`

СПЕЦИАЛЬНЫЕ
ПАРТНЕРЫ
ПРОЕКТА

Архив номеров

Что для вас является метрикой простоя серверной инфраструктуры?

Best CIO

Определение наиболее профессиональных ИТ-управленцев, лидеров и экспертов в своих отраслях

Человек года

Кто внес наибольший вклад в развитие украинского ИТ-рынка.

Продукт года

Награды «Продукт года» еженедельника «Компьютерное обозрение» за наиболее выдающиеся ИТ-товары

 

Александр Пацай

Псевдоблэкдор в оборудовании Huawei, злоумышленники на GitHub и пр.

+13
голоса
Сразу две хорошие новости, я отлучился на небольшой отпуск, и за это время ничего катастрофического не произошло! Если, например, не считать того, что из-за проблем с сертификатом у Firefox, что привело к тому, что уже установленные расширения не запускались, а новые не устанавливались. Те 2,5 пользователя Firefox, которые пострадали, уже знают, что проблема была исправлена:
 
А вот в китайском аналоге AWS — на облачной платформе Alibaba Cloud — обнаружилась база данных жителей из нескольких районов Пекина, которую собрали власти города с помощью системы распознавания лиц. “Умный город”, говорили они, “общественный транспорт вовремя”, говорили они, устанавливая камеры наблюдения. Только базу забыли закрыть паролем, и она лежала доступной для кого угодно в интернете. Elasticsearch, гигабайты данных, включая данные о распознавании сотен лиц за несколько месяцев. Базу обнаружил эксперт по кибербезопасности Джон Ветингтон, рассказавший об этом изданию TechCrunch.
 
Я на прошлой неделе публиковал новость от Bloomberg о том, что в сети Vodafone Italy был обнаружен бэкдор в оборудовании Huawei, и как чувствовал, дополнив ту заметку комментарием, что Bloomberg уже облажался с новостью про китайские чипы в серверах Apple и Amazon. В этот раз все оказалось примерно так же: “не миллион, а тысячу, и не выиграл, а проиграл”. Бэкдором, о котором писали в Vodafone, оказался диагностический telnet, торчащий в локальную сеть, пусть и захардкоженный, и незадокументированный. У The Register хороший материал по этому поводу:
Поводов верить Bloomberg с IT-материалами все меньше и меньше. Они еще за чип в серверах Apple/Amazon не извинились.
 
Популярные устройства (видеокамеры, дверные звонки, радионяни) различных производителей из Китая (откуда ж еще) предоставляют доступ без авторизации, если злоумышленник будет перебирать серийные номера. Все устройства работают под управлением одного приложения для удаленного управления — iLnkP2P. При первом подключении владельцу нужно просканировать штрихкод на корпусе устройства или ввести серийный номер вручную. Это позволяет злоумышленникам просканировать набор серийных номеров, обнаружить активные устройства и подключиться к ним, используя логин и пароль по умолчанию.
И прекрасный домен для этой истории: https://hacked.camera
 
Злодей захватывает репозитории с кодом в заложники и требует выкуп, угрожая удалением данных. Атаки происходят на сервисы GitHub, Bitbucket и GitLab, и механизм атак пока что не до конца понятен. Злоумышленник скачивает код, удаляет его на сервере и требует заплатить 0,1 биткойна за возврат кода.
 
На Хабре заметка о том, что делают бесплатные VPN-провайдеры с пользовательскими данными. Я неоднократно говорил о том, что подписываясь на сервис VPN, вы должны хорошо понимать, какие именно услуги предоставляет провайдер и что происходит с данными, которые проходят через этого провайдера. Для ультра-гиков есть варианты разворачивания своих VPN-серверов, что ОК, если вам не нужны разные локации (можно поискать тут же в канале, или просто в интернете).
 
Уязвимость в утилите компьютеров Dell (DellSupportAssist), которая позволяла исполнять на компьютере код с админскими правами, и получить контроль над компьютером. Апдейт вышел еще 23 апреля, но не факт, что все пользователи установили апдейт. Утилита по умолчанию встроена во все компьютеры Dell с Windows, и пользовательского взаимодействия не требуется, но дополнительный уровень защиты обеспечивает тот факт, что злоумышленник должен быть уже в сети жертвы.
 
 
+13
голоса

Напечатать Отправить другу

Читайте также

 
 
IDC
Реклама

  •  Home  •  Рынок  •  ИТ-директор  •  CloudComputing  •  Hard  •  Soft  •  Сети  •  Безопасность  •  Наука  •  IoT