Сказки о безопасности: Кукла-шпион

19/06/2017

— Вальтер, ты думал, как нам установить прослушку в доме дона Марко?

— Думал. И ничего не придумал.

— Плохо. Что будем делать?

— Господин комиссар, давайте попросим помощи у наших умников. Я не вижу другого выхода.

Прошел час.

— Иоганн, к вам комиссар полиции.

— Просите его!

— Здравствуйте, Иоганн! У нас проблема.

— Ха, когда вы скажете, что у вас нет проблем, я решу, что я сошел с ума и у меня галлюцинации! Но все же к делу!

— Нам нужно установить прослушку в доме дона Марко. Увы, все наши попытки не увенчались успехом. Я пришел за помощью.

— А кто живет в этом доме?

— Сам дон Марко, его телохранитель, дочь и маленькая внучка.

— А сколько лет внучке?

— Пять! Причем дон Марко души в ней не чает! Разрешает ей быть везде рядом с собой.

— Отлично! У нас есть решение!

— Так быстро???

— Ну да! Мы просто подарим его внучке новую куклу. От имени детского магазина, что на 13-й улице.

— Но у нас нет куклы со спецоборудованием.

— Ха! Зато она есть в магазине. В том и дело, что нам не придется ничего придумывать! Это обычная кукла Мери, которую продают в этом магазине!!!

— И что нам это даст?

— Поверьте, очень много! Мобильное приложение, в паре с которым работают куклы, требует разрешение на доступ к файлам устройства, а приложение для робота, который продается там же, — к камере гаджета. Производитель не разъясняет, зачем приложениям эти разрешения: камера, к примеру, не упоминается ни на официальном сайте производителя, ни в демонстрационном видео приложения.

К смартфону или планшету игрушки подключаются по Bluetooth, но защита соединения не предусмотрена, пароль не требуется. Кроме того, игрушка не оповещает хозяев о произведенном подключении. В результате мы легко можем не только осуществлять прослушку, но и говорить с ребенком! Игрушка выступает, по сути, в роли обыкновенной беспроводной гарнитуры.

— Погодите, но ведь мы все равно не сможем это прослушивать?

— Вы торопитесь, комиссар! Приложения отправляют запись разговора ребенка на серверы компании NC, где слова не только распознаются для формирования ответа на основе интернет-источников, но и сохраняются. А уж оттуда мы сможем их извлечь практически в реальном времени. Вы позаботитесь о том, чтобы у нас был доступ к этим базам.

— Погодите, но это означает, что теоретически так можно подслушать любого из нас?

— Безусловно!

Фантастика? Нет! Подобные подслушивающе-подсматривающие игрушки продаются с 2015 г.

Поэтому вручая своему чаду современную электронную игрушку, стоит насторожиться, если игрушка оснащена микрофоном и камерой, передает данные в Интернет, выведывает у ребенка личную информацию, если для ее настройки, например, по Bluetooth не требуется аутентификации и вы не можете контролировать ее действия

Стоит подумать, что для вас важнее — польза и удовольствие от игрушки либо неприкосновенность частной жизни вашего ребенка.

http://www.itweek.ru/themes/detail.php?ID=196041

 


Сказки о безопасности: Как не уберегли данные о здоровье

16/06/2017

— Иоганн! К вам представители контрразведки.

— Просите!

— Иоганн, у нас проблема.

— Да понимаю, что вы не поздравить меня с началом лета пришли. Что случилось?

— У нас покушение на сына нашего ведущего разработчика ракетных систем. Вернее, только сегодня мы догадались что это было покушение. До этого думали, что это просто чей-то недосмотр или даже вообще несчастный случай. Ну мало ли.

— А что случилось?

— У ребенка аллергия на пальмовое масло. Поэтому в доме никогда нет продуктов, содержащих этот компонент.

— И что?

— Он с друзьями пошел в кафе на 9-ю улицу. Там делают изумительное мороженное. Причем только из натуральных продуктов. То есть нет там пальмового масла и быть не может. Он ходил туда неоднократно. А в этот раз его оттуда забрала скорая.

— Хозяина и повара допросили?

— Безусловно! Они заявили, что покупают молоко у одного и того же поставщика уже лет 10 и никогда не было никаких неприятностей. Более того, молоко регулярно проходит проверку.

— А с чего вы решили, что это покушение?

