Вместо ожидаемого обновления MacBook Air компания Apple представила MacBook с Retina-дисплеем. Тонкий ультрабук стал ещё красивее и тоньше, а единственная 12-дюймовая модель MacBook получила полностью переработанные клавиатуру, тачпад, всё, что касается коммуникаций и аппаратных компонентов, а также традиционные для iPhone и iPad цветовые вариации.
MacBook стал своеобразной революцией в плане инженерных инноваций. Новинка весит всего 900 грамм и имеет толщину 13 миллиметров. Привычную unibody-конструкцию переработали так, чтобы уместить всё, что в этом ноутбуке стало меньше, тоньше и совершеннее.
MacBook оснащается 12-дюймовым Retina-дисплеем с разрешением 2304×1400 пикселей. Кроме того, толщину панели уменьшили до 0,88 миллиметра, а энергопотребление — на 30% в сравнении с предыдущими экранами.
Значительные изменения претерпели элементы управления — клавиатура и тачпад. Новое крепление клавиатуры и на 17% увеличенная площадь клавиш позволили увеличить точность набора текста и уменьшить толщину на 40%. Доработали и диодную подсветку, сделав её индивидуальной для каждой кнопки.
Тачпад ноутбуков Apple стал ещё лучше. Теперь он определяет силу нажатия, за это отвечают четыре отдельных сенсора и отдельный контроллер Taptic Engine, как в часах Watch. Благодаря этому тачпад Force Touch умеет распознавать множество степеней нажатий: слабое нажатие — привычный клик, сильное — открывает дополнительное меню возможностей, например отображение адреса на карте, показ превью файла или добавление нового контакта по выбранному номеру. Кроме этого, внутри стоит и акселерометр, возможности которого применили, например, в динамическом управлении скоростью воспроизведения медиафайла.
Материнскую плату уменьшили как минимум вдвое, полностью избавились от вентиляторов, а всё остальное пространство заполнили аккумулятором. При этом батареи получили асимметричную форму и располагаются в корпусе слоями, максимально эффективно заполняя внутреннее пространство. Благодаря этому и энергоэффективному процессору на платформе Intel Core M времени работы ноутбука должно хватить на целый день использования. В цифрах это 9 часов в режиме просмотра интернет-страниц и 10 часов в режиме просмотра видео.
Подтвердились слухи о новом универсальном порте USB-C, который совмещает в себе разъём для зарядки и имеет поддержку miniDisplay Port, HDMI и других популярных портов через сторонние адаптеры. Это значит, что в MacBook есть только USB-C и разъём для наушников.
Новый MacBook будет доступен в одном из трёх цветов, знакомых по мобильным гаджетам: Silver, Space Gray и Gold. Младшая модель с процессором 1,1 ГГц и 256 ГБ внутренней памяти обойдётся покупателям в США в $1299, а более производительная старшая модель с удвоенным хранилищем — $1599. Все модели идут с 8 ГБ оперативной памяти.
Последовательность правильных ответов была такова: 223333323. Из всех, кто ответил верно, ребята из Сougar случайным образом выбрали шесть человек и присудили им призовые места.
Блогер WZor, который периодически публикует инсайдерскую информацию о компании Microsoft, выложил несколькопорцийскриншотов с самого последнего билда Windows 10 Enterprise x64 Technical Preview Build 10031.0.
К сожалению, готовый дистрибутив на этот раз не «утёк» в Сеть, но скоро наверняка появится, так что показанные на скриншотах «фишки» можно будет проверить в деле.
WZor пишет насчёт нового браузера Spartan и голосового помощника Cortana: «Оно пока что в недрах Microsoft доступно крайне ограниченному числу, слить — значит, спалиться, причём вчистую…».
Google создаёт версию Android для виртуальной реальности, которая будет конкурировать с софтом VR-гаджетов от Facebook, Samsung, Microsoft и других компаний, уже заявивших о себе на новом рынке, сообщает Wall Street Journal со ссылкой на двоих знакомых с проектом инсайдеров. По их словам, над проектом трудятся десятки инженеров и другие сотрудники корпорации, а стратегия развития системы будет позаимствована у мобильной Android и подразумевает свободное распространение, которое сделало Google лидером рынка смартфонов.
Соперники Маунтин-Вью проводят крупные инвестиции в виртуальную реальность. Например, Facebook заплатила за Oculus VR $2 миллиарда и активно развивает это направление бизнеса при поддержке Samsung. Нет сомнений и в том, что гарнитура Project Morpheus для PlayStation 4 обошлась Sony в круглую сумму. Альтернативой устройствам от Oculus и Sony выступают очки дополненной реальности Microsoft HoloLens и загадочная разработка Magic Leap на основе световых полей, в которую инвестировала сама Google.
