«Я ничего не делал, а меня взломали!». Вот как это на самом деле происходит, шаг за шагом
Сегодня вы узнаете, почему происходят кибератаки, кто стоит за ними и как обезопасить себя и свою работу.
Кибератаки заняли пятое место среди главных проблем 2021 года, сегодня злоумышленники взламывают учётные записи и крадут личные данные и в государственных компаниях, и у рядовых пользователей интернета. Причём количество взломов год от года только растёт. В 2022 году уже были скомпрометированы не менее 13 миллионов банковских карт в России, в сеть также утекли данные более 8 миллионов российских пользователей различных сервисов доставки еды. В Сеть попали имена, фамилии, адреса, номера телефонов более 6,8 миллионов пользователей Яндекс Еды, собранные за полгода.
Термином «кибератака» называют самые разные сценарии, но, чаще всего, это попытка отдельного человека или группы людей скомпрометировать компьютерную систему, сеть или устройство, чтобы причинить вред. Атакуют либо конкретную личность, либо компанию, а могут и без разбора пытаться взломать максимальное возможное количество устройств, сервисов или пользователей. Причём кража данных даётся злоумышленникам легко именно за счёт открытости Интернета, например:
Фишинг — отправка электронных писем большому количеству людей с просьбой предоставить конфиденциальную информацию (например, банковские реквизиты) или побудить их посетить поддельный веб-сайт.
Watering hole — создание поддельного веб-сайта или взлом законного, чтобы использовать данные его посетителей. Название watering hole (водопой) взято из мира дикой природы: хищники зачастую выслеживают свою добычу у рек и озер.
Программы-вымогатели — сложное вирусное ПО, которое использует слабые места системы, чтобы закрыть доступ к данным или системным функциям. Такие программы используют мошенники, чтобы требовать оплату в обмен на выпуск системы.
Атаки путем внедрения языка структурированных запросов (SQL). В этом сценарии киберпреступники внедряют вредоносный код в уязвимые приложения, чтобы с помощью приложения получать доступ к серверной базе данных и выполнять команды и действия, которые пользователь не запрашивал.
Самые популярные способы кибератак по итогам 2021-ом года — фишинг и программы-вымогатели. Их доля составляет 20% и 22% соответственно.
Кто стоит за кибератаками?
Согласно нашему отчету об утечках данных в 2022-ом году, большинство кибератак совершаются аутсайдерами (посторонними хакерами), инсайдерами (людьми из ближайшего окружения), партнерами компаний, а также организованными преступными и аффилированными группами. В процентном соотношении это выглядит следующим образом:
Независимо от того, взламывают ли компьютер/смартфон конкретного человека, или всех подряд, у кибератак есть ряд общих этапов. Атака, особенно если хакер очень настырный, может состоять из повторяющихся этапов. Кибермошенник проверит вашу защищенность на наличие слабых мест, которые, в итоге, и приблизят его к конечной цели.
Кибератаки состоят из четырёх этапов:
Опрос (Survey) — взломщик проверяет и изучает доступную информацию о потенциальной жертве, чтобы найти возможные уязвимости.
Доставка (Delivery) — путь до уязвимой точки в системе.
Нарушение (Breach) — когда уязвимость используют для доступа к запароленным/закрытым данным.
Аффект (Affect) — кода после получения доступа злоумышленник копирует информацию себе или включает режим шантажа.
Подробнее о каждом из них:
1. Опрос (Survey)
Любая информация, которая поможет обмануть вас и украсть ваши данные, собирается и изучается.
В ход вступают такие открытые источники, как LinkedIn и Facebook*(*запрещённая в РФ организация), службы управления/поиска доменных имен и социальные сети. И общедоступные методы поиска, и инструменты сетевого сканирования (давно ли вы проверяли настройки своего роутера и пароль от Wi-Fi на утечки, кстати?). Проверка систем безопасности в организации и конкретно на вашем компьютере, а также компьютерах ваших коллег.
И всё это для того, чтобы обнаружить вашу ошибку и найти информацию, которая может быть использована в атаках. Это когда:
Вы разместили информацию о сети организации на форуме технической поддержки
По невнимательности забыли удалить скрытые свойства из документов, таких как автор, версия программного обеспечения и места сохранения файлов
Хакеры также любят применять социальную инженерию (например, социальные сети). Если пользователи достаточно наивны и добры, это позволит получить к доступ к дополнительной, менее открытой информации.
2. Доставка (Delivery)
На этапе доставки взломщик попытается использовать уязвимость, которую он нашёл. Допустим:
Попробовать получить доступ к онлайн-сервисам организации
Отправить электронное письмо со ссылкой на вредоносный сайт, или вложение с вирусом внутри
Вручить заражённую вирусом флешку
Создать ложный веб-сайт в надежде, что пользователь его посетит
Главное здесь для хакера — выбор лучшего способа заставить вас активировать вирус или нажать комбинацию команд, которые откроют ему доступ к вашему компьютеру/смартфону. В случае DDOS-атаки (когда работу сайта блокируют большим количеством запросов, превыщающим пропускную способность сети) иногда достаточно будет установить несколько подключений к компьютеру, чтобы заблокировать его для остальных пользователей.
3. Нарушение (Breach)
Вред для вас или вашего работодателя будет зависеть от характера уязвимости и метода её использования. Кража данных может позволить хакерам:
Вносить изменения, влияющие на работу системы
Получить доступ к онлайн-аккаунтам
Получить полный контроль над вашим компьютером, планшетом или смартфоном
После того, как хакер получит такой доступ, он начнёт прикидываться жертвой и использовать свои законные права для перехода к другим системам.
4. Аффект (Affect)
Интернет-мошенники проверили ваши системы на компьютере/ноутбуке/смартфоне, а теперь они попытаются расширить свой доступ и установить функцию постоянного присутствия (это также иногда называют «консолидацией»). Например, захватить вашу учётную запись, чтобы удерживать доступ постоянно. Есть доступ к учётной записи? После этого устанавливают инструменты автоматического сканирования, чтобы узнать ваши логины и пароли от других социальных сетях и взять под контроль больше информации. При этом хакеры будут проявлять большую осторожность, чтобы их действия нельзя было заметить стандартным мониторингом системы, а иногда и будут отключать этот мониторинг.
Если злоумышленники достаточно решительные, а вы не обнаружили взлом, они продолжат действовать до тех пор, пока не достигнут своих конечных целей. Например:
Получат информацию, которую они иначе бы не смогли добыть. Например, интеллектуальную собственность или коммерческую тайну.
Внесут изменения в свою пользу, например, создадут платежи на банковский счет, который они контролируют.
Нарушат нормальную работу предприятия. Например, перегрузят интернет-соединение организации, чтобы сотрудники не могли общаться извне, или удалят все операционные системы с компьютеров пользователей.
Как только они достигнут своих ценей, более способные злоумышленники уйдут, тщательно удалив все доказательства своего присутствия. Но иногда они могут создать маршрут доступа будущих посещений других хакеров, которым они продали доступ. А некоторые из них могут серьезно повредить вашу систему или создать как можно больше «шума», чтобы прорекламировать свой успех
Как понять, что ваши данные украли?
Главные признаки:
1. Уведомление «Невозможно выполнить вход в учетную запись Apple ID» Ваша учетная запись содержит в себе платежные реквизиты, контактные данные и конфиденциальную информацию о доступе к службам. Если вас просят сообщить пароль от Apple ID, это может быть фишинговой атакой.
2. Отказ в получении налогового вычета Похитители персональных данных могут затребовать у государственных структур возврат налогов. В таком случае, представители власти сообщат вам о подаче заявки.
3. Уведомления о неизвестном входе в систему При вводе своего логина и пароля с нового устройства вы можете получать уведомления на знакомое системе устройство. Если местоположение, время или устройство никак не связаны с вами, вероятно, вашим профилем пользуется другой человек.
4. Преследование со стороны коллекторов Коллекторы будут звонить вам и приходить к вам домой, если похититель персональных данных оформит на вас кредит и не будет платить по счетам.
5. Подозрительные операции в вашей банковской выписке Если в вашей банковской выписке появились неизвестные заявки на получение кредита либо вы увидели покупки или операции, которых не совершали, это может говорить о том, что вы стали жертвой кибермошенников. Всегда немедленно обращайтесь к поставщикам финансовых услуг, обнаружив странные операции в своей отчетности.
6. Отказ в предоставлении займа или кредита Такая ситуация необязательно говорит о краже персональных данных. Но если вы отвечаете требованиям для получения кредита, отказ может указывать на то, что кто-то использовал ваши персональные данные для совершения мошенничества.
7. Невозможно зайти в аккаунт в соцсетях На странице изменился пароль или она заблокирована администрацией сайта за подозрительную активность — все это признаки работы злоумышленников.
Что делать пользователю, чьи данные были украдены?
К сожалению, когда информация об утечке уже стала общеизвестной, спешить больше некуда. Надо успокоиться, не паниковать и определить план дальнейших действий.
Прежде всего стоит трезво оценить масштаб проблемы.
В большинстве случаев об утечке становится известно либо из рассылки «протекшего» сервиса, либо из сообщений СМИ. В обоих случаях кратко перечисляются данные, которые стали доступны злоумышленникам. Обычно речь идет о логине, пароле, ФИО, адресе электронной почты, номере мобильного телефона, адресе проживания (или доставки) и информации о заказах. Но иногда в Сеть утекают и куда более важные данные: информация о банковских картах, остатках на банковском счете, а также сканы всевозможных документов, например, паспорта. Совсем необязательно, что в Сеть утекут сразу все перечисленные данные, поэтому важно трезво оценить, как данная утечка скажется лично на вас.
Если в утечке оказались логины и пароли пользователей, следует как можно скорее сменить их. При этом, если один и тот же пароль используется на нескольких сайтах, то и менять его нужно везде, даже если логины на разных сайтах отличаются. Да, это может занять много времени и доставить определенные неудобства, но лучше приложить немного усилий сегодня, чем завтра обнаружить, что вы «назанимали» изрядную сумму у друзей в любимой соцсети. Некоторые браузеры, например, Google Chrome, отображают информацию о ненадежных паролях, известных злоумышленникам — не пренебрегайте таким предупреждением и смените проблемный пароль.
Если же в утечке оказались данные банковских карт, следует обратиться в службу поддержки банка — скорее всего, потребуется посетить отделение банка лично. Справедливости ради стоит отметить, что банки очень щепетильно подходят к сохранности данных банковских карт клиентов. Прежде всего потому, что закон будет на стороне клиента, если кто-то неправомерно воспользуется данными его карты. Поэтому службы безопасности банков постоянно ведут мониторинг площадок, на которых продаются персональные данные, проводят контрольные закупки и блокируют скомпрометированные карты. Так что в большинстве случаев банк узнает о такой утечке раньше вас и примет все необходимые меры. Но все же лучше не оставлять ничего на волю случая и связаться с банком самостоятельно.
Хуже всего дело обстоит, если в утечку попали сканы документов. Наверняка все слышали про случаи, когда по скану паспорта на жертву оформляли кредиты, фирмы-однодневки или рассрочку в интернет-магазинах. К счастью, времена, когда по скану паспорта мошенники могли сделать почти все что угодно, в прошлом. И даже если скан вашего паспорта оказался в Сети, это еще не повод перевыпускать документ.
