Информационная безопасность *

Вчера специалисты по безопасности из компании Advanced Intelligence (AdvIntel) опубликовали отчёт о действиях хакерской группировки Fxmsp, которая выставила на продажу исходный код трёх антивирусных продуктов. Исходники включают в себя:

• код антивирусных агентов;
  
• модули аналитики, основанные на машинном обучении;
  
• «плагины безопасности» для браузеров.

Из репозитория на GitLab, который использовали разработчики и инженеры Samsung, произошла утечка исходного кода нескольких приложений, секретных ключей к внутренним проектам а также логинов и паролей к аккаунтам разработчиков.

Несколько проектов в репозитории оказались публичными, и в них содержались важные данные, которые открывали доступ к аккаунтам и закрытым проектам. На данный момент Samsung сменила все логины, пароли и ключи, но все еще расследует, получал ли кто-то доступ к проектам до обнаружения уязвимости.

Аппаратная уязвимость в мобильной процессоре NVIDIA Tegra позволила обойти защиту Nintendo Switch. Для взлома Switch необходимо подключиться по USB к компьютеру и запустить восстановление устройства: ошибка в коде неизменяемой загрузочной памяти bootROM позволяет выполнить произвольный код в режиме Tegra Recovery Mode.

На конференции BlackHat Asia эксперты из компании Outflank показали как недокументированные возможности макросов позволяют обойти антивирусную защиту. Они создали Evil Clippy — инструмент, включающий основные техники для создания заражённых файлов. Он манипулирует файлами форматов MS Office 2003 (doc и xls) и 2007 (docm и xlsm).

Это будет один из наиболее показательных случаев вычисления по IP и применения превентивных мер защиты от кибернападений: Армия обороны Израиля (ЦАХАЛ) нейтрализовала попытку кибератаки, нанеся авиаудары по зданию в секторе Газа, где находилась штаб-квартира хакеров ХАМАС.

На днях стало известно о том, что сотни разработчиков пострадали от действий неизвестного взломщика. Злоумышленник каким-то образом получил доступ к репозиториям пользователей хостинг-сервисов Git (GitHub, Bitbucker, GitLab), удалил хранящийся там код и теперь требует деньги за восстановление данных.

Пока что способ, который применялся злоумышленником для взлома репозиториев остается неизвестным. Вместо удаленных данных злоумышленник оставляет сообщение с требованием выплаты выкупа в размере 0,1 биткоина ($570 по текущему курсу). В сообщении говорится о том, что код сохранен и находится на подконтрольном взломщику сервере. Данные пострадавших разработчиков будут окончательно удалены в том случае, если выкуп не будет получен в течение 10 дней.

Карта уязвимых устройств. Автор — Брайан Кребс.

Сотни китайских видеокамер, радионянь и «умных» дверных звонков в очередной раз оказались под прицелом: уязвимость соединений peer-to-peer (P2P) позволяет перехватывать трафик, получать личные данные и управлять устройствами.

Минпромторг разработал проект целевой программы «Развитие производства промышленной продукции сетей пятого поколения и интернета вещей в Российской Федерации на 2019–2024 годы», материалы по нему есть у РБК. Программа включает в себя список оборудования и программного обеспечения для сетей 5G и IoT, производство которого планируется освоить на территории Российской Федерации.

Бюджет программы около 28 млрд руб. разделят между собой участники программы — госкорпорация «Ростех» и Сколковский институт науки и технологий («Сколтех»). Какую-то часть получат компании, продукция которых входит в реестр телекоммуникационного оборудования российского производства, среди них НПП «Полигон», «РДП.РУ», «Элтекс», НПФ «Микран», «Т8» и др.

Подлинность программы подтвердили источник, близкий к Минпромторгу, и собеседник в «Ростехе». Как сообщил первый из них, сейчас программа «находится в проработке». Представитель «Ростеха» заявил, что «повсеместное проникновение зарубежного оборудования в критическую инфраструктуру сетей связи России создает высокие риски в условиях неблагоприятно складывающейся международной обстановки — с точки зрения информационной безопасности, доступности гарантийного и сервисного обслуживания».

Работа умных систем наблюдения, которые становятся все популярнее с течением времени, основана на алгоритмах машинного обучения. Алгоритмы позволяют идентифицировать определенные объекты и людей. Бельгийским ученым удалось создать новую технологию генерации изображений, которые делают людей или предметы невидимыми для камер — компьютер оценивает человека как «фон». Такой рисунок наносится в качестве принта на одежду, после чего человек становится невидимкой.

Технологию разработали ученые из Католического университета Лювена. В течение нескольких месяцев они проводили эксперименты с искаженными изображениями, накладывая их поверх изображения людей и объектов, чтобы камеры не смогли идентифицировать ни человека, ни объект.

Сегодня стало известно о том, что специалист по информационной безопасности Маркус Хатчинс признал в американском суде свою вину в создании вредоноса Kronos. Ему было вынесено обвинение по нескольким пунктам, но Хатчинс признал себя виновным только по двум из них. Также он заявил, что принимает ответственность за свои ошибки и жалеет о своем поступке.

Стоит отметить, что Хатчинса задержали еще в 2017 году, через несколько дней после проведения хакерской конференции DEF CON. Его обвинили в разработке и распространении банковского трояна.