По данным Wall Street Journal, лидерами проекта Android для виртуальной реальности являются ветераны компании Клэй Бэйвор (Clay Bavor) и Джереми Дойг (Jeremy Doig). Бэйвор участвовал разработке Google Cardboard — платформы виртуальной реальности для смартфонов, которая в настоящий момент является самым доступным способом приобщиться к VR-миру от A-бренда, благодаря низкой стоимости очков. Стоит предположить, что проекты VR-Android и Cardboard тесно интегрированы и почерпнули многое из наработок отделов Glass и Tango.
Данные по срокам и возможным партнёрам Google в проекте не раскрываются. В компании оставили известия без комментариев.
«Лаборатория Касперского» сообщает о новой версии трояна Trojan-SMS.AndroidOS.Podec с расширенной функциональностью. Он умеет отправлять сообщения на платные короткие номера с использованием механизмов обхода системы Advice of Charge (уведомление пользователя о стоимости услуги и запрос на подтверждение её оплаты), осуществлять подписку жертвы на платные услуги, в том числе с обходом CAPTCHA. Такая функциональность до этого не встречалась ни в одном известном Android-троянце, признают специалисты «Лаборатории Касперского».
Судя по статистике Kaspersky Security Network, основными источниками распространения изучаемой версии зловреда являются домены со звучными именами (Apk-downlad3.ru, minergamevip.com и т.д.), а также серверы социальной сети «Вконтакте», использующиеся для хранения пользовательского контента.
Доля серверов социальной сети преобладает, но, к сожалению, сервис хранения файлов в этой сети анонимен, и поиск путей появления зловредов невозможен, пишет «ЛК». Расследование выявило существование в этой сети целого ряда сообществ, распространяющих Trojan-SMS.AndroidOS.Podec:
http://vk.com/vzlomannye_igry_dlya_android
http://vk.com/skachat_minecraft_0_9_0_android
http://vk.com/minecraft_pe_0_9
http://vk.com/vzlom_igry_android_mody
http://vk.com/igry_android_cheats
http://vk.com/android_mody_apk
http://vk.com/novye_igry_na_android
http://vk.com/skachat_hill_climb_racing_bpan
http://vk.com/na_android_igry
Все группы из этого списка были наполнены схожим по сути контентом: картинками, ссылками, сообщениями.
Тематика каждой группы посвящена, как правило, одной конкретной взломанной игре или набору взломанных игр — киберпреступники рассчитывали привлечь внимание потенциальных жертв, заинтересованных в бесплатном использовании популярного платного контента.
Почти все сообщения на стене группы являются ссылками на сайты, якобы содержащие игры и приложения для платформы Android. То же самое касалось раздела «Ссылки». На деле единственной целью создания этих сайтов было распространение различных версий Trojan-SMS.AndroidOS.Podec.
Администратором всех сообществ-клонов является пользователь «Вконтакте» с ID “kminetti”; на его странице проводится реклама указанных выше сообществ. Аккаунт ведется с 12 октября 2011 г., с 2012 года на стене начали размещать ссылки на сайты и сообщества, распространяющие вредоносные приложения для мобильных платформ.
Выдержка из сообщения «Лаборатории Касперского»
Попавший в «Лабораторию Касперского» образец мобильного троянца маскируется под популярное приложение Minecraft – Pocket Edition. Размер файла – 688 килобайт, что является преимуществом в глазах неопытных пользователей с медленным и/или дорогим интернетом. Размер официального приложения составляет от 10 до 13 мегабайт.
После запуска приложение запрашивает права администратора устройства; цель данного шага – противодействовать своему удалению как со стороны пользователя, так и со стороны защитных решений. Если пользователь отказался выдать права администратора, троянец повторяет свой запрос до тех пор, пока не получит желаемое. Нормальная работа с устройством при этом, фактически, невозможна.
После того, как Trojan-SMS.AndroidOS.Podec получил привилегированный доступ, происходит загрузка (со стороннего ресурса) и установка на SD-карту устройства легитимного приложения Minecraft. Такое поведение настраивается в конфигурационном файле, поставляемом вместе с троянцем; в этом же файле указана ссылка на скачивание легитимного APK-файла. В то же время конфигурационный файл может и не содержать ссылки на приложение, в этом случае троянец просто прекращает заметную пользователю активность после запроса привилегий.
