Android-шкідники, захоплення VOIP, Signal та арешти TeamPCP: тиждень у кібербезпеці

Схема іменування e164-arpa для номерів ніколи не набула широкого поширення і швидко забулася. Як це буває з усіма забутими стандартами, інфраструктура поступово розвалювалася.

Через шість місяців

AliExpress та відбитковий аналіз браузерів

AliExpress був викритий у використанні прихованої техніки відбиткового аналізу для спроби ідентифікувати користувачів.

Відбитковий аналіз відтворює звукову хвилю на фоні сторінки з гучністю, встановленою на нуль, і вимірює відхилення у обчислених значеннях. Відхилення в обчислюваній звуковій хвилі створюються типом браузера, процесором, аудіообладнанням та навіть версіями драйверів. Хоча більшість заголовків зосереджувалися на аудіо-відбитковому аналізі, AliExpress також використовував інші методи для створення профілів кожного браузера, включаючи WebGL, WebRTC, роздільну здатність екрана та інші веб-інтеграції.

Призначення розширеного відбиткового аналізу пристроїв невідоме: AliExpress може використовувати його для запобігання шахрайству, але також може використовувати його для ідентифікації та відстеження клієнтів, коли вони вимкнули традиційні файли cookie для відстеження. Аудіо-відбитковий аналіз був виявлений, коли користувач зіткнувся з проблемами при підключенні Bluetooth-навушників до тихого аудіопотоку.

На жаль, при використанні технік відбиткового аналізу, що спираються на стандартні функції браузера, їх важко заблокувати. Іноді блокувальники реклами можуть ідентифікувати та блокувати деякі ресурси відбиткового аналізу, так само як і вимкнення деяких функцій у браузері, але багато функцій, таких як аудіо та WebGL, зазвичай неможливо вимкнути.

[Том Ріттер], який працює у Firefox, згадує, що вони відбили цей метод відбиткового аналізу три роки тому як частину своєї кампанії проти відбиткового аналізу. Очевидно, що це не стосується всіх браузерів.

Атака на виявлення контактів Signal

Більшість додатків для чату дозволяють виявляти користувачів зі списку контактів, які також використовують цю програму – але тоді ви передаєте свій список контактів програмі, допомагаючи їй будувати свої маркетингові та соціальні графіки. Signal, звісно, ​​обробляє це інакше, дозволяючи виявляти користувачів зі списку контактів, одночасно запобігаючи доступу корпорації Signal до вашого списку контактів. Ну, здебільшого.

Signal виконує процес виявлення контактів всередині Intel SGX Enclave. SGX Enclave – це розширення Intel, схоже на Trusted Execution Environment (TEE) на Arm, де пам’ять та виконання можуть бути розділені для обмеженого процесу. Теоретично, код і пам’ять всередині анклаву не можуть бути прочитані іншими процесами, кореневими процесами, або навіть гіпервізором чи системою віртуалізації. Signal використовує анклави, щоб зашифрований список контактів користувачів та сам ключ шифрування були повністю ізольовані. Потім клієнт Signal може перевірити цілісність анклаву за відомими вимірювальними значеннями, вбудованими в релізи клієнта.

Дослідники, які використовували AI-агент V12, виявили, що це не завжди було так. Оскільки SGX Enclave ділить ресурси з рештою системи, зловмисний хост міг створити експлуатовані стани гонки в алгоритмі, генеруючи помилки сторінки та призупиняючи виконання анклаву. Зловмисний сервер, що виконує анклав, все ще не може безпосередньо читати вміст, але він міг витягти секретні значення, необхідні для створення фальшивих серверів, які могли б повністю розкрити список контактів користувача.

Друга атака дозволила б зловмисному хосту маніпулювати списком клієнтів, підключених до анклаву, отримуючи повне виконання коду всередині анклаву з передбачуваним результатом експорту даних контактів.

Обидві проблеми були повідомлені Signal і виправлені до публічного звіту, і немає доказів, що вони коли-небудь були зловживані: для атаки на будь-яку вразливість, скомпрометований хост повинен був би виконувати код Signal-анклаву і бути частиною інфраструктури Signal, до якої підключалися б клієнти.

Boston Scientific постраждала від кібератаки

Boston Scientific повідомила в SEC-поданні, що зазнала неназваної кібератаки, яка вплинула на операції, спричинивши падіння акцій майже на 5% за один день.

Компанія не надавала жодних деталей про атаку, але очікує відновити відвантаження медичних продуктів “менш ніж за три тижні”, що звучить як досить серйозне порушення. Boston Scientific виробляє дефібрилятори, кардіостимулятори та хірургічне обладнання. Невідомо, чи були скомпрометовані дані пацієнтів, хоча, ймовірно, нормативні акти вимагатимуть розкриття інформації, якщо це буде встановлено.

Без додаткової інформації про атаку також незрозуміло, чи постраждав вихідний код або інші дані, які могли б допомогти в атаці на медичні пристрої.

Carhartt постраждав від програми-вимагача

Компанія з виробництва одягу Carhartt також постраждала від програми-вимагача, внаслідок чого було викрадено 13 мільйонів облікових записів.

Група ShinyHunters бере на себе відповідальність; попередніми жертвами групи були казино, автовиробники, медичні компанії та державні установи. Витік нібито містить понад 50 гігабайт даних клієнтів та співробітників, причому дані клієнтів включають електронну пошту, номери телефонів та фізичні поштові адреси. Група вимагала 3,3 мільйона доларів викупу за дані та опублікувала їх, коли Carhartt не заплатив.

Have I Been Pwned пов’язала дані з компрометацією екземпляра Databricks, який використовувала Carhartt, – платформи для об’єднання бізнес-даних та ШІ.

Підозрювані члени TeamPCP арештовані

Нарешті, видатний журналіст-розслідувач з питань безпеки Браян Кребс повідомляє, що в Австралії були заарештовані підозрювані ключові оператори групи TeamPCP.

TeamPCP стоїть за деякими з найгірших атак на ланцюжок постачання, що вражають репозиторії PyPI, NPM та плагінів VSCode, і випустила вихідний код деяких хробаків, використаних у цих атаках, щоб заплутати сліди та залучити нових членів. TeamPCP також брала участь у компрометуванні тисяч репозиторіїв GitHub і пов’язана з багатьма іншими злочинними та шкідливими групами.

Хоча особи заарештованих офіційно не розкриті, у типовому стилі Браяна Кребса десятки зв’язків корелюються, що показують їхню ймовірну ідентичність та зв’язки з TeamPCP та іншими групами. Якщо нічого іншого, це має слугувати нагадуванням, що найкращий час для уваги до операційної безпеки був десять років тому.

Оскільки TeamPCP не виглядає як спонсорована державою група, або навіть сильно організована, арешти кількох членів навряд чи суттєво сповільнять компрометацію. Кребс детально описує розмови з одним із заарештованих чоловіків, у яких обговорюються проблеми з тверезістю та плани покинути сцену шкідливого ПЗ, заявляючи, що інші вже зайняли керівні посади в групі.