Информационная безопасность IT

Глобальная проблема безопасности Instagram

Похожая петрушка была, но вроде победил. А началось всё с того, что изменил никнейм (был смешной и страшный, со школьных времен еще).
И понеслось - на неделе хоть один раз да заставляли менять пароль из-за мнимой попытки входа. Что убивало - включено подтверждение по СМС. Включил двуфактору с отдельным приложением под ключи. Выдыхаю, жду дня 3-4 и снова подозрительная попытка входа и принудительно изменяйте пароль.

Пароли, на секунду, 12-ти символьные, генератором из KeePass с цифрами, спецзнаками и прочей дичью. Понимая, что дыра в системе пишу в поддержу, мол ребята, я устал менять пароли с включенной двуфакторкой и смс подтверждением. На что ответили
"Ваше обращение принято, но мы врятли его посмотрим, ибо вас много, нас мало, всего хорошего".

Помучался еще пару недель со сменой пароля и решил копнуть глубже. Глянул, есть ли кто под старым никнеймом - и никого не оказалось.
Ок, в инсте есть возможность зарегать новый акк на текущий номер телефона, что я и сделал. Накидал в новую учетку фотки кота, подождал день.

Итог - мои все учетки заблокировали на 24 часа для разбирательства, после включили только основную, удалив котика.
Уже месяц как тишина, спокойствие и отсуствие левых входов из Будапешта.

Рассказ Link — хакера из Санкт-Петербурга, который нашёл уязвимость в PayPal и получил от компании около $70 тысяч в знак благодарности.

Меня всегда интересовала информатика, и мне всегда хотелось что-то «сломать», но при этом так, чтобы никто не пострадал, а защита и качество сервисов улучшились.

Я искал разные приложения и сайты и спрашивал у создателей, можно ли проверить их разработки на прочность. Чаще всего мне отказывали. Скорее всего, боялись, потому что такое предложение казалось странным и неприемлемым.

Но я продолжал лазить по интернету и подмечать разные незащищённые места. В 2009 году нашёл в одном из офлайн-магазинов известной торговой сети веб-камеры, к которым мог подключиться любой и перехватить видеосигнал. Мне тогда было 15 лет.

Я сообщил об этом владельцам, они сказали спасибо и закрыли уязвимость. Я предложил им свои услуги в сфере безопасности, но они отказались. А потом их взломали, и они почему-то подумали на меня, хотя это было не так.

Время от времени я продолжал искать уязвимости вроде открытых баз данных интернет-магазинов, в которых были информация о заказах и персональные данные клиентов, — и связывался с владельцами, чтобы они закрыли дыры.

В 2015 году я узнал про bug bounty (вознаграждение за найденные уязвимости, которое выплачивают ИТ-компании — vc.ru) и зарегистрировался в сервисе HackerOne, глобальной платформе, где создатели различных приложений и сервисов разрешают взламывать свои продукты.

Там зарегистрированы «ВКонтакте», Mail.ru Group, Sony, Adobe и много других известных организаций, включая Министерство обороны США. Они либо платят за найденные «дыры», либо благодарят иначе: могут выслать фирменную футболку или кружку или просто сказать спасибо.

Иногда они устраивают публичные мероприятия: предлагают всем желающим проверить силы во взломе своих сервисов. Иногда — закрытые, для нескольких хакеров.

Вне зависимости от программы, через 90 дней после сообщения владельцу ресурса об уязвимости, взломщики рассказывают о своих находках сообществу: что именно нашли и как им это удалось. Первые $100 я заработал взломав один сервис и получив доступ к файлу readme.txt.

Это было очень просто, и я не рассчитывал, что мне заплатят. Но на HackerOne есть диапазон выплат, который разделён по уровню критичности обнаруженной уязвимости.

Опыта для поиска критичных уязвимостей у меня было маловато, профильного образования тоже не было. Я самоучка: читал разные статьи, сидел на форумах, применял знания на практике.

Есть чаты, в которых сидят хакеры, — спрашивал советы там. Иногда мне помогали просто так, иногда — за процент от вознаграждения.

Кроме того, в то время я читал много открытых отчётов на HackerOne, в которых хакеры описывали, как они обнаружили ту или иную уязвимость.

Чтобы компания приняла отчёт, хакеру нужно доказать, что он действительно нашёл уязвимость, которая может причинить ущерб. Не получится сказать: «Шёл мимо гаража, увидел дырку в стене» — подобный отчёт просто не примут и попросят обосновать, в чём заключается дыра, и какую угрозу она несёт, пусть даже в малой степени.

Хороший отчёт выглядит так: «Я проходил мимо гаража, увидел, что хозяин забыл вытащить ключ из замка, открыл его, зашёл внутрь, ничего не трогал, а потом привёл владельца и показал, как можно попасть в гараж».

В этих отчётах было много полезных данных. Ещё я практиковался на тренажёрах — сервисах вроде Hack The Box, в которых разработчики сознательно оставили дыры.

На HackerOne я занимаю 37 место в мировом рейтинге лучших специалистов по поиску уязвимостей

Деньги и выплаты

Я не считаю, сколько времени трачу на работу. Всё зависит от настроения и объёма задач. Если есть важные дела, занимаюсь ими, если есть свободное время, «охочусь» ради интереса. В месяц я зарабатываю от $2000 до $8000, в среднем — около $5000.

Самые высокие выплаты за уязвимости среди российских компаний — у Mail.ru Group, от $2000 до $4000.

Adobe обычно ничего не платит, просто благодарит. А Sony высылает майки. Но я так ни одной не получил благодаря нашей доблестной таможне.

Свой самый крупный гонорар я получил за взлом для PayPal: за три месяца работы они заплатили мне около $70 тысяч. Но я не гонюсь за деньгами — иногда участвую в бесплатных проектах, чтобы повысить свой уровень.

Какие уязвимости удаётся обнаружить чаще всего

Они всегда разные, их сложно отсортировать по «популярности». Но чаще всего я нахожу SQL-инъекции, SSRF и RCE.

С помощью SSRF потенциальный злоумышленник может обращаться ко внутренней инфраструктуре компании, иногда недоступной даже из глобальной сети.

Для этого достаточно найти уязвимый сервис, обращающийся ко внутренней сети. Этот тип уязвимости может привести к полной компрометации инфраструктуры компании.

SQL-инъекция позволяет получить доступ к базе данных сайта или сервиса, в которой могут храниться логины, пароли и прочие сведения о пользователях, включая данные администратора.

RCE — уязвимость, которая позволяет завладеть сервером и выполнять команды от имени его администратора.

Сложнее всего взламывать сервисы крупных компаний: они тщательнее следят за своей инфраструктурой, плюс сама инфраструктура более сложная и базируется на микросервисах.

Недавно стало известно об утечке пользовательских данных в «Сбербанке». Насколько я знаю, у них всё хорошо с защитой. Злоумышленники обычно ищут заведомо уязвимых жертв.

Некоторые компании знают об уязвимостях, но ничего с ними не делают. Несколько лет назад я случайно обнаружил возможность SQL-инъекции у одного из крупнейших в России продавцов электроники. Уязвимость до сих пор не исправили.

Большинство брешей связаны либо с разгильдяйством программистов и системных администраторов, либо с недостатком у них опыта.

Иногда и очень опытные специалисты пропускают или попросту не успевают залатать дыры в системе безопасности. Против zero day — уязвимостей далеко не все могут бороться. Так что на 100% безопасными могут быть только выключенная система или система, о которой никто не знает.

Кто-то может случайно сделать публичной базу с пользовательскими данными или панель администратора с базой данных. Иногда такие ошибки происходят по невнимательности, когда разработчики забывают отключить некоторые настройки (debug mode) перед публикацией сервиса или обновления.

То есть в «нормальном» режиме доступ к этим сведениям могут получить только сотрудники организации, а доступ оказывается открытым всем пользователям интернета. Другие бреши связаны с техническими нюансами: когда что-то ломается при обновлении системы.

Как искать уязвимости

Если объяснять «на пальцах», поиск уязвимостей выглядит так. Сперва я изучаю инфраструктуру сети — либо вручную, перебирая поддомены, либо с помощью сервисов Shodan и Censys.

Так я получаю информацию об узлах, которые образуют сеть. Глядя на них, я понимаю, где могут скрываться потенциальные проблемы. Использую сканеры уязвимостей — они обращаются к узлу и по ответам находят его слабые места. Затем мне остаётся проверить, действительно ли там есть уязвимость.

Мне регулярно предлагают заняться «чёрной» работой. Чаще всего обращаются знакомые знакомых, которые хотят больших и лёгких денег и при этом не задумываются о рисках.