Далее троянец удаляет свой ярлык из списка приложений и заменяет его ярлыком настоящего приложения. При этом неочевидные следы троянца остаются в списке установленных приложений и списке администраторов устройства:
Управление поведением Trojan-SMS.AndroidOS.Podec происходит с помощью командных серверов. Используется схема, при которой троянец обращается по протоколу HTTP к серверу и ждет SMS-сообщения с командами, управляющими его поведением. Trojan-SMS.AndroidOS.Podec использует основной и резервный списки доменных имен командных серверов – выбор конкретного центра управления происходит по случайному алгоритму. Если от основного сервера нет ответа в течение трёх дней, то используется резервный список имен. Таким образом реализуется адаптивный механизм связи с командными серверами, позволяющий обходить возможные блокировки доменных имен.
Доменные имена командных серверов и весь трафик (как HTTP, так и SMS) шифруются алгоритмом шифрования AES в режиме CBC/NoPadding с 128-битным ключом. Ключ шифрования и вектор инициализации изначально находятся в файле fXUt474y1mSeuULsg.kEaS (название данного файла отличается от модификации к модификации), расположенном в папке assetsисходного приложения. Большая часть файла представляет из себя мусор; полезная информация содержится в нем между тегами, например, [a]строка[/a].
Из расположенных между тегами строк получаются необходимые параметры шифрования (ключ и вектор) в зашифрованном виде. Далее они расшифровываются при помощи простых замен одних подстрок на другие.
Команды в расшифрованном виде представляют собой XML-документ, теги которого обозначают определенную команду, а содержимое тегов – ее параметры. Набор возможностей Trojan-SMS.AndroidOS.Podec, реализуемых посредством команд:
Сбор информации об устройстве (оператор, IMEI, номер телефона, язык интерфейса, страна и город проживания и т.д.).
Получение списка установленных приложений.
Получение информации об USSD.
Отправка SMS.
Установка фильтра на входящие сообщения.
Установка фильтров на входящие и исходящие звонки.
Показ пользователю рекламы (отдельная нотификация, открытие страницы, диалог и другие виды демонстрации рекламного контента).
Удаление заданных сообщений.
Удаление заданных записей о звонках.
Загрузка на сервер злоумышленников исходного HTML-кода заданной ими страницы.
Выполнение DDoS-атаки, накручивание счетчика посещений сайтов.
Осуществление подписки пользователя на платный контент.
Самообновление.
Осуществление исходящего вызова.
Выгрузка входящих сообщений по заданным центром управления условиям.
Удаление заданного центром управления приложения.
Общая схема работы Trojan-SMS.AndroidOS.Podec приведена ниже.
Одна из самых опасных возможностей Podec – использование конфигурируемых правил посещения веб-страниц с возможностью распознавать на них CAPTCHA. Это позволяет скрытно подписать пользователя устройства на дорогостоящие платные подписки. Эта уникальная функциональность троянца, пишет «Лаборатория Касперского».
Обработчик CAPTCHA взаимодействует с сервисом Antigate.com, который предоставляет услуги по ручному распознаванию текста на изображениях.
Общая схема осуществления подписки
Пользователям рекомендуют быть осторожнее при установке приложений из сторонних источников.
Очередным вендором, который объявил об открытой программе поиска уязвимостей в своих продуктах, стала компания Adobe. Но условия их программы вызывают недоумение.
Условия программы опубликованы на сайте HackerOne, где размещены аналогичные программы многих других компаний. Но, в отличие от других, Adobe ни словом не упоминает о денежном вознаграждении для тех исследователей, которые сообщат об опасных багах.
Кроме того, программа имеет ограниченную направленность. Она распространяется только на уязвимости в веб-сервисах Adobe. Вот что она покрывает.
Межсайтовый скриптинг (CSS)
Межсайтовая подделка запросов (CSRF) в привилегированном контексте
Исполнение кода на стороне сервера
Баги аутентификации или авторизации
Уязвимости с инъекцией кода
Обход директорий (directory traversal)
Утечки информации (information disclosure)
Серьёзные ошибки в конфигурации
В программу не входят уязвимости с восстановлением забытого пароля, куками, кликджекинг и прочее. К тому же, за рамками остаются Adobe Reader, Acrobat, Flash Player и другие программные продукты.
Отказ выплачивать вознаграждение со стороны Adobe выглядит странно. Эта компания традиционно лидирует по количеству новых уязвимостей, так что в её интересах было бы максимально стимулировать исследователей. Непонятно также, почему в программе не участвует десктопный софт Adobe.
С другой стороны, такую позицию можно понять: Adobe и так получает информацию об огромном количестве багов, которые еле успевает закрывать. Мол, зачем платить за сведения, которые и так поступают бесплатно?
