Czy atak DDoS mo\u017ce jeszcze czym\u015b zaskoczy\u0107? Okazuje si\u0119, \u017ce jak najbardziej tak. W cyber \u015bwiecie zadebiutowa\u0142 nowy wariant botnetu Mirai, kt\u00f3ry ukrywa si\u0119 w sieci Tor. Tak, temat Mirai zn\u00f3w powraca… Co jeszcze dla was wyszukali\u015bmy? AI w s\u0142u\u017cbie cyberbezpiecze\u0144stwa, problem ze skryptami JS i SystemBC, kt\u00f3ry niestety zawsze wyst\u0119puje w parze z innym zagro\u017ceniem. <\/p>\n\n\n\n
Program do zarz\u0105dzania dyskami SSD firmy SanDisk ma dwie luki w zabezpieczeniach, kt\u00f3re znacz\u0105co zwi\u0119kszaj\u0105 ryzyko utraty danych. <\/p>\n\n\n\n
Pierwsza z nich pozwala atakuj\u0105cym instalowa\u0107 malware udaj\u0105cy oficjaln\u0105 aktualizacj\u0119 producenta. Jak to jest mo\u017cliwe? Odpowied\u017a jest bardzo prosta – SSD Dashboard pobiera aktualizacje po niezabezpieczonym HTTP. <\/p>\n\n\n\n
Czarny scenariusz<\/strong>. Przej\u0119ty przez przest\u0119pc\u00f3w serwer udaje oficjalny serwer SanDisk i udost\u0119pnia najnowsz\u0105 aktualizacj\u0119 oprogramowania. U\u017cytkownik nie ma jednak poj\u0119cia, \u017ce w rzeczywisto\u015bci pobiera w\u0142a\u015bnie naj\u015bwie\u017csz\u0105 wersj\u0119 ransowmare lub trojana bankowego. Jednym s\u0142owem klasyczny chwyt w stylu man-in-the-middle. <\/p>\n\n\n\n Druga podatno\u015b\u0107 wi\u0105\u017ce si\u0119 z wykorzystaniem domy\u015blnego has\u0142a do zabezpieczania raport\u00f3w diagnostycznych klient\u00f3w. Je\u015bli atakuj\u0105cy przejm\u0105 raport o b\u0142\u0119dach, s\u0105 w stanie odszyfrowa\u0107 go z pomoc\u0105 domy\u015blnego has\u0142a \u2013 i w ten spos\u00f3b zdoby\u0107 przes\u0142ane w nim informacje. <\/p>\n\n\n\n Western Digital udost\u0119pni\u0142 ju\u017c aktualizacj\u0119 \u2013 zar\u00f3wno dla SanDisk SSD Dashboard jak i Western Digital SSD Dashboard – kt\u00f3ra rozwi\u0105zuje oba problemy. <\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Coraz wi\u0119ksza liczba producent\u00f3w z obszaru IT security wykorzystuje zaawansowane metody uczenia maszynowego m.in do wykrywania zagro\u017ce\u0144, czy analizy ruchu sieciowego. Statystyki pokazuj\u0105, \u017ce ju\u017c 69% organizacji uwa\u017ca, \u017ce bez wsparcia AI nie s\u0105 w stanie w\u0142a\u015bciwie reagowa\u0107 na pojawiaj\u0105ce si\u0119 zdarzenia<\/a> (chcesz dowiedzie\u0107 si\u0119 wi\u0119cej \u2013 pobierz<\/a> raport AI&Machine Learning).\u00a0<\/p>\n\n\n\n Rozszerzony monitoring na miar\u0119 XXI wieku<\/strong><\/p>\n\n\n\n Nie tylko urz\u0105dzenia ko\u0144cowe, serwery czy zapora ogniowa, ale tak\u017ce urz\u0105dzenia sieciowe, urz\u0105dzenia internetu rzeczy, infrastruktura OT (czujniki automatyki stosowane w przemy\u015ble wytw\u00f3rczym i przemys\u0142owym) oraz urz\u0105dzenia POS. <\/p>\n\n\n\n Do tej pory narz\u0119dzia do monitoringu sieci s\u0142u\u017cy\u0142y g\u0142\u00f3wnie do sprawdzania jej stanu. Stosowanie analizy behawioralnej umo\u017cliwia identyfikacj\u0119 podejrzanych dzia\u0142a\u0144, kt\u00f3re przeocz\u0105 konwencjonalne narz\u0119dzia cyberbezpiecze\u0144stwa. W jaki spos\u00f3b? Program tworzy model podstawowych zachowa\u0144 dla ka\u017cdego urz\u0105dzenia i maszyny w sieci. Wykorzystuje do tego wszystkie dost\u0119pne dane m.in. \u017ar\u00f3d\u0142owe i docelowe adresy IP\/maszyny, bytes in\/out oraz logi DHCP. Opracowana w ten spos\u00f3b biblioteka modeli zachowa\u0144 pomaga w identyfikacji zaawansowanych i nieznanych zagro\u017ce\u0144 jak: exploity<\/a>, atak ransomware, czy przej\u0119cie urz\u0105dzenia.<\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Mirai by\u0142 ju\u017c wielokrotnie wykorzystywany do przeprowadzenia atak\u00f3w DDoS \u2013 pisali\u015bmy o nim m.in tutaj<\/a> i tutaj<\/a>. Botnet jest dobrze znany u\u017cytkownikom IoT. Przejmuje on kontrol\u0119 na router\u2019ami, kamerami monitoringu, urz\u0105dzeniami smart home a nawet pojazdami. <\/p>\n\n\n\n Badacze z Trend Micro potwierdzili, \u017ce nowo wykryta wersja Mirai zawiera te same funkcjonalno\u015bci co wcze\u015bniejsze jego odmiany z t\u0105 r\u00f3\u017cnic\u0105, \u017ce skupia si\u0119 na portach TCP 9527 i 34567. Dla niewtajemniczonych wskazuje to na pewnego typu preferencje\u2026 do przejmowania kamer IP oraz DVR. <\/p>\n\n\n\n To co jest szczeg\u00f3lne w jego przypadku to umiejscowienie serwer\u00f3w C&C (command-and-control server). W tradycyjnym scenariuszu \u2013 czyli kiedy s\u0105 udost\u0119pniane poprzez internet – istnieje mo\u017cliwo\u015b\u0107 szybkiego ich zdj\u0119cia \/ wy\u0142\u0105czenia. Mo\u017cna wi\u0119c walczy\u0107 z rozprzestrzenianiem si\u0119 malware\u2019a. Jednak kiedy s\u0105 one ukryte pod adresem .onion w sieci Tor staje si\u0119 to znacznie trudniejsze.<\/p>\n\n\n\n Tradycyjny Miraj dysponowa\u0142 do tej pory jednym do czterech serwer\u00f3w C&C. W przypadku nowo wykrytej wersji mamy do czynienia z 30 sta\u0142ymi adresami IP. Urz\u0105dzenia komunikuj\u0105 si\u0119 ze sob\u0105 z za pomoc\u0105 socks5 proxies. Je\u015bli dojdzie do przerwania po\u0142\u0105czenia, malware wykorzysta kolejny serwer kt\u00f3ry ma do dyspozycji \u2013 i tak jeszcze 29 razy. Z uwagi na wyj\u0105tkowe \u015brodowisko sieci Tor serwery s\u0105 anonimowe – dzi\u0119ki czemu nie mo\u017cna zidentyfikowa\u0107 tw\u00f3rcy malware\u2019a i \/ lub w\u0142a\u015bciciela serwer\u00f3w C&C. <\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Tylko hackerzy z grupy Magecart \u2013 stoj\u0105cy za mega wyciekiem danych kart p\u0142atniczych w British Airways –\u00a0 wszczepiaj\u0105 z\u0142o\u015bliwy kod JavaScript w witryn\u0119 raz na ka\u017cde 5 minut. Potwierdzaj\u0105 to nowe badania przeprowadzone przez RiskIQ<\/a>.