Сегодня у меня специальный бонус для технарей — любителей технических деталей и подробного разбора. Помните Trident — три уязвимостей, которые позволяли удаленно "заджейлить" iPhone и внедрить в него шпионское ПО, собирающее информацию о пользователе и его действиях? Apple тогда еще выпускала срочный апдейт для iOS 9.3, который исправлял эти уязвимости. Короче, тут появился документ с очень качественным техническим анализом этих уязвимостей (44 страницы!) о том, как вначале уязвимость в Сафари позволяла исполнять код, как последующая уязвимость в ядре позволяла, по сути, рутить устройство, и как происходила эксалация прав для производства джейлбрейка. https://info.lookout.com/rs/051-ESQ-475/images/pegasus-exploits-technical-details.pdf

а самое смешное в этой истории с уязвимостями Trident, которые эксплуатировал Pegasus, что этап два предусматривает установку джейлбрейка. НО! если джейлбрейк на телефоне уже есть, то малварь решает, что все хорошо и не устанавливает свои бинарники. В кои-то веки джейлбрейк оказался полезным

И снова здравствуйте. Вы наверняка успели с четверга соскучиться по очередным новостям из мира опасностей для информации. Например, 10 ноября выйдет очередной апдейт OpenSSL — 1.1.0c, который включает себя исправление уязвимости с приоритетом High, что означает, что проблема существенная. опять начнется, что куча народу библиотеку не проапдейтит, и все будут бегать по кругу и кричать "АААААААААА" https://mta.openssl.org/pipermail/openssl-announce/2016-November/000085.html

а в Турции, например, наступает полный Китай, по крайней мере, в плане борьбы с интернетом. там правительство заявило, что провайдеры интернета должны заблокировать VPN-сервисы и Tor (ссылка как пруф, но она на турецком). Как бы другие страны не последовали этому примеру http://turk-internet.com/portal/yazigoster.php?yaziid=54465

Как Google почти убила ProtonMail — сервис безопасной почты (рассказ от со-основателя компании) https://protonmail.com/blog/search-risk-google/

ну и сегодняшний набор ссылок будет неполон без ссылки на Медузу, в которой они рассказывают про кибервойска в структуре Министерства обороны РФ. Верить этому материалу или нет — на ваше усмотрение https://meduza.io/feature/2016/11/07/rossiyskie-vooruzhennye-kibersily

А вот еще интересная ссылка. Чемпион мира по шахматам Магнус Карлсен скоро будет играть с Сергеем Карякиным, российским (бывшим украинским) шахматистом. Карлсен переживает, что хакеры могут взломать его компьютер и поэтому он подписал Microsoft защищать свой компьютер от взлома "русских хакеров", которые могут получить доступ на компьютере к секретному плану на предстоящий матч. http://www.techweekeurope.co.uk/security/cyberwar/chess-champion-microsoft-protection-200284

невзирая ни на какие результаты выборов, ваша информация по-прежнему опасносте. например, вот ссылка от читателя, в которой рассказывается, что плагин Web of Trust, сервиса, который призван помогать пользователям определять, можно доверять сайту или нет, продавал рекламодателям пользовательскую информацию. такая вот ирония, в которой плагин, который должен подсказывать о доверии к сайту, оказался сам недостоин этого доверия. https://www.engadget.com/2016/11/08/web-of-trust-sold-browser-history/

а вот нечастно встречающийся феномен в этом канале — ссылка на текст на русском языке! в частности, Яндекс опубликовал результаты исследования по типам угроз в интернете, угроз пользователям как десктопов, так и мобильных устройств. "Мы изучили статистику Браузера и выяснили, с какими типами угроз чаще всего сталкиваются пользователи на компьютерах и мобильных устройствах, как люди реагируют на угрозы и с каких сайтов они переходят на опасные страницы." забавно, что "В среднем 29% пользователей на компьютерах и 6% пользователей на мобильных устройствах игнорируют предупреждения об угрозе. Мужчины игнорируют предупреждения чаще женщин, молодые пользователи — чаще, чем люди среднего возраста". больше почитать можно по ссылке тут https://yandex.ru/company/researches/2016/ya_brosafe

