После небольшого затишья редакция снова выходит на связь с очередной коллекцией того, как в мире все плохо.

• Apple
• Amadeus
• Discovery
• Edelman
• Herbalife
• Schneider Electric
• PointCare
• Opportunity International
• Box
Что объединяет эти компании? Все они настроили свои корпоративные папки на файловом сервисе несколько неудачно, что позволило исследователям обнаружить внутренние файлы компаний, включая даже критические корпоративные данные.
https://www.adversis.io/research/pandorasbox

В России продолжается борьба с почтой ProtonMail, по ссылкам, присланным читателями, хорошее резюме ситуации
https://roskomsvoboda.org/45632/
https://habr.com/ru/company/tm/blog/443222/

АПД еще комментарий от самих протонцев
https://protonmail.com/blog/russia-block/

На прошлой неделе я писал о том, что Citrix сообщил о взломе своей сети, но без деталей. Тут NBCNews пишет, что речь идет о масштабном взломе компании сети много лет назад. В этом обвиняют хакеров, работавших на правительство Ирана, а целью были данные компании, у которой есть проекты для правительства США, ФБР и вооруженных сил страны. Украдено то ли 6, то ли 10 ТЕРАБАЙТ данных, и, подозреваю, последствия этого взлома могут еще долго аукаться всем
https://www.nbcnews.com/politics/national-security/iranian-backed-hackers-stole-data-major-u-s-government-contractor-n980986

Два прекрасных “предпринимателя” из Украины использовали опросы на Facebook, чтобы затем обманным путем заставить пользователей установить расширение в браузере. Затем расширение показывало на Facebook свою собственную рекламу, а также сливало данные о пользовательских профилях, и списки их друзей. Теперь Facebook подает на них в суд.
https://www.thedailybeast.com/facebook-suit-ukrainian-hackers-used-quizzes-to-take-data-from-60000-users

Китай как всегда. Исследователь Victor Gevers обнаружил базу данных на 1,8 млн записей, которая содержала информацию о женщинах, “готовых к размножению”. Кому принадлежит эта база и с какой целью она собиралась, неизвестно.
https://twitter.com/0xDUDE/status/1104482014202351616

Полезная статья от ЛК о том, какие опасносте в себе таит самый обычный авто-ответ в почте:
https://www.kaspersky.ru/blog/out-of-office-messages/22383/
https://www.kaspersky.com/blog/out-of-office-messages/25900/

ЛОЛ
https://twitter.com/lopp/status/1105857421648510978

Компания GearBest, китайский онлайн-ритейлер, как оказалось, хранит данные своих клиентов совсем не так, как обещает. Исследователи компании vpnMentor опубликовали материал расследования, в котором обнаружилось, что:
– политика компании о конфиденциальности пользовательских данных не соответствует действительности
– в базе хранятся личные данные покупателей, включая имейл и пароли, которые никак не шифруются. Кроме этого, магазин хранит информацию, которая необязательна для хранения, как, например, IP-адрес
– в базе также хранятся платежные данные, в том числе и о виртуальных картах платежной системы из Бразилии, а также банковские данные пользователей.
Как это часто бывает, сервер Elasticsearch без пароля.
https://www.vpnmentor.com/blog/gearbest-hack/
https://techcrunch.com/2019/03/14/gearbest-orders-exposed/
https://vc.ru/trade/61307-hakery-nashli-uyazvimost-na-serverah-gearbest-vse-dannye-klientov-onlayn-magazina-hranyatsya-v-otkrytom-vide
PS Спасибо всем читателям, которые прислали мне ссылки на эту историю

2/3 антивирусных приложений для Android — обман
https://www.zdnet.com/article/two-thirds-of-all-android-antivirus-apps-are-frauds/

Adware (рекламное ПО) в сотнях приложений для Android, с общей суммой установок более 150 млн. Там все хорошо: вредоносное ПО, маскирующееся под рекламную сеть, закачивало через бэкдор дополнительный модуль, который прятал свою иконку и работал в фоне, загружаясь на старте приложения. А дальше показ рекламы в фоне с целью генерации фейковых просмотров.
https://www.documentcloud.org/documents/5766854-SimBad-AppList-Package.html

Я писал ранее на этой неделе о том, как недавно обнаружилась неприятная лажа с плохо настроенным сервером Box для общего доступа к файлам, из-за чего некоторые компании случайно сделали доступными свои файлы, в том числе и конфиденциальные. Так вот, Box выкатил тут полезные изменения, которые должны будут в будущем предотвратить подобные лажи:
https://blog.box.com/blog/improvements-sharing-securely-box

Очевидно полезный материал по теме канала

Privacy International опубликовали обновленные результаты проверки наиболее популярных приложений на предмет передачи детальной информации в Facebook при открытии и в процессе работы [1].

