Уязвимость в VMware vCenter Server — ПО для контроля над облачной инфраструктурой — рискует стать проблемой, сравнимой по опасности с ранее обнаруженными zero-day в Microsoft Exchange. Хотя число доступных из сети инсталляций vCenter Server гораздо меньше (тысячи против десятков тысяч почтовых серверов), каждая из них может управлять огромным парком виртуальных систем. Уязвимость CVE-2021-21985 закрыта патчем в конце мая, а новость этой недели — появление в открытом доступе работающего Proof of Concept и начало фазы активной эксплуатации.


Еще одно сходство с мартовскими проблемами Microsoft Exchange — в опасности самой уязвимости. По шкале CVSSv3 она получила 9,8 балла из 10 и обеспечивает атакующему полный доступ к операционной системе, на которой запущен vCenter. Конкретно уязвимость обнаружена в плагине Virtual SAN Health Check, который включен по умолчанию. Для администраторов инфраструктуры на базе решений VMware это повод немедленно обновиться до последней версии либо как минимум заблокировать работу проблемного кода.

Свежее исследование вредоносной кампании BazaLoader демонстрирует пример сложной атаки на обычных пользователей. Работа, подготовленная специалистами ProofPoint, описывает первый этап заражения компьютера, логичным продолжением которого становится блокировка данных одним из распространенных шифровальщиков (упоминаются Ryuk и Conti).

Схема работает так: пользователю присылают письмо о том, что скоро якобы истекает срок пробной подписки на сервис видеостриминга. Желая избежать лишних трат, жертва звонит по указанному в сообщении номеру телефона. На том конце провода потенциальной жертве дают ссылку на сайт, возможно, пытаясь таким образом избежать преждевременного детектирования инфраструктуры. На странице с информацией по отмене подписки пользователь скачивает Excel-файл c макросом, активация которого и загружает вредоносное ПО.

Нельзя не отметить творческий подход киберпреступников: сайт фейкового стриминга BravoMovies очень похож на настоящий, для него даже сделаны постеры несуществующих фильмов.

Свежее исследование «Лаборатории Касперского» демонстрирует возможности банковского трояна Bizarro. Изначально атаковавшая пользователей в Бразилии, эта вредоносная программа недавно начала «поддерживать» и другие страны, включая Испанию, Францию, Португалию и Италию. Такое расширение операций требует от киберпреступников локализации — как перевода обманных сообщений на другой язык, так и демонстрации поддельных веб-страниц, имитирующих дизайн сайтов местных банков. Как и в случае с атаками на бизнес, авторы Bizarro строят разветвленную организацию, нанимают сообщников для обналичивания украденных средств.



На скриншоте выше показан спам, рассылаемый потенциальным жертвам. Процесс заражения тривиальный: пользователей убеждают запустить инсталлятор, загружающий вредоносный код. Хостинг троянской программы осуществляется на взломанных блогах на платформе WordPress или на серверах Azure и AWS. Ключевой элемент атаки — универсальный бэкдор — не запускается, пока пользователь не откроет сайт банка из заданной базы. Хотя основные функции Bizarro направлены на кражу денег со счетов, у трояна есть и побочные увлечения, например подмена идентификаторов биткойн-кошельков в буфере обмена на принадлежащие злоумышленникам.

12 мая эксперты «Лаборатории Касперского» опубликовали большой отчет об эволюции атак с шифрованием данных и последующим вымогательством. В статье прежде всего уделяется внимание организации этого криминального бизнеса и рассматриваются атаки на крупные компании. Одним из явных трендов года стала охота преступных группировок за «крупной дичью» — сравнительно большими организациями, способными выплатить серьезный выкуп в цифровой валюте. Отчет публикуется на фоне ежедневных новостей об атаках на бизнес, включая такие громкие события, как атака на компанию Colonial Pipeline.

