На Apple подали в суд за двухфакторную аутентификацию
Житель Калифорнии Джей Бродски (Jay Brodsky) подал в суд на компанию Apple за «незаконное» включение двухфакторной аутентификации. Бродски жалуется на то, что двухфакторная аутентификация существенно усложняет жизнь пользователям, поскольку от них требуется не только помнить пароль, но еще и иметь доступ к доверенному телефону или телефонному номеру.
Согласно документам, прилагающимся к коллективному исковому заявлению, несколько человек уже пострадали из-за двухфакторной аутентификации и продолжают нести ущерб. В качестве примера ущерба истцы привели финансовые потери, связанные с тратой времени на длительный процесс многоступенчатой авторизации. Как сообщается в исковом заявлении, из-за двухфакторной аутентификации процесс авторизации занимает от двух до пяти минут.
По словам Бродски, примерно в сентябре 2015 года с выходом очередных обновлений Apple по умолчанию активировала двухфакторную аутентификацию, не реализовав при этом механизм, позволяющий пользователю ее отключить. Более того, из электронного письма, полученного пользователем после включения двухфакторной аутентификации, не становится ясно, что функция является неотключаемой.
Истцы намерены заставить Apple выплатить штраф в соответствии с «Законом о компьютерном мошенничестве и злоупотреблениях». Кроме того, они требуют наложения судебного запрета и будут добиваться «всех средств, доходов и выгод», которые Apple «несправедливо получила» от включения двухфакторной аутентификации (о каких именно выгодах идет речь, в иске не уточняется).
Клиент криптовалюты Denarius устанавливал троян AZORult
Злоумышленники взломали репозиторий разработчиков официального клиента криптовалюты Denarius и загрузили на сервер модифицированную версию программы. В установщик приложения был добавлен бэкдор для установки AZORult — трояна, похищающего пароли, файлы cookie и данные цифровых кошельков. По информации ИБ-специалистов, зараженный вариант клиента установлен на более чем 3 тыс. хостов.
О проблеме сообщил эксперт с псевдонимом Misterch0c, который обнаружил, что с аккаунта Denarius на GitHub раздается программа вместе со зловредом. Киберпреступники заменили версию 3.3.6 официального Windows-клиента цифровой валюты, выпущенную 22 января. По сообщению разработчика Карсена Клока (Carsen Klock), взломщики получили доступ к репозиторию, скомпрометировав его пароль.
Создатели Denarius не сообщают, когда произошел инцидент, и отмечают, что в данный момент взломанный клиент удален из хранилища. По информации аналитика с ником pя$ёcцяїтч, имеющего доступ к панели управления командного сервера AZORult, от атаки пострадали 3200 держателей криптовалюты, большая часть которых находится в США, России и Германии.
AZORult способен похищать широкий спектр данных, а также устанавливать на зараженное устройство дополнительные модули, получаемые с командного сервера. За атаками могут стоять различные криминальные группировки и отдельные злоумышленники, поскольку в дарквебе существует бесплатный сервис по созданию готовых к работе исполняемых файлов зловреда. Киберпреступнику достаточно лишь указать адрес компьютера, который будет выступать в качестве центра управления, чтобы получить собственный экземпляр трояна.
В январе этого года в дикой природе был найден штамм AZORult, маскирующийся под программу обновления сервисов Google. Зловред был подписан действительным сертификатом безопасности и внедрялся в инфицированную систему вместо легитимного приложения. Троян использовал уже существующие записи в реестре и списке автозагрузки, чтобы оставаться в компьютере даже после его перезапуска.
Источник: https://threatpost.ru/denarius-client-was-injected-with-azorult/30969/
Компания Airbus сообщила о взломе
Одна из крупнейших авиастроительных компаний в мире, Airbus, сообщила о компрометации, произошедшей из-за «неавторизованного доступа к данным».
Официальный пресс-релиз гласит, что инцидент затронул информационные системы подразделения Commercial Aircraft (коммерческих воздушных судов), но не коснулся коммерческих операций компании.
Практически никаких подробностей случившегося пока не сообщается. Какие именно данные интересовали взломщиков, пока неясно, известно лишь, что неназванная третья сторона могла получить доступ к личным данным европейских сотрудников компании, включая профессиональные контакты и «идентификационные ИТ-данные» (вероятно, под этой формулировкой подразумеваются учетные данные).