и немножко хороших новостей для пользователей iPhone. Если вы помните, когда вышла iOS 10, ребята из Elcomsoft обнаружили, что Apple лажанула с локальными бекапами, которые делает iTunes, когда бекап сохраняется на компьютере. В результате этой лажи вскрытие такого запароленного бекапа происходило в 2500 раз быстрее, чем у бекапа устройства с iOS 9, то есть взломать бекап брутфорсом можно было не за год, а за 3 часа. Понятно, что если уж у злодеев доступ к вашему компьютеру и бекапу, то это не самая основная проблема, но тем не менее. Короче, в бете 10.2 Apple опять усилила методы проверки пароля в защищенном бекапе, и теперь брутфорсом просто так не взломаешь его. https://imazing.com/blog/ios-10-2-introduces-safer-backups

вот тут, кстати, интересное еще. есть такая платформа беспроводной связи ZigBee, на ее основе, кстати, построены популярные лампочки Philips Hue, ну и вообще во многих городах на них может быть построено управление уличным освещением. тут чуваки разработали червя, способного размножаться по этой сети, заражая друг друга и потенциально хоть вырубая лампочки, хоть создавая DDoS-аттаки. подробный PDF с результатами исследования по ссылке. PS моя любовь к IoT-устройствам крепнет с каждым днем http://iotworm.eyalro.net/iotworm.pdf

несмотря на все попытки Apple улучшать безопасность Мака и Safari, на PwnFest2016 — такой себе "ярмарке хакеров", где они в том числе соревнуются во взломе разных систем и приложений — взломали Safari и получили рутовый доступ к macOS Sierra. Автор взлома — Pangu, хакер, который делает джейлбрейки для iOS — получит приз 100 тыс долл. https://twitter.com/vangelis_at_POC/status/796949751774097408

а вот, например, как хакеры взломали IT-систему госпиталей в Британии, и там отменили несрочные операции и приемы пациентов, потому что хакеры вымогали выкуп за активацию систем. в процессе взлома всякие медицинские приборы — для рентгенотерапии, МРТ-тестов и другой диагностики — вырубились, потому что всю систему заблокировали https://www.express.co.uk/news/uk/731260/NHS-Computer-hack-ransom-money-cyber-crime-hospital-health-Britain

в предыдущей статье, кстати, написано, что госпитали избежали оплаты вымогаемого выкупа, потому что там как-то удачно что-то в системе обновилось и перегрузилось в тот самый момент. а вот, например, графству Мэдисон в штате Индиана повезло меньше и они планируют заплатить выкуп для получения доступа к компьютерным системам графства. чем дальше, тем страшнее жить http://www.washtimesherald.com/news/madison-county-pays-ransom/article_7c1e4771-f347-540f-89ea-3c789bc0f6dd.html

Хватит серьёзных и депрессивных новостей. Вот вам картинка, поясняющая, как работает шифрование

И даже в выходные редакция канала в моем лице продолжает следить за опасностями, подстерегающими информацию на просторах интернета! (фу, какие лингвистические клише, самому тошно). Но вообще я о важном! после некоторого перерыва с вами на арене — то, с чего начинался этот канал: утечка пользовательских данных. Теперь речь пойдет о взломе сети Friend Finder Network, у которых взломали вообще все, что возможно, и в результате утекла информация о 412 МИЛЛИОНАХ учетных пользователей. Это позволяет такой утечке получить почетный титул самой большой утечки 2016 года (ПОКА ЧТО). В FFN входят сайты Adultfriendfinder.com (339 млн), Cams.com (62,5 млн), Penthouse.com (7,1 млн), ну и еще всякое по мелочи. утекли имейлы и также пароли, которые частично хранились в plain visible format or SHA1 hashed (peppered) (в 2016, лавров.жпг). leakedsource.com (это сервис типа haveibeenpwned.com) базу пока в поиск не выкладывает, но клянется журналистам показать пруфы. Короче, все плохо.

традиционно вот топ-20 самых популярных паролей

кстати, в мае 2015 года AdultFriendFinder уже хакали, и 4 млн записей юзеров тогда выложили публично. Либо их тогда это ничему не научило, либо же этот свежий дамп данных связан с тем взломом