Самое важное, что нужно знать о таких группировках: они сложно устроены и не работают автономно. От этой угрозы не получится избавиться, даже если найти и арестовать организаторов отдельной кампании. Экосистема перестанет работать, только если лишится доходов, то есть когда пострадавшие перестанут платить выкуп. Исследование приводит примеры набора участников в новые организации и указывает типичные роли: продавцы учетных данных, разработчики вредоносного ПО, аналитики, ответственные за отмывание криптовалюты.

На прошлой неделе эксперты «Лаборатории Касперского» опубликовали исследование таргетированной вредоносной кампании Tunnelsnake. Она, скорее всего, имеет китайское происхождение, но связать ее с другими известными атаками пока не удалось. Аналитики проследили вредоносную активность вплоть до 2018 года, при этом отметили единичные случаи атак на серверы под управлением Windows. Наибольший интерес вызывает один из элементов кампании — руткит Moriya.


По мере развития систем защиты Windows количество руткитов уменьшалось: запустить вредоносный код с привилегиями ядра стало сложнее. Причиной тому — внедрение обязательной подписи драйверов и механизм PatchGuard, вызывающий падение в «синий экран» при попытке проникновения в ядро системы. Moriya (название происходит от имени вредоносного драйвера) обходит эту защиту, используя известный с 2015 года механизм, задействующий драйвер для виртуальной машины Virtualbox.

В конце апреля в блоге компании ERNW появилась интересная заметка о подозрительной активности на корпоративных лаптопах. Рабочий ноутбук передали специалистам компании с подозрением на что-то, очень напоминающее кибершпионаж. Предварительный анализ содержимого жесткого диска ничего интересного не выявил, следов вредоносной активности не обнаружили. А вот после запуска системы в логах нашлось нечто странное:



На скриншоте происходит следующее: аудиодрайвер смотрит, есть ли запись в реестре Windows, не находит ее и пишет на жесткий диск аудиофайл. Расследование обнаружило ошибку в драйвере для аудиочипа Realtek: он проверял наличие флага, включающего режим отладки (DebugFunction=1), но неверно отрабатывал ситуацию, когда запись в реестре отсутствовала, и начинал без ведома пользователя записывать звук с микрофона при любом обращении к себе (например, когда исследователь открывал настройки звука).

Интереcная новость прошлой недели — исследование создателя защищенного мессенджера Signal Мокси Марлинспайка (Moxie Marlinspike), посвященное инструменту для скачивания данных со смартфонов компании Cellebrite. Данный инструмент состоит из железа для подключения к различным смартфонам, другим мобильным устройствам и софта под Windows. «Взломом» в классическом понимании этот комплекс не занимается: Мокси сравнивает его работу с действиями сотрудника полиции, который берет ваш разлоченный телефон и переписывает все сообщения из мессенджеров. Естественно, комплекс эту задачу автоматизирует.


Cellebrite и Signal, таким образом, находятся по разные стороны идеологического фронта. Решение Cellebrite используется правоохранительными органами в разных странах для получения доступа к данным, которые пользователь хотел бы сохранить в тайне, в том числе к переписке в Signal. Цель Signal — сделать так, чтобы переписка в чате не была доступна никому, кроме абонентов. Самое уязвимое звено в этой коммуникации — смартфон пользователя: если получить доступ к разлоченному девайсу, можно увидеть всю переписку. Создатель Signal неведомыми путями получил доступ к устройству Cellebrite и нашел уязвимости в его софте.

В четверг 15 апреля компания Codecov опубликовала сообщение о взломе собственной инфраструктуры и потенциальной утечке данных у клиентов. Главный продукт Codecov предназначен для разработчиков ПО и позволяет улучшать покрытие кода тестами. Пострадала утилита Bash Uploader, предназначенная для отправки отчетов на серверы Codecov.



