Специалистам по безопасности из компаний Citizen Lab и Lookout Security удалось исследовать этот случай и сообщить в Apple, которая срочно выпустила обновление операционной системы iOS 9.3.5 для iPhone. Всем пользователям iOS 9 рекомендуется немедленно обновить систему на iOS 9.3.5.

В этом обновлении Apple закрыла несколько критических уязвимостей, которые были использованы, предположительно госструктурами некоторых стран против активистов и диссидентов. Обнаруженные уязвимости позволяют хакерам удаленно контролировать телефоны iPhone, в том числе прослушивать разговоры по защищенным приложениям, таким как WhatsApp., получить доступ к камере и микрофону, скачать сделанные фото или любые файлы.
Apple поспешно выпустила обновление iOS, чтобы закрыть «дыры», которые используются шпионским трояном Pegasus

Вредоносные программы, или «эксплойты», использующие эти «дыры», существуют уже несколько месяцев, однако скорее всего применялись не очень широко и только против определенных лиц.

Троян ценой $8 млн

Существует «черный рынок», где специалисты по безопасности и компании продают информацию о найденных «дырах» желающим. Информация о найденных дырах не распространяется, а затем подобные дыры и специально написанное ПО могут использоваться для целевых атак.

Как отметили представители Citizen Lab, им удалось отследить и исследовать работу шпионского ПО под названием Pegasus. Они обнаружили, что оно предлагается по цене $8 млн за 300 лицензий, так что маловероятно, что его будут использовать против обычных владельцев iPhone. Однако теперь, когда об этих уязвимостях стало известно, хакеры могут попытаться использовать их более широко.

Владельцы смартфонов ни в коем случае не должны переходить по ссылкам, которые они получают в СМС-сообщениях. Это относится не только к СМС с неизвестных номеров, но и от знакомых, так как номер отправителя может быть подделан.

Как работает обнаруженное шпионское ПО

Компания Citizen Lab была создана при Школе по международным отношениям Университета Торонто. Ее задачей являются исследования действий правительственных структур в Интернете, в том числе против правозащитных организаций.

Работая совместно с Lookout Security, они ещё до инцидента отслеживали деятельность группы Stealth Falcon, которая следила за лицами, критикующими Объединенные Арабские Эмираты. Экспертам удалось отследить сервера, используемые этой группой, но не получилось связать с ними использование ПО Pegasus.

Расследование использования Pegasus началось с того, что правозащитник из ОАЭ Ахмед Мансур (Ahmed Mansoor) получил 10 августа 2016 г. SMS с неизвестного номера, со ссылкой на якобы вскрывшиеся злоупотребления. Он расценил сообщение как подозрительное, и переслал информацию об этом в компанию Citizen Lab. В результате чего были обнаружены три критические уязвимости в iOS 9.

В начале атаки владелец телефона, получив СМС со ссылкой, переходит по ней, и с открывшегося веб-сайта загружается и запускается хакерское ПО. Дыра в рендер-компоненте iOS (на основе библиотеки WebKit) позволяет запустить атакующую программу как на 32-, так и на 64-разрядных версиях iOS.

Интересно, что, как заявляет Lookout, среди более чем 300 фишинговых сайтов, через которые распространялись вредоносные ссылки, часть маскировалась под популярные российские сайты: «Билайн», «Вконтакте», «Одноклассники», «Яндекс» и др.

Кроме того, злоумышленники использовали подделки и под другие популярные сервисы:WhatsApp, YouTube, Twitter, а также популярные под арабские, мексиканские и другие национальные сайты.

Эксплойт задействует дыру, позволяющую обойти защитный механизм в системе iOS - Kernel Address Space Layout Randomization (KASLR). Получив информацию о расположении в памяти системных сервисов iOS, третий эксплойт блокирует в системе запрет на запуск не подписанного ПО (т.е. не имеющего проверенных сертификатов безопасности).

После этих трех последовательных шагов, загружается и устанавливается собственно шпионское ПО. Оно автоматически запускается при перезагрузке системы и блокирует функцию обновления системы. Триггеры для перехвата данных устанавливаются по всей операционной системе. Многие приложения отслеживаются целенаправленно. Троян похищает контакты из iMessage, Gmail, Viber, Facebook, WhatsApp, Telegram, Skype, Line, KakaoTalk, WeChat, Surespot, Imo.im, Mail.Ru, Tango, «ВКонтакте» и «Одноклассников». Периодически шпионское приложение соединяется с внешними серверами, куда отправляет перехваченную информацию.

Признаком того, что эта атака была целевой против конкретного лица было то, что интернет-адрес, указанный в СМС, перестал отвечать после первого же перехода по ссылке. Специалисты Citizen Lab прошли по ссылке с обычного iPhone и отследили весь процесс инфицирования системы. К обнаруженному ПО, по мнению исследователей, приложила руку израильская фирма NSO Group, которая разрабатывает и продает шпионящее ПО правительственным структурам. Ранее такое же ПО было использовано против мексиканского журналиста Рафаэля Кабреры, причем в его случае удалось установить, что хакерское ПО связывалось с серверами NSO Group, после чего и произошла установка шпионского ПО.

Вредоносное ПО старается остаться незаметным для пользователя, для чего отслеживает заряд батареи телефона и потоки данных в системе, может приостанавливать свою работу и даже полностью себя удалить.

Собственно хакерские атаки идут лишь на втором месте – на их долю приходится 20 процентов всех утечек. Также весьма существенная часть утечек происходит вследствие случайного разглашения конфиденциальной информации (отправка ее по неверным адресам и т.д.) и злонамеренных действий самих сотрудников финансовых организаций (инсайдеров). Две этих причины в совокупности ответственны за 27 процентов утечек, что также превышает долю хакерских атак. Таким образом, забота о безопасности данных в финансовых учреждениях никак не может ограничиваться лишь защитой информационных систем.

Кроме того, исследование Bitglass констатирует стабильный рост утечек данных в банках и финансовых учреждениях. В 2014 году число таких инцидентов составило в США 45, а годом позже выросло практически вдвое – до 87. За первое полугодие текущего года зафиксировано 37 утечек.

Согласно исследованию, в минувшем году жертвами киберпреступников стали 10,7 тыс. британцев. Как выяснилось, женщины с большей беспечностью относятся к безопасности своих устройств — 37% представительниц слабого пола имеют недостаточную защиту на компьютере по сравнению с 29% мужчин.

"В результате беспечности могут пострадать не только финансы пользователей, но и конфиденциальность их частной и семейной жизни, — сказал глава отдела информационной безопасности NCA Джейми Саундерс. — Поэтому важно, чтобы все принимали необходимые меры по защите своего компьютера, планшета и смартфона".

Всего же ущерб от киберпреступности стоил экономике Великобритании 27 млрд фунтов стерлингов в минувшем году, согласно оценке правительства страны.

Данное исследование знаменует начало широкой кампании по информированию населения об угрозе атак хакеров. В последнее время наблюдается всплеск их активности: в частности, распространенными интернет-преступлениями в Великобритании являются блокировка доступа к системе и требование денег за его восстановление, распространение вирусов посредством подключаемых через USB устройств, а также получение контроля над веб-камерами ноутбуков и шантаж их владельцев компрометирующими снимками.

29 августа в сообществе появилось интервью с хакером, который рассказал, что изначально не собирался получать телефонные номера Дурова, Рогозова, Илларионова, а также премьер-министра РФ Дмитрия Медведева, а всего лишь хотел найти новый номер телефона девушки, чтобы помириться.

"Решил добавить ее подругу в закладки, чтобы если что - ей написать. Еще со школы взломами и созданием сайтов занимаюсь, смотреть исходные коды уже вошло в привычку. Тут в разделе закладки я и обнаружил странность.

Сервер отдает больше данных, чем нужно, включая те, которые в закрытом доступе. Примерно в таком JSON-формате: {"name":"имя", "lastname":"фамилия", "reg_phone":"номер в закрытом доступе", "email":"Эл. адрес в закрытом доступе."} - по сути, нужно было всего лишь добавить человека в закладки, далее новый дизайн сам предоставлял номер. Мне удалось получить номер Павла Дурова - я не поверил. Затем получил номер Дмитрия Медведева - тут я понял, что это конкретный ляп", - рассказал хакер.

Как сообщил TJ администратор сообщества "Код Дурова" Михаил Верник, он связался с Рогозовым и тот подтвердил существование описанной ошибки, однако заявил, что публично о ней рассказывать в ближайшее время не будут. По словам Верника, обнаруженные Реблом телефоны были реальными, проверять не стали только номер Медведева (вероятно, он принадлежит сотруднику его пресс-службы), однако его почта была привязана к адресу на домене .gov.

По словам Ребла, изначально он не рассчитывал на вознаграждение за найденную уязвимость, а лишь решил привлечь внимание администрации соцсети для исправления ошибки. Однако представители "ВКонтакте" попросили его написать отчет на платформе HackerOne, которую соцсеть использует для выплаты премий за найденные уязвимости. Однако, судя по записи Ребла, опубликованной вечером 29 августа, денег он пока не получил. Кроме того, ему не удалось получить искомый телефон девушки.

По мнению Ребла, об ошибке мог знать значительный круг людей - до тысячи человек. Хакера удивил тот факт, что администрация соцсети не предупредила пользователей об уязвимости и не попросила поменять личные данные.

Позднее информацию об уязвимости прокомментировали в пресс-службе "ВКонтакте". По словам представителя соцсети Евгения Красникова, баг, который позволял узнать номер телефона, привязанный к странице, был исправлен сразу после того, как разработчикам стало о нем известно. При этом Красников подчеркнул, что уязвимость не представляла опасности для безопасности аккаунтов пользователей.

В свою очередь, в пресс-службе правительства РФ отметили, что номер телефона, привязанный к аккаунту Дмитрия Медведева, является техническим, принадлежит сотрудникам пресс-службы и не имеет отношения к премьер-министру.

Они нацелены на уязвимости в приложениях и операционных системах и, не обладая высокой мощностью, способны тем не менее выводить из строя различные приложения и даже операционные системы в целом. Однако чаще (в 64 процентах случаев) киберпреступники используют в одной атаке сочетание сразу нескольких типов техник. А наиболее распространенной остается атака с использованием UDP протокола (UDP flood) – 56 процентов случаев.

Самая мощная атака, зафиксированная во втором квартале, на пике превышала 250 Гбит/с, после чего еще порядка двух часов продолжалась на уровне выше 200 Гбит/с.

Стоит отметить, что осуществить подобную кибератаку не так просто. Для этого нужно задействовать не только ряд вредоносных программ, направленных на захват информационных данных удаленного компьютера, но и команду профессионалов.- Это была попытка проникновения в базу данных администрации сайта, школьник или начинающий программист этого, конечно, не сделает, это делают люди, хорошо осведомленные в вопросах безопасности сайтов, - рассказывает в комментарии корреспонденту PRESS-ЦЕНТР руководитель компании Gold Fish Виталий Нагорнюк. – По IP-адресам нам удалось отследить, что делали это из временно оккупированной территории Донбасса. Причем, готовились к этому достаточно долго, поскольку мы видим, что в последнее время на сайт заходило много пользователей из Донецкой области. Хакеры хотели взломать сайт вообще, но мы вовремя спохватились и в течение трех часов восстановили работу портала.

Кстати, еще в декабре прошлого года «руководство» так называемой «ЛНР» выдало очередной «приказ», которым запретило ряд ведущих украинских Интернет-изданий, потому что они якобы «оказывают угрозу здоровью детей». Среди ведущих отечественных онлайн-СМИ таких, как «112 канал», «5 канал», ТСН, fakty.ua и даже ВВС и «Радио Свобода» в «черный список» тогда попал и PRESS-ЦЕНТР.

DoS-атака — это хакерская атака на вычислительную систему, которая приводит к отказу ее работы, полному или частичному. Атака также проводится для овладения данными, хранящимися в системе.

Эксперты отмечают, что чаще всего это — мера экономического давления: потеря показателей, рейтингов сайтов, простой службы, приносящей доход. Это существенно бьет «цель» по карману.

Остается выяснить, кому выгодно падение рейтингов информационного агентства и кто набирает на этом очки?

Приносим извинения читателям за доставленные неудобства.

Вирус специализируется на майнинге криптовалюты Monero (XMR). Смысл криптовалюты — в использовании мощности компьютера пользователя для создания новых денежных единиц. Один компьютер «майнит» крайне мало, однако заражение тысяч машин дало злоумышленникам возможность получать миллионы.

За первые полгода 2016 года антивирусной компании удалось выявить 1 702 476 зараженных устройств на 3150 IP-адресах. Любопытно, что вредонос загружал свежую версию скрипта с сайтов с доменами в зоне RU — это может указывать на славянское происхождение его авторов.

Зная кошельки хакеров, специалисты по безопасности изучили историю их заработков. На один из кошельков «накапала» сумма, эквивалентная 76 600 евро. Исследователи подсчитали, что мощностей зараженных машин сейчас достаточно, чтобы приносить хакерам 327,7 монеро в день. По оценкам специалистов, сейчас злоумышленники зарабатывают около 428 евро ежедневно.

Хакеры Fancy Bears оказались в числе тех, кто получил доступ к базе данных Всемирного антидопингового агентства. Часть увиденного внутри сайта они решили обнародовать, что может привести к большому скандалу.

В опубликованных документах, которые СМИ уже успели назвать подлинными, содержится информация о трех американских спортсменках: теннисистках Серене и Винус Уильямс, а также гимнастке Симоне Байлз. Сообщается, что WADA разрешала применять им запрещенные препараты.

Для Серены, являющейся долгое время первой ракеткой мира, были сделаны исключения в 2010, 2014 и 2015 годах, когда она могла применять оксикодон, гидроморфон, преднизон и метилпреднизолон. Что касается ее сестры — Винус, с 2010 по 2013 годы ей разрешалось употр****ть преднизон, преднизолон, триамцинолон и формотерол. Показания к применению были терапевтические, но все препараты входят в список запрещенных WADA.

Более того, гимнастка Симона Байлз, которая в Рио-де-Жанейро завоевала четыре олимпийских «золота», в преддверии Олимпиады сдала положительный тест на метилфенидат, но при этом никакой дисквалификации не последовало. А до этого WADA разрешало употр****ть ей амфетамин и декстроамфетамин, сообщается на сайте хакеров.

Напомним, что в начале сентября генеральный директор WADA Оливье Ниггли обвинил Россию в хакерских атаках на сайт организации. По его мнению, это было сделано с целью «любыми способами замять допинговый скандал».

Группировка "Анонимный интернационал" действует с 2013 года и специализируется на взломе почтовых ящиков российских чиновников, а также публикации их переписки. Ранее хакеры обнародовали письма, принадлежащие вице-премьеру РФ Аркадию Дворковичу, главе Роскомнадзора Александру Жарову, пресс-секретарю главы правительства России Наталье Тимаковой. В августе 2014 года группировка взяла на себя ответственность за взлом микроблога в Twitter премьер-министра РФ Дмитрия Медведева.

В апреле 2016 года хакеры объявили о взломе двух почтовых ящиков и переписки в мессенджере WhatsApp российского телеведущего-пропагандиста Дмитрия Киселева. В мае того же года была опубликована часть переписки генерального директора LifeNews Арама Габрелянова, где он обсуждает политику издания, найм сотрудников и различные публикации.

Блог группировки "Шалтай-Болтай" оказался в списке запрещенных Роскомнадзором сайтов в связи "с публикацией персональных данных" от гражданина РФ Игоря Осадчего. Сами хакеры расценили блокировку их блога как "бесплатный пиар от Роскомнадзора", связав её с публикацией данных о политической деятельности компании "Конкорд", которая обслуживает Минобороны РФ.