Рубрика: Кібербезпека

Експерти з кібербезпеки з Cado Security виявили нову шкідливу програму, яка краде інформацію та націлена на Apple macOS. Шкідливе ПЗ називається Cthulhu Stealer і здатне красти всілякі дані, включаючи системну інформацію, паролі зв’язки ключів iCloud, інші облікові дані для входу, файли cookie веб-браузера та інформацію про облікові записи Telegram.

Крім того, Cthulhu Stealer пропонує жертвам ввести системний пароль, а також дані для входу до популярного криптовалютного гаманця MetaMask. «Основна функція Cthulhu Stealer — крадіжка облікових даних та криптовалютних гаманців з різних магазинів, включаючи ігрові акаунти», — йдеться у звіті дослідників Cado Security.

Експерти також зазначили, що функціональність та особливості Cthulhu Stealer дуже схожі на Atomic Stealer, що вказує на те, що розробник Cthulhu Stealer, ймовірно, взяв Atomic Stealer та змінив код. Використання osascript для запиту пароля користувача в Atomic Stealer і Cthulhu схоже, навіть включаючи самі орфографічні помилки.

Жертв зазвичай обманюють, змушуючи їх завантажити шкідливе ПЗ, оскільки воно рекламується як легальне програмне забезпечення та ігри, або CleanMyMac, Grand Theft Auto IV та Adobe GenP (інструмент з відкритим вихідним кодом, який дозволяє користувачам Adobe обходити сервіси Creative Cloud та активувати програмне забезпечення без серійного ключа).

Як тільки Cthulhu, запуск якого, мабуть, коштує $500 і працює як на архітектурі x86_64, так і на архітектурі Arm, збирає всю цікаву інформацію, він стискає її в архів .ZIP, а потім невідомим чином пересилає на сервер управління і контролю (C2). Хорошою новиною є те, що шкідливе програмне забезпечення не є особливо просунутим і, ймовірно, буде виявлено більшістю кращих антивірусних продуктів, доступних сьогодні.

Наше останнє дослідження виявило, що посилання на веб-сайтах, які можна натиснути, часто можуть бути перенаправлені на шкідливі місця призначення. Ми називаємо ці гіперпосилання, які можна зламати, і ми знайшли їх мільйони по всій мережі, включно з перевіреними веб-сайтами.

Стаття, опублікована на веб-конференції 2024 року, показує, що загрози кібербезпеці в Інтернеті можна використовувати в значно більших масштабах, ніж вважалося раніше.

Що стосується, ми виявили ці гіперпосилання, які можна зламати, на веб-сайтах великих компаній, релігійних організацій, фінансових фірм і навіть урядів. Гіперпосилання на цих веб-сайтах можуть бути захоплені, не запускаючи жодних сигналів тривоги. Лише пильні — дехто може сказати, що параноїки — користувачі не потрапили б у ці пастки. Якщо ми змогли знайти ці вразливості в Інтернеті, це можуть зробити й інші. Ось що вам потрібно знати.

Що таке захоплені гіперпосилання?

Якщо ви допустили помилку під час введення веб-адреси свого банку, ви можете випадково потрапити на фішинговий сайт – сайт, який видає себе за веб-сайт вашого банку, або «підробляє», щоб викрасти вашу особисту інформацію.

Якщо ви поспішаєте й не перевіряєте веб-сайт уважно, ви можете ввести конфіденційні особисті дані та заплатити високу ціну за свою помилку. Це може включати крадіжку особистих даних, компрометацію облікового запису або фінансові втрати.

Щось ще небезпечніше трапляється, коли програмісти неправильно вводять веб-адреси у своєму коді. Є ймовірність, що їхня помилка спрямує користувачів на інтернет-домен, який ніколи не купувався. Ми називаємо ці фантомні домени.

Наприклад, програміст, який робить посилання на theconversation.com, може випадково зробити посилання на tehconversation.com – зверніть увагу на орфографічну помилку. Якщо домен із помилкою ніколи не купувався, хтось може прийти й купити цей фантомний домен приблизно за 10 австралійських доларів, захопивши вхідний трафік. У цих випадках ціну помилок програмістів оплачують користувачі.