В сообщении компании пока нет всех технических деталей взлома, но известно, что атакующие воспользовались уязвимостью в процессе создания образов Docker и через нее смогли модифицировать скрипт Bash Uploader. В свою очередь, зараженный код был доставлен к потребителям, за исключением тех, кто использует особую версию продукта без облачных функций. Модификация кода впервые произошла еще 31 января. Как минимум 2,5 месяца с серверов Codecov распространялся, по сути, вредоносный скрипт. Ключи доступа к облачным средствам разработки пострадавших клиентов с высокой вероятностью утекли.

Сообщения о «масштабных утечках пользовательских данных» часто следуют друг за другом, и иногда это не просто совпадение. После того, как в открытый доступ попала база данных пользователей Facebook, у кого-то явно появилось желание посмотреть, что еще можно найти на полупубличных хакерских форумах. В результате 6 и 10 апреля один и тот же источник сообщил о новых масштабных утечках: сначала про 500 миллионов пользовательских записей LinkedIn, потом об утечке данных из голосовой соцсети Clubhouse.


Проблема в том, что это не совсем утечки. Обе базы содержат только публично доступную информацию о пользователях. Никакого взлома не произошло, о чем и сообщили пострадавшие (исключительно от негативного пиара) организации (заявление Clubhouse, заявление LinkedIn). Кто-то даже предложил записать в хакеры поисковые системы — те на регулярной основе добывают и хранят на своих серверах такие же базы, а потом сливают их кому попало. Этим две новости прошлой недели отличаются от инцидента в Facebook. В том случае утекла все же приватная информация (например, номер телефона Марка Цукерберга), еще и собранная через сомнительную практику, в рамках которой соцсеть получает телефонную книгу пользователя.

В субботу 3 апреля в публичный доступ попала огромная база данных пользователей соцсети Facebook. На одном из киберкриминальных форумов появились записи о 533 миллионах пользователей из 106 стран, среди них чуть меньше 10 миллионов учеток — из России.

В ответ на запрос СМИ в Facebook подтвердили факт утечки. Дело было так: еще в 2019 году кто-то воспользовался уязвимостью в инструменте для поиска друзей, который сам по себе вызывает сомнения с точки зрения приватности. Данная фича заливала на серверы соцсети телефонную книгу пользователя и предлагала ему добавить в друзья найденных людей. Как выяснилось позднее, инструмент позволял перебором пройтись по всему массиву телефонных номеров и выгрузить данные о большом количестве пользователей — примерно 20% от общего числа учеток в соцсети.


В том же 2019 году похожую проблему нашли в Telegram: перебор телефонных номеров помогал выяснить никнейм пользователя, а через базу данных сотовых операторов — связать учетную запись в мессенджере с реальным человеком.

По понятным причинам из Facebook не утекли пароли, но персональных данных в общий доступ попало много: имена, локация, данные о работодателе, пол, дата регистрации. База из 2019-го, судя по всему, какое-то время продавалась на черном рынке, а в январе этого года в Telegram появился бот, продающий данные по телефонному номеру. Электронных адресов, ассоциированных с аккаунтами, утекло относительно мало: Трой Хант (Troy Hunt) добавил в базу сервиса Haveibeenpwned всего 2,5 миллиона записей.

На прошлой неделе эксперты «Лаборатории Касперского» опубликовали аналитический обзор основных приемов корпоративного доксинга. Под доксингом в целом, как правило, понимают сбор приватной информации о частных лицах для последующего распространения. В случае с компаниями речь, скорее, идет об этапе сбора данных перед проведением атаки. Например, чтобы заставить бухгалтерию предприятия перевести крупную сумму, нужно быть достаточно убедительным в почтовой переписке или телефонных переговорах. Для этого требуется рекогносцировка.



Как собирают данные? В первую очередь, их добывают из открытых источников, начиная со списка сотрудников на сайте компании. Много информации приносят социальные сети: по связям между аккаунтами сотрудников в LinkedIn можно без проблем воссоздать внутреннюю организационную структуру, понять, кто кому подчиняется.

