Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Группа исследователей из нескольких немецких университетов и институтов обнаружила уязвимость в DNSSEC — наборе расширений протокола DNS, которые предназначены для повышения его безопасности, в первую очередь для противодействия DNS-спуфингу.

Атака, эксплуатирующая эту уязвимость, которую они назвали KeyTrap, позволяет вывести из строя DNS-сервер, отправив ему единственный вредоносный пакет данных. Рассказываем подробнее об этой атаке.

Как работает атака KeyTrap и чем она опасна

Публично об уязвимости в DNSSEC стало известно только сейчас, однако она была обнаружена еще в декабре 2023 года и зарегистрирована как CVE-2023-50387. Ей присвоена оценка 7,5 по шкале CVSS 3.1 и уровень опасности «высокий». Полностью информация об уязвимости и соответствующей атаке пока не обнародована.

Суть KeyTrap состоит в следующем. Атакующий создает собственный DNS-сервер, отвечающий на запросы кэширующих DNS-серверов (то есть серверов, которые непосредственно обслуживают запросы клиентов) вредоносным пакетом. Далее злоумышленник заставляет кэширующий сервер запросить DNS-запись у вредоносного DNS-сервера, который в ответ отправляет криптографически подписанную вредоносную DNS-запись. При этом подпись выполнена таким образом, что в процессе ее проверки атакуемый DNS-сервер зависает на продолжительное время с загрузкой процессора 100%.

По словам исследователей, в зависимости от используемого на DNS-сервере ПО, эта атака может с помощью единственного вредоносного пакета заставить сервер зависнуть на срок от 170 секунд до 16 часов. В результате атаки KeyTrap можно не только лишить доступа к веб-контенту всех клиентов, которые пользуются выведенным из строя DNS-сервером, но и помешать работе различных инфраструктурных сервисов, таких как защита от спама, обработка цифровых сертификатов (PKI) и безопасная междоменная маршрутизация (RPKI).

Сами исследователи называют KeyTrap «самой серьезной из когда-либо обнаруженных атак на DNS-серверы». Интересно, что изъяны в логике проверки подписи, которые делают эту атаку возможной, обнаружены еще в одной из самых ранних версий спецификации DNSSEC, опубликованной в 1999 году. То есть данной уязвимости без малого четверть века.

Уязвимость CVE-2023-50387 заложена в спецификации DNSSEC еще в 1999 году

Предпосылки для KeyTrap содержатся еще в RFC-2035 — спецификации DNSSEC, опубликованной в 1999 году

 

Посмотреть статью полностью

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      Несмотря на то что слежка в Интернете уже вроде бы стала обыденностью, ее масштабы продолжают поражать воображение — по крайней мере, если эти масштабы правильно донести до пользователя. Сухие факты вроде «За последний час ваш браузер связался с 456 рекламными трекерами» обычно мало о чем говорят. Проблема в том, что подобные цифры лишены контекста и не позволяют проследить связь между действиями пользователя и их последствиями. Другое дело, если бы слежку в Интернете можно было как-нибудь визуализировать или превратить в звук…
      Звучная слежка Google
      Именно это несколько лет назад проделала аудиохудожница Джасмин Гаффонд (Jasmine Guffond). Она создала браузерное расширение под названием Listening Back, которое издает звук каждый раз, когда браузер сохраняет, изменяет или удаляет cookie-файл. Поскольку эти события сопровождают практически любые действия пользователей — получается крайне наглядно (а заодно и довольно красиво).

