-
Похожий контент
-
Защита от слежки за устройствами на Android, Windows и Linux через Find My iPhone | Блог КасперскогоАвтор KL FC Bot
Метки AirTag стали одним из самых популярных инструментов слежки, которыми пользуются не только легитимные владельцы, забывшие ключи на работе, но и ревнивые супруги, угонщики автомобилей и другие люди с недобрыми намерениями. Реализация крайне проста — брелок тайно подкладывают жертве слежки и с комфортом следят за ее перемещениями через сервис Apple Find My. Мы даже включили защиту от слежки через AirTag в Android-версию решений Kaspersky.
Но недавно исследователи безопасности опубликовали исследование, которое демонстрирует, что для дистанционной слежки можно не тратиться на AirTag и даже… никогда не приближаться к жертве! Если удастся заразить ее компьютер или смартфон под управлением Android, Windows или Linux особым вредоносным ПО, то зловред сможет посылать через Bluetooth-адаптер этого устройства специальный сигнал, который будет определяться любыми устройствами Apple поблизости как сигнал от AirTag. Иными словами, для Apple-устройств зараженный смартфон или компьютер превращается в… гигантский AirTag, и его можно отслеживать через сеть Find My, в которую входит более миллиарда смартфонов и планшетов Apple.
Анатомия атаки
Атака эксплуатирует две особенности технологии Find My.
Во-первых, в этой сети используется сквозное шифрование, и участники не знают, чьи сигналы они передают. Брелок AirTag и смартфон владельца применяют пару криптографических ключей при обмене информацией. Когда утерянный брелок транслирует по Bluetooth свои позывные, «детекторы» сети Find My (это любые устройства Apple с Bluetooth и связью с Интернетом, неважно чьи) просто передают данные на серверы Apple, используя публичный ключ найденного AirTag для шифрования данных геолокации. Далее зашифрованную информацию о местоположении с сервера может запросить любое устройство: за счет шифрования Apple тоже не знает, кому принадлежит данный сигнал и что за устройство его запросило. Хитрость в том, что расшифровать данные и понять, чей же это AirTag и где конкретно он находится, можно, только зная парный приватный ключ. Поэтому эти данные полезны только владельцу смартфона, сопряженного с данной меткой AirTag.
Вторая особенность Find My — «детекторы» не проверяют, что полученный ими сигнал о местоположении подан именно устройством Apple. Его может транслировать любое устройство с поддержкой Bluetooth Low Energy (BLE).
Чтобы злоупотребить этими особенностями, исследователи разработали следующую схему.
Вредоносное ПО устанавливается на компьютер, смартфон или другое устройство под управлением Android, Windows или Linux и получает информацию об адресе Bluetooth-адаптера, встроенного в гаджет. Информация передается на сервер атакующих, где с помощью мощных видеокарт вычисляется пара ключей шифрования, соответствующих Bluetooth-адресу устройства и совместимых с технологией Find My. Вычисленный публичный ключ передается обратно на зараженное устройство, и зловред начинает транслировать через Bluetooth сообщение, аналогичное сигналам AirTag и содержащее этот ключ. Любое подключенное к Интернету устройство Apple, находящееся поблизости, принимает этот сигнал и передает его на серверы Find My. Сервер злоумышленников использует вычисленный приватный ключ, чтобы запрашивать у сервиса Find My местоположение зараженного устройства и расшифровывать эти данные.
View the full article
-
Автор KL FC Bot
Частенько на кассе супермаркета кассир предлагает купить товары по акции: «Шоколадку будете? Очень хорошая, с большой скидкой сейчас». Если вам повезет, вы получите вкусный бонус по хорошей цене; но гораздо вероятнее, что вам пытаются продать не самый ходовой товар — либо с истекающим сроком годности, либо с еще какими-то скрытыми недостатками.
А теперь представьте, что от шоколадки вы отказались, но вам все равно ее незаметно подбросили в пакет или — еще хуже — в карман, где она растаяла, испортила вещи, продукты и принесла кучу проблем. Похожая ситуация произошла с пользователями, купившими поддельные смартфоны известных марок на маркетплейсах. Нет, в подарок им подсунули не шоколадку, а вшитый в прошивку новенького — из коробки — смартфона троян Triada, который доставляет куда больше неприятностей, чем растаявшая плитка: кража криптовалют, аккаунтов в Telegram, WhatsApp и соцсетях, перехват SMS-сообщений и многое другое.
Что за Triada
Так мы в «Лаборатории Касперского» назвали троян, который впервые обнаружили и подробно описали в 2016 году. Этот мобильный зловред внедрялся практически во все запущенные на устройстве процессы, существуя при этом только в оперативной памяти.
Появление Triada означало новый этап в эволюции мобильных угроз, направленных на Android. До Triada трояны были довольно-таки безобидными, специализировались в основном на показе рекламы и скачивании себе подобных, но новая угроза показала, что отныне все будет иначе.
Со временем уязвимости в Android, которые эксплуатировали в том числе и ранние версии Triada, были устранены, а в прошивки добавили ограничения на работу суперпользователей — например, запрет на редактирование системных разделов даже с root-правами в новых версиях Android. Остановило ли это киберпреступников? Конечно, нет. В марте 2025-го мы обнаружили «адаптированную к трудностям» версию Triada, которая умудряется извлечь пользу из новых ограничений: злоумышленники заражают прошивки смартфонов еще до их продажи, и предустановленные в системных разделах зловреды оказывается практически невозможно удалить.