Следующий уровень — различные виды атак типа Business E-mail Compromise. Любопытный пример атаки начинается с реального поста сотрудника в соцсети о том, что он находится в отпуске. Далее злоумышленники от его имени связываются с бухгалтерией и просят сменить банковские реквизиты для перевода зарплаты. Невозможность связаться по телефону для подтверждения запроса объясняется пребыванием в другой стране.

Хранение данных в изначально не приспособленных для этого форматах часто обсуждают в сфере инфобезопасности. Как правило, стеганографию используют для скрытной передачи информации: например, зараженная система связывается с командным сервером и передает на первый взгляд безобидные изображения.

На прошлой неделе очередное упражнение на эту тему произошло в лагере white-hat: исследователь Дэвид Бьюкенан (David Buchanan) нашел способ обмениваться файлами через картинки в твиттере (новость, страница на GitHub с описанием и кодом).



Никакой уязвимости тут нет: вставлять данные в PNG-изображение можно разными способами, а в данном случае даже не требуется специальный инструмент для декодирования. Достаточно переименовать .png-файл в .zip и распаковать данные из получившегося архива.

Автор этого трюка нашел особенность обработчика изображений в Twitter, который удаляет часть избыточных данных из файла, но не трогает одну из областей IDAT, где и спрятана лишняя информация. У метода есть ограничения: если итоговый файл весит больше 3 Мбайт, Twitter сконвертирует изображение в JPEG. Демонстрация метода доступна в твиттере автора, а изображение оттуда приведено выше: на Хабре трюк тоже работает (на момент публикации). Внутри ZIP-файла-картинки спрятан код на Python, позволяющий прятать в PNG произвольные данные.

В кибербезопасности существуют «медленные» кризисы, такие как, например, потенциальные атаки на загрузочный код в смартфонах и мобильных компьютерах — все, что требует физического доступа к железу. То, что в таком доступе не нуждается, тоже не всегда представляет проблему, с которой надо разбираться «вчера»: даже критические уязвимости часто эксплуатируются со множеством оговорок и дополнительных трудностей на пути к важным данным. Атаки на почтовые серверы Microsoft Exchange, судя по всему, станут хрестоматийным примером быстро развивающейся и максимально опасной проблемы для потенциальных жертв.

Данные о четырех активно эксплуатируемых уязвимостях в Exchange были обнародованы 3 марта. Вторая неделя «почтового кризиса» была богатой на события. На Github был опубликован демонстрационный код, эксплуатирующий уязвимости. Proof-of-Concept был оперативно удален, за что Github (и Microsoft, как владелец сервиса) подвергся критике. Сразу несколько исследований сообщили об атаке на почтовые серверы со стороны не одной, а как минимум десятка различных группировок. 13 марта стало известно об использовании уже взломанных серверов для атак с шифрованием данных и вымогательством. Заодно первооткрыватели уязвимостей уточнили таймлайн расследования: судя по всему, ключевая уязвимость Exchange была обнаружена в ходе аудита еще в декабре.

Главной новостью прошедшей недели стало раскрытие информации о четырех критических уязвимостях в почтовом сервере Microsoft Exchange, которые на момент обнаружения активно использовались для кибератак. Особенности уязвимостей (возможность полного обхода механизма авторизации, эскалации привилегий, записи произвольных файлов на скомпрометированном сервере) создали предпосылки для «идеального шторма» в области кибербезопасности. По некоторым данным, жертвами атаки уже стали десятки тысяч организаций только в США.



После выпуска обновлений, закрывающих уязвимости, атаки на уязвимые серверы только усилились. Компания Microsoft атрибутирует исходную атаку группировке Hafnium китайского происхождения, и (по состоянию на 2 марта) не зафиксировано примеров эксплуатации уязвимостей кем-то еще. Скорее всего, непропатченные серверы будут атаковаться всеми желающими еще долгое время. Отдельную проблему представляет установка бэкдора после взлома серверов: патчи способны закрыть изначальную точку входа, но уже атакованным организациям они не помогут. Все настолько плохо, что операторам серверов Microsoft Exchange рекомендуют исходить из того, что они уже взломаны.