Ці помилки посилань програміста не лише скеровують користувачів на фішингові чи спуфінгові сайти. Викрадений трафік може бути спрямований на низку пасток, включаючи шкідливі сценарії, дезінформацію, образливий вміст, віруси та будь-які інші хакерські атаки, які принесе майбутнє.

Понад півмільйона фантомних доменів

Використовуючи високопродуктивні обчислювальні кластери, ми обробили весь доступний для перегляду Інтернет на наявність цих вразливостей. У такому масштабі, якого ніколи не було в дослідженнях, ми загалом проаналізували дані про понад 10 000 жорстких дисків.

Таким чином ми виявили понад 572 000 фантомних доменів. На багатьох перевірених веб-сайтах були знайдені гіперпосилання, які можна зламати, які спрямовували користувачів на них. За іронією долі, це навіть включало веб-програмне забезпечення, призначене для забезпечення виконання законодавства про конфіденційність на веб-сайтах.

Ми дослідили, які помилки викликали ці вразливості, і класифікували їх. Більшість з них були спричинені друкарськими помилками в гіперпосиланнях, але ми також виявили інший тип уразливості, створений програмістом: домени-заповнювачі.

Коли програмісти розробляють веб-сайт, який ще не має конкретного домену, вони часто вводять посилання на фантомний домен, сподіваючись, що посилання будуть виправлені пізніше.

Ми виявили, що це типово для шаблонів дизайну веб-сайтів, де естетичні компоненти веб-сайту купуються в іншого програміста, а не розробляються власними силами. Коли шаблон дизайну пізніше встановлюється на веб-сайті, фантомні домени часто не оновлюються, що робить посилання на них можливими для викрадення.

Щоб визначити, чи можна на практиці використати гіперпосилання, які можна захопити, ми придбали 51 фантомний домен, на який вони вказують, і пасивно спостерігали за вхідним трафіком. З цього ми виявили значний трафік, що надходить із захоплених посилань. Порівняно з подібними новими доменами, у яких не було зламаних посилань, 88% наших фантомних доменів отримали більше відвідувачів у десять разів.

Що можна зробити?

Для пересічних користувачів Інтернету обізнаність є ключовою. Посиланням не можна довіряти. Будьте пильні. Для тих, хто відповідає за компанії та їхні веб-сайти, ми пропонуємо кілька технічних заходів протидії. Найпростішим рішенням для операторів веб-сайтів є «сканування» своїх веб-сайтів на пошук непрацюючих посилань. Для цього доступна безліч безкоштовних інструментів. Якщо знайдено непрацюючі посилання, виправте їх, перш ніж вони будуть захоплені.

Ми, Інтернет

Британський вчений сер Тім Бернерс-Лі вперше запропонував Інтернет у CERN у 1989 році. У його першому описі – досі широко доступному в Інтернеті як свідчення самого себе – є розділ під назвою «невимоги», де йдеться про безпеку. У цей розділ входить доленосна фраза:

[Безпека даних] має другорядне значення в CERN, де обмін інформацією все ще важливіший.

Хоча це було правдою щодо CERN у 1989 році, зараз Інтернет є основним засобом обміну інформацією сучасності. Ми почали розглядати Інтернет як зовнішній компонент нашого власного мозку. Про це свідчить популярність великих мовних моделей, таких як ChatGPT, які самі навчаються на даних з Інтернету.

Оскільки наша залежність поглиблюється, можливо, настав час подумки змінити категорію безпеки веб-даних із «невимог» на «важливі вимоги». Кевін Сарич, комп’ютерний науковець та інженер-мехатронік, CSIRO

OpenAI, незважаючи на свою назву, заслужила на репутацію секретної компанії. Однак список проблем технологічного гіганта, що процвітає, продовжує поповнюватися. Новий пункт у цьому списку – хакери. На початку 2023 року хакери отримали доступ до внутрішньої системи обміну повідомленнями OpenAI, прикравши інформацію, пов’язану з розробками в галузі штучного інтелекту. Ця подія залишалася в таємниці, компанія не повідомила про неї публічно.

Двоє людей, поінформованих про інцидент, повідомили The New York Times, що керівники OpenAI вирішили не розкривати інформацію про зло, оскільки інформація про клієнтів або партнерів не була скомпрометована. Компанія також не повідомила про злом у поліцію чи ФБР.