Тем не менее, имея на руках паспортные данные человека, злоумышленник может получить и другие данные о нем (например, ИНН через сайт ФНС). А уже имея на руках дополнительную информацию, мошенники могут, например, прислать очень правдоподобное письмо от лица налоговой, информирующее о «непогашенных штрафах». Единственная защита здесь — внимательность. Проверяйте отправителя и помните: если кто-то знает ваши паспортные данные — это еще не значит, что этот кто-то представляет госорганы.
Как обеспечить безопасность данных?
Мы не способны полностью предотвратить утечки данных. Но свести риск потери денег к минимуму — в наших силах. В свою очередь, могу дать следующие рекомендации:
3 способа, которыми злоумышленник может взломать телефон без ведома жертв
Мы везде носим с собой наши мобильные телефоны, которые хранят личную информацию своих владельцев. Если эти данные попадут в чужие руки, это может иметь катастрофические последствия для нас. Хакеры и мошенники, как известно, используют фишинг для кражи личной информации. Они могут использовать эти данные, включая имена пользователей, пароли, номера социального страхования, PIN-коды и информацию о банковском счете, для кражи личных данных, кражи денег, шантажа, мошенничества и т. д.
Злоумышленники придумали уникальные способы мониторинга мобильных телефонов. Часто они используют уязвимости в операционной системе телефона, чтобы взломать его. Тем не менее, весьма часто они используют социальную инженерию, чтобы обмануть ничего не подозревающих людей при загрузке вредоносного программного обеспечения на свои мобильные телефоны. Вот три популярных способа взломать ваш телефон без вашего ведома:
- Через тексты. Взлом мобильного телефона через SMS / текст является популярным методом, используемым хакерами и мошенниками. Источник SMS может быть законным или известным. Может показаться, что сообщение отправлено банком, государственным учреждением или кем-либо из ваших знакомых и содержит ссылку на веб-сайт, который загружает вредоносное программное обеспечение на устройство. Формулировка SMS может обмануть пользователя устройства, открыв ссылку в сообщении. URL-адрес побуждает пользователя загрузить троянский конь или другое вредоносное программное обеспечение. Следовательно, хакер может получить доступ к данным на устройстве. В некоторых случаях ваш телефон может быть взломан, даже если вы не откроете сообщение. В статье Wired была описана ошибка в iPhone, с помощью которой можно взломать, даже не открыв сообщение. Эти ошибки «без взаимодействия» могут отправлять пользовательские данные без необходимости взаимодействия с пользователем. В других случаях отправитель может попросить вас отменить услугу или предоставить пароль. SMS также может содержать номер телефона, по которому вы можете перезвонить. В этом случае мошенники очень интеллектуально просматривают информацию о вашей кредитной карте. Этот метод также известен как SMS-фишинг или мошенничество. Smishing работает так же, как фишинг электронной почты.
- Через общедоступныйWi-Fi. Общественные сети Wi-Fi часто не защищены. Их можно использовать для взлома телефона, мониторинга ваших данных и проведения атак на ваше устройство. Когда вы подключаетесь к Wi-Fi, маршрутизатор записывает MAC-адрес и IP-адрес вашего мобильного телефона. В сети Wi-Fi данные передаются с использованием пакетов данных. Хакер может использовать общедоступный Wi-Fi для выполнения следующих действий:
- Атака «человек посередине»: хакер вставляет себя между сервером и клиентом, разрывает связь между клиентом и сервером и отслеживает взаимодействие.
- Обнаружение пакетов: хакерское программное обеспечение, отслеживает пакеты данных, передаваемых между мобильным устройством и сервером. Таким образом, если вы вводите имена пользователей и пароли при подключении к общедоступной сети Wi-Fi, хакер может просмотреть ее.
Что может контролировать хакер?
Журнал звонков, список контактов и текстовые сообщения.
Приложение регистрирует все входящие, исходящие и пропущенные звонки с указанием времени и даты каждого звонка. В дополнение к этому, приложение следит за списком контактов на устройстве. Кроме того, приложение отслеживает сообщения, отправляемые с помощью текстовых сообщений и приложений для обмена мгновенными сообщениями, таких как Facebook Messenger, Instagram Direct Messages, Skype, WhatsApp и других. Приложение также записывает данные отправителя и получателя каждого текстового сообщения. Так что, если на устройстве оно установлено, злоумышленник может отслеживать, с кем вы разговариваете, используя ваш телефон.
Xnspy также предлагает кейлоггер — функцию, которая отслеживает нажатия клавиш на устройстве. Преступник может использовать его для мониторинга паролей и имен пользователей.
Кроме того, Xnspy отслеживает мультимедийные файлы на ваших мобильных телефонах. Приложение загружает фотографии и видео, сохраненные на вашем устройстве, на сервер Xnspy. Можно просмотреть эти файлы в учетной записи Xnspy. Кроме того, можно также загрузить эти файлы для просмотра в более позднее время.
Интернет активность. Шпионское приложение, такое как Xnspy, может отслеживать электронную почту, историю браузера и веб-страницы, добавленные в закладки. Приложение записывает содержимое электронной почты, в том числе сведения об отправителе и получателе. Когда дело доходит до истории браузера, приложение отслеживает URL-адрес веб-страницы и частоту посещений веб-сайта.
Отслеживание местоположения. Xnspy записывает предыдущее местоположение и предоставляет актуальное местоположение мобильного телефона. Таким образом, сталкер может контролировать, где вы были в течение дня. В дополнение к этому, функция геозоны позволяет разработчикам устанавливать виртуальные границы. Если пользователь устройства вводит или покидает эти границы, приложение отправляет уведомление учетной записи.
