Среди браузеров, взломанных на последнем хакерском конкурсе Pwn2Own 2015, был и Chrome. Впрочем, баг с 13-ю символами не представили на конкурсе. Это какая-то необычная аномалия, описанная в баг-репорте проекта Chromium.
Как сообщает баг-репорт, если веб-страница содержит символы ܝܘܚܢܢ ܒܝܬ ܐܦܪܝܡ, то открытие такой страницы в браузере Chrome под Mac приведёт к сбою и закрытию вкладки.
Вот те же символы в графическом виде.
Символы принадлежат к ассирийскому алфавиту.
Компания Google уже в курсе и работает над исправлением уязвимости.
Эта ситуация напоминает знаменитый «глюк» в OS X, где любое приложение завершалось со сбоем в случае, если написать там восемь простых символов. Тогда новость о баге привела к массовому троллингу пользователей на «маках». Возможно, нечто подобное произойдёт и на этот раз, если пользователи начнут массово публиковать эти символы в лентах социальных сетей и твиттере.
Многие помнят, что перед выходом Windows 8 большую озабоченность в Linux-сообществе вызвала система UEFI Secure Boot, которая проверяла криптографическую подпись загрузчика ОС. Если таковая отсутствовала, то компьютер отказывался загружаться. Сразу же появились подозрения, что таким способом Microsoft борется с конкурентами, а именно — с дистрибутивами Linux. Ведь получается, что на компьютере с логотипом “Designed for Windows 8″ и включенным режимом UEFI Secure Boot нельзя будет запустить альтернативную операционную систему.
К счастью, опасения не оправдались. В итоге Microsoft реализовала функцию, которая позволяет отключать Secure Boot, причём такая опция была обязательной. Но вот на компьютерах с Windows 10 ситуация может оказаться иной.
На конференции WinHEC в Китае представитель компании Microsoft заявил, что опция отключения Secure Boot станет необязательной для сборщиков ПК под Windows 10. Вот соответствующий слайд из его презентации.
Это значит, что «кошмар линуксоидов» воплотится в жизнь: в продаже появятся компьютеры, на которых будет невозможно запустить никакую систему, кроме Windows.
Официальный выпуск Windows 10 состоится летом этого года. Остаётся надеяться, что до этого времени под давлением общественности Microsoft передумает и изменит условия соглашения с OEM-сборщиками. На данный момент они ещё не окончательные.
Что касается тезиса о «защите» пользователей от бэкдоров и троянов, который использует Microsoft, можно вспомнить первый закон Доктороу: «Если кто-то помещает под замок принадлежащие тебе вещи и не даёт ключ, то такая защита не в твоих интересах».
Приглашаем экспертов в области интернет-безопасности, а также всех интересующихся этой темой на наш очередной Security Meetup, который состоится в четверг, 9 апреля, в 19:30. Вечер обещает быть насыщенным интересной и актуальной информацией, в программе пять докладов об уязвимостях и различных аспектах их эксплуатации.
Максим cdump Андреев, программист команды Облака Mail.Ru, участник различных bug-bounty программ, расскажет о протоколе автоматической настройки прокси WPAD и о том, чем он может быть интересен с точки зрения атакующего, а также поделится новыми способами перехвата пользовательского трафика с помощью WPAD.
Дмитрий Bo0oM Бумов, один из наиболее активных хакеров bug bounty программы Mail.Ru Group и участник других программ поиска уязвимостей, со свойственным ему неподражаемым остроумием расскажет о том, что искать баги – это не только сложно, но и весело. Кроме того, он обещает подробно разобрать самые необычные из найденных им экземпляров.
Илья Сафронов, заместитель руководителя направления аудита и консалтинга Group-IB, сделает доклад на тему «Как я перестал бояться и пришел к веб-безопасности», в котором расскажет о нелегком пути к пониманию принципов безопасности веб-приложений (и не только), а также приведет интересные примеры из опыта реализации прошлых проектов.
Михаил Saplt Елизаров, пентестер компании Информзащита, поделится результатами своих исследований безопасности городских систем мониторинга и ключевых векторов атак на них, а также расскажет о последствиях, которые может повлечь за собой проникновение в такие системы.