Самый популярный запрос: «Давай взломаем банк». Они думают, что я могу подчинить себе банкомат, и он будет выплёвывать деньги. Либо предлагают считывать данные о банковских картах.

На втором месте — просьба взломать тот или иной интернет-магазин. Некоторые товарищи хотят взломать сайты букмекерских контор и сервисы бинарных опционов или биткоин-кошельки. Иногда просят взломать страницу во «ВКонтакте», но эта просьба, на удивление, лишь на шестом-седьмом месте по популярности.

Я никогда не соглашался: все подобные предложения незаконны и противоречат моим внутренним принципам.

Команда

В 2018 году я познакомился с Андреем Леоновым, который годом ранее нашёл уязвимость в Facebook и заработал $40 тысяч. До знакомства мы много переписывались, а однажды встретились на Zero Nights (крупная российская конференция в сфере информационной безопасности — vc.ru).

Мы пообщались и договорились вместе искать баги: нам хотелось развиваться. Решили повышать уровень сообща. Постепенно команда выросла до шести человек.

Благодаря командной работе получается достаточно быстро справляться со сложными уязвимостями и выполнять более сложные проекты, которые в одиночку я бы вряд ли взялся делать. Например, аудит систем на наличие уязвимостей.

Я либо искал парней специально, либо находил благодаря случаю. Однажды я нашёл дыру в одной компании и стал искать способ сообщить о ней их разработчикам.

Почти всегда это непростая задача: в техподдержке часто не понимают, о чём идёт речь.

Она консультирует клиентов и обычно отвечает что-то вроде: «Извините, вакансий программистов у нас нет».

В лучшем случае предлагают прогуляться до ближайшего магазина, если речь об офлайн-сети, и показать находку администратору. Так было и в тот раз: я на LinkedIn увидел, что один парень работает в той компании, мы разговорились.

Оказалось, что он там больше не работает, но пообещал рассказать об уязвимости ответственным людям. В итоге проблему решили, и я даже получил небольшое денежное вознаграждение, что для российских компаний скорее редкость.

Слово за слово мы договорились работать вместе — было необходимо автоматизировать часть задач.

Этика «белых хакеров»

Чаще всего мы не раскрываем данные об уязвимостях, если компания, в которой мы их нашли, не желает этого. То есть мы не можем сказать, что, где и как обнаружили: эта информация только для представителей компании.

Кроме того, я использую принцип «не навреди»: для меня недопустимо «положить» сервер или украсть данные. Это считается нарушением этики, преследуется и по закону, и по правилам HackerOne.

Моя цель — помогать компаниям быть безопаснее для пользователей.

И мне интересно развиваться самому, узнавать о новых технологиях. И лучше «ломать» сервисы для пользы, а не во вред: так не только не накажут, но и расскажут об интересных нюансах, связанных с безопасностью, о которых иначе ты бы и не узнал.

https://hackerone.com/linkks

Источник: https://vc.ru/story/86714-chem-zanimaetsya-belyy-haker-kak-i...

Предисловие:
Не являюсь работником сферы информационной безопасности, вообще далек от этой темы, но оказался в ситуации, когда приходится с этим сталкиваться плотнее, чем хотелось бы.

К сути:

Имею небольшой инста-паблик местного значения. Все было хорошо, делили доступ со вторым редактором этой страницы.
До начала-середины января все было спокойно.
Далее начали приходить простые подтверждения-вопросы "Необычная попытка входа в учетную запись (Это я/Это не я)".
Гео-позиция попыток входа указывалась разная, от Новой Зеландии, до Саранска.
В частности сыпались уведомления на почту. Мы не придавали этому значения, т.к. инстаграм частенько выдает такие уведомления ошибочно, когда идет работа с двух разных телефонов на одном аккаунте.
Одним чудесным утром происходит следующее:
Аккаунт становится недоступен, происходит Logout на всех устройствах. Страница не ищется по своему имени. Приходит осознание, что аккаунт угнан и переименован.
Нашли новое имя аккаунта благодаря ссылке на один из постов с этой страницы, восстановили доступ. Обнаружили, что в учетной записи остался e-mail злодея и телефон.
Все эти данные мы потёрли, поставили двухфакторную аутентификацию, стали ждать.
Далее стали происходить "Подозрительные попытки входа" и "Необычный вход в учетную запись". Уведомления стали сыпаться на почту, при входе в аккаунт и происходило это постоянно. Меняем пароль три раза в сутки, при каждой необычной попытке входа или входе.
Обнаружили следующее:
Необычная попытка входа: Когда злоумышленник вбивает имя аккаунта и любой пароль, который не подходит.
Необычный вход: Когда злоумышленник вводит верный пароль, но (!) т.к. у нас включена двухфакторная аутентификация - злодей попадает на страницу ввода одноразового кода из СМС. Т.Е. номинально он вошел, но доступ к учетной записи не получил.
Мы стали искать информацию о том, что это за явление такое, и как это прекратить.
Оказалось - проблема глобальная.
Вот топик на хабре на этот счет. Среди комментариев упоминание некой глобальной дыры в безопасности, т.к. явление носит очень масштабный характер.
Больше всего удивляет, что это продолжает достаточно давно, но Facebook ничего не предпринимает в связи с этим и не дает никаких комментариев, как я понял.

https://qna.habr.com/q/930107

Если вдруг у вас есть мысли по этому поводу или какой-то способ помочь - буду рад вашей поддержке. Может у кого-то вдруг есть какая-то информация о самом сбое на стороне Facebook/Instagram.

текст версия или -

Энигма 2.0. Как британцы, взломав секретный чат, накрыли крупнейшую в истории мафиозную сеть

Национальное агентство Великобритании по борьбе с преступностью (NCA) в начале июля объявило о своей «самой большой и самой значительной» операции, проведенной совместно с французской, голландской, шведской, норвежской полицией и Европолом.

Правоохранители накрыли крупную сеть организованной преступности в Европе, в которой было задействованы десятки тысяч пользователей голландской коммуникационной компании Encrochat. Следователям удалось взломать систему сверхсекретного обмена сообщениями между членами криминальных банд.

Только в Британии задержано 746 членов преступных группировок и криминальных авторитетов, изъято более двух тонн наркотиков, несколько десятков пистолетов и 54 млн фунтов стерлингов наличности. И это, как сообщают полицейские, только верхушка айсберга. Участники операции уверены, что спасли как минимум 200 человек, жизни которых угрожали преступники.

Как работала система обмена шифрованными сообщениями

Голландская компания Encrochat гарантировала своим пользователям полную анонимность и невмешательство в их личную жизнь. На мобильных телефонах, которые она продавала, фактически было по две операционные системы. Первая – обычный Android. Зато вторая – Encrochat – превращала телефон в полностью защищенное устройство для обмена сообщениями с другими клиентами.

В качестве дополнительных услуг предлагалось самоуничтожение сообщений, «паническое» стирание всей информации и многие другие, которые оказались особенно полезны членам криминальных группировок. Само устройство стоило 1000 евро, а его клиентское обслуживание – 1500 евро за полгода. За эти деньги пользователь получал техническую поддержку в режиме 24/7, 30 минут переговоров и безлимитные возможности обмена сообщениями.

У Encrochat было 60 тысяч клиентов, из них 10 тысяч в Великобритании. Правоохранительные органы считают, что 90% пользователей этой сети участвовали в организованной преступности. Интернет-издание Vice Motherboard, которое получило доступ к документам и провело собственное расследование, утверждает, что купить защищенное устройство было непросто. Оно продавалось только по рекомендации, а сам акт покупки, по словам одного из ранее арестованных, был обставлен как секретная операция.

«У продавца есть легальный магазин, но мы встретились с ним не там. Я ему предварительно позвонил, потом приехал в его город на эту встречу. Мы встретились на небольшой улице, как с наркодилером... », – сказал источник издания, который сейчас находится в тюрьме.

Как удалось взломать систему

EncroChat продавал услуги самой защищенной от хакерского взлома сети. Специалисты в области кибер-безопасности считают, что полиции удалось запустить шпионскую программу во время очередного обновления оперативной системы. Она позволила полиции читать сообщения еще до того, как пользователи их отправляли друг другу. Успех запуска программы-шпиона принадлежит полиции Франции и Нидерландов: им удалось взломать серверы Encrochat, расположенные во Франции. Полиция получила доступ к свыше 100 млн сообщений, фотографий и других важных данных.

«То, что мы прежде видели в триллерах и спектаклях о полицейских, теперь происходило прямо на наших глазах, - сказал на пресс-конференции представитель уголовной полиции Нидерландов Энди Крааг. – Эти зашифрованные сообщения дали нам подробнейшие сведения о повседневной жизни криминального мира... Мы теперь хорошо понимаем, кто эти люди и как они работают».

