кстати, несмотря на всякие там опровержения, тут опять пишут про очередную утечку у Дримкас, теперь уже на 76 млн записей (речь, как я понимаю, об информации о физических и юридических лицах, включая персональные данные, данные о покупках, и об уплаченных налогах). Я, правда, не нашел первоисточника, поэтому извините, если кого-то обидит ссылка на Известия
https://iz.ru/924297/2019-09-23/v-set-utekli-fiskalnye-dannye-eshche-76-mln-rossiian

Знаете, что полезно сделать с утра? пойти и поставить обновления Microsoft. пропатченые zero-day (RCE в IE) и denial of service в Windows Defender. от Win 7 до Win 10

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1367

инфоопасносте везде. Например, принтеры HP отправляют на родину информацию о количестве напечатанных страниц, режимах печати, информацию о чернилах или тонере, о файлах, которые печатаются, о приложениях, из которых идет печать, время печати. Также информацию о самом устройстве, часовой пояс, какие-то UUID и другую техническую информацию. Все это описано в лицензионном соглашении, и отдельно указано, что сами распечатываемые данные в эту аналитику не попадают. Осадок, традиционно, остается.

https://robertheaton.com/2019/09/15/hp-printers-send-data-on-what-you-print-back-to-hp/

если вы мечтали позвламывать спутники, ваш час настал
https://www.nextgov.com/cybersecurity/2019/09/nsa-running-satellite-hacking-experiment/160057/

на прошлой неделе Apple выпустила апдейт iOS 13 для iPhone, на этой неделе уже вышел апдейт iOS 13.1 для iPhone и iPad, и все равно в релизы просочилась неприятная бага. Сторонние клавиатуры, как пишет Apple, в новых версиях системы могут получить "полный доступ" к iPhone, как пишет Apple в своем документе. Если я правильно понимаю, то "полный доступ" в этом случае означает возможность этим клавиатурам анализировать набираемый текст, даже если эти клавиатуры отключены в настройках. Так что если вы опасаетесь подслушивающих клавиатур, то временно их лучше удалить. Исправить это Apple обещает в следующем обновлении. (куда наверняка добавят еще каких-нибудь веселых багов, как же без них).

https://support.apple.com/en-us/HT210613?/en-us/advisory

вот интересный отчет об изучении российских APT-группировок.

практически цитата из отчета: "русские группировки, спонсируемые государством, редко делятся кодом друг с другом, а когда делятся, то это происходит в рамках групп, управляемых одним разведывательным ведомством".

https://research.checkpoint.com/russianaptecosystem/

еще там есть красивая визуализация карты
https://apt-ecosystem.com/russia/map/

образовательная картинка о государственных "ЯussiN ХackeЯs" в качестве бонуса

Интересная история тут с дырой по имени checkm8 в бутроме некоторых моделей iPhone. Пользователь твиттера опубликовал твит (и материал на гитхабе), утверждая, что обнаруженная им уязвимость позволяет сделать джейлбрейк устройствам с процессорами от А5 до А11 (от iPhone 4S до iPhone 8/iPhone X, потенциально сотни миллионов устройств). Этот джейлбрейк нельзя сделать удаленно, нужен локальный доступ к устройству через USB, и уязвимость в целом эксплуатировать вроде как непросто. Но сам факт того, что она, по утверждениям обнаружившего её специалиста, unpatchable, оставляет неприятный осадок. Уверен, компании, которые предоставляют услуги по "доставанию" данных со смартфонов, оценят по достоинству эту уязвимость.

https://twitter.com/axi0mX/status/1177542201670168576
https://github.com/axi0mX/ipwndfu

Ну и подтверждение утечки пользовательских данных у doorDash, популярного доставщика еды в Штатах. Взлом случился в мае этого года, и почему компания целых 5 месяцев собиралась с духом об этом рассказать — непонятно. Имейл, имя, адрес доставки, история заказов, номера телефонов, и засоленные хешированные пароли (алгоритм неизвестен) - все,все, что нажито непосильным трудом, все пропало. У 100 тыс зарегистрированных доставщиков еще и данные водительских удостоверений угнали. Деталей взлома, к сожалению, компания не рассказывает

https://blog.doordash.com/important-security-notice-about-your-doordash-account-ddd90ddf5996#46h35gr24e

Тема с уязвимостью Checkm8 в бутлоадере iPhone обрастает постепенно информацией, апдейтами и уже практически работающими джейлбрейками. Напомню, исследователь axi0mX опубликовал информацию о дыре в миллионах устройств от iPhone 4S до iPhone X.

