-
Похожий контент
-
Автор KL FC Bot
Не так давно на нашем блоге для ИБ-исследователей Securelist вышел пост об атаке на российские промышленные предприятия с использованием бэкдора PhantomPyramid, которую наши эксперты с высокой степенью уверенности атрибутируют группе Head Mare. Атака была достаточно стандартной — письмо, якобы содержащее конфиденциальную информацию плюс архив со зловредом, пароль для распаковки которого находится прямо в теле письма. Но интересен способ, при помощи которого злоумышленники прятали свой вредоносный код в, казалось бы, безобидном файле, — для этого они использовали технику polyglot.
Что такое техника polyglot
В матрице MITRE ATT&CK polyglot-файлы описываются как файлы, относящиеся сразу к нескольким типам и работающие по-разному в зависимости от приложения, в котором они запущены. Используются они для маскировки зловредов — для пользователя, а также для некоторых защитных механизмов они могут выглядеть как что-то совершенно безопасное, например картинка или документ. А по факту внутри находится вредоносный код. Причем код может быть написан сразу на нескольких языках программирования.
Злоумышленники используют самое разное сочетание форматов. Компания Unit42 исследовала атаку с применением файла контекстной справки в формате Microsoft Compiled HTML Help (расширение .chm), который одновременно является HTML-приложением (файлом в формате .hta). Исследователи также описывают применение картинки в формате .jpeg, внутри которой по факту находится PHP-архив .phar. В случае с атакой, исследованной нашими экспертами, внутри архива .zip был спрятан исполняемый код.
.
View the full article
-
Автор KL FC Bot
С февраля многие пользователи жалуются на то, что на их Android-смартфонах внезапно появилось приложение Android System SafetyCore. У него нет интерфейса и настроек, но из Google Play можно узнать, что разработчиком является сама Google, число установок превышает миллиард, а рейтинг составляет позорные 2,2 балла. Назначение приложения описано расплывчато: «Обеспечивает технологию для работы функций, таких как «Предупреждения о деликатном контенте» в Google Messages». Что такое «деликатный контент» (sensitive content), можно легко догадаться, но как и почему о нем будет предупреждать Google? И как собирается узнавать, что контент именно деликатный?
Спешим успокоить — по заявлениям как Google, так и сторонних экспертов, функция не создает угроз приватности. SafetyCore работает на устройстве и не отправляет ни фотографий, ни информации о фотографиях на внешние серверы. Если в Google Messages пользователь получает сообщение с картинкой, то модель машинного обучения, запущенная прямо на смартфоне, анализирует изображение и размывает его, если детектирует нюдсы. Пользователь должен кликнуть на изображение и подтвердить, что он действительно хочет увидеть «обнаженку», и тогда размытие пропадает. Аналогичная функция работает при отправке — если пользователь пытается отправить изображение с обнаженными телами, смартфон переспросит, действительно ли нужно отсылать изображение. Google подчеркивает, что информация о результатах проверки картинки никуда не отправляется.
Приложение SafetyCore обеспечивает анализ изображений, но оно не предназначено для самостоятельного использования: другие аппы обращаются к SafetyCore при приеме и отправке картинок, а уж как использовать результаты анализа — зависит от них. Пока воспользоваться ИИ-анализом можно в Google Messages — здесь изображения, признанные «деликатными», будут размыты. В будущем Google обещает открыть функции SafetyCore другим разработчикам, и реагировать на «клубничку» смогут, например, WhatsApp с Telegram. Другие приложения при этом могут быть настроены так, чтобы блокировать «обнаженку» или сразу отправлять такие картинки в спам.
View the full article
-
Автор KL FC Bot
Многие пользователи macOS уверены, что вредоносного ПО для этой операционной системы не бывает, поэтому о безопасности можно никак специально не заботиться. На самом деле это совсем не так, и тому постоянно появляются все новые подтверждения.
Есть ли вирусы для macOS?