— Сегодня на домашнюю электронную почту ученого пришло письмо, в котором ему настоятельно рекомендуют отказаться от проекта, который он курирует. В письме говорится что случай с его сыном — это только начало и приводят конфиденциальные сведения о здоровье его жены, которые фактически известны только ей и врачу. Врач утверждает, что его компьютер не взломан. Именно поэтому мы и пришли к вам за помощью.

— Хорошо, мы займемся этим. Я попрошу доставить к нам все электронные устройства как из кабинета и дома врача, так и из дома ученого.

— Безусловно. Их вам доставят через 15 минут. Мы уже изъяли все с полным соблюдением всех предосторожностей.

— А смартфоны, планшеты и прочие электронные устройства, которые могут собирать сведения?

— Тоже, не волнуйтесь!

Прошло два дня.

— Шеф, компьютер доктора не был взломан, компьютеры ученого тоже. Роутеры тоже мы проверили. А вот смартфоны сына и жены… Там явно кто-то ковырялся.

— А причем тут смартфоны? К здоровью?

— Шеф, вы просили рассказывать вам о новинках наших разработчиков?

— Да, я помню об этом, спасибо, Мишель!

— Так вот. Компания А, производитель смартфонов, решила на базе своих устройств сделать единую базу данных, в которой будут храниться наиболее полные данные о здоровье человека. В электронную медицинскую карту будет записываться не только фитнес-статистика, но и списки аллергенов, выписанные рецепты и данные лабораторных анализов.

Пользователи смогут распоряжаться этими данными как угодно: делиться с докторами, предоставлять больницам, разработчикам медицинских программ и другим третьим лицам.

— Это та доблестная компания, которую в последнее время часто уличают в том, что они хранят официально удаленные данные? И хотя они, безусловно, безопаснее чем их конкуренты, я бы им не доверил подобное. Интересно, а почему не разрабатываются специализированные устройства, а все это лепят сверху на обычный смартфон?

— Шеф, вы смешной человек, ей-богу. Причина проста и банальна. Так дешевле! Причем намного дешевле.

— Согласен, но ведь все те ошибки, которые есть сегодня, банально будут вылезать и в этой системе, ведь представьте, насколько интересна такая информация злоумышленникам! Насколько проще будет контролировать персонал, отказывая в приеме на работу тем, кто имеет хронические заболевания, да и просто болеет чаще других?

— Шеф, это еще не все! Представьте, если человек дает список своих аллергенов, который потом можно просто использовать для покушения на него же? Именно это и произошло в нашем случае. Они собирали данные о здоровье с помощью смартфонов. А троян отсылал эти данные не только врачу, но и злоумышленникам.

— Спасибо, Мишель! Придется мне снова выступать на коллегии императора и запрещать подобное ПО пока не будут исправлены ошибки.

Вы считаете подобное фантастикой? Совершенно зря! Проектом собирать данные о вашем здоровье, которыми вы потом сможете поделиться как с врачами, так и с любыми близкими сегодня явно озабочен Apple. Идея, безусловно, интересная, да вот только о безопасности пока молчат! А зря!

https://www.itweek.ru/security/article/detail.php?ID=196022


Сказки о безопасности: Когда без регламентов не обойтись

15/06/2017

Сегодня выходной день, и Потапыч рассчитывал с утра поковыряться немного в огороде, а затем просто отдыхать на веранде с любимой книгой.

Вначале все так и было, но затем к нему в гости зашел любимый племянник Мишка. Он в прошлом году закончил столичный университет и сейчас работал на одном из местных предприятий на должности сотрудника службы информационной безопасности. Звучало это солидно, но и Потапыч, и Мишка знали, что на самом деле он там один, кто занимается этой проблемой, да и сама служба только появилась.

— Потапыч, я к тебе.

— Жаловаться пришел?

— А то! Проблема у меня. Я давно подозревал, что наша Овечка только прикидывается белой и пушистой. Не так давно, читая ее почту, я обнаружил, что она сливает нашу информацию конкурентам. Пришел в отдел кадров, мол, ее увольнять надо. И письмо показал.

— И что?

— Да что? Меня же дураком обозвали. Начали спрашивать, а какое я имею право читать ее письма? Я им пытался пояснить, что на работе все письма служебные и ничего личного тут нет, а значит я ничего не нарушаю.

— А они?

— А они спросили, мол, а бумага у нас есть, что все письма служебные и их могут читать? А пользователи ознакомлены с ней под роспись? Я и ответил, мол все и так понятно. А мне в ответ — это тебе понятно, а вот подадут на нас в суд и твое «понятно» — не доказательство! Иди пиши бумагу! Написал, пользователей ознакомил. Прихожу снова. А меня опять — мол, а пользователь знает, что он не может отсылать такую информацию? А вдруг это открытая информация? Замучили! Теперь мне что, еще и всю информацию классифицировать?

