Докладно про головне

Стислий аналіз кібератаки проти України 13 січня. Цей пост є перекладом допису the Grugq «Ukraine my heart, cyber just for show?» На мою думку, цей текст є найкращим коментарем щодо кібератаки на українські державні установи. Читайте повністю на моєму блозі: styran.com.

Угорщина заблокувала вступ України в кіберцентр при НАТО (epravda.com.ua), а Китай заявив про необмежене партнерство з Росією та підтримав її так звані «вимоги безпеки» до НАТО (reuters.com). По першому пункту поступили запитання і так я дізнався, що CCDCOE це «кібер-НАТО» 🙂. По другому я вирішив висловитись самостійно. Я спробував проаналізувати ці події в окремому пості за посиланням: styran.com.

Президент України увів в дію План реалізації Стратегії кібербезпеки України. План полягає в створенні та налагодженні

  • плану реагування на кібератаки
  • вимог з кібербезпеки
  • процесів обміну даними
  • проведення кібернавчань
  • організації наукових досліджень
  • налагодження зв‘язків з громадськістю
  • публічну звітність
  • співпрацю з ЄС та НАТО
  • взаємодію з приватним сектором
  • залучення міжнародних партнерів.

Коротше кажучи, перефразовуючи одного харківського політика, «давайте все спочатку». president.gov.ua

Коротко про важливе

Викрадені у 2016 р. в криптовалютної біржі Bitfinex біткоїни “виплили” на радарах. Частину коштів, майже 2,5 млрд дол. США, було переведено на криптовалютний гаманець невідомих хакерів, де накопичилось 94,6 тис. біткоїнів. cointelegraph.com

“Дослідник” шкідливого ПЗ проаналізував офіційний застосунок Зимових Олімпійських ігор та заявив про його багатий шпигунський потенціал. Проте, його висновки не знайшли підтвердження та були розкритиковані експертною спільнотою. erratasec.com

Німецька компанія – дистрибутор палива Oiltanking GmbH паралізована через хакерську атаку. Минулого тижня, німецька спецслужба BfV розповсюдила попередження для місцевих компаній, стосовно кібератак китайського угрупованням АРТ27. bleepingcomputer.com

Кіберполіціянти викрили студента на збуті баз даних понад 20 мільйонів громадян. За допомогою бота у месенджері спритний молодик продавав конфіденційну, комерційну та іншу інформацію з обмеженим доступом, у тому числі персональні дані українців. Кіберполіція України

Тесла відкликає близько 54 тис. автомобілів через помилки у ПЗ для автономного керування рухом машини. Автопілот вважав, що при проїзді на знак «Стоп» можна не зупинятися повністю, а лише пригальмувати. Прямо як деякі мої знайомі водії. apnews.com

На eBay та інших маркетплейсах почали з’являтись пристрої AirTag з деактивованими динаміками. Не дуже добра новина для людей, що опікуються захистом свого приватного життя. Адже такі девайси можна підкидати жертві для відстежування її пересування. Як з цим боротися? Звертати пильну увагу на повідомлення вашого айфона про ейртеги, які всюди за вами слідують. appleinsider.com

Хакерські штуки

Криптовалютний міст Wormhole зламано невідомим кіберзлочинцем. За попередніми оцінками було викрадено понад 300 млн дол. США. Менеджмент компанії запропонував хакеру 10 млн у якості баг-баунті. Ну точніше благає його повернути викрадене за винагороду. Удачі вам хлопці. bleepingcomputer.com

Докладний розбір атаки та вразливості у мості між Ethereum та Solana можна знайти за посиланням: Twitter. Розбір на пальцях: reddit.com. Але якщо дуже коротко: щоб створити еквівалентну суму Ефіра на своєму блокчейні, Солана перевіряє електронний підпис відповідної транзакції. А точніше, чи наклав на транзакцію коректний ЕЦП уповноважений на те «хранитель». Вразливість цієї функціональності полягала в тому, щоб замість перевірки одночасної а) коректності підпису та б) коректності авторизації хранителя, код перевіряв, чи результати цих перевірок співпадають. Іншими словами, якщо не-хранитель накладе коректний підпис, транзакція скасується. Якщо коректний хранитель накладе неправильний підпис, теж скасується. Але якщо не-хранитель накладе неправильний підпис, транзакція пройде успішно. Тобто, функціональність перевірок працювала добре. Але їхні результати надходили не в операцію логічного множення, а в операцію порівняння. ¯\_(ツ)_/¯

Десятки тисяч вебсайтів вразливі до віддаленого виконання довільного коду через баг безпеки у плагіні Elementor Essential Addons для WordPress. darkreading.com

Антивірус ESET виправив вразливості у своїх продуктах під Windows. Час оперативно оновитися! securityweek.com

Китайське угруповання Antlion використовує проти своїх жертв нове шкідливе ПЗ – кастомний бекдор xPack. Цей .NET лоадер дозволив хакерам залишатися непомітними у мережі однієї з жертв майже 250 днів. bleepingcomputer.com

Що таке BlackCat? Аналіз нового криптоздирницького ПЗ від експертів tripwire.com

Аналітика та рекомендації

Відео “Як я «хакнув» криптогаманець та відновив 2 млн дол. США.” від Джо Гранда. Joe Grand

Чи «відріже» РФ Україну від інтернету в разі нового нападу? Аналітичні роздуми експертів Atlantic Council про безпеку підводних кабелів зв‘язку. Atlanticcouncil.org

Аналітики Chainalysis спостерігають зростання об‘ємів відмивання грошей через криптовалюти на 30% у 2021 р. в порівнянні з 2020 р. bbc.com

Відеолекції курсу “Security Engineering” від Росса Андерсона та Сема Айнсворта викладено в публічний доступ. lightbluetouchpaper.org

Колекція Discord-серверів на тему кібербезпеки, OSINT та інших цікавинок.

medium.com

«Аферист з Тіндер» – цікава стрічка від Netflix про шахраїв цифрової ери. Netflix

Анонси

Віртуальна конференція ZAPCON2022 від проєкту OWASP ZAP відбудеться 8 березня 2022 року. zapcon.io

Смі#$%oчки

GitHub цього тижня розсилав повідомлення, щодо критичної вразливості віддаленого виконання коду в пакеті loguru. В бага є CVE та рейтинг 9.8 з 10 згідно з CVSS. Але є один цікавий момент – ця вразливість не вразливість. Код експлойту, яким багхантер її демонструє, виконує цілком легітимні інструкції. А для того, щоб здійснити виконання шкідливого коду, хакеру доведеться змусити розробника вбудувати шкідливий код в додаток. tomforb.es

Leave a Reply