Каждый месяц в мире кибербезопасности, конфиденциальности в Интернете и защиты данных происходит так много всего. Сложно не отставать!
Наш ежемесячный обзор безопасности поможет вам следить за самыми важными новостями о безопасности и конфиденциальности каждый месяц. Вот что случилось в ноябре.
1. Marriott International потерпела 500-метровое нарушение данных
Как и прежде, одна из самых важных новостей о безопасности в конце месяца.
Ноябрь закончился, когда группа отелей Marriott International обнаружила огромное нарушение данных. Предполагается, что пострадало до 500 миллионов записей клиентов, поскольку злоумышленник имел доступ к сети Marriott International Starwood с 2014 года.
Marriott International приобрела Starwood в 2016 году, чтобы создать крупнейшую сеть отелей в мире с более чем 5800 объектами недвижимости.
Утечка означает разные вещи для разных пользователей. Однако информация для каждого пользователя содержит комбинацию из:
- название
- Адрес
- Номер телефона
- Адрес электронной почты
- Номер паспорта
- Информация об учетной записи
- Дата рождения
- Пол
- Информация о прибытии и отъезде
Возможно, наиболее важным является открытие Marriott, что немного записи содержали зашифрованную информацию о карте, но также не могли исключить, что закрытые ключи были также украдены.
Если коротко, то это так: если вы останавливались в каком-либо отеле Marriott Starwood, включая таймшер, до 10 сентября 2018 года, ваша информация могла быть скомпрометирована.
Marriott принимает меры для защиты потенциально затронутых пользователей, предлагая бесплатную годовую подписку на WebWatcher. Граждане США также получат бесплатную консультацию по мошенничеству и покрытие возмещения бесплатно. В настоящее время существует три сайта регистрации:
- Соединенные Штаты
- Канада
- Объединенное Королевство
В противном случае, проверьте эти три простых способа защиты ваших данных
после крупного нарушения.
2. JavaScript-библиотека Event-Stream с крипто-кражей вредоносных программ
Библиотека JavaScript, которая получает более 2 миллионов загрузок в неделю, была закачана вредоносным кодом, предназначенным для кражи криптовалют.
Было обнаружено, что репозиторий Event-Stream, пакет JavaScript, который упрощает работу с потоковыми модулями Node.js, содержит запутанный код. Когда исследователи расшифровали код, стало ясно, что его целью является кража биткойнов.
Анализ показывает, что код предназначен для библиотек, связанных с биткойн-кошельком Copay для мобильных и настольных компьютеров. Если кошелек Copay присутствует в системе, вредоносный код пытается украсть содержимое кошелька. Затем он пытается подключиться к малазийскому IP-адресу.
Вредоносный код был загружен в репозиторий Event-Stream после того, как первоначальный разработчик, Доминик Тарр, передал управление библиотекой другому разработчику, right9ctrl.
Right9ctrl загрузил новую версию библиотеки почти сразу после передачи контроля, новая версия, содержащая вредоносный код, предназначенный для кошельков Copay.
Однако с тех пор right9ctrl загрузил еще одну новую версию библиотеки — без какого-либо вредоносного кода. Новая загрузка также совпадает с обновлением Copay пакетов мобильных и настольных кошельков, чтобы исключить использование библиотек JavaScript, предназначенных для вредоносного кода.
3. Amazon переносит нарушение данных за несколько дней до Черной пятницы
Буквально за несколько дней до самого большого дня покупок в году (за исключением, конечно же, дня единственного в Китае) Amazon столкнулась с утечкой данных.
«Мы связываемся с вами, чтобы сообщить, что на нашем веб-сайте случайно были указаны ваше имя и адрес электронной почты из-за технической ошибки. Проблема была исправлена. Это не результат того, что вы сделали, и вам не нужно менять пароль или предпринимать какие-либо другие действия ».
Трудно определить точные детали нарушения, потому что, в общем-то, Amazon не сообщает. Тем не менее, пользователи Amazon в Великобритании, США, Южной Корее и Нидерландах сообщили о получении электронного письма Amazon о нарушении, так что это была довольно глобальная проблема.
Пользователи могут утешиться тем, что это была техническая проблема Amazon, которая привела к взлому данных, а не к атаке на Amazon. Предоставление информации также не содержит банковской информации.
Однако сообщение Amazon о том, что пострадавшим пользователям не нужно менять свой пароль, совершенно неверно. Если вы пострадали от нарушения данных Amazon, измените пароль своей учетной записи.
4. Самошифрующиеся уязвимости Samsung и основные SSD
Исследователи в области безопасности обнаружили множество критических уязвимостей в жестких дисках Samsung и Crucial с самошифрованием. Исследовательская группа провела тестирование трех жестких дисков Crucial и четырех твердотельных накопителей Samsung, обнаружив критические проблемы с каждой протестированной моделью.
Карло Мейер и Бернард ван Гастел, исследователи безопасности в университете Radboud в Нидерландах, выявили уязвимости [PDF] в реализации приводами безопасности ATA и TCG Opal, которые представляют собой две спецификации для реализации шифрования на твердотельных накопителях, использующих аппаратное шифрование.
Существует множество проблем:
- Отсутствие криптографической привязки между паролем и ключом шифрования данных означает, что злоумышленник может разблокировать диски, изменив процесс проверки пароля.