— Ну… Классифицировать, безусловно, нужно. Но делать это должен не ты. А владельцы информации. По закону так. Ты можешь только рекомендовать. А что, у вас с документами совсем плохо?

— Когда я пришел, их совсем не было! Никаких! Пишу потихоньку.

— Ну вот и пиши, а напишешь, тогда и спрашивать можно. А пока, извини, не с кого!

Вот так и закончился выходной.

А у вас, надеюсь, все хорошо на работе? Подумайте!

http://www.itweek.ru/themes/detail.php?ID=195993

 


Сказки о безопасности: Воссозданный ключ

15/06/2017

— Доброе утро, Иоганн!

— Доброе утро, господин комиссар!

— Ой, с чего мы так официальны?

— Я так понимаю, раз с утра мне домой в выходной день по защищенной связи звонит начальник полиции империи, значит снова выходного у меня и у ребят нет. Верно?

— В общем-то да. Но у меня нет выхода. Я не могу понять, как мне достать ключ от банковской ячейки, в которой лежат интересующие полицию документы.

— А вскрыть по постановлению суда?

— Увы, я не могу получить постановление, это негласная просьба императора.

— Ого! А что у вас есть?

— Есть передвижения интересующего нас лица. Именно таким образом мы и вышли на банк. Есть фотографии этого лица. Есть даже нечеткий снимок ключа!

— Ха! Вот с этого и начинать нужно было. Я выезжаю на работу. Приезжайте в гости. Но поскольку это выходной…

— Да я уже понял. Миндальное печенье и хороший коньяк с меня.

— Ой, как же вы догадливы, комиссар!

Прошло пять минут.

— Дежурный! Пошлите машины за Мишель и Жаном. Они сегодня нужны на работе. А лучше поднимите по тревоге всю группу Мишель! Высылайте за ребятами транспорт. И пришлите мне служебную машину. Сегодня, увы, у нас рабочий день.

Через полчаса вся группа была в офисе.

— Мишель, мне помнится, ты писала программу по распознаванию нечетких объектов на фотографии. Верно?

— Да. Мне еще Жан помогал тогда с математикой.

— Вот и славно. Ребята, вот электронная фотография ключа. Сможете ее очистить так, чтобы мы смогли сделать копию на лазерном станке?

— Конечно. Он же программируемый, а координаты бороздок мы посчитаем. Это не сложно!

Прошло два часа.

— Шеф, вот фотография и вот ключ. Даже гравировку сделали как на настоящем. Серийный номер и клеймо производителя!

— Господин комиссар! Присылайте вашу машину. Ключ готов.

— Иоганн, попросите ребят задержаться на час, хорошо? Мы выехали к вам, а потом в банк.

Прошел час.

— Итак, господа, вы снова и снова умеете меня удивить. Вы сделали это! Прошу всех к столу. Кофе, пирожные и коньяк из лучшего ресторана империи! А чтобы кофе был еще вкуснее, я вас порадую. За помощь в раскрытии этого дела император награждает вас премией в размере двухмесячного оклада! В понедельник она будет у вас на счету. Единственная просьба. Вас всех сегодня на службе не было. Хотите, считайте это просьбой, хотите — приказом. Но это просьба императора.

— Все понятно. Нас тут не было!

http://www.itweek.ru/themes/detail.php?ID=195982


Выпущен инструмент для дешифрования Jaff Ransomware

15/06/2017

Kaspersky Labs выпустил обновленную версию RakhniDecryptor 1.21.2.1, своего бесплатного инструмента для дешифрования.

Исследователи из Kaspersky Lab обнаружили, что в коде Jaff Ransomware содержится уязвимость, позволяющая жертвам разблокировать их зашифрованные файлы.

Идентифицированный в прошлом месяце Jaff является относительно новым ransomware. Атака Jaff Ransomware выполняется путем отправки спам писем миллионам пользователей с присоединенным PDF, который открывает встроенный документ Word со злонамеренным макро-сценарием.

После этого Jaff ransomware загружается на компьютер, шифруя файлы жертвы и затем требуя выкуп от 0.5 до 2 Bitcoin (~ 1,500$ до 5,000$ сегодня).