Приложение также записывает сети Wi-Fi. Запись телефонных разговоров и прослушивание среды. Хакер может записывать телефонные звонки, отправляя команды из учетной записи Xnspy. Более того, он может использовать приложение для прослушивания окружения телефона, когда он находится в режиме ожидания. Приложение загружает аудиофайлы в учетную запись Xnspy, с помощью которой хакер может загружать и прослушивать целые разговоры.
Дистанционное управление. Злоумышленник может управлять устройством с ноутбука или компьютера, используя учетную запись Xnspy. Удаленные функции приложения позволяют хакеру стереть данные, заблокировать телефон и просмотреть активность приложения. Хакер также может отправлять удаленные команды, чтобы сделать снимки экрана мобильного телефона.
Следовательно, злоумышленник всегда знает о ваших действиях. Как можно установить его на свой телефон? Приложение совместимо с новейшими операционными системами iOS и Android, хакер может загрузить его как на телефоны, так и на планшеты. Чтобы скачать приложение, хакер может отправить ссылку по электронной почте. Если хакер имеет доступ к паролю вашего устройства, он может легко установить приложение на телефон Android. Однако для установки приложения на iPhone хакеру требуются только учетные данные iCloud (Apple ID и пароль). С приложением, установленным на телефоне, хакер может получить доступ к вашему мобильному телефону и записывать данные удаленно.
Убедитесь, что у вас 2fa активирован на вашем iPhone.
Как удалить приложение?
Чтобы определить, установлено ли на вашем телефоне какое-либо шпионское приложение, такое как Xnspy, вы можете заметить следующие признаки: Аккумулятор устройства быстро разряжается. Использование данных устройства является высоким. Некоторые приложения на телефоне больше не открываются. Устройство блокируется само по себе. Поскольку приложение работает в скрытом режиме, возможно, вы не сможете просмотреть приложение в списке приложений на устройстве. Таким образом, чтобы удалить приложение, вы должны сбросить настройки телефона.
Советы, которые помогут вам предотвратить взлом телефона
Вот несколько советов, которые вы можете использовать для предотвращения взлома телефона:
- Не делитесь паролями со всеми.
- Не используйте одинаковые пароли для всех устройств и учетных записей.
- Не открывайте ссылки, отправленные в текстовых сообщениях и электронных письмах, без проверки источника.
- Установите антивирусное программное обеспечение на свой телефон.
- Проверьте приложения, установленные на вашем телефоне, и удалите те, которые вы считаете подозрительными.
- Убедитесь, что у вас есть 2fa для iCloud и онлайн-аккаунтов.
- Регулярно обновляйте приложения и ОС вашего телефона.
- Не подключайте телефон к общедоступной учетной записи Wi-Fi без использования VPN.
- Используйте VPN для подключения телефона к общедоступной сети Wi-Fi.
Вывод
Хакеры нашли гениальные способы удаленного мониторинга устройств. Более того, такие приложения, как Xnspy, позволяют хакеру отслеживать всю активность на устройстве. Они могут использовать личную информацию или мошенничества и мошенничества. Следовательно, вы должны убедиться, что ваше устройство защищено от хакеров.
Как действуют хакеры, воруя ключи и пароли?
Я занимаюсь поиском уязвимостей в различных системах безопасности. В определённый момент мне стало понятно, что мои клиенты недостаточно хорошо знакомы (если вообще знакомы) с базовыми приёмами «хакинга». Ключи к API, пароли, SSH-ключи, сертификаты — всё это отличные механизмы защиты. Но это так до тех пор, пока их держат в секрете. После того, как подобные данные оказываются доступными тем, у кого доступа к ним быть не должно, оказывается, что сложность паролей и продвинутость алгоритмов хеширования уже значения не имеют. В этом материале я хочу рассказать о концепциях, методах и инструментах, применяемых исследователями систем безопасности для нахождения секретных данных. Такие данные используются для взлома систем. Я, кроме того, расскажу тут о простых последовательностях действий, которые помогут снизить риск успешной хакерской атаки.
Важно отметить то, что «игра» в нападение и защиту, в которую играют хакеры и владельцы компьютерных систем, это — нечестная игра. Атакующему достаточно, чтобы проникнуть в систему, выиграть лишь раз. А тому, кто защищается, выиграть можно лишь всегда побеждая. Главная сложность тут — знать о том, на что надо обращать внимание. Но после того, как защитник будет знать о том, через какие именно виртуальные «двери» в его систему может проникнуть хакер, эти «двери» можно защитить с помощью достаточно простых механизмов. Я полагаю, что простота этих механизмов иногда принижает их важность и является причиной того, что многие защитники компьютерных систем упускают эти механизмы из виду.
- Включайте многофакторную аутентификацию (multi-factor authentication, MFA) везде, где это возможно. Защищайте с её помощью учётные записи Google и GitHub, аккаунты облачных провайдеров, личные кабинеты VPN-сервисов. Если используемая вами система не предусматривает использование MFA — подумайте о переходе на другую систему.
- Выполняйте ротацию паролей и ключей, применяйте политики ротации паролей.
- Регулярно проверяйте код на наличие в нём того, чего в нём быть не должно. Лучше всего сделать такие проверки частью процесса проверки кода перед публикацией.
- Делегируйте одной центральной системе задачи по работе с профилями регистрации и по управлению доступом к другим системам. Эта система должна находится под вашим контролем, вы должны постоянно за ней наблюдать.
Как же действуют хакеры, находя пароли и секретные ключи? Какими инструментами они пользуются?
Хакеры находят секретные данные в JavaScript-файлах
Ключи к API разбросаны по всему интернету. Воспользоваться ими может кто угодно. Это — факт. Часто у того, что ключи оказываются в общем доступе, нет каких-то особых причин. Разработчики просто повсюду их забывают. Например, ключи попадают в код по следующим причинам:
- Для отладочных целей.
- Для целей локальной разработки.
- В виде комментариев, предназначенных для тех, кто будет поддерживать проект позже.
Хотя многие хакеры самостоятельно читают код JavaScript-файлов, такие файлы, в основном, ищут с помощью инструментов вроде meg, а потом проверяют то, что нашли, на наличие там соответствующих паттернов.
Как они это делают? После использования сканера вроде meg они ищут в найденных файлах строки, соответствующие различным шаблонам. Тот же, кто создал meg , написал ещё одну отличную программу, именно для этого и предназначенную. Она называется gf и представляет собой улучшенный вариант grep . В данном случае использование при запуске gf опции truffleHog или, в другом варианте её написания, trufflehog , позволяет инструменту находить высокоэнтропийные строки, представляющие собой ключи к API. То же самое касается и поиска строки API_KEY . Результаты поиска по такой строке часто (слишком часто) оказываются успешными.
Нередко у того, что ключи появляются в коде, есть совершенно нормальные причины, но такие ключи не защищены от посторонних. Приведу пример. Один клиент, с которым я работал, пользовался внешним сервисом картографической информации. Так делается во многих проектах. Для того чтобы загружать картографическую информацию и работать с ней, нужно было выполнять обращения к соответствующему API с использованием ключа. Но мой клиент забыл настроить применяемый им сервис так, чтобы ограничить источники, с которых в этот сервис могут поступать запросы, использующие этот конкретный ключ. Несложно представить себе простую атаку, которая заключается в том, чтобы истощить квоту на использование ресурсов картографического сервиса путём отправки к нему множества запросов. Это может стоить пользователю такого сервиса больших денег. Или, что ещё «лучше» (с точки зрения атакующего), такая атака может привести к тому, что те части проекта клиента, которые завязаны на картах, попросту «упадут».
JS-файлы используются хакерами не только для поиска секретных данных. Ведь такие файлы — это код вашего приложения, который может увидеть любой, кому этот код интересен. Хороший хакер может, внимательно прочтя код, разобраться в используемом в нём подходе к именованию сущностей, выяснить пути к API, может обнаружить ценные комментарии. Подобные находки оформляются в виде списка слов, передаваемого автоматическим сканерам. Это — то, что называется «интеллектуальным автоматизированным сканированием» («intelligent automated scan»), когда хакер комбинирует автоматические инструменты и собранную им информацию о конкретном проекте.
Вот реальный комментарий с домашней страницы одного проекта, в котором открытым текстом говорится о незащищённых API, данные из которых может получить кто угодно:
▍Что делать?
- Минифицируйте код. Благодаря этому код обфусцируется. Подобная обработка кода обратима, но благодаря ей можно обойти многие автоматические сканеры, что уменьшает потенциальные возможности атаки.
- Оставляйте в коде только абсолютный минимум ключей и путей к API. В то время как без некоторых из них обойтись не получится, о большинстве из них сказать того же самого нельзя. Оставляйте в коде только те ключи, которым совершенно необходимо в нём присутствовать.
- Понизьте разрешения, связанные с ключами, до абсолютного минимума. Если вспомнить пример с сервисом картографической информации, то можно сказать, что ключи должны быть такими, чтобы с их помощью можно было бы делать только то, для чего они предназначены, и чтобы пользоваться ими можно было бы только там, где они должны использоваться. Удостоверьтесь в том, что эти ключи нельзя использовать для атаки на систему.
- Используйте те же инструменты для автоматического сканирования кода, которые используют хакеры. Включайте их в системы непрерывной интеграции. Особенно это касается средств для поиска строковых паттернов, которые работают очень быстро. Используйте простые инструменты вроде grep или gf для поиска строк. Такая проверка кода сродни тестам. Она позволяет убедиться в том, что разработчики не оставляют в коде дыр, которыми может воспользоваться злоумышленник для взлома системы.
- Внедрите у себя практику код-ревью. Всегда полезно, когда кто-то проверяет ваш код. Все автоматические сканеры мира не способны выявить 100% возможных проблем. Код-ревью — это отличный способ повышения качества и защищённости кода.
Хакеры анализируют информацию из прошлого, пользуясь интернет-архивами
Архив Интернета (известный ещё как «Wayback Machine») хранит периодически создаваемые снимки веб-сайтов. Этот проект позволяет увидеть то, каким был интернет многие годы тому назад. Данные архива представляют немалый интерес для хакеров, которым нужно собрать сведения о некоем проекте. Сканировать файлы старых вариантов веб-сайтов можно с помощью инструментов наподобие waybackurls (он основан на waybackurls.py). Это значит, что даже если вы нашли в коде сайта ключ и убрали его оттуда, но не произвели ротацию ключей, хакеры могут найти этот ключ в старой версии сайта и воспользоваться этим ключом для взлома системы.
Вот что нужно сделать в том случае, если вы нашли ключ там, где его быть не должно:
- Создайте ключ, предназначенный для замены скомпрометированного ключа.
- Выпустите новую версию кода, в которой используется новый ключ. Этот код должен быть переписан так, чтобы в нём не было бы строк, позволяющих легко идентифицировать ключ.
- Удалите или деактивируйте старый ключ.
▍Архив Интернета — это не единственное место, где можно найти ключи
Старый код даёт злоумышленникам самую разную интересующую их информацию.