На прошлой неделе получил развитие вялотекущий скандал вокруг Footfallcam, британского производителя специализированных веб-камер. Издание The Register в своем материале приводит предысторию: все началось с сообщений нидерландского исследователя OverSoftNL, в которых он еще в начале февраля описал серьезные проблемы с безопасностью устройств этой компании.



Как выяснил эксперт, камера Footfallcam, предназначенная для подсчета проходящих мимо людей, построена на плате Raspberry Pi. Анализ прошивки показал не только «забытые» разработчиком отладочные файлы (и один музыкальный трек), но и фиксированный пароль доступа к Wi-Fi-сети стандартного пользователя ОС Raspbian с паролем по умолчанию, а также включенный доступ по протоколу SSH. Иными словами, после добавления в корпоративную сеть устройство представляло собой огромную дыру в безопасности. Но это был не единственный продукт производителя со странным подходом к защите.

На прошлой неделе аналитики «Лаборатории Касперского» выпустили итоговый отчет по спаму и фишингу за 2020 год. В нем приводятся как абсолютные цифры по срабатыванию систем защиты от фишинга и детектированию вредоносных вложений, так и описание новых методов киберпреступников. Интерес представляет мутация традиционного «нигерийского спама». В ответ на пандемию в сообщениях о якобы смерти богатого родственника и миллионном наследстве появились отсылки к COVID-19. Но не только: судя по всему, на этот длящийся десятилетиями скам почти никто не реагирует, и появляются более сложные методы.


Вместо прямого предложения поучаствовать в дележке несуществующих богатств жертва получает просьбу отправить открытку маленькой девочке. Мошенничество происходит где-то глубоко в процессе переписки: такое ощущение, что спамеры узнали, что такое воронка продаж. Специалисты также отмечают диверсификацию вредоносных действий, ориентир на мобильных пользователей и мессенджеры. В одном случае мошенники предлагают не только поучаствовать в розыгрыше ценных призов, но и сообщить о псевдолотерее друзьям и знакомым. В другом для получения «коронавирусной компенсации» требуют установить вредоносное приложение на смартфон. Как обычно, наиболее продвинутое мошенничество замечено в потенциально более прибыльных атаках на корпоративную инфраструктуру.

На прошлой неделе стало известно сразу о двух громких инцидентах в области кибербезопасности. Представители компании CD Projekt Red, разработавшей игры «Ведьмак» и Cyberpunk 2077, сообщили об успешной атаке на собственную инфраструктуру (см. также обсуждение на Хабре здесь и здесь). Злоумышленники скопировали и зашифровали данные на серверах компании. Второе проблемой для компании не является (есть бэкап), а вот первое может привести к разнообразным последствиям в плане репутации и дальнейшей эксплуатации уязвимостей в играх. Напомним, неделей ранее разработчики выпустили патч для Cyberpunk 2077, закрывающий возможность выполнения произвольного кода. Тем не менее разработчик решил не идти на поводу у киберпреступников и сообщил об атаке публично, выложив даже требование о выкупе.


После атаки компания сообщила, что данные сотрудников, скорее всего, не пострадали. Предположительно CD Projekt стала жертвой группировки HelloKitty, ранее задевшей поставщика электроэнергии в Бразилии (здесь предыдущие атаки анализируются подробнее). Как сообщает BleepingComputer, утекшие данные уже выставили на аукцион со стартовой ценой в миллион долларов. Открытость разработчика игр по поводу инцидента можно только приветствовать. Нельзя не отметить некоторую иронию в том, как антураж Cyberpunk 2077 просочился в реальность.

Хорватский исследователь Боян Здрня (Bojan Zdrnja) обнаружил интересный метод эксфильтрации данных через средства синхронизации, встроенные в браузер Google Chrome. Функция Chrome Sync позволяет синхронизировать сохраненные пароли, закладки и историю посещения веб-сайтов между компьютерами, использующими общую учетную запись Google.