Аркадий Литвиненко, инженер отдела безопасности информационных систем, расскажет о поиске фотографий в социальных сетях с помощью геоинформации и разберет частный случай использования API социальных сервисов для конкурентной разведки.
Также в программе приятная компания, свободное общение и вкусная пицца.
Security Meetup пройдет в офисе Mail.Ru Group по адресу: Ленинградский проспект, 39, строение 79. Начало сбора гостей в 19:00. Первое выступление — в 19:30. Не забудьте зарегистрироваться и взять с собой паспорт или водительские права!
Трансляцию мероприятия можно будет посмотреть на нашем сайте.
Наш хэштег в Twitter — #securitymeetup: его можно использовать, чтобы задавать вопросы докладчикам.
Даже необразованный «кулхацкер» способен инфицировать BIOS, используя инструмент LightEater, о котором рассказали на последней хакерской конференции CanSecWest в Ванкувере.
Атака даёт возможность полностью вывести из строя компьютер, но также позволяет внедрить троян, который будет перехватывать пароли и другие конфиденциальные данные. Уязвимости подвержены материнские платы всех ведущих производителей, включая Gigabyte, Acer, MSI, HP и Asus. Опасность ещё более усиливается в связи с тем, что производители повторно используют один и тот же код в UEFI BIOS разных моделей.
LightEater содержит простой способ, как вывести из строя BIOS с помощью модифицированного драйвера ядра и некорректной первой инструкции на считывание с флэш-чипа.
С презентацией “How many million BIOSes would you like to infect?” выступили специалисты Кори Калленберг (Corey Kallenberg) и Ксено Ковах (Xeno Kovah) из компании LegbaCore. Они показывают, как проводить массированные атаки типа SMM (System Management Mode), внедряя закладки для всех BIOS, подходящих по описанию. Вполне возможно, что этим методом уже пользуется АНБ и другие спецслужбы. Например, для доступа к компьютерам, которые загружаются с чистой ОС вроде Tails.
«Идея в том, что, если ОС скомпрометирована имплантатом, вполне можно использовать Tails для связи (все интернет-подключения работают через браузер Tor), так как она защищена от вредоносного ПО, которое поразило основную операционную систему. Имплантат ждёт, пока загрузится Tails, выуживает важные данные из памяти и отправляет наружу. Наш агент работает в фоне, Tails его не видит», — говорит Кори Калленберг.
В интервью The Register один из авторов исследования сказал, что проблема связана с тем, что очень мало людей заботятся об обновлении BIOS в материнской плате. Показав уязвимость этого программного обеспечения, авторы надеются изменить данную тенденцию.
Месяц назад документальный фильм о Сноудене под названием «Гражданин четыре» (Citizenfour) взял «Оскара» как лучшая документальная картина года. В конце фильма представлен список различных программ для безопасной работы в интернете.
На основании рекомендаций Сноудена журналисты издания Extremetech составили свой список ПО, необходимого для анонимности и секретности.
Вот какой софт вошёл в этот список.
∙ Браузер: Tor Security Bundle плюс разумные меры по обеспечению безопасности (не устанавливать плагины, не скачивать торренты и т.д.).
∙ Шифрование диска: TrueCrypt. Несмотря на завершение официальной разработки проекта, тот же Фонд электронных рубежей по-прежнему рекомендует использовать TrueCrypt 7.1a.
В общем, список можно назвать вполне стандартным, в нём представлены известные и уже хорошо зарекомендовавшие программы. Именно такой набор можно считать стандартным для тех, кто заботится о собственной безопасности в интернете.
В интернете опубликована очередная порция документов, полученных от Эдварда Сноудена. На этот раз повезло канадским пользователям интернета, которые в подробностях узнали об операциях Communications Security Establishment Canada (CSEC).
Документы свидетельствуют о сотрудничестве CSEC с АНБ, и в этом нет ничего удивительного, ведь Канада и США являются давними партнёрами в области разведки.
В документах сказано, что инструменты CSEC позволяли осуществлять редирект на фальшивую копию сайта, выдавать себя за представителя другой страны или стороннего хакера (для провокации), незаметно копировать секретную информацию из компьютерных сетей и т.д.