Сообщается, что сейчас проводится расследование случившегося, и в компании уже приняли меры для усиления безопасности. Кроме того, Airbus уведомили о произошедшем представителей соответствующих ведомств (в соответствии с GDPR), а также сотрудников компании попросили соблюдать необходимые в такой ситуации меры предосторожности.
В промышленных шлюзах Kunbus закрыта 10-балльная брешь
В решении KUNBUS-GW Modbus TCP PR100088, предназначенном для использования в сетях промышленных предприятий, выявлены пять уязвимостей. Две из них оценены как критические, еще две — как высокой степени опасности.
Все проблемы, перечисленные в бюллетене ICS-CERT, обнаружил эксперт компании Applied Risk Николас Мерле (Nicolas Merle). Уязвимостям, в наличии которых повинен веб-сервер, подвержены шлюзы передачи данных PR100088 Modbus всех прежних выпусков (с ПО версий ниже 1.1.13166).
Критическая уязвимость CVE-2019-6527 (9,6 балла) открывает возможность для обхода аутентификации и захвата контроля над устройством. Как оказалось, при смене пароля веб-приложение шлюза не проверяет, совершен выход из аккаунта или нет. Если законный администратор входил в веб-интерфейс и не перезагружал устройство, злоумышленник сможет изменить пароль, зайдя на соответствующую страницу, и заблокировать доступ админу до следующего перезапуска (кнопкой RESET).
Брешь CVE-2019-6531 (8,8 балла) возникла из-за того, что в ходе аутентификации веб-сервер отправляет на устройство запрос HTTP GET с паролем пользователя в открытом виде. Перехват трафика и получение пароля в этом случае не составят особого труда.
Уязвимость CVE-2019-6549 (7,2 балла) позволяет через FTP-службу получить доступ к учетным данным, которые хранятся на устройстве в виде XML-файла и без шифрования. Причиной появления бага CVE-2019-6529 (4,9 балла) тоже является недочет в реализации FTP. Согласно описанию, злоумышленник может вызвать отказ в обслуживании, подав на устройство объемный запрос (свыше 256 знаков) по этому протоколу.
Три уязвимости Kunbus уже пропатчила, выпустив обновление R02 (с ПО версии 1.1.13166). Заплатки для CVE-2019-6531 и CVE-2019-6549 германский разработчик включит в пакет R03, который появится ближе к концу февраля.
Источник: https://threatpost.ru/kunbus-fixes-critical-flaws-in-modbus-tcp-pr100088-gateway/31007/
В приложении «Связка ключей» для macOS нашли уязвимость
Независимый ИБ-исследователь из Германии Линус Хенце (Linus Henze) сообщил о новом способе атаки на Связку ключей macOS. Проблема распространяется на все версии ОС, включая актуальную на момент публикации — 10.14.3 Mojave.
Эксперт отказывается делиться с Apple информацией о баге в знак протеста: компания не вознаграждает «белых» хакеров, обнаруживших уязвимости в macOS, в отличие от их коллег, нашедших бреши в iOS.
По словам исследователя, обнаруженная проблема распространяется не только на штатное приложение, но и на связки ключей, созданные пользователями. Эксплойт KeySteal не требует привилегий администратора и работает при включенной системе защиты System Integrity Protection. Хенце считает, что для доставки зловреда можно скрыть его внутри другого приложения или направить жертву на веб-страницу, запускающую мошеннический код.
В качестве доказательства бага исследователь опубликовал видео на YouTube.
Работоспособность эксплойта уже подтвердил бывший аналитик АНБ Патрик Уордл (Patrick Wardle), выразив недовольство халатностью разработчиков Связки ключей.
«Тот факт, что Apple не могут защитить связки ключей, обескураживает. Какой смысл создавать инструмент для хранения самой чувствительной информации в системе, если сам механизм постоянно оказывается ненадежен?» — негодует исследователь.
Представители Apple отказались прокомментировать ситуацию в ответ на запрос Forbes. Поскольку Хенце не предоставил компании техническую информацию об уязвимости, сроки выхода исправления пока неизвестны.
Уордл, обнаруживший схожую ошибку в сентябре 2017 года, рассказал пользователям macOS о том, как предотвратить кражу учетных данных. По его мнению, лучшая защита на данный момент — вручную задать пароль для Связки ключей.