View the full article
-
Автор KL FC Bot
С февраля многие пользователи жалуются на то, что на их Android-смартфонах внезапно появилось приложение Android System SafetyCore. У него нет интерфейса и настроек, но из Google Play можно узнать, что разработчиком является сама Google, число установок превышает миллиард, а рейтинг составляет позорные 2,2 балла. Назначение приложения описано расплывчато: «Обеспечивает технологию для работы функций, таких как «Предупреждения о деликатном контенте» в Google Messages». Что такое «деликатный контент» (sensitive content), можно легко догадаться, но как и почему о нем будет предупреждать Google? И как собирается узнавать, что контент именно деликатный?
Спешим успокоить — по заявлениям как Google, так и сторонних экспертов, функция не создает угроз приватности. SafetyCore работает на устройстве и не отправляет ни фотографий, ни информации о фотографиях на внешние серверы. Если в Google Messages пользователь получает сообщение с картинкой, то модель машинного обучения, запущенная прямо на смартфоне, анализирует изображение и размывает его, если детектирует нюдсы. Пользователь должен кликнуть на изображение и подтвердить, что он действительно хочет увидеть «обнаженку», и тогда размытие пропадает. Аналогичная функция работает при отправке — если пользователь пытается отправить изображение с обнаженными телами, смартфон переспросит, действительно ли нужно отсылать изображение. Google подчеркивает, что информация о результатах проверки картинки никуда не отправляется.
Приложение SafetyCore обеспечивает анализ изображений, но оно не предназначено для самостоятельного использования: другие аппы обращаются к SafetyCore при приеме и отправке картинок, а уж как использовать результаты анализа — зависит от них. Пока воспользоваться ИИ-анализом можно в Google Messages — здесь изображения, признанные «деликатными», будут размыты. В будущем Google обещает открыть функции SafetyCore другим разработчикам, и реагировать на «клубничку» смогут, например, WhatsApp с Telegram. Другие приложения при этом могут быть настроены так, чтобы блокировать «обнаженку» или сразу отправлять такие картинки в спам.
View the full article
-
Автор KL FC Bot
Программы-архиваторы, упрощающие хранение и пересылку файлов, стали привычным инструментом не только для пользователей, но и для злоумышленников. Вредоносные архивы систематически находят как в целевых атаках, так и в инцидентах с шифровальщиками-вымогателями. Злоумышленники в основном применяют их для обхода средств защиты информации, обмана пользователей и, конечно, для извлечения украденных данных. А значит, ИБ- и ИТ- отделам следует уделять особое внимание тому, как архивы обрабатываются в ОС, бизнес-приложениях и защитных инструментах. Рассказываем, для чего злоумышленники могут использовать архивы.
Доставка вредоносного ПО с обходом предупреждений Mark-of-the-Web
Благодаря логическим особенностям и уязвимостям конкретных архиваторов, при распаковке под Windows у извлеченного файла иногда не устанавливаются атрибуты «загружен из Интернета» (Mark-of-the-Web, MOTW). Технически эти атрибуты сохраняются в альтернативном потоке данных (NTFS alternative data stream) Zone.Identifier. Если идентификатор указывает на внешний источник файла (ZoneID = 3, 4), то при попытке запуска исполняемого файла появляется предупреждение Windows, а Office автоматически открывает потенциально небезопасный документ в защищенном режиме.
Эксплуатируя дефекты архиваторов, атакующие обходят этот слой защиты. Самой свежей уязвимостью, приводящей к инцидентам такого рода, стала CVE-2025-31334 в WinRAR, но этот случай не единичный: известны CVE-2025-0411 в 7-Zip, CVE-2024-8811 в WinZip и другие. Важно учитывать, что некоторые архиваторы вообще не поддерживают MOTW, устанавливают ее только для некоторых расширений файла либо только при определенных способах распаковки. Сводная таблица по поддержке MOTW архиваторами доступна на GitHub.
View the full article
-
Автор KL FC Bot
Можете представить себе мир, в котором каждый раз, прежде чем куда-либо поехать, вам нужно придумывать колесо и собирать вручную велосипед? Мы — нет. Зачем что-то придумывать, если оно уже давно успешно существует? Точно такая же логика работает и в программировании: разработчикам ежедневно приходится сталкиваться с типовыми задачами и вместо придумывания колес и велосипедов собственного производства (которые могут быть еще и некачественными), они просто берут уже готовый велосипед код из открытого репозитория в Github.
Доступно такое решение абсолютно для всех, в том числе и для злоумышленников, которые используют бесплатный шикарный самый лучший в мире открытый код в качестве приманки. Подтверждений этому тезису много и вот свежайшее: наши эксперты обнаружили активную вредоносную кампанию GitVenom, направленную на пользователей GitHub.
Что такое GitVenom
Так мы назвали вредоносную кампанию, в ходе которой неизвестными были созданы более 200 репозиториев, содержащие фейковые проекты с вредоносным кодом: боты для Telegram, инструменты для взлома игры Valorant, автоматизации действий в Instagram и управления кошельками Bitcoin. На первый взгляд все репозитории выглядят легитимно, особенно выделяется хорошо оформленный файл-гайд по работе с кодом README.MD с подробными инструкциями на нескольких языках мира.
Злоумышленники использовали искусственный интеллект для написания подробнейших инструкций на разных языках
View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти