Докладно про головне

Продовжується драма навколо витоку даних з NSO Group. Компанія стала в глуху оборону та все заперечує. Оприлюднення списку активістів та журналістів, за якими тоталітарні країни шпигували з допомогою їхньої програми Pegasus, компанія називає хибними звинуваченнями та медіа-атакою.Атака чи ні, але наявних в медіа даних достатньо, щоб в компанії розпочалися серйозні економічні та правові складності. Раніше цього тижня засновники компанії поставили під питання її подальше існування в поточному форматі. Причиною став конфлікт між стейкхолдерами, який цілком можливо був викликаний міжнародною реакцією на оприлюднені дані. Керівна компанія Novalpina, яка володіє NSO Group, має трьох акціонерів, і наразі вирішується, хто з них продовжить очолювати бізнес. В будь-якому разі, холдинг скоріш за все розділять та об’єднають під іншою назвою.В продовження внутрішніх потрясінь, до офісу NSO Group навідалися представники силових відомств. Рейдом чи обшуком це назвати важко, адже зовні це нагадувало скоріш зустріч на найвищому рівні з метою розібратися у позиції компанії у подіях, що розгортаються. Які саме відомства та офіційні особи представляли уряд Ізраїлю наразі невідомо. Проте, інформація про візит була оприлюднена Міністерством оборони, отже маю підозру, що люди зібралися поважні.Що може статися далі? В NSO Group можуть анулювати ліцензію, завдяки якій компанія експортує свою продукцію та сервіси. А можуть не анулювати. Якщо це станеться, напевно, компанія припинить існування в наявному вигляді та передасть інтелектуальну власність якійсь новій, більш зарегульований організації. Якщо ж це не станеться, то скоріш за все жодних змін не буде. І я схильний вважати, що другий сценарій більш ймовірний. В NSO багатий досвід правового врегулювання звинувачень у нецільовому використанні їхніх програм. У 2020 році суд вже відхилив позов проти компанії, в якому також йшлося про шпигування поза межами розслідувань правоохоронців. SkyNewsTheRecord

Коротко про важливе

Президент США Джо Байден у виступі на засіданні Національного антитерористичного центру висловив припущення, що якщо Сполучені Штати опиняться у стані реальної війни з однією з інших держав, то це станеться внаслідок серйозної кібератаки. BlippingComputer

Amazon йде на рекордний штраф через порушення GDPR. Люксембурзький регулятор хоче стягнути з європейського підрозділу компанії 746 млн євро. Компанію звинувачують у збиранні поведінкової інформації та створенні користувацьких профілів для більш ефективної цільової реклами. Для мене це звучить як загальний консенсус на ринку інтернет-реклами, але закон є закон. Звісно, що Амазон вважає рішення регулятора несправедливим та буде оскаржувати його в суді. BlippingComputer

В китайському додатку для доступу до державних послуг виявлено елементи шпигунського програмного забезпечення. Аналітики з Recorded Future вивчили зразок застосунку Beijing One Pass та знайшли в ньому підозрілу функціональність. Зокрема, програма здійснює доступ на читання буферу обміну, робить знімки екрану, підслуховує за натисканням клавіш та намагається розмістити в системі кореневі сертифікати SSL. Без цього софта організації не можуть керувати пільгами своїх працівників, тому його встановлення добровільно-примусове. Китайська диджиталізація державних послуг виглядає ось так. TheRecord

До речі про Китай. Два китайські виробники камер відеоспостереження – Hikvision та Dahua – були виключені з Асоціації Індустрії Безпеки, галузевого об’єднання виробників рішень фізичної безпеки. Причина – участь в реалізації китайської програми реінтеграції уйгурської меншини, чи як там їхні концтабори називаються. Без участі в асоціації, компанії дуже швидко покинуть ринок західних країн. Проте, їхнє витіснення вже давно відбувається, тому це просто ще один приклад деглобалізації ланцюгів постачання внаслідок американо-китайської торговельної війни. TheRecord

Атаки та інциденти

Кібератака на іранську залізницю на початку місяця була викликана вайпером Meteor, а не атакою криптоздирників. Дослідники загроз з SentinelOne проаналізували атаку та дійшли висновку, що це добре скоординована операція однієї з APT. Вони не змогли зробити припущень щодо атрибуції атаки, що зазвичай означає її походження з США або їхніх союзників. TheRecord

В естонського родича додатку Дія вкрали 286 тис. фото цифрових паспортів. Зловмисника заарештовано. TheRecord

Компанія Microsoft оприлюднила методи захисту від нової атаки рілею NTLM під назвою PetitPotam. BlippingComputer

Нова версія рансомварі LockBit шифрує комп’ютери організацій з допомогою групових політик Active Directory. BlippingComputer

Вразливості та патчі

Більше про атаку PetitPotam на TheHackerNews

Node.js виправила критичну вразливість в реалізації HTTP2, за допомогою якої можна DoS-ити додатки на “ноді”. BlippingComputer

Signal виправив багу у версії для Android, через яку застосунок відсилав контактам рандомні картинки. BlippingComputer

Критична бага в Microsoft-овському гіпервізорі Hyper-V дозволяла зловмисникам атакувати системи в Azure. Guardicore

Аналітика

Американські, британські та австралійські кібервідомства видали топ вразливостей, які використовуються під час реальних кібератак на державні установи цих країн. Серед регулярних цілей софт та системи виробництва Citrix, Pulse, Fortinet, F5, Microsoft та інших компаній. Чарт з CVE-хами за посиланням. CISA

Анонси

Twitter дозволятиме своїм користувачам логінитись у сервіс за допомогою облікового запису Google. BlippingComputer

Після десяти років хаотичної баг-баунті діяльності, Google запустив новий консолідований портал для дослідників безпеки. Google

Мінцифри запускає другу програму Bug Bounty, яка триватиме значно довше, спробувати взяти участь в якій може будь-хто з українських хакерів. Це все ще не публічна і не постійна програма, але вже краще. Подати заявку можна на BugCrowd.

Рекомендації

Запис живого стріму літньої зустрічі відділення OWASP Kyiv доступний на YouTube.

NSA поділилося порадами з безпечного налаштування бездротових пристроїв. NSA

Смі#$%oчки

Горе-багхантер під ніком @infoseckaran нафотошопив собі фейкову виплату на Багкрауді, в якій вказав винагороду в 10 тис. доларів та 50 пойнтів рейтингу з 40 можливих на BugCrowd. Підробку виявили колеги по цеху, її підтвердили на платформі, і тепер у фотошопера-початківця серйозні проблеми з репутацією.