кстати, один читатель у меня спросил вчера "так и что делать с этим всем?" у меня, правда, нет хорошего ответа на этот вопрос. воздерживаться от noname устройств, устанавливать везде сложные пароли, следить за обновлениями устройств. и, как в анекдоте с вопросом "как избежать СПИДа?" — "и главное, никакого секса!"

продолжая тему ботнетов на небезопасных IoT, немножко хардкода. создатели ботнета, который генерил DDoS на сайт KrebsOnSecurity, опубликовал исходный код, использованный для организации этого ботнета http://hackforums.net/showthread.php?tid=5420472 (требует регистрации для просмотра). так что это означает, что скоро таких DDoS-атак будет только больше

немного самопиара. ребята из BeardyCast опубликовали статью из серии "я пользуюсь", где в этом случае "я" — это именно я, рассказываю про свое рабочее место, гаджеты и приложения, которыми я пользуюсь. из этого поста, однако, вы сможете узнать, что я немножко параноик, и какими инструментами я пользуюсь для информационной безопасности на компьютере http://beardycast.com/2016/10/04/EDC/edc-10-alexmak/

а теперь к новостям из России. Коммерсант опубликовал статью, в которой рассказывает о том, что некая компания Con Certeza ищет подрядчика, который бы предоставил экспертное заключение о возможности перехвата информации в популярных чатах WhatsApp, Viber, Facebook Messenger, Telegram, Skype для платформ iOS и Android. Учитывая шифрование end-to-end в этих мессенджерах, остается только пожелать удачи подрядчикам. Ссылки по теме: статья в Коммерсанте: http://www.kommersant.ru/doc/3106585, комментарий по теме Леонида Волкова https://www.facebook.com/leonid.m.volkov/posts/1200371066652191, комментарий по теме Германа Клименко (думаю, вы не удивитесь, узнав, что он все это радостно поддерживает, и при этом признает, что проще мессенджеры заставить сотрудничать, чем расшифровать трафик) http://www.mskagency.ru/materials/2594952

я знаю, вы любите новости вроде этой. компания Johnson&Johnson сообщила о том, что в их дозаторах инсулина обнаружена уязвимость, которая дает возможность хакерам удаленно (на расстоянии 1-2 километра) увеличивать дозу инсулина, вводимую пациентам. Компания разослала такое уведомление 114 тысячам пациентов, которые пользуются дозаторами в США и Канаде. Там суть такая, что у дозатора есть беспроводный пульт для управления (потому что дозатор обычно спрятан под одеждой), данные между пультом и дозатором передаются без какого либо шифрования в диапазоне 900МГц по проприетарному протоколу. Уязвимость предполагает возможность получения доступа к управлению дозатором. Вообще исследователи, которые обнаружили уязвимость, утверждают, что риск ее применения низкий. Детальная информация об уязвимости тут https://community.rapid7.com/community/infosec/blog/2016/10/04/r7-2016-07-multiple-vulnerabilities-in-animas-onetouch-ping-insulin-pump

Yahoo тут отличилась в очередной раз, построив бэкдор для спецслужб в почту, и даже не сказав об этом своей команде, отвечающей за безопасность сервиса. они сканировали все почтовые сообщения на предмет наличия соответствующих ключевых слов и фраз. http://www.reuters.com/article/us-yahoo-nsa-exclusive-idUSKCN1241YT

кстати, подоспел ответ Яху! по поводу вчерашней новости о сканировании всей почты спецслужбами:
“The article is misleading. We narrowly interpret every government request for user data to minimize disclosure. The mail scanning described in the article does not exist on our systems.”
если внимательно читать этот ответ, то возникнет ощущение, что это как бы и не отрицание того, в чем компанию обвиняют. речь идет о том, что статья неправильная, а не информация, в ней изложенная, не соответствует действительности. да и утверждение "система, описанная в статье, не присутствует в наших системах", наводит на вопросы, что, видимо, все-таки раньше существовала. а если "не присутствует в наших системах", то возникает вопрос — а в каких присутствует? а "не в наших" системах? Короче, лучший совет, учитывая хак Yahoo недавно и вот эту новость — удалить там аккаунт совсем.
Отдельно надо отметить, что Google, Facebook, Microsoft и Apple напрямую заявили, что ни в чем подобном они не участвовали, и что они не получали таких запросов от правоохранительных органов. верить им или нет — дело ваше.

из новостей сегодня для меня вам привет для Мак-юзеров. На конференции Virus Bulletin эксперт по безопасности Патрик Вардл (Patrick Wardle) продемонстрировал малварь для Мака, которая умеет подключаться к камере и микрофону. там фишка в том, что подключение к камере, как известно, зажигает зеленый огонек (что обойти довольно сложно). поэтому особенность такой малвари в том, что оно подключается в текущую сессию, например, скайпа или facetime, когда камера уже активна.

After examining various ‘webcam-aware’ OS X malware samples, the research will show a new ‘attack’ that would allow such malware to stealthily monitor the system for legitimate user-initiated video sessions, then surreptitious piggyback into this in order to covertly record the session. As there are no visible indications of this malicious activity (as the LED light is already on), the malware can record both audio and video without fear of detection.
если вас это пугает или напрягает, можно скачать бесплатную утилиту, которая отлавливает подобные штуки и сообщает вам о них https://objective-see.com/products/oversight.html