- Crucial MX300 имеет мастер-пароль, установленный производителем — этот пароль является пустой строкой, например, его нет.
- Восстановление ключей шифрования данных Samsung с помощью выравнивания износа SSD.
К сожалению, исследователи заявили, что эти уязвимости вполне могут относиться к другим моделям, а также к различным производителям твердотельных накопителей.
Хотите знать, как защитить ваши диски? Вот как вы защищаете свои данные с помощью инструмента шифрования с открытым исходным кодом, VeraCrypt
,
5. Apple Pay Malvertising Campaign ориентирована на пользователей iPhone
Пользователи iPhone являются целью продолжающейся вредоносной кампании с участием Apple Pay.
Кампания пытается перенаправить и обмануть пользователей их учетными данными Apple Pay, используя два всплывающих окна с фишингом, при этом атака происходит через серию премиальных газет и журналов при доступе через iOS.
Вредоносное ПО, известное как PayLeak, доставляет ничего не подозревающих пользователей iPhone, которые нажимают на вредоносное объявление на зарегистрированный в Китае домен.
Когда пользователь попадает в домен, вредоносная программа проверяет ряд учетных данных, включая движение устройства, тип устройства (Android или iPhone), а также, является ли браузер устройства Linux x86_64, Win32 или MacIntel.
Кроме того, вредоносная программа проверяет устройство на наличие антивирусных или вредоносных программ.
Если соблюдаются правильные условия, пользователи Android перенаправляются на фишинговый сайт, который утверждает, что пользователь выиграл подарочную карту Amazon.
Тем не менее, пользователи iPhone получают два всплывающих окна. Первый — предупреждение о том, что iPhone нуждается в обновлении, а второй — о том, что его приложение Apple Pay также нуждается в обновлении. Второе предупреждение делится информацией о кредитной карте Apple Pay с удаленным сервером управления и контроля.
6. Миллион детей отслеживает часы, уязвимые
По крайней мере, один миллион детских трекерных часов с поддержкой GPS продан родителям с уязвимыми местами.
Исследование Pen Test Partners подробно изложило целый ряд вопросов безопасности с чрезвычайно популярными часами безопасности MiSafe для детей. Часы с поддержкой GPS предназначены для того, чтобы родители могли постоянно отслеживать местонахождение своего ребенка.
Однако исследователи безопасности обнаружили, что идентификационные номера устройств и, следовательно, учетная запись пользователя могут быть доступны.
Доступ к учетной записи позволил группе безопасности определить местонахождение ребенка, просмотреть фотографию ребенка, прослушать разговоры между ребенком и его родителями, либо сделать удаленный вызов или сообщение ребенку самостоятельно.
«Наше исследование было проведено на часах с маркой« Misafes Kids Watcher »и, похоже, затрагивает до 30 000 часов. Тем не менее, мы обнаружили, по крайней мере, 53 других бренда детских трекеров, которые подвержены одинаковым или почти одинаковым проблемам безопасности ».
Уязвимости в интеллектуальных устройствах, ориентированных на детей, не являются новой проблемой
, Это, однако, остается тревожным.
«Так как же купить безопасные умные игрушки для своих детей? Вы этого не делаете », — говорит Аарон Цандер, инженер по информационным технологиям в Hacker One. «Но если вам нужно, не выбирайте самые дешевые варианты и постарайтесь свести к минимуму такие возможности, как видео, Wi-Fi и Bluetooth. Кроме того, если у вас есть устройство, и у него есть недостатки в области безопасности, обратитесь к представителям вашего правительства, напишите свои регулирующие органы, воняйте по этому поводу, это единственный способ, которым оно становится лучше ».
Обзор новостей по безопасности за ноябрь
Это шесть из лучших историй безопасности от ноября 2018 года. Но произошло гораздо больше; у нас просто нет места, чтобы перечислить все это подробно. Вот еще пять интересных историй безопасности, которые появились в прошлом месяце:
- Японский заместитель начальника по стратегии кибербезопасности показал, что он никогда не использовал компьютер.
- Национальное вредоносное ПО Stuxnet атакует объекты и организации в Иране (снова).
- Хакеры находят эксплойты нулевого дня в устройствах iPhone X, Samsung Galaxy S9 и Xiaomi Mi6.
- Microsoft исправляет уязвимость нулевого дня Windows, используемую в многочисленных атаках различными хакерскими группами.
- Усовершенствованный шпион Pegasus используется для преследования журналистов-расследователей в Мексике.
Еще один вихрь новостей о кибербезопасности. Мир кибербезопасности постоянно меняется, и борьба с последними нарушениями, вредоносными программами и проблемами конфиденциальности — это борьба.
Вот почему мы ежемесячно собираем для вас самые важные и самые интересные новости.
Перепроверьте в начале следующего месяца — начало нового года, не меньше — для вашей декабрьской сводки безопасности 2018 года. В следующем месяце MakeUseOf 2018 также будет представлен в сводке безопасности. А пока ознакомьтесь с этими пятью советами и рекомендациями по обеспечению безопасности ваших интеллектуальных устройств.
,
Изображение предоставлено: Karlis Dambrans / Flickr