Как использовать RakhniDecryptor

  1. Загрузите Kaspersky RakhniDecryptor
  2. Скачайте и распакуйте архив RakhniDecryptor.zip, используя программу-архиватор (например, 7zip).
  3. Запустите файл RakhniDecryptor.exe на зараженном компьютере.
  4. В окне Kaspersky RakhniDecryptor нажмите Изменить параметры проверки.
  5. В окне Настройки выберите объекты для проверки (жесткие диски / сменные диски / сетевые диски).
  6. Установите флажок Удалять зашифрованные файлы после успешной расшифровки (в этом случае утилита будет удалять копии зашифрованных файлов с расширениями .locked, .kraken и .darkness).
  7. Нажмите ОК.
  8. В окне Kaspersky RakhniDecryptor нажмите Начать проверку.

Файл может быть зашифрован с расширением _crypt более одного раза.

Например, файл тест.doc зашифрован 2 раза. Первый слой утилита RakhniDecryptor расшифрует в тест.1.doc.layerDecryptedKLR. В отчете о работе утилиты появится запись Decryption success: диск:\путь\тест.doc_crypt -> диск:\путь\тест.1.doc.layerDecryptedKLR. Этот расшифрованный файл также необходимо еще раз расшифровать утилитой. При успешной расшифровке файл будет пересохранен с оригинальным названием тест.doc.

Если файл зашифрован с расширением _crypt, подбор пароля для этого файла может длиться продолжительное время. Например, на процессоре Intel Core i5-2400 подбор пароля может длиться порядка 120 суток.


Сказки о безопасности: “Устаревшее” медицинское оборудование

14/06/2017

— Доброе утро, Иоганн!

— Привет, Карл! Чем порадуешь?

— Да чем вас порадовать? Могу сказать в очередной раз, что производителей медицинского «умного» оборудования нужно отчаянно пороть ремнем! Причем долго и публично!

— Да что случилось, Карл?

— Как вы знаете, совсем недавно прошла эпидемия шифровальщика W. Причиной заражения было неустановленное обновление операционной системы от фирмы М. Как оказалось, все довольно просто. После того, как началась эпидемия, мы решили проверить, как обстоят дела с медицинским оборудованием, работающим под управлением той же ОС.

— И что?

— Да то, что более 80% оборудования так и не обновлено. Мало того, системы так и торчат в Интернете. Мы ждем, когда блокирование медицинского оборудования приведет к смерти пациента? Или пациентов? Производители как молчали, так и молчат. А работники медицинских учреждений, да и не только медицинских, просто ждут, когда производители хоть что-то сделают. Интересно, долго ли они будут ждать?

— Карл, я не знаю, что тебе ответить. Извини, у меня нет решения. Я ведь не могу им приказать, верно?

— Вы правы, шеф. Но на душе мерзко!

— Согласен.

А ваше оборудование обновляется вовремя? Вы уверены?

https://www.itweek.ru/security/article/detail.php?ID=195973

 


Сказки о безопасности: Флэш-взлом автомобиля

14/06/2017

— Доброе утро, Иоганн!

— Привет, Карл!

— Шеф, как вы знаете, я недавно купил себе новый автомобиль. Он оборудован компьютерной информационно-развлекательной системой. Но вы ж меня знаете, я буду не я, если не буду ковыряться в любой попавшей мне в руки компьютерной железке.

— И что?

— Шеф, вы не поверите, я хакнул свой автомобиль!

— И что теперь ты можешь делать со своим авто?

— Да, в принципе, что угодно!

— Ты понимаешь, что теоретически теперь можно создать ботнет из подобных машин или установить троян для удаленного доступа.

— Понимаю, потому и решил вначале рассказать вам. По-моему, стоит сообщить об этом автомобильной компании, а если они не захотят принять меры, то необходимо докладывать императору.

— Все верно!

Автомобили Mazda с информационно-развлекательной системой MZD Connect нового поколения можно взломать, подключив к приборной панели USB-флэшку. Поскольку MZD Connect базируется на ОС Unix, кто угодно может написать вредоносный скрипт и осуществить серьезную атаку. Утешает лишь то, что атаки возможны только при включенной нейтральной передаче или запущенном двигателе. То есть, уязвимости в информационно-развлекательной системе не позволяют завести и угнать машину.

Об этих уязвимостях стало известно еще в 2014 г., и с тех пор они активно используются владельцами Mazda для кастомизации информационно-развлекательной системы, установки новых настроек и приложений.

http://www.itweek.ru/themes/detail.php?ID=195958