- Секретные пути к API. Речь идёт о незащищённых конечных точках API, сведения о которых, как думал разработчик, никогда не попадут в общий доступ. Хотя те пути, которые обнаружит хакер, могут оказаться для него бесполезными, эти пути способны помочь в понимании структуры API проекта и принятых в нём соглашений по устройству API. После того, как код сайта уходит в продакшн, у разработчика уже нет способов скрыть этот код от любопытных взглядов. Об этом очень важно помнить.
- Сведения для доступа к панелям администраторов веб-проектов. Эти данные, так же как и сведения о конечных точках API, оказываются в открытом доступе по разным причинам. Они часто становятся объектом интереса хакеров, которые находят и используют их. Открытые панели администрирования, в основном, можно обнаружить в проектах больших организаций. Такие панели создают команды, ответственные за ИТ-инфраструктуру. Рекомендуется периодически проверять такие панели и анализировать их на предмет того, какие возможности по доступу к системам они дают тому, кто ими пользуется. Например, недавно взломали одного производителя автомобильного оборудования, воспользовавшись дырой в подобной панели. Оказалось, что для проникновения в систему достаточно было убрать s из https .
Хакеры пользуются GitHub
GitHub — это настоящая золотая жила для хакеров. Если знать о том, где искать, то, воспользовавшись простыми инструментами поиска, можно найти много всего интересного. Если учётная запись вашей организации на GitHub не защищена механизмом многофакторной аутентификации, то все без исключения сотрудники организации представляют собой ходячие дыры системы безопасности. Вполне реально то, что некоторые из сотрудников используют везде один и тот же пароль, и то, что этот пароль уже был украден у них через какую-то другую систему. Хакер, которого интересует некая организация, может легко автоматизировать поиск скомпрометированных паролей, да что там говорить, он может найти такие пароли и вручную.
Список сотрудников организации можно создать, воспользовавшись методами разведки, основанной на открытых источниках (Open source intelligence, OSINT). Помочь в этом злоумышленнику может LinkedIn или общедоступный список сотрудников компании с GitHub.
Если, например, кто-то решил взломать компанию Tesla, то он вполне может начать изучение компании с этой страницы:
А даже если компания не использует GitHub в качестве git-платформы, на GitHub, всё равно, можно найти что-то ценное. Достаточно, чтобы этой платформой пользовался хотя бы один из сотрудников компании, например, для домашнего проекта. Если в коде этого проекта (или в истории git) появится что-то секретное, относящееся к компании, этого будет достаточно для того чтобы проникнуть в системы этой компании.
Отслеживание полной истории изменений, вносимых в каждый проект, это — природа git. В свете вопросов безопасности этот факт играет огромную роль. Другими словами, каждое изменение, внесённое в код любым, кто имеет доступ к каким-либо системам некоей организации, подвергает эту организацию опасности.
▍Почему это происходит?
- Компании не проверяют свои системы на предмет наличия в них уязвимостей.
- Те компании, которые выполняют подобные проверки, обычно не обращают внимания на общедоступные учётные записи своих сотрудников.
- Те компании, которые проверяют и свои системы, и учётные записи сотрудников (а таких, по грубым оценкам, менее 1%), часто слишком сильно полагаются на автоматические сканеры и не проверяют историю коммитов (то есть — анализируют не всё дерево git, а лишь то, что лежит на поверхности, представленное самой свежей версией кода).
- И наконец, достаточно часто компании не выполняют ротацию ключей и не применяют двухфакторную аутентификацию. Два этих приёма способны закрыть большинство вышеупомянутых брешей систем безопасности.
▍Основы использования особых поисковых запросов в GitHub
Существует такое понятие, как «дорки» («dorks») — особые поисковые запросы, использующие различные возможности поисковых систем для нахождения того, что имеет отношение к определённым данным. Вот — интересный список подобных поисковых запросов для Google, подготовленный exploit-db.com.
Если вы хотите углубиться в эту тему, а я рекомендую это сделать, то, прежде чем давать вам краткий список строк, используемых для поиска ключей и паролей на GitHub, предлагаю ознакомиться с этим ценнейшим материалом, написанным талантливым исследователем безопасности систем. Он рассказывает о том, как, что и где искать на GitHub, как пользоваться дорками, детально расписывает ручной процесс поиска секретных данных.
Дорки, применимые на GitHub, не так сложны, как те, которыми можно пользоваться в Google. Дело тут в том, что GitHub просто не предлагает пользователю столь же продвинутых поисковых возможностей, которые предлагает Google. Но, несмотря на это, правильный поиск по GitHub-репозиториям может прямо-таки творить чудеса. Попробуйте поискать в интересующем вас репозитории по следующим строкам:
А если попробуете искать определённые файлы, используя запросы вроде filename:.npmrc _auth или filename:.htpasswd , то вы сможете фильтровать результаты поиска по типам утечек данных. Вот ещё один хороший материал на эту тему.
▍Меры по снижению рисков, связанных с GitHub
- Сделайте сканирование кода на предмет уязвимостей частью CI-процесса. В этом вам может помочь отличный инструмент GitRob.
- Сканируйте репозитории сотрудников компании. GitRob выполняет подобные проверки без дополнительных настроек. Для того чтобы это отключить, можно запустить его с флагом no-expand-orgs .
- Проверяйте историю репозиториев. GitRob, по умолчанию, сканирует 500 коммитов, но вы можете решить пойти ещё дальше, воспользовавшись параметром вида -commit-depth <#number> .
- Включите на GitHub двухфакторную аутентификацию!