<\/p>\n\n\n\n Ataki skierowane bezpo\u015brednio w witryny internetowe to tylko jedna strona medalu lub biznesu, jak kto woli. Przest\u0119pcy bardzo cz\u0119sto uderzaj\u0105 w rozwi\u0105zania do analityki, optymalizacji czy modu\u0142y komunikacji. Przejmuj\u0105c nad nimi kontrol\u0119 wielokrotnie zwi\u0119kszaj\u0105 zasi\u0119g swojego dzia\u0142ania.<\/p>\n\n\n\n Mamy problem? <\/strong><\/p>\n\n\n\n Tak, nie, trudno powiedzie\u0107\u2026. G\u0142\u00f3wnie dlatego, atak JavaScript to atak z ukrycia. Nie mamy wgl\u0105du w kod dodatk\u00f3w i plugin\u00f3w doinstalowywanych do CMSa lub platformy e-commerce. Je\u015bli zaufany dostawca straci kontrol\u0119 nad kt\u00f3rym\u015b ze swoich narz\u0119dzi, wtedy… jest ju\u017c zazwyczaj za p\u00f3\u017ano. <\/p>\n\n\n\n Magecart i podobne jej grupy odpowiadaj\u0105 za jedne z najwi\u0119kszych i najkosztowniejszych w\u0142ama\u0144 w historii internetu. I ich przest\u0119pcza dzia\u0142alno\u015b\u0107 si\u0119 nie zmieni. Powinno jednak zmieni\u0107 si\u0119 nasze podej\u015bcie do cyberbezpiecze\u0144stwa. Najwi\u0119ksze brzemi\u0119 ci\u0105\u017cy jednak na firmach prowadz\u0105cych sprzeda\u017c online. By\u0107 mo\u017ce to ju\u017c czas by zrezygnowa\u0107 z zewn\u0119trznych skrypt\u00f3w JS? Lub przynajmniej zacz\u0105\u0107 w ramach dobrych praktyk umieszcza\u0107 je w tagu IFRAME a nie jak popadnie… Na rynku istniej\u0105 r\u00f3wnie\u017c narz\u0119dzia do monitoringu, kt\u00f3re pozwalaj\u0105 wychwyci\u0107 moment zmiany zawarto\u015b\u0107 jednego z plik\u00f3w JavaScript. Wi\u0119c jak to b\u0119dzie? <\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Google pracuje nad nowymi zabezpieczeniami dla u\u017cytkownik\u00f3w i administrator\u00f3w G Suite. <\/p>\n\n\n\n W momencie, gdy program trafi na podejrzan\u0105 aktywno\u015b\u0107 – wykryje malware lub osob\u0119 kradn\u0105c\u0105 dane \u2013 Admin otrzyma specjalne powiadomienie. Podejrzane wsp\u00f3\u0142dzielenie danych lub ich pobieranie r\u00f3wnie\u017c wyzwol\u0105 tego typu alert. <\/p>\n\n\n\n Poniewa\u017c nowe powiadomienia s\u0105 zintegrowane z narz\u0119dziem do sprawdzania zagro\u017ce\u0144 dla klient\u00f3w G Suite, administratorzy s\u0105 w stanie podj\u0105\u0107 dzia\u0142ania naprawcze z poziomu centrum powiadomie\u0144.<\/p>\n\n\n\n Google udost\u0119pni\u0142 nowe funkcje wybranym u\u017cytkownikom do beta test\u00f3w. Wi\u0119ksza dost\u0119pno\u015b\u0107 narz\u0119dzia jest jednak prawdopodobnie tylko kwesti\u0105 czasu. <\/p>\n\n\n\n2. AI jest w stanie wykrywa\u0107 z\u0142o\u017cone i nieznane cyberzagro\u017cenia <\/h2>\n\n\n
3. W sieci Tor czai si\u0119 nieuchwytny botnet Mirai<\/strong><\/h2>\n\n\n
4. Czy ten JavaScript jest (nie)bezpieczny?<\/strong><\/h2>\n\n\n
5. Nietypowa aktywno\u015b\u0107 na GoogleDrive? G Suite prze\u015ble Ci alert<\/strong><\/h2>\n\n\n