после небольшой паузы продолжаем наши регулярные трансляции из мира опасносте для информации. я тут много ною про безопасность IoT гаджетов. а ведь проблема гораздо масштабней и в перспективе — опасней. одно дело, когда кулхацкер подключился к вашей домашней камере или там к детскому монитору и разговаривает с вашим ребенком по ночам (что все равно ужасно и отвратительно), и другое — когда хакеры взламывают инфраструктуру атомной электростанции, как об этом пишет сегодня Reuters (без указания деталей, однако). очень хочется надеяться, что атомная электростанция защищена лучше, чем домашние IoT-штуки http://mobile.reuters.com/article/idUSKCN12A1OC?feedType=RSS&feedName=technologyNews&utm_source=Twitter&utm_medium=Social&utm_campaign=Feed%253A+reuters%252FtechnologyNews+%2528Reuters+Technology+News%2529

кстати, о взломах домашних IoT устройств. я писал на прошлой неделе о релизе исходного кода Mirai — ботнета для организации DDoS аттак с помощью смартгаджетов. тут интересный анализ дефолтных паролей из всех этих гаджетов. 60 "вшитых" паролей позволяют "достичь" 500 тысяч гаджетов https://www.grahamcluley.com/mirai-botnet-password/

ФБР хочет опять заставить Apple разблокировать еще один iPhone, который принадлежал террористу Dahir Adan, напавшему в сентябре на посетителей торгового центра. ФБР не раскрывает модель устройства и версию ОС там, но это может стать повторением истории с исками, слушаниями в конгрессе и тд, как уже было с телефоном террориста из Сан Бернардиноhttp://www.infosecurity-magazine.com/news/fbi-needs-access-to-another-iphone?utm_source=twitterfeed&utm_medium=twitter

Facebook выпустил функцию "секретных чатов" в своем мессенджере, там end-to-end encryption. вот инструкция, как их использовать, чтобы избегать потенциального перехвата сообщений злоумышленниками и другими заинтересованными лицами https://techcrunch.com/gallery/how-to-encrypt-facebook-messenger/

минутка юмора на канале (тем не менее, все равно на тему инфосека). как в будущем у пользователей будут вымогать деньги различные "умные" домашние гаджеты

на выходных была забавная тема про то, что в кабинете министров Великобритании почему-то запретили приходить с Apple Watch, опасаясь "взломов русскими агентами", как пишут СМИ. Кстати, смартфоны там запретили еще раньше по той же причине. правда, как именно Apple Watch могут быть взломаны и использованы для прослушки, британцы не объясняют. возможно, это были результаты исследования британскими учеными, они и не такое придумывают. http://www.techweekeurope.co.uk/security/apple-watch-banned-cabinet-meetings-spy-fears-198848

если среди вас почему-то еще есть люди, у которых есть Flash, то вам нужно срочно обновиться до версии 23.0.0.185 или более поздней. Эта версия исправляет критическую уязвимость, которая позволяет злоумышленникам получить удаленный контроль над Маком (впрочем, к Windows или Linux тоже относится). вообще я не понимаю, почему люди до сих пор этим говном пользуются. там же дыр больше, чем полезной функциональности. Apple надо было купить в свое время Adobe и закрыть Flash вообще нафиг.

1700 читателей, привет! наверняка среди вас много пользователей Android. Чисто теоретически, если взять долю по смартфонам, то можно было бы сказать, что из вас примерно 1500 должно быть с Android, остальные с iPhone. но поскольку многие из вас пришли из моего же твитора, то, допускаю, что разделение между iPhone и Android немного другое. но неважно, я отвлекся. я на самом деле хотел рассказать о том, что там Коммерсант ознакомился с отчетом компании Group-IB, которая сообщила в этом самом отчете про то, что злоумышленники за год похитили почти 350 млн рублей со счетов в российских банках при помощи троянов для Android. Помните, я тут уже рассказывал как-то про троян, который блокирует звонки в службу поддержки банков, и в базе этого трояна в том числе были и номера телефонов российских банков. вот, собственно, уверен, эти две новости связаны. можно, конечно, рассказывать о том, что пользователям Android не стоит устанавливать софт откуда попало, но с учетом количества троянов прямо в Google Play этот совет все больше устаревает. но iPhone вы же не хотите покупать? Короче, берегите себя там как можете! http://www.kommersant.ru/doc/3114163

ну вот, кто-то прочитал предыдущее сообщение и сбежал, теперь у нас снова не 1700 читателей. наверняка это был какой-то владелец Android, тонкая душевная организация которого не выдержала информации о троянах под его любимую ОС

в качестве бонуса для оставшихся 1699 читателей — информация об очередной утечке, в этот раз — 58 миллионов записей, включая имейл, дату рождения, имя, адрес и номер телефона. Данные были украдены из незащищенной базы данных MongoDB компании Modern Business Solution, о которой вы, скорей всего, никогда не слышали (я тоже, например, не слышал). Фишка в том, что компания — из области B2B, то есть это такой хостинг баз данных для других бизнесов, так что если даже вы напрямую там ничего не хранили, возможно, что кто-то из клиентов MBS хранил там ваши данные. как и обычно в таких ситуациях, на помощь спешит https://haveibeenpwned.com/, у которого уже есть доступ к утекшей базе MBS, и вы можете проверить наличие своей информации там. вот тут немного больше информации про утечку из MBS https://www.riskbasedsecurity.com/2016/10/modern-business-solutions-stumbles-over-a-modern-business-problem-58m-records-dumped-from-an-unsecured-database/

парочка ссылок от читателя Виктора, который поделился информацией в почту. В частности, ссылка 1: про уязвимость, которая позволяет одним социальным сервисам получать информацию о том, залогинены ли вы в другой социальный сервис. лечится, например, установкой плагина в браузер (но safari не поддерживается) https://robinlinus.github.io/socialmedia-leak/. Ссылка 2: статья в медузе, где они пересказывают то, что уже какое-то время назад было известно: используя информацию из гироскопа или батарейки, можно получить информацию о владельце смартфона. это, в целом, не новость, но повторить это будет не лишним https://meduza.io/feature/2016/10/14/giroskop-i-batareyka-shpionyat-za-vami