Полиция мониторила систему около двух месяцев, пока Encrochat окончательно убедился, что его взломали. Анализ полученной правоохранительными органами информации еще не закончен. Предполагается, что он приведет к еще тысячам задержаний в ближайшие месяцы.

Советуем отключить и уничтожить

О том, что что-то пошло не так, Encrochat начал подозревать в мае: у некоторых пользователей перестало получаться стирать всю закодированную информацию. Сначала у компании возникли подозрения, что пользователи просто стали забывать свой пин, необходимый для «обнуления». К концу мая Encrochat понял, что его систему взломали, и пытался бороться с «вирусом» обычными способами. И только к середине июня компания осознала, что взлом идет не со стороны конкурентов или криминальных структур, а со стороны правительственных органов.

«Сегодня наш домен незаконно захватили государственные структуры. Они использовали наш домен для запуска атаки... Мы больше не можем гарантировать безопасность вашего устройства. Советуем вам немедленно отключить и физически уничтожить устройство», — такое сообщение операторы Encrochat отправили всем своим пользователям 13 июня 2020 года.

Но было уже поздно. Сами полицейские сравнивают свой прорыв в области борьбы с криминальными структурами с триумфальным взломом кода «Энигма» немецкой шифровальной криптомашины во время Второй мировой войны.

Не только бандиты

Пикантность ситуации еще и в том, что среди клиентов EncroChat были не только наркодилеры и другие преступники, но и члены британской королевской семьи и известные политики, пишет Daily Mail. Само по себе пользование системой закодированных сообщений не является незаконным. Как сказал газете директор юридической компании ABV Solicitors Дипак Видж, «подобная сеть, естественно, очень желанна не только для преступников, собирающихся нарушить закон, но и для клиентов, которые хотят защитить свою личную жизнь от вмешательства». «Теперь, конечно, они думают о том, стали ли и их сообщения доступны расследователям, охотящимся за жуликами», – добавил он.

Представители французской жандармерии, участвовавшие в операции, заявили, что около 10% клиентов Encrochat действительно не имели никакого отношения к преступности, а были именно теми, ради кого и создавался этот сервис, – обычными пользователями, желавшими защитить чувствительную информацию от похищения.

Encrochat не была единственной компанией, которая предоставляет подобные услуги, хотя и считалась лидером в своей области. Например, ее конкурент – Phantom Secure – использовал виртуальные прокси, чтобы скрывать реальное физическое местоположение своих серверов в Панаме и Гонконге. Услуги компании пользовались большой популярностью у наркоторговцев и продавались за криптовалюту. Исполнительного директора Phantom Secure Винсента Рамоса и его подельников арестовали в 2018 году.

Сейчас за клиентов Encrochat борется Omerta, расположенная в шотландском городе Данди. «Encrochat взломан, пользователей подставили, арестов масса. Король умер! Идите к нам», – написано на сайте компании, предлагающей скидку новым клиентам. Omerta специально уточняет, что пользуется другой технологией шифрования, отличной от разгромленного конкурента.

«Эти не отступят. Они как стая гиен»

Не все полицейские службы, участвовавшие в операции, отчитались о своих достижениях так подробно, как британское NCA, совершившее больше всех арестов. В Британии операция шла под кодовым названием Venetic. Подчеркивая свой триумф, NCA опубликовала около 30 расшифрованных сообщений, показывающих, как криминальный мир трепещет перед правоохранительными органами.

«Эти не отступят. Они, как стая гиен, - написал один из криминальных авторитетов. – Когда NCA придет за нами, это будет жестко и быстро».

«Эти будут копать, пока не добьются результата... Полиция в этом году выигрывает у нас», – написал другой.

Мэтт Хорн, заместитель директора NCA по расследованиям, возглавлявший операцию Venetic, сказал, что она была нацелена на задержание прежде всего средних и крупных криминальных авторитетов, которые прежде считались неуязвимыми. «Эти их сообщения показывают, как они видят британскую правоохранительную систему – и они были написаны до того, как стало известно о взломе их коммуникационной системы. Кто знает, что они думают теперь? Они должны знать, что это только начало операции Venetic, и мы не собираемся расслабляться», - сказал Хорн.

источик https://theins.ru/obshestvo/230713