На днях ЦБ и НСПК, ответственные за реализацию системы быстрых платежей (СБП) подвели итоги ее работы. Как оказалось, с момента запуска было совершено более 140 тысяч операций, причем средняя сумма перевода составляет 7,5 тыс. рублей. К этой системе подключено 12 игроков, включая ВТБ, Тинькофф-банк, Промсвязьбанк, Росбанк, СКБ-банк, Газпромбанк, Альфа-банк, «Ак Барс», Райффайзенбанк, платежный сервис Qiwi, Совкомбанк и РНКО «Платежный центр» — оператор платежной системы «Золотая корона».

В ближайшее время к системе подключат «Открытие», Юникредитбанк, «Русский стандарт» и Газэнергобанк. Стоит отметить, что пока максимальный лимит одного перевода СБП установлен на уровне 600 тысяч рублей. Но банки-участники устанавливают лимиты ниже максимума, чтобы обезопасить себя и своих клиентов.

На днях стало известно о том, какая организация будет разрабатывать систему контроля блокировок сайтов VPN-сервисами. Этим станет заниматься Федеральный исследовательский центр «Информатика и управление» Российской академии наук. Центр выиграл конкурс на разработку системы контроля, с ее помощью удастся отслеживать способы блокировки поисковиками, VPN-сервисами, прокси-сервисами и анонимайзерами запрещенных в РФ сайтов.

Разработка системы была заказана ФГУП «Главный радиочастотный центр» (ГРЧЦ, организация, подведомственная Роскомнадзору). Стоимость контракта составляла изначально 25 млн рублей, но победитель конкурса предложил выполнить необходимые работы за 19,9 млн рублей.

О своей умной колонке Amazon Echo компания-производитель говорит, что она самообучающаяся и «постоянно становится умнее». Многие пользователи считают, что этот прогресс возможен благодаря технологиям машинного обучения, и это действительно так. Но обучению помогают и люди.

А именно — сотрудники, которые прослушивают записанные колонкой сообщения и вносят определенные поправки в результаты распознавания речи системой. Сотрудники работают в Бостоне (США), Коста-Рике, Индии и Румынии.

Спам в мессенджерах — распространенное явление. Чем популярнее мессенджер, тем больше там спама. Особенно от него страдают пользователи WhatsApp. Но в последнее время разработчики вводят новые методы борьбы с этим явлением.

Кроме того, компания планирует в скором времени ввести инструмент борьбы с фейковыми новостями, которые частенько приводят к проблемам для отдельных людей и компаний. Так, сейчас проходит тестирование функция, которая не дает часто пересылать сообщения внутри групповых чатов.

Фото: Дмитрий Коротаев / Коммерсантъ

Федеральная служба по техническому и экспортному контролю (ФСТЭК) утвердила обновленные требования к программному обеспечению из сферы информационной безопасности. Так, разработчики и производители антивирусов, файерволлов и другого ПО должны до конца года провести испытания по выявлению уязвимостей и недекларированных возможностей.

Участники рынка считают, что эти меры приведут к повышению затрат на прохождение сертификации и к дальнейшему сокращению числа иностранных поставщиков в российском госсекторе.

Сегодня стало известно о том, что «Большая тройка» операторов и ФСБ выступают против принятия технологии eSim, которая дает возможность подключиться к мобильной сети без привычной Sim-карты. Операторы считают, что внедрение технологии может привести к ценовым войнам, ну а ФСБ аргументирует свою точку зрения тем, что eSim не поддерживает российскую криптографию.

Что касается операторов связи, то против eSim выступили такие компании, как МТС, «МегаФон» и «ВымпелКом» (бренд «Билайн»). Компании решили принять меры против внедрения новой технологии, поскольку именно она используется в новых моделях Apple и Samsung для подключения смартфонов к сети сотовой связи.

Несмотря на всю серьезность систем защиты доступа мобильных устройств, разрабатываемых самыми разными компаниями, их все еще можно обойти. Это относится как к распознаванию лиц, так к дактилоскопическим системам. Как оказалось, сканер отпечатка пальца для Samsung Galaxy S10 легко обмануть при помощи созданного на 3D принтере копии отпечатка пальца.

Пользователь сервиса Imgur с ником darkshark разработал простой способ, который в теории позволяет «красть» отпечатки пальцев пользователей с последующим разблокированием телефона.

Похоже, Facebook в интернете становится настоящим эталоном дырявости и небезопасных практик. Всего две недели назад все обсуждали, зачем инженеры компании заносят пароли пользователей в логи и хранят их в открытом виде на Github. Сейчас — новый пример удивительного решения. Как выяснилось, у некоторых новых пользователей для подтверждения регистрации Facebook запрашивал пароль от электронной почты, то есть от личного почтового ящика, указанного при регистрации.

Компания «Оксиджен Софтвер» сообщила, что ее продукт «Мобильный Криминалист Детектив» 11.3 может извлекать и расшифровывать ключи приложений из Android KeyStore. В этом хранилище содержатся ключи таких программ, как Signal (его в свое время рекомендовал Эдвард Сноуден), Amazon Alexa, Threema.

Ключи дают возможность получить полный доступ к данным приложений, для которых они предназначены. Компания заявила, что список приложений, чьи ключи можно извлечь и расшифровать, будет пополняться.

Законодатели пока не утвердили полный запрет зарубежной криптографии (соответствующие поправки готовятся ко второму чтению законопроекта о суверенном Рунете), но для сотовой связи нормативная база уже принята. С 1 декабря 2019 года вступят в силу сразу два приказа Минкомсвязи (№ 275 и № 319). С этого момента процедуры аутентификации и идентификации абонентов сетей 2G, 3G и 4G должны осуществляться с использованием криптографии, соответствующей требованиям Федеральной службы безопасности (ФСБ), пишет РБК.