https://t.me/alexmakus/3071

Что нужно знать об этом:
⁃ Уязвимость позволяет сделать джейлбрейк устройству — то есть установить различные версии iOS на устройства, загружать другие операционные системы.
⁃ При этом для реализации джейлбрейка требуется физический доступ к устройству, то есть не работает удаленно.
⁃ Джейлбрейк “разовый”, то есть на каждом рестарте телефона его надо делать снова
⁃ Эта уязвимость не дает возможности получить доступ к пользовательским данным, так как они зашифрованы чипом Secure Enclave (то есть TouchID/FaceID устройства - за исключением устройств iPhone 4S/5/5c, у которых нет SEP)
⁃ Поэтому история хоть и неприятна для репутации Apple, но прямой угрозы пользовательским данным нет.
⁃ Худшее в этой всей истории то, что эту уязвимость Apple не сможет исправить, так как этот код аппаратно встроен в устройство.
⁃ Устройства, в которых отсутствует эта уязвимость — все модели, начиная с прошлого года, включая iPhone XR, XS, 11 и 11 Pro. (Жду теорий заговоров о том, что Apple таким образом пытается стимулировать продажи новых устройств)

Это не первый раз, когда подобная история происходит, последний раз это случилось в районе 2011 года, и затрагивало телефоны до iPhone 4. C тех пор у системы появился Secure Enclave Processor (SEP), который управляет ключами шифрования пользовательских данных. Теоретически джейлбрейк телефона методом включения дебаггинга меняет ключ шифрования данных, что приводит к невозможности расшифровать данные. Теоретически, при условии физического доступа к устройству злоумышленники могут, произведя джейлбрейк, установить дополнительное вредоносное ПО, передающее данные с устройства, после того, как произойдет авторизация пользователя. Как утверждают эксперты по безопасности, самую большую выгоду от этой уязвимости получат именно исследователи безопасности, которые смогут после такого джейлбрейка более детально исследовать внутренности iOS. По сути, когда летом Apple анонсировала программу “устройство для исследователей”, то именно похожие “вскрытые” устройства компания планировала распространять среди инфосек-сообщества.

Так что базовая рекомендация, если вас это беспокоит: убедиться, что на устройстве установлен пароль, желательно посложнее — точно не 4-значный PIN. Если вас это беспокоит больше — апгрейд до более новых моделей решает проблему (вот она, теория заговора Apple в действии)


Пара полезных ссылок по теме
https://blog.trailofbits.com/2019/09/27/tethered-jailbreaks-are-back/

Большое интервью с обнаружившим
https://arstechnica.com/information-technology/2019/09/developer-of-checkm8-explains-why-idevice-jailbreak-exploit-is-a-game-changer/

Вот еще тоже ссылка от читателя на новость из категории «Никогда такого не было, и вот опять»

https://tjournal.ru/tech/118985-britanskie-specialisty-nashli-v-otkrytom-dostupe-dannye-20-millionov-rossiyan

Пакинстанский хакер взломал игрушку Words with Friends компании Zynga и получил доступ к базе данных пользователей на 218 млн записей. Там оказались имена, адреса электронной почты, логины и засолено-захешированные пароли, номера телефонов и Facebook ID, если пользователи подключали свой профиль к игре.

https://zyngasupport.helpshift.com/a/zynga/?p=all&l=en&s=announcements&f=player-security-announcement

отдельно хочется отметить вступление Zynga по поводу взлома:

Cyber attacks are one of the unfortunate realities of doing business today.

это гораздо менее анфорчунейт, если подходить к этому вопросу серьезно.

Эксперт по миниатюризации, продемонстрировавший летом (https://t.me/alexmakus/2992) кабель Lightning, который выглядит идентично натуральному, а на самом деле содержит в себе возможность удаленного доступа к компьютеру, куда этот кабель воткнут, пообещал наладить серийное производство этих кабелей. Записываю: “к чужим кабелям не прикасаться”.

https://www.vice.com/en_us/article/3kx5nk/fake-apple-lightning-cable-hacks-your-computer-omg-cable-mass-produced-sold

Про “бэкдор в WhatsApp” пишет издание Bloomberg (которое, напомню, опубликовало отчет о якобы китайских чипах в серверах компаний Apple, Amazon и других неназванных, который опровергли все, потребовали доказательств, но Bloomberg их так и не предоставило, и статью не отозвало).

https://www.bloomberg.com/news/articles/2019-09-28/facebook-whatsapp-will-have-to-share-messages-with-u-k-police

Речь идет о том, что британское правительство утверждает, что Facebook “и его команда” должны будут делиться с полицией зашифрованными сообщениями пользователей, и тут же понеслось “БЭКДОР В ВОЦАППЕ КОНФИРМЕД!!!”. Речь идет о CLOUD Act executive agreement, в рамках которого упрощается процедура запроса информации к компании, которая этой информацией владеет. Если же у компании нет доступа к этой информации (она зашифрована), но запрос точно также остается без ответа, как и раньше.