Приложений всего 21, но проверка их была детальной, хотя и охватывала только работу с Facebook'ом через SDK. Как выяснилось подробную информацию передавали практически все приложения. Некоторые исправили это поведение в марте и дали исследователям обратную связь, обещая исправиться.

К этому же исследованию я хочу напомнить про базу Exodus [2] в которой собраны результаты автоматического анализа практически всех приложений из Google Play с поиском и определением разрешений которые приложение затребует и какие трекеры отслеживания пользователя оно использует.

Например последняя версия приложения Яндекс.Такси [3] запрашивает 27 разрешений и содержит код 7 трекеров, приложение Госуслуги [4] требует 18 разрешений и содержит код 3 трекеров.

Другие известные и популярные приложения:
- Активный гражданин (Пр-во Москвы) [5]: 16 разрешений, 7 трекеров
- ProtonVPN - сервис доступа через VPN [6]: 5 разрешений, 1 трекер
- Яндекс Браузер [7]: 41 разрешение, 8 трекеров
- Браузер DuckDuckGo [8]: 6 разрешений, 0 трекеров
- Почта Mail.ru [9]: 37 разрешений и 15 трекеров

И так далее, проверять можно ещё долго. Обратите внимание на ProtonVPN и DuckDuckGo, они добиваются доверия пользователей именно потому что не следят за ним.

В мире подобным мониторингом приватности занимаются Privacy International в США и Exodus Privacy во Франции (с базой 50 тысяч приложений).

В России ничего подобного нет, хотя и прямо таки напрашивается. В целом ничто не ограничивает брать по топ 100 популярных приложений по категориям и строить их рейтинг слежки на основе той же Exodus Database.

Ссылки:
[1] https://privacyinternational.org/appdata
[2] https://reports.exodus-privacy.eu.org/en/
[3] https://reports.exodus-privacy.eu.org/en/reports/40896/
[4] https://reports.exodus-privacy.eu.org/en/reports/9815/
[5] https://reports.exodus-privacy.eu.org/en/reports/11464/
[6] https://reports.exodus-privacy.eu.org/en/reports/64814/
[7] https://reports.exodus-privacy.eu.org/en/reports/56151/
[8] https://reports.exodus-privacy.eu.org/en/reports/63903/
[9] https://reports.exodus-privacy.eu.org/en/reports/63870/

#privacy

Привет, новости из мира инфосека одной (ну почти) строкой.

Производитель алюминия Norsk Hydro оказался жертвой атаки вредоносного ПО-вымогателя LockerGoga
https://newsweb.oslobors.no/message/472389
https://www.facebook.com/norskhydroasa/posts/2214813535207638
https://www.zdnet.com/article/aluminium-producer-switches-to-manual-operations-after-extensive-cyber-attack/

Помните Ghidra (тоже Гидра, но другая — поищите в канале)? Тот самый инструмент NSA для reverse engineering и уязвимость в нем? Теперь есть proof-of-concept, показывающий, как эту уязвимость можно эксплуатировать:
https://threatpost.com/nsa-ghidra-bug-rce/142937/

Прекрасная история о том, что вся музыка, залитая на Myspace в период с 2003 по 2015 год, была утеряна.
https://www.reddit.com/r/technology/comments/b2381s/myspace_lost_all_music_uploaded_from_2003_to_2015/

4.7ГБ с 257 тысячами юридических документов с личными данными “валялись” в незащищенной Elasticsearch базе на AWS
https://www.bleepingcomputer.com/news/security/257k-legal-documents-leaked-by-unprotected-elasticsearch-server/

Правительство США планирует к 2021 году ввести сканирование и распознавание лиц в 20 основных аэропортах страны
https://epic.org/foia/gallery/2019/#biometric-entry-exit

История о том, как желтое издание получило переписку Джеффа Безоса (CEO Amazon), совершенно без всяких хакеров и взломов
https://outline.com/ASR7Ma