Apple таки запустила программу исследования безопасности устройств, анонсированную год назад. Получить специальное устройство для исследования уязвимостей могут те, кто регулярно подает информацию о новых ошибках в Apple, и живет в ограниченном наборе стран, в который Россия и Украина не входят
https://developer.apple.com/programs/security-research-device/

This is not good (о том, что правоохранительные органы скупают материалы цифровых утечек для использования в расследованиях)
https://www.cpomagazine.com/data-privacy/media-claims-of-law-enforcement-agencies-purchasing-breach-data-how-serious-is-it/

Приложение для дронов DJI, как оказалось, содержит в себе, по сути, бэкдор. За обфусцированным кодом скрывается функциональность по скрытному закачиванию файлов апдейта с домашних серверов мимо Google Play, что вкупе с обширными правами приложения, даёт ему почти полный контроль над устройством. Кроме того, приложение собирает массу информации с телефона, и не выключается в фоне, а продолжает отправлять запросы на сервер. Подобной функциональности нет в версии для iOS

Сразу два отчета об этом приложении от исследователей безопасности.

https://www.synacktiv.com/en/publications/dji-android-go-4-application-security-analysis.html


https://blog.grimm-co.com/2020/07/dji-privacy-analysis-validation.html

======РЕКЛАМА======
В этом выпуске "ИБшника на удаленке" говорим про форензику - что это, зачем она нужна и в каких ситуациях применяется, - а также про тренировки red и blue teams в России. Делимся методиками, примерами и результатами.

⏰Присоединяйся к стриму через 15 минут⏰
======РЕКЛАМА======

А тем временем у Garmin- производителя навигационного оборудования, фитнес-трекеров, велокомпьютеров и прочего оборудования для фитнеса и спорта - проблемы. Компания стала жертвой нападения софта-вымогателя, и как результат - зашифрованы многие компьютеры внутренних сетей, а также на производстве. Какое-то время это все не будет работать:

«shutting down its official website, the Garmin Connect user data-syncing service, Garmin's aviation database services, and even some production lines in Asia.»

https://www.zdnet.com/article/garmin-services-and-production-go-down-after-ransomware-attack/

Тут, кстати, пока что неофициальное подтверждение о том, что атака на Гармин - это таки вымогательство, требуют 10 млн долларов, используется WastedLocker, а компьютеры и сервисы отключены для того, чтобы предотвратить дальнейшее заражение
https://www.bleepingcomputer.com/news/security/garmin-outage-caused-by-confirmed-wastedlocker-ransomware-attack/

Каждый день узнаешь что-то новое. Например, то, что у такой организации, как Совет национальной безопасности и обороны Украины имеется национальный координационный центр кибербезопасности, и в нем даже есть какие-то специалисты, которые знают про существование Cloudflare и dark web.

А дальше пойдет старое, точнее, новое только для этих специалистов — оказывается, в дарквебе есть список из 3 миллионов сайтов, защищенных Cloudflare, где указаны реальные IP адреса этих сайтов, что делает их в принципе уязвимыми для DDOS-атак. И теперь специалисты ведут работу по оповещению владельцев сайтов — по крайней мере, тех, которые относятся к государственным ресурсам и объектам критической инфраструктуры.

Отдельно можно оценить заголовок «Выявлена утечка данных из сервиса Cloudflare», который, в отличие от большей части текста заметки, является полной ерундой и неправдой.

Дело в том, что Cloudflare работает очень просто — вы указываете его сервера имен для своего домена, после чего он начинает выдавать какой-то из своих IP адресов как публичный IP-адрес вашего сайта, а вы ему указываете, на какой реальный IP отправлять посетителей после их проверки системой защиты. Разумеется, всё это работает тогда, когда никто, кроме Cloudflare, не знает этого реального адреса — иначе он просто пойдёт напрямик и фильтры Cloudlfare его не увидят. Именно поэтому практически обязательным шагом при переходе под защиту антиDDOS-сервиса (не только Cloudlfare), что, как правило, случается в ходе уже имеющейся атаки — это сменить реальный IP адрес.

Но многие этого не делают — поскольку Cloudflare еще и CDN, удобный сервис и в принципе многие и не планируют защищаться от атак, которых никогда на их сайты не производилось. Поэтому, когда такой домен указывал на один IP, а потом сменился на принадлежащий сети Cloudflare, с большой вероятностью предыдущий IP остался реальным и по нему домен доступен напрямую.
Поэтому Cloudflare рекомендует хотя бы ограничить доступ к серверу с реальным IP, чтобы он оставался доступен исключительно из сети Cloudflare. Правда, с масштабной атакой файрволл среднего сервера все равно может не справиться, но шансы выше.

Но комизм ситуации не в том, что никакой утечки не было и базу собирали именно такой историей изменений в DNS, а в том, что этой базе лет 5 или 6 и с ней прекрасно знакомы старые пользователи Cloudflare. Даже не надо ходить в дарквеб — кто-то даже поднимал быстрый поиск по этой базе и я им пользовался для проверки, что у моих проектов там если и есть IP, то он давно не является реальным.

В очередной раз печально, что у воющей страны такие «специалисты» по кибербезопасности. И смутный оптимизм, что, видимо, у «той стороны» ненамного лучше.
https://www.rnbo.gov.ua/ua/Diialnist/4651.html

сайты, собирающие информацию о ДНК и генеалогии, подверглись атакам, и данные пользователей, ранее спрятанные от запросов правоохранительных оранов, стали публично доступны
https://www.buzzfeednews.com/article/peteraldhous/hackers-gedmatch-dna-privacy

Ещё апдейт про Garmin и их проблему с ransomware
https://techcrunch.com/2020/07/25/garmin-outage-ransomware-sources/

Интересная уязвимость в некоторых приложениях для macOS об обходе встроенного карантина файлов (за ссылку спасибо читателю)
https://medium.com/@metnew/exploiting-popular-macos-apps-with-a-single-terminal-file-f6c2efdfedaa

У Нинтендо ой

Интересная тема про уязвимость в чипе Secure Enclave Processor, который обеспечивает безопасность iOS устройств и работу Face ID, Touch ID. Команда Team Pangu, которая занимается разработкой джейлбрейков для устройств Apple, продемонстрировали уязвимость в SEP, которую невозможно исправить (поскольку она аппаратная). Команда планирует продать информацию об уязвимости в Apple, а критики утверждают, что ценность самой уязвимости не такая высокая, так как её природа не даёт возможности использовать её для джейлбрейка с помощью приложения или через веб (только при наличии физического доступа и устройства в DFU). Более того, последние устройства Apple с процессорами А12 и А13 не содержат в себе эксплойта BOOTROM, который нужен для эксплуатации уязвимости.
https://androidrookies.com/team-pangu-demonstrates-unpatchable-secure-enclave-processor-sep-chip-vulnerability-in-ios/

Давненько у нас тут новостей про Zoom не было. Перебор паролей без ограничений в Зуме, дефолтный пароль из 6 цифр - что могло пойти не так?

https://www.tomanthony.co.uk/blog/zoom-security-exploit-crack-private-meeting-passwords/

Помните WannaCry и NotPetya? Тут подъехали санкции от ЕС физлицами и организациям по этому поводу, и в списке, в дополнение к двум китайцам, есть также

Alexey Valeryevich MININ
Aleksei Sergeyvich MORENETS
Evgenii Mikhaylovich SEREBRIAKOV
Oleg Mikhaylovich SOTNIKOV

https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32020D1127&from=EN

История, так сказать, в двух скриншотах. Забавно, что уведомление от HIBP пришло на два дня раньше, чем от самого взломанного сайта.