- Выполняйте, во всех без исключения системах, ротацию ключей доступа, секретных ключей, паролей. Рекомендуется использовать централизованную систему доступа к другим системам наподобие G Suite или Active Directory. Нужно обеспечить применение в подобной системе политик безопасности, касающихся ротации и сложности паролей.
Вот что говорит пользователь @corymcdonald:
Хакеры используют Google
Теперь, когда мы в общих чертах познакомились с дорками, мы можем поговорить о применении особых поисковых запросов в Google. Тут с их помощью можно найти просто невероятные вещи. Google — мощная поисковая система, которая позволяет строить запросы, описывая строки, которые должны и не должны присутствовать в искомых данных. Google, кроме прочего, позволяет искать файлы с определёнными расширениями, умеет выполнять поиск по заданным доменам, по URL. Взгляните на следующую поисковую строку:
Эта строка рассчитана на поиск файлов с расширением yml , причём, это должны быть файлы docker-compose , в которых разработчики нередко хранят пароли. Не особенно уникальные пароли. Попробуйте запустить в Google поиск по этой строке. Вас удивит то, что вы найдёте.
Другие интересные поисковые строки могут быть рассчитаны на поиск RSA-ключей или учётных данных AWS. Вот ещё один пример:
Тут перед нами открываются безграничные возможности. Качество поиска зависит лишь от уровня креативности исследователя и от того, насколько хорошо он знаком с различными системами. Вот, если хотите поэкспериментировать, большой список Google-дорков.
Хакеры тщательно изучают интересующие их системы
Когда некая система очень интересует исследователя безопасности (или мотивированного хакера), он приступает к глубокому изучению этой системы. Он близко знакомится с ней. Его интересуют конечные точки API, соглашения по именованию сущностей, особенности взаимодействия внутренних частей систем, наличие доступа к разным версиям системы в том случае, если одновременно используются её разные версии.
Не очень хороший подход к защите API заключается в том, чтобы усложнять пути доступа к ним, скрывать их с использованием чего-то вроде генератора случайных символов. Это не заменяет реальных механизмов обеспечения безопасности. Исследователи безопасности пытаются найти незащищённые пути доступа к системам, конечные точки API, например, пользуясь инструментами для «нечёткого» поиска уязвимостей. Такие инструменты используют списки слов, строят из них пути и проверяют эти пути, анализируя получаемые при попытке обращения к ним ответы. Подобный сканер не найдёт конечную точку, путь к которой представлен совершенно случайным набором символов. Но такие инструменты прекрасно показывают себя в деле идентификации паттернов и в нахождении конечных точек, о которых владельцы системы либо забыли, либо никогда и не знали.
Помните о том, что «безопасность через неясность» («security through obscurity») — это не лучший способ защиты систем (хотя полностью игнорировать его не стоит).
Тут на помощь злоумышленникам и приходят GitHub-дорки, о которых мы говорили выше. Знание о том, какие правила используются при составлении путей к конечным точкам системы (например — нечто вроде api.mydomain.com/v1/payments/. ) может оказать хакеру огромную помощь. Поиск по GitHub-репозиторию компании (и по репозиториям её сотрудников) на предмет строк, связанных с API, часто позволяет находить и пути, включающие в себя случайные символы.
Но и у «случайных строк», тем не менее, есть своё место в системах. Их применение всегда лучше, чем использование в путях к API последовательностей из идентификаторов ресурсов, строк вроде users и orders .
Вот — потрясающий репозиторий SecLists, который содержит множество строк, используемых при именовании сущностей. Им пользуются практически все, имеющие отношение к индустрии защиты данных. Часто эти материалы модифицируют под конкретную систему. Ещё один инструмент, который можно использовать для поиска «зашифрованных» путей, это FFuf — чрезвычайно быстрая программа, основанная на нечёткой логике, написанная на Go.
Итоги
Вопросы безопасности часто обходят вниманием в стартапах. Программисты и менеджеры обычно делают приоритетом скорость разработки и частоту выхода новых версий продукта, жертвуя качеством и безопасностью. Тут встречается включение в код, попадающий в репозитории, секретных сведений, использование в разных местах системы одних и тех же ключей, применение ключей доступа там, где можно воспользоваться чем-то ещё. Иногда может показаться, что нечто подобное позволяет ускорить работу над проектом, но, со временем, это может привести к очень плохим последствиям.
В этом материале я попытался показать вам то, как строки, которые, как кажется, защищены тем, что хранятся в закрытом репозитории, могут легко уйти в общий доступ. То же касается и клона репозитория, сделанного сотрудником из лучших побуждений и не предназначенного для чужих глаз, но оказавшегося общедоступным. Но можно создать базу для безопасной работы, воспользовавшись инструментом для организации безопасного совместного использования паролей, применив централизованное хранилище секретных данных, настроив политики безопасности паролей и многофакторную аутентификацию. Это позволит, не игнорируя безопасность, не замедлить скорость работы над проектом.
Если говорить о защите информации, то тут не очень хорошо работает идея, в соответствии с которой скорость — это самое главное.
Приобретение знаний о том, как работают хакеры, обычно представляет собой очень хороший первый шаг на пути к пониманию того, что такое информационная безопасность. Это — первый шаг к защите систем. Защищая системы, учитывайте вышеперечисленные способы проникновения в них, и то, что хакеры используют достаточно ограниченный набор таких способов. Рекомендуется рассматривать с точки зрения безопасности абсолютно всё, что так или иначе имеет отношение к некоей системе, вне зависимости от того, идёт ли речь о внешних или внутренних механизмах.
Защита систем иногда может восприниматься как дело не особо важное, но трудозатратное и беспокойное. Но будьте уверены: предпринятые вами простые действия по защите ваших систем способны избавить вас от огромных неприятностей.
