28 проголосовавших
У вас нет разрешения голосовать в этом опросе или просматривать его результаты. Пожалуйста, войдите или зарегистрируйтесь для возможности голосования в этом опросе.
-
Похожий контент
-
-
От KL FC Bot
Все приложения, включая ОС, содержат уязвимости, поэтому регулярные обновления для их устранения — один из ключевых принципов кибербезопасности. Именно на механизм обновлений нацелились авторы атаки Windows Downdate, поставив себе задачу незаметно «откатить» актуальную версию Windows до старой, содержащей уязвимые версии служб и файлов. После выполнения этой атаки полностью обновленная система оказывается вновь уязвимой к старым и хорошо изученным эксплойтам и ее можно легко скомпрометировать до самого глубокого уровня, реализовав даже компрометацию гипервизора и безопасного ядра и кражу учетных данных. При этом обычные инструменты проверки обновлений и «здоровья» системы будут рапортовать, что все полностью актуально и обновлять нечего.
Механика атаки
Исследователи фактически нашли два разных дефекта с немного различным механизмом работы. Одна уязвимость, получившая идентификатор CVE-2024-21302 и чаще называемая Downdate, основана на недочете в процессе установки обновлений. Хотя компоненты, получаемые во время обновления, контролируются, защищены от модификаций, подписаны цифровой подписью, на одном из промежуточных этапов установки (между перезагрузками) процедура обновления создает, а затем применяет файл со списком планируемых действий (pending.xml). Если создать этот файл самостоятельно и занести информацию о нем в реестр, то доверенный установщик (Windows Modules Installer service, TrustedInstaller) выполнит инструкции из него при перезагрузке.
Вообще-то, содержимое pending.xml верифицируется, но на предыдущих этапах установки, TrustedInstaller не делает проверку заново. Прописать в него что попало и установить таким образом произвольные файлы не получится, они должны быть подписаны Microsoft, но вот заменить системные файлы более старыми файлами самой Microsoft вполне можно. Таким образом, система может быть вновь подвержена давно исправленным уязвимостям, включая критические. Чтобы добавить в реестр необходимые ключи, касающиеся pending.xml, требуются права администратора, а затем еще потребуется инициировать перезагрузку системы. Но это единственное весомое ограничение для проведения атаки. Повышенные права (при которых Windows запрашивает у администратора дополнительное разрешение на затемненном экране) для атаки не требуются, для большинства средств защиты выполняемые атакой действия также не входят в разряд подозрительных.
Второй дефект, CVE-2024-38202, основан на подмене содержимого папки Windows.old, в которой система обновления хранит старую версию Windows. Хотя файлы в этой папке невозможно модифицировать без специальных привилегий, обычный пользователь может переименовать папку целиком, создать Windows.old заново и положить в нее нужные ему файлы, например устаревшие опасные версии системных файлов Windows. Затем нужно инициировать восстановление системы — и откат Windows к уязвимой версии состоится. Для восстановления системы нужны определенные права, но это не права администратора, ими иногда обладают и обычные пользователи.
View the full article
-
От KL FC Bot
Недавно вышедшие отчеты экспертов «Лаборатории Касперского», посвященные статистике сервиса мониторинга и реагирования (MDR) и сервиса реагирования на инциденты (IR) за 2023 год, показывают, что в большинстве наблюдавшихся кибератак применяется всего несколько техник, повторяемых из раза в раз. Они встречаются как в атаках, доведенных до конца и приведших к ущербу, так и в инцидентах, остановленных на ранних стадиях. Мы решили перечислить эти техники, опираясь на классификацию ATT&CK, и обобщить рекомендации экспертов по их нейтрализации. С частотой применения каждой техники и конкретными примерами можно ознакомиться в самих отчетах.
Эксплуатация публично доступных приложений
Техника ATT&CK: T1190, тактика ТА0001 (первоначальный доступ)
Что это: использование уязвимостей в одном из приложений организации, доступных через Интернет. Наиболее популярны атаки на веб-серверы, серверы Exchange и баз данных, а также на точки подключения VPN. Также злоумышленники активно ищут и эксплуатируют находящиеся в открытом доступе панели управления IT-инфраструктурой — от серверов SSH до SNMP.
