Перейти к содержанию

Уязвимость в macOS позволяла использовать файлы TXT для атаки


Рекомендуемые сообщения

Сотрудникам, получающим электронную почту извне компании, обычно объясняют, какие файлы можно открывать, не беспокоясь за безопасность компьютера, а какие потенциально опасны. Скажем, исполняемые файлы EXE по умолчанию считаются небезопасными вложениями, как и офисные документы DOCX или XLSX, в которых могут быть зловредные макросы. А вот файлы с расширением TXT обычно считают безвредными по определению, ведь они не могут содержать ничего, кроме чистого текста. Однако всегда ли они абсолютно безопасны?

Нет, не всегда. Существует как минимум одна уязвимость (на данный момент уже закрытая), которую можно было использовать для атаки через файл TXT. Потому что важно не то, что в файле, а то, как он обрабатывается соответствующими программами.

Уязвимость в macOS CVE-2019-8761

Исследователь Паулош Йибелло (Paulos Yibelo) привлек внимание к достаточно интересному варианту атаки на компьютеры под управлением macOS через текстовый файл. Как и многие другие защитные решения, встроенная система безопасности macOS, Gatekeeper, считает файл TXT вполне доверенным — его можно скачивать и открывать встроенным редактором TextEdit без дополнительных проверок.

Однако редактор TextEdit — несколько более сложный продукт, чем привычный «Блокнот» (Notepad) из Microsoft Windows. Он умеет несколько больше — например, выделять часть текста жирным, менять цвет букв и так далее. Но сам по себе формат TXT для хранения такой информации о стилях не предназначен, так что TextEdit обрабатывает файлы TXT с измененным стилем как RTF (Rich Text Format — формат текстовых файлов с более гибкими возможностями, нежели TXT). Стили в таких файлах хранятся в начале файла в виде HTML-кода. И если файл начинается со строки <!DOCTYPE HTML><html><head></head><body>, TextEdit по какой-то причине считает его RTF-файлом, даже если это на самом деле TXT.

Получается, что, записав в TXT-файл, начинающийся с такой строки, HTML-код, можно заставить TextEdit его обработать. Правда, TextEdit обрабатывает далеко не любые элементы HTML, а лишь некоторые.

Какие атаки возможны при помощи TXT-файлов

Тщательно изучив возможности, которые этот метод атаки может предложить потенциальному злоумышленнику, Йибелло нашел несколько способов осложнить жизнь получателю. Вот что можно было сделать при помощи этой уязвимости:

  • Организовать DoS-атаку. Защитные механизмы системы не препятствуют открытию из объекта с расширением TXT локальных файлов. Поэтому, заставив пользователя кликнуть на вредоносный TXT-файл, его компьютер можно перегрузить — например, если из HTML-кода обратиться к файлу /dev/zero, представляющему собой бесконечный источник нулевых байтов. Впрочем, это не единственный пример.
  • Узнать реальный IP-адрес пользователя. Из TXT-файла можно вызвать AutoFS — штатную программу для монтирования файловой системы. С ее помощью можно попытаться подключить внешний накопитель. Особого вреда это не принесет, вот только процесс автоматического монтирования заставляет ядро системы посылать TCP-запрос, даже если пользователь сидит за прокси-сервером. Таким образом автор вредоносного текстового файла узнает точное время его открытия и зарегистрирует настоящий IP-адрес.
  • Похитить файлы с компьютера жертвы. Атрибут <iframedoc> позволяет вставлять в текстовый файл содержимое других файлов. Поэтому вредоносный TXT-файл может при открытии получить доступ к любому файлу, а потом передать его содержимое при помощи атаки типа Dangling Markup.

Об уязвимости Apple уведомили еще в декабре 2019, и она получила номер CVE-2019-8761. Больше информации об эксплуатации этой уязвимости можно узнать в посте Паулоша Йибелло.

Как оставаться в безопасности

Уязвимость CVE-2019-8761 была успешно закрыта в одном из обновлений 2020 года. Но гарантий, что это единственный недочет в ПО для работы с TXT-файлами, нет. Возможно, есть и другие, просто пока никто не придумал, как их эксплуатировать. Поэтому правильный ответ на вопрос «безопасен ли текстовый файл?» будет звучать примерно так: «На данный момент вроде бы да… но это не повод относиться к нему как к доверенному».