В описании атаки Здрня приводит следующую последовательность действий. Получив доступ к компьютеру жертвы, злоумышленник включает режим разработчика в Google Chrome, что позволяет загрузить расширение для него локально, а не через магазин. Таким образом в браузер подгружается вредоносное расширение, замаскированное под плагин защитного продукта.



В коде самого расширения исследователь описывает стандартный метод взаимодействия с облачной инфраструктурой Google, который позволяет «обмениваться» произвольными данными между двумя браузерами. То есть предположительно атака выглядела так: взламываем компьютер, устанавливаем вредоносное расширение, авторизуем браузер под одноразовой учетной записью Google. На стороне атакующего достаточно залогиниться под той же учетной записью, чтобы получить данные с компьютера жертвы.

Что именно передавалось таким образом, эксперт не раскрывает, но указывает ограничения метода: максимальный размер «ключей», передаваемых через инфраструктуру Google Chrome, не может превышать 8 Кбайт, а их максимальное количество — 512. То есть за одну сессию можно передать 4 Мбайт данных. Для управления зараженным компьютером, а также для передачи токенов для доступа к корпоративным облачным сервисам этого вполне достаточно.

Прошлая неделя оказалась богатой на события. Начнем с трех уязвимостей в мобильных ОС Apple, которые предположительно были использованы в реальных атаках. В кратком сообщении Apple две уязвимости отнесены к движку WebKit — они обеспечивают выполнение произвольного кода. Еще одна дыра в ядре iOS и iPadOS позволяет повысить привилегии.

Все три уязвимости закрыты в обновлении ОС 14.4 от 26 января. Компания Apple сообщает, что ей известны факты активной эксплуатации этих трех багов. Детали этой атаки неизвестны, но есть свежий пример эксплуатации уязвимостей zero-click в iOS 13, раскрытый в отчете организации Citizen Lab в конце декабря прошлого года.

В четверг 28 января специалист из команды Google Project Zero Самуэль Гросс опубликовал описание еще одного механизма безопасности, внедренного в iOS 14. С помощью реверс-инжиниринга эксперт анализирует структурное изменение работы встроенного мессенджера iMessage. Судя по всему, в актуальной версии мобильной ОС Apple внедрена строгая изоляция всех инструментов обработки входящих данных. Это должно усложнить создание новых методов атаки, даже с использованием пока неизвестных уязвимостей. С одной стороны, Apple не ограничивается лечением отдельных багов, с другой — даже с новыми механизмами защиты атаки на устройства с последующей установкой бэкдора вполне возможны. Так или иначе, стоит обновить iPhone или iPad до последней версии ОС.

Читалки электронных книг Amazon Kindle пользуются широкой популярностью среди обычных пользователей, и не меньшим вниманием — со стороны любителей обходить ограничения максимально закрытой экосистемы Amazon. Несмотря на регулярно обнаруживаемые уязвимости в коде (требуемые для джейлбрейка), электронные книги редко обсуждаются в контексте информационной безопасности — как точка доступа к чужим деньгам и персональным данным. Тем интереснее новое исследование Йогева Бар-Она: в прошлом году он нашел сразу три уязвимости в Amazon Kindle с самой свежей на тот момент прошивкой и с их помощью построил вполне реалистичную модель атаки на пользователя, с финансовым ущербом.



Первая уязвимость, обнаруженная экспертом из компании RealModeLabs, относится к способу загрузки в Kindle собственных книг и документов путем отправки их на особый почтовый адрес. В теории отправлять книги можно только с авторизованного адреса (по умолчанию — с адреса регистрации пользователя в Amazon). На практике было обнаружено, что компания Amazon не использовала средства проверки подлинности e-mail, так как не все почтовые сервисы их поддерживают. А значит, исходящий e-mail было легко подделать.