Есть, и много. Вот несколько примеров «маковых» зловредов, о которых мы ранее писали в блогах Kaspersky Daily и Securelist:
Ворующий криптокошельки троян, мимикрирующий под пиратские версии популярных приложений для macOS. Вредоносная нагрузка этого трояна содержится в «активаторе», до запуска которого взломанные приложения просто не работают. Источник
Еще один троян для macOS, ворующий криптовалюту, маскировался под PDF-документ, озаглавленный «Криптоактивы и их риски для финансовой стабильности». Троян, использовавший зараженные «Маки» для организации сети нелегальных прокси-серверов, пропускающих через себя вредоносный трафик. Стилер Atomic, распространявшийся под видом обновлений для браузера Safari. Список можно было бы продолжить предыдущими публикациями, но гораздо интереснее познакомиться с одним из свежих вирусов, охотящихся на пользователей macOS. Встречайте героя этого поста — стилер Banshee.
View the full article
-
Автор ska79
KPM for android, не нахожу пункта меню ручной блокировки базы, в предыдущей версии которая с плеймаркета была возможность блокировки базы паролей вручную, в текущих версиях с рустор данной возможности нет.
-
Защита от слежки за устройствами на Android, Windows и Linux через Find My iPhone | Блог КасперскогоАвтор KL FC Bot
Метки AirTag стали одним из самых популярных инструментов слежки, которыми пользуются не только легитимные владельцы, забывшие ключи на работе, но и ревнивые супруги, угонщики автомобилей и другие люди с недобрыми намерениями. Реализация крайне проста — брелок тайно подкладывают жертве слежки и с комфортом следят за ее перемещениями через сервис Apple Find My. Мы даже включили защиту от слежки через AirTag в Android-версию решений Kaspersky.
Но недавно исследователи безопасности опубликовали исследование, которое демонстрирует, что для дистанционной слежки можно не тратиться на AirTag и даже… никогда не приближаться к жертве! Если удастся заразить ее компьютер или смартфон под управлением Android, Windows или Linux особым вредоносным ПО, то зловред сможет посылать через Bluetooth-адаптер этого устройства специальный сигнал, который будет определяться любыми устройствами Apple поблизости как сигнал от AirTag. Иными словами, для Apple-устройств зараженный смартфон или компьютер превращается в… гигантский AirTag, и его можно отслеживать через сеть Find My, в которую входит более миллиарда смартфонов и планшетов Apple.
Анатомия атаки
Атака эксплуатирует две особенности технологии Find My.
Во-первых, в этой сети используется сквозное шифрование, и участники не знают, чьи сигналы они передают. Брелок AirTag и смартфон владельца применяют пару криптографических ключей при обмене информацией. Когда утерянный брелок транслирует по Bluetooth свои позывные, «детекторы» сети Find My (это любые устройства Apple с Bluetooth и связью с Интернетом, неважно чьи) просто передают данные на серверы Apple, используя публичный ключ найденного AirTag для шифрования данных геолокации. Далее зашифрованную информацию о местоположении с сервера может запросить любое устройство: за счет шифрования Apple тоже не знает, кому принадлежит данный сигнал и что за устройство его запросило. Хитрость в том, что расшифровать данные и понять, чей же это AirTag и где конкретно он находится, можно, только зная парный приватный ключ. Поэтому эти данные полезны только владельцу смартфона, сопряженного с данной меткой AirTag.
Вторая особенность Find My — «детекторы» не проверяют, что полученный ими сигнал о местоположении подан именно устройством Apple. Его может транслировать любое устройство с поддержкой Bluetooth Low Energy (BLE).
Чтобы злоупотребить этими особенностями, исследователи разработали следующую схему.
Вредоносное ПО устанавливается на компьютер, смартфон или другое устройство под управлением Android, Windows или Linux и получает информацию об адресе Bluetooth-адаптера, встроенного в гаджет. Информация передается на сервер атакующих, где с помощью мощных видеокарт вычисляется пара ключей шифрования, соответствующих Bluetooth-адресу устройства и совместимых с технологией Find My. Вычисленный публичный ключ передается обратно на зараженное устройство, и зловред начинает транслировать через Bluetooth сообщение, аналогичное сигналам AirTag и содержащее этот ключ. Любое подключенное к Интернету устройство Apple, находящееся поблизости, принимает этот сигнал и передает его на серверы Find My. Сервер злоумышленников использует вычисленный приватный ключ, чтобы запрашивать у сервиса Find My местоположение зараженного устройства и расшифровывать эти данные.
View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти