Взлом без ордера

Федеральный окружной суд по Восточному округу штата Виргиния (США) решил, что Федеральное бюро расследований может взламывать компьютеры американских граждан без получения судебного ордера. Такое решение было принято в рамках дела о сайте с детской *****графией Playpen.

В ходе слушаний один из подозреваемых в распространении детской *****графии заявил, что ФБР нарушило его права, получив доступ к IP-адресу его компьютера, который якобы относится к персональным данным. Судья в ответ на это заявил, что IP-адрес не относится к персональным данным.

Сайт Playpen

Сайт Playpen находился в зоне .onion, то есть был расположен в анонимной сети Tor, которая скрывает реальное местонахождение и личности интернет-пользователей. В начале 2015 г. ФБР конфисковала у провайдера сервер, обслуживающий этот сайт, и на несколько недель внедрила в него собственное программное обеспечение, которое позволио узнать IP-адреса посетителей ресурса, а благодаря этому затем установить адреса их проживания. В общей сложности бюро смогло узнать IP-адреса не менее 1,3 тыс. посетителей.

Серьезные последствия

Последствия этого судебного решения, в случае если оно сохранит силу, будут значительными. В частности, органы исполнительной власти смогут беспрепятственно взламывать персональные компьютеры частных пользователей и дистанционно изымать информацию с жестких дисков без получения ордера, а значит, без явной причины и даже без подозрения пользователя в правонарушении, отметили в организации Electronic Frontier Foundation (EFF).
ФБР может взламывать компьютеры пользователей без судебного ордера

Нарушение Четвертой поправки

Правозащитники EFF указали на то, что действия ФБР идут вразрез с Четвертой поправкой к Конституции США, гарантирующей свободу от необоснованных обысков и задержаний. Организация отправила вынесшему решение судье Генри Моргану (Henry Morgan) письмо в качестве так называемого amicus curiae («друга суда»). Друг суда — это не участвующее в деле лицо, которое может передать суду с его разрешения информацию или соображения, которые считает важными для дела.

Претензии к ФБР

Методы ФБР, которые оно применило в поиске, неоднократно были раскритикованы правозащитниками и адвокатами подозреваемых. Так, защитники одного из осужденных в рамках этого дела заявили, что агенты ФБР совершили «служебное преступление», использовав *****графический сайт для ловли преступников. По их словам, это как если бы Управление по борьбе с наркотиками США само начало продавать наркотики для того, чтобы поймать наркоманов.

Усиление защиты Tor

Ранее в июне 2016 г. разработчики Tor Browser выпустили версию программы с повышенным уровнем защиты. Она содержит механизм, помогающий защитить пользователей от деанонимизации, которую успешно выполняет ФБР и другие спецслужбы.

Технология, реализованная в Tor Browser 6.5a1-hardened, называется Selfrando. Суть ее работы заключается в том, что при запуске программы каждая ее функция помещается в оперативную память отдельно, по собственному случайному адресу. Пока хакер не угадает, в каких областях памяти хранятся конкретные фрагменты кода, он не сможет совершить атаку.

В выложенном ими видеоролике продемонстрирована возможность копирования и сохранения видеоконтента в обход защиты Widevine. В дальнейшем этот контент может, например, записываться на внешние устройства или выкладываться на пиратские сайты. По словам авторов работы, их метод работает со всеми версиями браузера Chrome и успешно опробован на видеоконтенте сервисов Netflix и Amazon.

Очевидно, что обнаруженная уязвимость может иметь огромную ценность для видеопиратов. Однако израильские ученые уже уведомили о проблеме представителей Google и объявили о том, что раскроют подробности атаки лишь после того, как уязвимость будет полностью устранена.

OurMine смогла получить доступ к учётной записи Пичаи на сервисе вопросов и ответов Quora. Поскольку аккаунт был связан с Twitter, записи об удачном взломе появились и там. Сейчас они, само собой, уже удалены.

Хакеры утверждают, что никогда не меняют пароли и не пытаются использовать взломанные аккаунты. По их словам, они всего лишь проверяют безопасность учётных записей знаменитостей и предупреждают о возможных рисках. Ведь если OurMine удалось получить доступ к аккаунту, значит, и другие смогли бы. Хакеры рассказали, что взломать учётную запись Сундара Пичаи им позволила уязвимость в платформе Quora. Причём они уже сообщили о ней компании, однако та пока никак не отреагировала.

Стоит отметить, что члены команды OurMine называют себя специалистами по вопросам безопасности и явно рассчитывают на то, что подобная деятельность поможет им привлечь новых клиентов. Собственно, они и «жертвам» предлагают свои услуги.

«В компьютере хранились данные гоночных тестов и инженерных исследований за последние несколько лет, – признался один из руководителей CSLFR Дэйв Уинстон. – Эта информация стоит миллионы долларов, в ней – годы работы нашей команды, не говоря уже о том, что без этих данных мы просто не смогли бы выйти на старт». В результате было принято решение выплатить кибервымогателям выкуп за расшифровку заблокированных данных. Точная сумма не называется, но сообщается, что речь идет о «нескольких сотнях долларов в криптовалюте биткоин».

После инцидента руководство CSLFR пригласило специалистов компании Malwarebytes для анализа состояния компьютерных систем команды и обеспечения их защиты. Те оперативно обнаружили, что еще несколько компьютеров команды также были инфицированы различными зловредами, и устранили угрозу. В результате на старт этапа машина CSLFR вышла, украшенная крупным логотипом Malwarebytes.

Впрочем, между атаками на Цукерберга и Пичаи есть серьезная разница. В случае с основателем Facebook хакеры воспользовались массовой утечкой данных пользователей LinkedIn, произошедшей еще несколько лет назад, а сами аккаунты Цукерберга не были активными. Сундар Пичаи же является активным пользователем Twitter (число его фолловеров превышает полмиллиона человек). А источником проблем стала, судя по всему, уязвимость сервиса Quora, причем хакеры уверяют, что предупреждали о ней администраторов сайта.

В настоящий момент аккаунты, судя по всему, возвращены из законному владельцу, а записи хакеров из них удалены. Комментариев от официальных представителей Google и Quora пока не поступало.

Большинство проблем связаны с используемыми продуктами Symantec средствами обработки архивов. Как утверждает Тэвис Орманди, они основываются на архиваторах с открытым исходным кодом и не обновлялись не менее 7 лет. Уязвимости в этих средствах позволяют злоумышленникам создавать сообщения со вредоносными ссылками или вложениями для осуществления атаки. Причем пользователям даже не нужно открывать файлы или переходить по ссылкам – для атаки достаточно факта того, что открыто само сообщение.

Компания Symantec уже известила своих пользователей об обнаруженных проблемах. Часть уязвимостей ликвидируется автоматическим обновлением ПО. Однако для устранения других пользователям необходимо самостоятельно инициировать процесс обновления. Всем, кто использует защитные решения Symantec-Norton, настоятельно рекомендуется сделать это незамедлительно.

Следует отметить, что это далеко не первый случай взлома сервисов знакомств, однако в сообщениях его участников (в отличие от многих других подобных сайтов) трудно отыскать компрометирующую информацию – именно потому, что Muslim Match адресован правоверным мусульманам. Первое знакомство с массивом сообщений показывает, что они в основном сводятся к светским любезностям, выяснению того, не является ли пользователь новообращенным – и собственно, предложениям руки и сердца. Впрочем, пользователям сайта от этого вряд ли легче, поскольку похищенные персональные данные представляют серьезную проблему вне зависимости от вероисповедания.

Комментарии со стороны администраторов Muslim Match, вероятно, последуют лишь завтра, поскольку доступ к сайту закрыт на время священного для мусульман месяца Рамадан, который в нынешнем году завершается 4 июля.

Поясняется, что хакерам удалось взломать камеры благодаря тому, что они были подключены к устройствам, работающим на упрощенных версиях операционных систем с низкой безопасностью.
DDoS-атака (от англ. Distributed Denial of Service) — хакерская атака, которая выполняется одновременно с большого числа компьютеров. Целью такой атаки становится выведение из строя какого-либо портала. Для этого на сайт подается большое количество ложных запросов. Обслуживающим ресурс серверам приходится обрабатывать большой объем данных, из-за чего сайт становится недоступным.

Как правило, после подобных атак не остается никаких юридически значимых улик. При этом полностью защититься от DDoS-атак на сегодняшний день невозможно.

Для проверки этой идеи ученые провели серию экспериментов, в которых 20 добровольцев, надев на запястья различные гаджеты, ввели на клавиатурах и дисплеях других устройств более 5 тысяч различных паролей и пин-кодов. Догадка полностью подтвердилась: уже с первой попытки экспериментаторы сумели верно определить 80 процентов всех введенных комбинаций. А с трех попыток точность удалось довести и до 90 процентов. .

Разумеется, исследование представляет скорее академический интерес, и говорить о новой реальной киберугрозе пока не приходится. Пользователям никто не мешает снимать свои устройства перед вводом паролей или просто вводить их другой рукой. Тем не менее, полученные данные определенно заслуживают внимания.

Документ также отмечает, что рост и развитие киберпреступности ощутимо опережают готовность большого бизнеса противостоять новым угрозам. Ежегодно экономика Великобритании теряет из-за кибератак многие миллионы фунтов стерлингов. В минувшем году наибольшую угрозу для британского бизнеса представляли DDoS-атаки и атаки с использованием троянцев-шифровальщиков.

Также существенно опережают среднероссийские показатели Северо-Кавказский и Южный федеральные округа – в первом из них после кибератаки не смогли воспользоваться важными данными 65% организаций, во втором – 63%. В Центральном, Приволжском и Сибирском федеральных округах эти показатели в целом соответствуют средней по России цифре. Наименьший же урон, судя по результатам опроса, понесли компании Северо-Западного федерального округа – о потере ценной информации там заявила лишь каждая пятая организация.

Однако наибольшую угрозу для бизнеса сегодня представляют целевые атаки, которые могут выполняться злоумышленниками даже без использования вредоносного ПО. Их основное отличие от классических кибератак заключается в том, что они тщательно прорабатываются для каждой конкретной компании и проходят максимально незаметно для традиционных защитных средств. При этом целью атакующих, как правило, являются самые ценные и конфиденциальные данные предприятия.

По итогам того же опроса, 23% российских компаний полагают, что на их IT-инфраструктуру была совершена целевая атака. В Сибирском федеральном округе, однако, этот показатель, по мнению самих организаций, оказался выше – 31%. Также более высокие цифры были получены в Центральном и Северо-Западном федеральных округах, где с целевыми атаками могли столкнуться 26% компаний. На Дальнем Востоке о подобных инцидентах заявил 21% предприятий, а в Уральском федеральном округе 19%. В свою очередь, в Приволжском и Южном федеральных округах доля предприятий, предположительно пострадавших от целевых атак, заметно ниже, чем в среднем по России – 18%. Самый же низкий показатель был зафиксирован в Северо-Кавказском федеральном округе – 10%.

Особую настороженность экспертов вызывает тот факт, что целевым атакам подверглись по меньшей мере 22% компаний, работающих в критически важных для России отраслях: энергетике, строительстве, промышленности, телекоммуникациях, транспортной сфере, оборонном комплексе и т.п. Атаки на подобные объекты грозят ущербом не только для самих предприятий, но также подвергают риску нормальное функционирование региональной или федеральной инфраструктуры.

«Любой киберинцидент влечет за собой негативные последствия для бизнеса. Это и урон репутации, и потеря важных данных, и сбои бизнес-процессов, и простой производства. В случае же целевых атак компании могут стать жертвами промышленного кибершпионажа и, таким образом, потерять свои самые ценные активы – интеллектуальную собственность, новейшие разработки, информацию о контрактах, денежные средства. Кроме того, нам известны случаи, когда целенаправленные атаки на индустриальные объекты приводили к физическому повреждению оборудования или нарушали нормальную жизнедеятельность региона, например, вызывали сбои в энергоснабжении города», – рассказывает Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского».

«До сих пор неясно, каким образом злоумышленникам удалось похитить столь крупную сумму. Это первый случай крупного ограбления, совершенного таким образом», — прокомментировал ситуацию один из местных чиновников.

Немецкий производитель банкоматов заявил, что в Тайвань уже направлены следователи, отмечает портал.

К сожалению, в числе номеров, подлежащих блокировке Android.Fakebank.B, есть и номер горячей линии Сбербанка РФ, а потому российским пользователям Android-устройств следует проявить особую осторожность. Пользователям, подвергшимся атаке зловреда, рекомендуется срочно блокировать свои карты не с инфицированного устройства, а воспользовавшись каким-либо другим телефоном.

Операционная система компьютеров Mac, привыкшая к относительной безопасности, столкнулась с серьезным врагом – вредоносной программой OSX/Eleanor-A. Программа выдает себя за утилиту EasyDoc Converter, предназначенную для конвертации под Mac файлов Windows.

Эту утилиту можно найти на достойных доверия сайтах, однако она не проверялась Apple и не имеет их цифровой подписи. Чтобы упаковать себя под EasyDoc Converter, вредоносная программа использует бесплатный инструмент Platypus.

Как работает троян Eleanor

В фоновом режиме OSX/Eleanor-A создает скрытую папку. После того, как сам вредитель уже выявлен и удален, эта папка остается на компьютере. Ее содержимое – различные фолдеры и скрипты, которые по отдельности выглядят как инструменты, имеющиеся в свободном доступе. Из этих вроде бы безобидных компонентов OSX/Eleanor-A при помощи системных утилит собирает опасную конфигурацию OS X LaunchAgents. Загрузка OS X LaunchAgents тоже происходит в фоновом режиме, поэтому пользователь может ее проигнорировать или вообще не заметить. Никаких прав администратора на запуск система не запрашивает.

Подключение к Tor

После установки на компьютере начинают действовать три фоновых программы. Одна подключает ваш Mac к анонимной сети Tor, делая компьютер видимым в «глубоком» интернете. Этот скрытый сервис соединяет вас с локальным сервером, который действует как C&C центр. Tor также устанавливает связь с криптографическим сервисом SSH, с которого ваш компьютер можно достать даже за фаерволом. Параллельно этому действует вторая фоновая программа – PHP-скрипт, открывающий доступ к файлам через браузер.

Вместе эти две программы полностью передают ваш Mac под контроль злоумышленника. Ему достаточно знать лишь имя скрытого сервиса, уникальное для каждого зараженного компьютера. Чтобы его выяснить, нужна третья программа, которая загружает произвольное 16-значное имя в профиль Pastebin. Открыв преступнику доступ к вашим файлам, программа автоматически удаляется.

Что OSX/Eleanor-A делает с компьютером

Одна из интереснейших обнаруженных функций трояна - это перехват им контроля над iSight - встроенной камерой компьютеров Mac.

Доступ к веб-камере позволяет OSX/Eleanor-A круглосуточно наблюдать за пользователем. За пересылку данных на компьютер хакера отвечает утилита Netcat, за работу с веб-камерой – компонент Wacaw. Работу со снимками, скрыто сделанными камерой, облегчает программа просмотра изображений, написанная на PHP. Как полагают эксперты из Bitdefender, изучающие проблему, отследить, куда отправляются данные, невозможно.

В сообщении Минюста говорится, что 30-летний Ваулин — создатель самого популярного в мире торрент-трекера Kickass Torrents (KAT), который выкладывает миллионы видео- и аудиофайлов, компьютерные игры и другие материалы, являющиеся объектом авторского права.

Обвинение основано на жалобе, поданной в окружной суд в Чикаго, где располагается один из серверов, через который работает сайт. В заявлении утверждается, что ежемесячная аудитория KAT составляет около 50 миллионов посетителей, он занимает 69-е место по посещаемости в мире. Стоимость ресурса оценивается в 54 миллиона долларов, а ежегодный доход от рекламы составлял 12,5-22,3 миллиона долларов.

По данным издания TorrentFreak, в 2015 году KAT опередил The Pirate Bay — популярный сайт с каталогом для поиска торрент-файлов.

В американских правоохранительных органах считают, что Ваулин действовал под прикрытием созданной им же украинской компании Cryptoneat.

В ближайшее время США планируют направить запрос об экстрадиции украинца, чтобы судить его в Чикаго.

KickassTorrents появился в 2008 году. Власти различных стран, в том числе и Минюст США, предпринимали попытки закрыть ресурс, поэтому он неоднократно менял доменное имя.