Примерно 100500 человек написали мне, что про утечки из игрушки не так интересно, как про утечку из Сбербанка. И они правы, безусловно

https://www.kommersant.ru/doc/4111863

По неподтвержденным данным, в утёкшие данные входит информация по клиентам банка:

ФИО
Паспорт
Номер карты
ОСБ
Филиал
Лимит кредита
Недоисп. лимит
Ссуда всего
Ссуда текущая
Ссуда к погашению
Превышение лимита
Просроченная ссуда
%% текущие бал.
%% льготные бал.
%% текущие внебал.
%% льготные внебал.
%% к пог. бал.
%% к пог. внебал.
%% просроч. бал.
%% просроч. внебал.
Инсайдер
Портфель
Адрес работы
Дата опердня
N договора WAY4
Место работы
Дата созд. дог-ра в WAY4
Дата активиз. д-ра
Дата закр. д-ра
Признак закр. д-ра
Остаток собств. ср-в
Комис. за обсл.
Расчетная неустойка
Срок действ. карты
Сост. карты по WAY4
Сост. дог-ра по WAY4
Номер счета карты
Дата обр. просроч. по осн. дол.
Дата обр. просроч. по проц.
Кат. кач-ва ссуды
Дата блокирования закрытой карты
Дата рождения держателя
Проц. ставка за кредит
Комиссии за обсл. к погашению
Дата предстоящего платежа
Сумма минимального платежа
Кредитная фабрика
Тип клиента для учета продаж
Код кол-ва просрочек (АС СД)
Почт.индекс (р)
Регион (р)
Район (р)
Город (р)
Насел.пункт (р)
Улица (р)
Дом (р)
Строение (р)
Корпус (р)
Офис (р)
Квартира (р)
Код продукта Way4
Канал продаж
Агент по прямым продажам
Уровень загрузки списка
W4 телефон
W4 телефон домашний
W4 телефон мобильный
СПООБК телефон по месту регистрации
СПООБК телефон по месту жительства
СПООБК телефон мобильный
СПООБК телефон по месту работы
Признак пользования кредитной линией
Дата нач. мониторинга задолж. для закр. счета
Реквизиты перечисления остатка при закр.
Признак инд.резервирования
Дата перевода на инд.рез.
Признак перевода в ГОС безнад.
Дата перевода в ГОС безнад.
Кто перевел на спец. резервирование
Атрибуты резевирования
Дата заявления на закрытие д-ра

Немножко лол. Лаборатория Касперского вычислила кибер-разведку Узбекистана, потому что они использовали продукты ЛК для тестирования своих вредоносных продуктов и не отключили опцию отправки отчетов в ЛК

https://www.vice.com/en_us/article/3kx5y3/uzbekistan-hacking-operations-uncovered-due-to-spectacularly-bad-opsec

Google Project Zero нашли zero day уязвимость в android, которая затрагивает смартфоны Pixel, Galaxy, Huawei. Уязвимость позволяет получить полный контроль над устройством, и фикс потребовался срочный, потому что есть уже инструменты для эксплуатации этой уязвимости. Достаточно установить вредоносное приложение или же зайти на вебсайт, который может объединить эту уязвимость с другой. Апдейт для Pixel-устройств выйдет в октябре, остальные партнеры проинформированы, и за апдейтами нужно ходить к ним.

полный список затронутых устройств:
• Pixel 1
• Pixel 1 XL
• Pixel 2
• Pixel 2 XL
• Huawei P20
• Xiaomi Redmi 5A
• Xiaomi Redmi Note 5
• Xiaomi A1
• Oppo A3
• Moto Z3
• Android Oreo LG phones
• Samsung Galaxy S7
• Samsung Galaxy S8
• Samsung Galaxy S9

Интересно, что баг был исправлен в декабре 2017 года, но почему-то снова оказался в системе.

https://bugs.chromium.org/p/project-zero/issues/detail?id=1942
https://www.zdnet.com/article/google-finds-android-zero-day-impacting-pixel-samsung-huawei-xiaomi-devices/

ZenDesk подтвердили взлом и утечку данных, которая произошла в 2016 году (они только узнали о ней). При взломе произошел доступ к небольшому количеству пользовательских аккаунтов
https://www.zendesk.com/blog/security-update-2019/