Так что мы бы рекомендовали в любом случае обучать сотрудников пониманию того, что любой файл может нести угрозу, даже если он выглядит как безопасный TXT. Кроме того, имеет смысл в любом случае контролировать все исходящие из компании информационные потоки при помощи специалистов из внутреннего или внешнего SOC.

View the full article

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От KL FC Bot
      Оставленная без присмотра кредитная карта может стать серьезной угрозой финансовому благополучию семьи, если в дело вступает юный геймер. В отличие от взрослых, дети не всегда могут контролировать расходы или попросту не понимают, что тратят реальные деньги. Увлеченный игрой подросток может облегчить банковский счет родителей на тысячи долларов и даже не осознать этого.
      Разбираемся, на что школьники тратят деньги в играх и как правильно защитить свой кошелек от будущих звезд киберспорта.
      На чем делают деньги создатели игр
      Некоторые родители считают, что расходы на игру заканчиваются на ее покупке. Такое заблуждение может стоить целого состояния. Многие создатели игр сегодня зарабатывают продажей не самих программ (игры могут быть и вовсе бесплатными), а всевозможных дополнений к ним. Но на что в виртуальных вселенных можно потратить совсем не виртуальные деньги?
      Внутриигровая валюта
      В виртуальном мире они выполняют ту же роль, что и рубли или доллары в нашем. Как и в реальности, денег в игре много никогда не бывает. Зато можно в любой момент обменять немного (или много) настоящих денег на виртуальные. Всего пара кликов, и игровой счет пополнен, а банковский — наоборот.
      Внутриигровые предметы
      Еще один источник расходов — это всевозможные мечи, бронежилеты и другие виды оружия или просто одежды для персонажа. Подростки покупают их, чтобы повысить различные качества персонажа или просто подчеркнуть свой уникальный стиль. Виртуальные приобретения выделяют подростка среди других игроков так же, как, например, новый смартфон или брендовая вещь — среди сверстников, но и стоить могут немало. Например, цена булавы Echoing Fury Mace в Diablo 3 однажды доходила до $14 000!
      Отдельного упоминания заслуживают так называемые лутбоксы (от англ. loot box, коробка с добычей) — наборы виртуальных предметов. Их покупка похожа на игру в лотерею: игрок покупает набор вслепую, а там могут оказаться как действительно ценные предметы, так и совершенно «проходные» побрякушки. Как правило, разработчики называют лутбоксы по-разному — например, в FIFA футболистов покупают «паками». При этом внутри можно обнаружить как Месси с Роналду, так и игроков условного ФК «Автомобилист» — как повезет.
       
      View the full article
    • От KL FC Bot
      Назойливая реклама давно стала неотъемлемым атрибутом большинства сайтов. Отвлекающие баннеры, всплывающие окна, автоматически открывающиеся вкладки и стартующие без спроса видео — за показ всего этого добра интернет-ресурсы получают деньги, и далеко не всех владельцев волнует ваш комфорт. Еще меньше о вас беспокоятся злоумышленники, которые могут встроить в рекламу что-нибудь вредоносное, чтобы дополнительно на вас заработать.
      Проблема назойливых баннеров настолько наболела, что существует множество программ, помогающих очистить сайты от лишней информации. Впрочем, если у вас уже установлен Kaspersky Security Cloud, дополнительные инструменты не понадобятся. Рассказываем, как убрать баннеры и всплывающую рекламу при помощи нашего решения.
      Включите расширение Kaspersky Protection
      Для начала вам понадобится расширение Kaspersky Protection: оно отвечает за всю активность нашего решения в браузере. Главная задача этого расширения — защита вашего компьютера от опасных сайтов и интернет-мошенников, но заодно оно умеет удалять баннеры. Чаще всего оно подключается при установке Kaspersky Security Cloud автоматически — поищите на панели навигации браузера его значок:

      Если значка нет, придется включить Kaspersky Protection в список расширений вручную.
       
      View the full article
    • От KL FC Bot
      Чтобы выманить у сотрудников компаний учетные данные от корпоративной почты, злоумышленникам в первую очередь нужно обмануть антифишинговые решения на почтовых серверах. Нередко для этого они пытаются использовать легитимные веб-сервисы: те, как правило, имеют заслуживающую доверия репутацию и не вызывают подозрений у почтовых фильтров. В последнее время в качестве одного из таких сервисов мошенники все чаще используют Google Apps Script.
      Что такое Apps Script и как его используют злоумышленники
      Apps Script — скриптовая платформа Google, построенная на базе Java Script. По задумке авторов, она служит для автоматизации задач как в продуктах компании (например, аддонов для Google Docs), так и в сторонних приложениях. По большому счету, это сервис, позволяющий создавать скрипты и исполнять их в инфраструктуре Google.
      В почтовом фишинге этот сервис используют, по сути, для редиректа. Вместо того, чтобы вставлять непосредственно URL вредоносного сайта, злоумышленники зашивают в текст ссылку на скрипт. Таким образом они решают сразу несколько задач:
      Для антифишингового решения на почтовом сервере письмо выглядит как нормальное послание с гиперссылкой на легитимный сайт Google с нормальной репутацией. Такая схема позволяет эксплуатировать фишинговый сайт дольше, поскольку его URL не светится в письмах, а следовательно, не виден большей части защитных решений. Схема получает определенную гибкость — при необходимости скрипт можно поменять (на случай, если сайт все-таки будет забанен вендорами защитных решений), а кроме того, скрипт позволяет экспериментировать с доставкой контента (например, посылать жертву на разные языковые варианты сайта в зависимости от региона). View the full article
    • От KL FC Bot
      В то время, когда бизнес во всем мире нес убытки из-за пандемии, сервис для видеозвонков Zoom показал рост выручки на 370% за один только квартал и стал, по большому счету, именем нарицательным. А вот к безопасности звонков в Zoom с самого начала были вопросы — на которые разработчики старались отвечать как можно оперативнее.
      Недавно мы писали о том, что в Zoom появилось еще несколько защитных механизмов. Давайте разберемся, что можно — и нужно — настроить в сервисе, чтобы по максимуму защитить видеоконференцию от посторонних глаз и ушей.
      1. Сделайте встречу уникальной
      Создать конференцию в Zoom можно двумя способами — на базе персонального идентификатора (PMI) или с применением «одноразовой» ссылки для конкретной беседы. PMI привязан к учетной записи и остается неизменным целый год с момента последнего входа. Так что все, кто хоть раз участвовал в конференции на базе PMI, могут подключиться ко всем будущим беседам с использованием этого же PMI, даже если вы их не позовете. Поэтому никогда не используйте персональную ссылку, создавайте отдельную для каждого собрания — это займет всего несколько секунд.
      2. Организуйте вход на конференцию по приглашениям
      Делиться ссылкой на конференцию в общедоступных чатах или группах — не лучшая идея. С таким же успехом можно написать на заборе адрес, где вы планируете праздновать день рождения, и надеяться, что обойдется без незваных гостей. Если вы знаете всех участников будущей беседы, лучше уведомить каждого из них лично.
      Отправьте адресату ссылку на запланированный видеочат по электронной почте, сообщением в мессенджере или другим удобным для вас способом. Если вы уже начали звонок, а потом вспомнили, что кого-то не хватает — воспользуйтесь встроенной функцией Zoom и отправьте приглашение на нужный адрес электронной почты контакту из списка.
       
      View the full article
    • От KL FC Bot
      Операционная система Windows 11 еще официально не вышла, но уже доступна для скачивания и предварительного знакомства. И этим, конечно же, пользуются злоумышленники, пытающиеся подсунуть пользователю зловреды под видом новой ОС.
      Зачем сейчас скачивать Windows 11, и когда она будет доступна для всех
      Вообще-то компания Microsoft обещала, что Windows 10 будет последним релизом Windows, а дальше ОС будет просто получать обновления. Однако 24 июня Microsoft представила Windows 11 — и пусть под капотом новой системы по-прежнему в основном находятся компоненты Windows 10, это все равно самое масштабное обновление за последние шесть лет, с внушительным количеством новых функций и изменений в интерфейсе.
      Официально Windows 11 станет доступна для широких масс «до конца 2021 года», однако уже сейчас можно попробовать ее в деле, скачав предрелизную сборку. И ее, конечно же, скачивают. Многим энтузиастам хочется опробовать новую систему просто из-за ее новизны, журналистам важно рассказать пользователям о новинках в свежей версии Windows, а разработчикам программного обеспечения жизненно необходимо оттестировать свои продукты на предмет совместимости с новой ОС и успеть исправить возникшие проблемы до ее выхода.
      Несмотря на то, что процесс скачивания и установки Windows 11 с официального сайта Microsoft получился довольно простым и понятным, многие все равно пытаются скачивать новую ОС из сторонних источников, и злоумышленники рады предложить им свои услуги. Вот только скачанный файл не будет содержать Windows 11…
       
      View the full article
×
×
  • Создать...