Как защититься: отдавайте приоритет обновлению ПО на периметре сети, а также используйте дополнительные меры защиты для сервисов на периметре. Закрывайте порты управления от доступа извне. Регулярно сканируйте внешний периметр в поисках уязвимостей и просто приложений, внешний доступ к которым предоставлен случайно и должен быть отозван. Устанавливайте агенты EDR и средства защиты, в том числе на серверы приложений.
Посмотреть статью полностью
-
От KL FC Bot
Популярный у инженеров принцип «работает — не трогай» многие годы применялся и в мире компьютеров. Теперь он стал непозволительной роскошью. Распространение кибератак, в том числе на научные и медицинские организации, ставит перед IT- и ИБ-службами настоящую дилемму. Чтобы защитить важное оборудование от атак, его программную часть надо обновить. Ведь устаревшее ПО на такой технике — это простые в эксплуатации уязвимости, примитивное или вовсе отсутствующее шифрование, рудиментарный контроль доступа, в общем — подарок для атакующего. Но само обновление ПО очень часто сопряжено с крупными расходами и риском остановки бизнес-процессов. Правда ли все так сложно и как решить эту проблему?
В чем риски обновлений
Многие системы безотказно работают годами и даже десятилетиями. Основной страх их бизнес-владельцев состоит в том, что процедура обновления может нарушить работу системы, а восстановить ее работоспособность будет невозможно. Подобные опасения не беспочвенны. Бывает, что люди, которые знали все подробности работы системы, давно уволились или ушли на пенсию, а документация утеряна или вовсе никогда не существовала. Это встречается нередко, но иногда проявляется в экстремальных формах. Например, в налоговой службе США до сих пор используются компьютеры 1970-х годов и программы на почти мертвом языке COBOL. Бывает, что поставщик техники был перепродан или поглощен другой компанией, вышел из бизнеса или обанкротился. Тоже не редкость — в этом году обанкротился гигант по производству банкоматов Diebold Nixdorf.
Во всех этих случаях искать техподдержки и помощи после сбоев в обновлении будет негде.
Более того, в случае длительной эксплуатации многих видов техники у нее образуются связи с другими системами в организации, и эти связи далеко не всегда очевидны и документированы. Поэтому отключение системы может спровоцировать каскадные сбои или отключения в других системах, которые довольно трудно предвидеть и предотвратить.
Все перечисленное приводит к неприятному выводу — восстановление после такого инцидента займет дни или недели, а стоимость простоя будет огромной.
Посмотреть статью полностью
-
От KL FC Bot
Когда вы выбрасываете или продаете ненужный компьютер или телефон, то наверняка удаляете оттуда свои фото, переписку и другую информацию. Но есть еще один вид персональных данных, о которых практически никто не задумывается, — а их надо стирать не только с телефонов, но и с часов, принтеров и даже холодильников и других умных устройств. Это настройки входа в вашу сеть Wi-Fi.
Чем опасна утечка доступов Wi-Fi
В доступе к чужой сети Wi-Fi есть коммерческая ценность. Самое простое и невинное — это бесплатный доступ в Интернет для соседей. Гораздо менее невинна кража информации: в домашней или офисной сети устройства обычно доверяют друг другу, поэтому, подключившись к чужому Wi-Fi, несложно стащить фотографии и документы с других сетевых устройств.
Самое неприятное — выход в Интернет с чужого аккаунта для нелегальной активности, например рассылки спама или DDoS-атак. Используя найденную Wi-Fi-сеть всего один раз, злоумышленник может взломать одно из домашних устройств (сам роутер, домашнее сетевое хранилище , камеру видеонаблюдения или любое из умных устройств, о легкости взлома которых мы писали уже много раз) и дальше использовать его как прокси-сервер, уже не прибегая к «услугам» Wi-Fi. На такие прокси, работающие из домашних сетей, есть стабильный спрос со стороны киберкриминала. Владелец взломанной техники при этом страдает: снижается скорость Интернета, его IP-адрес попадает в различные черные списки, в редких случаях возможны блокировка со стороны интернет-провайдера и даже визит полиции.
Что касается принтеров, камер и других устройств из офисной сети, то их реквизиты Wi-Fi можно использовать для кибератаки на организацию. Этот вектор атаки весьма удобен хакерам, потому что во многих компаниях кибербезопасность настроена на защиту от угроз из Интернета, а офисным устройствам, особенно принтерам, не уделяется много внимания. Подключившись к Wi-Fi, злоумышленники легко смогут организовать и кражу данных, и ransomware-атаку.
View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти