясно то, каким образом жертвы подвергались компрометации OSX/Keydnap. Мы предполагали, что злоумышленники могли использовать для этого вложения при распространении фишинговых сообщений, а также размещать вредоносную программу на нелегитимных веб-сайтах.

                                          Однако, на этот раз, мы обнаружили метод распространения Keydnap с привлечением легитимного веб-сайта. Исполняемый файл бэкдора распространяется с помощью перекомпилированной версии приложения open-source клиента BitTorrent под названием Transmission. При этом его загрузка была возможна с легитимного веб-сайта приложения, а само приложение подписано цифровой подписи.
                                          Читать дальше →
                                          • +18
                                          • 8,8k
                                          • 2
                                        • На Telegram обнаружена очередная успешная атака

                                            Не так давно мы писали об успешной серии атак на пользователей Telegram в Иране. Используя технику перехвата SMS-сообщений с кодом активации нового устройства, атакующие смогли не только деанонимизировать пользователей сервиса, но и, в некоторых случаях, получить доступ к их переписке.

                                            На сей раз повторилась аналогичная ситуация, но с пользователями Telegram в Германии. Речь идет о расследовании правоохранительными органами деятельности преступной группировки, которую смогли отследить благодаря вышеупомянутому методу деанонимизации Telegram.
                                            Читать дальше →

                                          Самое читаемое