      Похожая идея пришла в голову и нидерландскому программисту Берту Хуберту (Bert Hubert), известному созданием PowerDNS — программного обеспечения для DNS-серверов. По словам Хуберта, в процессе изучения логов сетевой активности его всегда поражало, насколько часто сайты связываются с Google (и не только). Это вдохновило его на то, чтобы написать небольшую программу, которую он назвал Googerteller.
      В оригинальной версии программа издавала звук каждый раз, когда происходило обращение к Google. Получилось весьма впечатляюще — просто послушайте, как это звучит в видео. Вот, например, запись визита на официальный сайт вакансий правительства Нидерландов, на котором размещают свои вакансии, в частности, голландские спецслужбы.
      Несмотря на то что пользователя никак об этом не предупреждают, практически каждый клик на этом сайте приводит к отправке информации Google.
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      В последние годы в блоге Kaspersky Daily мы стали уделять ransomware заметно меньше внимания, чем в былые времена. Но это вовсе не потому, что атаки вымогателей прекратились. Скорее наоборот — такие инциденты происходят настолько часто, что они уже давно стали привычным, практически фоновым явлением.
      Однако некоторые атаки вымогателей по-прежнему привлекают внимание своей экстраординарностью. В этом посте мы перечислим связанные с шифровальщиками-вымогателями инциденты 2024 года, которые выделялись на общем фоне своим масштабом, последствиями или необычными методами атакующих.
      Январь 2024: атака вымогателей на зоопарк Торонто
      Одним из первых значительных инцидентов 2024 года, связанных с ransomware, стала январская атака на крупнейший канадский зоопарк, расположенный в Торонто. Администрация зоопарка поспешила заверить общественность в том, что атака вымогателей не повлияла на работоспособность систем, связанных с уходом за животными. Более того, веб-сайт организации и сервис продажи билетов также не были затронуты, так что зоопарк продолжил принимать посетителей в обычном режиме.
      Официальный сайт зоопарка Торонто сообщает о кибератаке и уверяет, что с животными все в порядке. Источник
      Через некоторое время после атаки выяснилось, что атакующим удалось похитить значительное количество личной информации сотрудников зоопарка за период с 1989 года до наших дней. Таким образом, данный инцидент послужил очередным напоминанием о том, что даже очень далекие от критических секторов организации могут стать объектами атак вымогателей.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Примерно год назад произошел масштабнейший ransomware-инцидент — атака на гиганта американского медицинского страхования, компанию UnitedHealth Group. Взлом имел настолько многочисленные и серьезные последствия, что все прошедшее с момента атаки время появлялись новые подробности о ходе атаки и ее итогах. К годовщине инцидента мы решили собрать все теперь уже доступные данные в одном материале.
      Ransomware-атака на UnitedHealth Group
      Сперва дадим контекст, который будет в особенности полезен для тех, кто не очень хорошо знаком с данной организацией. UnitedHealth Group — это крупнейшая компания на рынке медицинского страхования и медицинских услуг США. Ее капитализация составляет примерно $500 миллиардов. При этом UnitedHealth Group занимает девятое место по выручке среди всех корпораций мира, следуя в этом списке сразу после Apple.
      В состав UnitedHealth Group входят две компании. Первая из них, UnitedHealthcare, занимается медицинским страхованием. Вторая, Optum, специализируется на предоставлении разнообразных медицинских услуг — от фармацевтики и собственно медицинского обслуживания до ИТ-систем, используемых в здравоохранении.
      Последним занимается OptumInsight — одно из трех подразделений Optum, причем самое высокомаржинальное из них. Осенью 2022 года в OptumInsight вошла приобретенная UnitedHealth Group платформа Change Healthcare. Эта цифровая площадка обрабатывает заявления на получение страховых выплат, выступая в роли финансового посредника между пациентами, поставщиками медицинских услуг и страховщиками.
      Собственно, Change Healthcare и стала непосредственной целью атаки вымогателей: 21 февраля в ее системах начал работать шифровальщик, из-за чего платформа стала недоступна. Это вызвало настоящий хаос в американской системе здравоохранения: из-за невозможности быстрой обработки заявлений на страховые выплаты многие пациенты вынуждены были оплачивать лекарства и медицинские услуги из своего кармана. А медицинским учреждениям пришлось перейти в ручной режим обработки счетов.
      Восстановление пострадавших систем заняло многие месяцы: к примеру, клиринговый сервис Change Healthcare возобновил работу лишь в ноябре. В UnitedHealth Group даже создали специальный сайт, на котором можно следить за восстановительными работами. Даже сейчас, спустя год после атаки, на этом сайте публикуются регулярные обновления, а некоторые системы до сих пор имеют статус «доступна частично».
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      С лета прошлого года владельцам и сотрудникам отелей начали приходить вредоносные письма, имитирующие вполне обыденную корреспонденцию от бывших или потенциальных постояльцев. В одних случаях они выглядят как ординарные послания, отправленные на публичные адреса отелей, в других — как настоятельная просьба Booking.com ответить на оставленные без внимания комментарии пользователей, якобы полученные платформой. По факту злоумышленники пытаются либо выманить у сотрудников учетные данные, либо заразить компьютеры отеля зловредами.
      Уловка злоумышленников
      Как правило, при атаках на организации злоумышленникам приходится изобретать правдоподобный повод для письма. В случае с отелями придумать такой повод не очень сложно: по большому счету отвечать на внезапные запросы клиентов — часть служебных обязанностей работников гостиничного бизнеса, имеющих публично доступные адреса электронной почты. Для отеля главное — репутация, так что сотрудники стараются как можно быстрее решить конфликтную ситуацию или удовлетворить запрос клиента. Поэтому они с готовностью переходят по содержащимся в письмах ссылкам или открывают приложенные файлы, попадаясь таким образом на уловку злоумышленников. Иными словами, данную угрозу можно считать атакой на клиентоориентированность.
      Дополнительная сложность выявления угрозы состоит в том, что атакующим не нужно заводить какой-то особый адрес, убедительный для деловой переписки. Сотрудники гостиниц привыкли ежедневно получать обращения или жалобы от гостей, отправленные через бесплатные сервисы электронной почты. Поэтому их используют и злоумышленники (часто это адрес, зарегистрированный в Gmail, бесплатной почтовой службе Google).
       
      Посмотреть статью полностью
    • KL FC Bot
      Автор KL FC Bot
      На проходящей в Гамбурге 37-ой конференции Chaos Communication Congress (37C3) наши эксперты из Kaspersky Global Research and Analysis Team (GReAT) Борис Ларин, Леонид Безвершенко и Григорий Кучерин выступили с докладом Operation Triangulation: what you get when attack iPhones of researchers (Операция «Триангуляция»: что произойдет, если атаковать iPhone специалистов по безопасности). Они подробно описали цепочку атаки и рассказали о деталях использования всех задействованных в ней уязвимостей, в том числе впервые подробно рассмотрели эксплуатацию аппаратной уязвимости CVE-2023-38606.
      Мы не будем пересказывать все подробности этого доклада — технические детали можно найти в посте на блоге Securelist или узнать из записи доклада на официальном сайте конференции — а здесь кратко опишем основные моменты.
       
      Посмотреть статью полностью
×
×
  • Создать...