Правда, опубликованные документы можно назвать устаревшими: главный из них (pdf) датирован 2011 годом (об устарелом характере документов говорит и сама CSEC в опубликованном заявлении). Тем не менее, ещё в 2011 году задокументированы возможности канадского агентства по «уничтожению инфраструктуры, в том числе электрических сетей, транспортной инфраструктуры и банковской системы; провоцированию беспорядков с помощью использования ложных сигналов, в том числе создания впечатления, что другая страна вовлечена в операции; вмешательству в онлайновый трафик такими методами как удаление электронных писем, замедление интернет-соединений, блокировка веб-сайтов и перенаправление банковских переводов».
Google продолжает работы по проекту смарт-очков Glass, поскольку технология слишком важна, чтобы её забрасывать, утверждает председатель совета директоров компании Эрик Шмидт (Eric Schmidt).
В январе компания прекратила продажи актуального поколения очков и закрыла тестовую программу Explorer, выводя проект из-под крыла лаборатории Google X в автономное подразделение. Айви Росс (Ivy Ross) осталась руководителем команды Glass, но перемены в штате всё же произошли: на пост управляющего стратегическим развитием пришёл глава отдела Nest по управлению смарт-домами Тони Фэйделл (Tony Fadell). Резкие перемены курса вызвали слухи об отказе поискового гиганта от Glass, но Эрик Шмидт заявил в интервью The Wall Street Journal, что Фэйделл следит за проектом именно для того, чтобы подготовить его для пользователей.
«Это важная и безусловно фундаментальная платформа для Google, — сказал Шмидт. — Мы закончили программу Explorer, и пресса связала это с отменой нами всего проекта, что не соответствует действительности. Google принимает риски, и в проектных обновлениях нет ничего говорящего о том, что мы его завершаем».
По его словам, Glass, как и автономные машины Google, — это долгосрочный проект: «С таким же успехом можно сказать, что самоуправляемые автомобили — одно разочарование, поскольку не возят меня прямо сейчас. Такие вещи требуют времени».
Пресс-секретарь Фэйделла от комментариев отказался.
Glass были подвержены серьёзной критике, вызванной возможностью их использования для вторжения в частную жизнь, ведь с их помощью можно почти незаметно делать фото, снимать видео, а также, при наличии нужного софта, быстро изыскивать в Сети данные о человеке, попавшем в объектив очков. Тем не менее первые две проблемы человечество преодолевало многократно по мере совершенствования технологий съёмки, а последняя и вовсе связана с «болтливостью» самих пользователей интернета.
Google по-прежнему видит личные перспективы в рынке смарт-очков, хотя к ним пока не готов потребитель. Свежий доклад аналитической компании Juniper Research — «Смарт-очки: потребительские, корпоративные и медицинские стратегии и прогнозы 2014-2019» — доказывает, что затянувшийся выход на рынок умных очков и отсутствие для них потребительских кейсов привели к снижению объёмов поставок и уровня принятия этих устройств в обществе. Согласно новым оценкам, до 2018 года ежегодные поставки очков вряд ли превысят 10 миллионов.
Неделю назад сообщалось об устройстве, которое подключается к iPhone по USB и осуществляет брутфорс PIN-кодов. Особенность данного способа — необходимость ждать 40 секунд для перезагрузки смартфона (после этого из памяти стирается информация о количестве неправильно набранных PIN-кодов).
Хакер Мейд Алфейли (Majd Alfhaily) сумел значительно оптимизировать процесс, используя чисто программный подход.
Следующий код запускает цикл перебора четырёхзначных PIN-кодов от 0000 до 9999.
Кроме того, Мейд Алфейли написал библиотеку, которая использует процесс SpringBoard и вызывает attemptDeviceUnlockWithPassword:appRequested для каждого сгенерированного PIN-кода.
Самое удивительное, что ему удалось найти способ, как обойти защиту в 10 неправильно введённых PIN-кодов без перезагрузки телефона, а всего лишь с 5-секундной паузой. Это значит, что перебор всех четырёхзначных комбинаций займёт около 14 часов.
Илья Сафронов, заместитель руководителя направления аудита и консалтинга 
Михаил Saplt Елизаров, пентестер компании 
Аркадий Литвиненко, инженер отдела безопасности информационных систем, расскажет о поиске фотографий в социальных сетях с помощью геоинформации и разберет частный случай использования API социальных сервисов для конкурентной разведки.