OpenAI заявила Business Insider, що компанія «виявила та усунула основну проблему безпеки», яка призвела до злому. Компанія заявила, що хакером була приватна особа без зв’язків з урядом, і що жодного репозиторію вихідного коду не було порушено. Злом викликав занепокоєння всередині та за межами компанії, оскільки безпека OpenAI вважається надто слабкою, що робить її вразливою.

У той час як США лідирують у світових перегонах озброєнь ШІ, Китай не сильно відстає. Американські чиновники вважають використанняШІІ Китаєм серйозною потенційною загрозою безпеці. Тому інформація про те, що дані та системи OpenAI є доступними для зловмисників, викликає занепокоєння.

Співробітники всередині компанії також висловили стурбованість щодо безпеки. Леопольд Ашенбреннер, колишній член ради директорів OpenAI, сказав, що компанія звільнила його у квітні після того, як він відправив службову записку з докладним описом «серйозного інциденту безпеки». Він охарактеризував безпеку компанії як «кричуще недостатню» для захисту від крадіжки іноземними суб’єктами. OpenAI заперечує, що звільнила Ашенбреннера за те, що він порушив питання безпеки. 

Ашенбреннер був членом команди супервирівнювання компанії, яка працювала над забезпеченням безпечної розробки технології OpenAI. Через місяць після того, як OpenAI звільнила Ашенбреннера, ще двоє провідних членів команди звільнилися і команда фактично розпалася. Одним із них був співзасновник та головний вчений OpenAI Ілля Суцкевер. Він оголосив про свій відхід лише через шість місяців після того, як допоміг очолити невдале звільнення генерального директора OpenAI Сема Альтмана, частково через розбіжності між ними щодо безпеки технології. Через кілька годин після того, як Сусткевер оголосив про звільнення, пішов і його колега Ян Лейке.

Після того, як драма вщухла, минулого місяця OpenAI створила новий комітет з безпеки та захисту, додавши колишнього директора АНБ Пола Накасоне як керівник групи. Накасоне, тепер новий член ради OpenAI, є колишнім головою Кіберкомандування США — підрозділи кібербезпеки Міністерства оборони.

Хоча присутність Накасон свідчить про те, що OpenAI ставиться до безпеки серйозніше, його призначення також не обійшлося без суперечок. Едвард Сноуден, американський інформатор, який у 2013 році розкрив секретні документи, що описують урядове стеження, написав у пості на X, що найм Накосона був «обачною зрадою прав кожної людини на Землі».

Дослідники з Cybernews виявили найбільшу добірку паролів, що складається з 9948575739 унікальних комбінацій, що зберігаються у відкритому вигляді. Файл з паролями rockyou2024.txt був помічений на одному з форумів хакерів і, по суті, він є бажаною метою для зловмисників, які використовують метод перебору паролів для злому акаунтів.

«За своєю суттю витік RockYou2024 є компіляцією реальних паролів, що використовуються людьми по всьому світу. Розкриття такої кількості паролів суттєво підвищує ризик проведення атак, пов’язаних із підбором паролів», — йдеться у повідомленні Cybernews.

Згідно з наявними даними, згаданий файл був опублікований 4 липня користувачем з ніком ObamaCare, який з моменту реєстрації на форумі вже публікував дані з ранніх витоків. Дослідники зазначають, що база RockYou2024 може бути задіяна зловмисниками для проведення атак методом перебору з метою отримання несанкціонованого доступу до різних онлайн-акаунтів, якими користуються люди, паролі яких потрапили до цього списку.

У повідомленні сказано, що файл RockYou2024 сформований на основі кількох витоків даних, які сталися за останні два десятиліття. При цьому до файлу додано 1,5 млрд паролів, які вибігли в мережу в період з 2021 по 2024 роки. Експерти попереджають, що така велика база паролів може використовуватися зловмисниками для проведення різноманітних атак, причому в небезпеці можуть опинитися не тільки онлайн-сервіси, а й промислове обладнання, камери відеоспостереження та ін.

«Щобільше, у поєднанні з даними з інших витоків на хакерських форумах і торгових майданчиках, які, наприклад, містять адреси електронної пошти користувачів та інші дані, RockYou2024 може сприяти появі цілого каскаду нових витоків даних, випадків фінансового шахрайства та крадіжок особистої інформації», — йдеться у повідомленні Cybernews.

Хакера і гаданого лідера угруповання Scattered Spider заарештували при спробі втекти з Іспанії. Члени хакерської групи вели в Telegram закритий рейтинг лідерів за кількістю злому криптовалютних облікових записів, хваляючись вкраденими активами.

Як повідомляється на сайті відомого американського журналіста Брайана Кребса (Brian Krebs), який займається розслідуваннями IT-злочинів, 22-річний чоловік із Великобританії Тайлер Бьюкенен (Tyler Buchanan), також відомий як «Tyler», був заарештований цього тижня в Іспанії. За даними влади, він є головою групи кіберзлочинців Scattered Spider, яка підозрюється у зламі таких компаній як Twilio, LastPass, DoorDash, Mailchimp та близько 130 інших організацій за останні два роки.

Іспанська газета Murcia Today повідомляє, що Бьюкенен розшукувався ФБР і був затриманий в аеропорту Пальма де Майоркі, коли намагався сісти на рейс до Італії. За даними поліції, на момент арешту він контролював криптовалюту на суму 27 мільйонів доларів, отриману внаслідок зломів.

Бьюкенен вважається спеціалістом з атак шляхом підміни сім-карт. За допомогою таких атак зловмисники отримують контроль над номером телефону жертви та перехоплюють одноразові паролі та посилання для скидання паролів, надісланих SMS. Це дозволяє їм отримати доступ до облікових записів жертви.

Scattered Spider здійснила низку гучних кібератак, розпочавши зі злому компанії Twilio у 2022 році. Потім вони зламали щонайменше 163 клієнтів Twilio, включаючи додаток Signal та компанію Mailchimp. В результаті було вкрадено конфіденційні дані та криптовалюту на мільйони доларів.

Крім цього, угруповання підозрюється у зломах сервісу зберігання паролів LastPass, служби доставки їжі DoorDash та десятків інших технологічних компаній. Для атак вони використовували фішинг по SMS і злом облікових записів співробітників.

Б’юкенена та інших членів Scattered Spider пов’язують також із спільнотою кіберзлочинців The Com, яка відома гучними крадіжками криптовалюти та рейтингом таблиці лідерів цих крадіжок у закритих Telegram-каналах. Деякі з учасників, у тому числі і Бьюкенен, зазнавали фізичного насильства від конкуруючих угруповань. Зокрема конкуренти найняли бандитів для вторгнення в його будинок, погрожували спалити його, якщо він не віддасть ключі від своїх криптовалютних гаманців. Вважається, що Бьюкенен після цього нападу втік зі Сполученого Королівства.

У реалізації Wi-Fi у Windows виявлено вразливість із рейтингом небезпеки 8,8 з 10 (висока), підтвердила Microsoft. Для експлуатації вразливості за номером CVE-2024-30078 потенційному зловмиснику не потрібен безпосередній доступ до комп’ютера жертви або будь-які дії з її боку — досить недалеко.

Експлуатація вразливості дозволяє зловмиснику без аутентифікації віддалено запускати код на машині жертви — пов’язана з безпекою помилка драйвера Wi-Fi зачіпає всі версії Windows, що підтримуються. Навіть без особливих умов доступу потенційний хакер може домагатися «успіху, що повторюється, проти вразливого компонента», повідомили в Microsoft. Перед здійсненням атаки не потрібна ні автентифікація, ні доступ до налаштувань та файлів на комп’ютері жертви. Від користувача цільового пристрою ніяких дій теж не потрібно: не потрібно натискати на будь-які посилання, відкривати картинки або запускати файли, що виконуються.

Особливу загрозу вразливість створює в оточеннях з високою щільністю клієнтських пристроїв, у тому числі готелі, торгові виставки або інші місця з численними підключеннями до мереж Wi-Fi — в подібних умовах кіберзлочинець може легко атакувати користувачів, не піднімаючи зайвого шуму, кажуть експерти. Для захисту рекомендується інсталювати останні оновлення Windows; Користувачам непідтримуваних версій системи без можливості її зміни слід розглянути можливість використовувати додаткові засоби безпеки на рівні мережі — брандмауери та системи виявлення вторгнень. Експерти також сходяться на думці, що найближчим часом з’явиться загальнодоступний експлойт вразливості.