��️ 8 популярных методов взлома, о которых вы должны знать
СтатьиКомпьютеры конца 50-х – начала 60-х годов были огромными, а их эксплуатационные расходы составляли тысячи долларов.
В связи с этим программисты искали способы получить максимальную отдачу от машин и придумали хитроумные хаки.
Эти взломы были ярлыками, которые изменяли и повышали производительность операционной системы (операционной системы) компьютера или приложений для быстрого выполнения большего количества задач.
Однако сейчас все изменилось.
Люди со злым умыслом могут взломать ваш телефон или системы компании, чтобы украсть информацию, которая стоит миллионы.
Наши телефоны хранят множество информации, от простых мелочей в виде заметок до самых важных, таких как данные кредитных карт, учетные записи электронной почты, учетные данные пользователей в социальных сетях и так далее.
С быстрым распространением цифровых устройств попытки получить доступ к этим цифровым дневникам возрастают и становятся все более навязчивыми.
Существует множество способов атаковать сети и устройства.
Вамешему вниманию 8 методов взлома и как вы можете предотвратить эти атаки.
1) Техника взлома – Bait and Switch
Bait and Switch – наиболее распространенная мошенническая схема, в которой участвуют высококлассные веб-сайты, занимающиеся рекламным пространством для третьих лиц.
Как следует из названия, эта техника взлома включает в себя хакера, покупающий рекламное место на этих сайтах.
Когда пользователь нажимает на объявление, он попадает на страницу, зараженную вредоносным ПО, которая устанавливает вирусы и / или рекламное ПО на ваш телефон или систему, получая тем самым доступ к вашей системе.
Рекламные ссылки и баннеры для скачивания сделаны так, чтобы это выглядело привлекательно, чтобы жертва не удержалась от нажатия на них.
Если вы хотите заиметь какой-либо гаджет или хорошую вещь, всегда приобретайте их в известных магазинах.
2) Кража Cookie
Цифровые следы очень даже реальны.
Файлы cookie вашего браузера хранят многое, включая ваше имя пользователя, историю просмотров и пароли для различных веб-сайтов, которые вы используете.
Как только хакер получит доступ к вашим cookie, он сможет выдать себя за вас в этом браузере.
Наиболее распространенный способ выполнить это – заставить IP-пакеты пользователя пройти через компьютер злоумышленника.
Этот метод также называется Session Hijacking.
Хакер может легко выполнить это, когда пользователь не использует SSL (https) в течение всего сеанса.
Если вы вводите свой пароль или банковские реквизиты на веб-сайте, убедитесь, что соединения зашифрованы.
Лучший метод предотвратить эту атаку, избегая общедоступных и незащищенных частных сетей.
Используйте VPN для шифрования и туннелируйте соединение на вашем мобильном телефоне.
И не забывайте чистить куки, чтобы там было нечего красть!
3) Отказ / распределенный отказ в обслуживании (DoS / DDoS)
Это классический метод, который хакеры используют для взлома сетей или систем, заполняя их большим количеством трафика, включая запросы данных, повторяющиеся задачи и попытки входа в систему.
Сервер не может обработать запросы вовремя и в результате происходит сбой.
Целевая машина переполняется запросами, которые сокращают ресурсы и в конечном итоге ограничивает фактический функционал.
Также известно, что хакеры настраивают зомби-компьютеры или бот-неты, назначенные для перегрузки ваших систем пакетами запросов.
С каждым годом вредоносные программы и хакеры стремительно развиваются, и количество DDoS-атак увеличивается.
4) Подслушивание или запись объемного звука
Хакеры используют эту пассивную технику для прослушивания разговоров и сетевого подключения других людей и записи максимально ценной информации.
Существуют различные методы мониторинга, такие как перехват данных, перехват пакетов и другие методы, такие как приложения записи объемного звука.
Одним из них является Xnspy, приложение для записи объемного звука, которое позволяет прослушивать окружение телефона.
Xnspy работает скрытно в фоновом режиме и работает тихо.
Хакер может установить его на свой телефон.
Приложение работает, не показывая себя в установленных приложениях.
Хакер отправляет удаленную команду, которая включает микрофон телефона.
Приложение записывает все разговоры и звуки, происходящие вокруг телефона.
Поэтому не оставляйте свой телефон без присмотра.
И если вы потеряете его и вернете после какого-нибудь отрезка времени, сбросьте его к заводским настройкам.
Кроме того, избегайте использования незащищенных и общедоступных сетей Wi-Fi.
Используйте IPS – системы предотвращения вторжений для защиты от прослушивания.
5) Кейлоггинг
Кейлоггинг является одним из самых простых и старых методов взлома, который позволяет хакерам и злоумышленникам записывать нажатия клавиш, которые вы совершаете.
Более сложный вид включает в себя навигацию и щелчки мыши.
Хакеры могут даже получить имена пользователей и пароли через полученные файлы журналов.
6) WAP-атаки
Поддельная точка беспроводного доступа (WAP) – это как обманная точка доступа Wi-Fi, которую хакеры используют мониторинга или перехвата потоков данных жертвы.
Хакеры находят место, куда физически обращается жертва, например, парк или кафе.
Как только хакеры ознакомятся с вашими перемещениями, когда вы приедете и подключитесь, они сформируют поддельную точку доступа Wi-Fi, а затем изменят сайты, которые вы часто посещаете, перенаправляя их вам, чтобы получить ваши данные.
Эта атака собирает информацию о пользователе из определенного пространства, поэтому не так просто обнаружить злоумышленника.
Лучше всего избежать этой атаки, это следовать основным правилам безопасности (обновляя телефон), и никогда не подключаться к публичным точкам доступа.