Представители компании-разработчика сервисов распределённого хранения контента Cloudflare рассказали об обнаруженной уязвимости, которая могла стать причиной утечки личных данных пользователей сайтов её клиентов.
Скомпрометированные данные могут включать пароли, куки-файлы, аутентификационные токены в незашифрованном виде. Об этом представители компании сообщили в своём блоге.
Как отмечает Techcrunch, системой от Cloudflare пользуются более пяти миллионов сайтов. Злоумышленник, заметивший брешь, мог собирать личные данные посетителей сайтов, которые обычно должны храниться в зашифрованном виде. Кроме того, часть информации успела попасть в кэш поисковых систем, поэтому представители Cloudflare обратились к Google, Bing, Yahoo и другим компаниям, чтобы вручную устранить последствия вероятной утечки,
Баг содержался в старом коде компании, но проблема утечки памяти проявилась 22 сентября 2016 года, когда CloudFlare внедрила новый HTML-парсер, после чего системы компании стали интегрировать случайные фрагменты оперативной памяти своего сервера в содержимое веб-страниц, которые отправляются клиентам.
Спустя пять месяцев специалист по безопасности Google Project Zero обнаружил баг и сообщил представителям Cloudflare. Наиболее серьёзная утечка могла произойти между 13 февраля и 18 февраля, когда примерно один из каждых 3,3 млн HTTP-запросов к сайтам-клиентам Cloudflare подвергал данные вскрытию.
Злоумышленники могли иметь доступ к данным в реальном времени или через кэш поисковых систем. В своём заявлении представители Cloudflare отметили, что даже на пике информация утекала только из 0,00003% всех запросов. В комментариях на Hacker News технический директор компании Джон Грэхем-Камминг отметил, что команда обнаружила утечку данных как минимум с 3438 уникальных доменов клиентов компании. Один из пользователей Github опубликовал список доменов, которые могли попасть под уязвимость, утверждая, что их общее число превышает 4 миллиона — включая 2ip.ru, 4pda.ru, avito.ru, rghost.ru, forbes.ru и rosbalt.ru.
Это не выглядит масштабной утечкой, отмечает Techcrunch, однако среди клиентов Cloudflare есть дейтинговые сайты и менеджеры паролей, которые хранят по-настоящему чувствительную информацию.
Баг появился в HTML-парсере, который Cloudflare использовал, чтобы ускорить быстродействие сайта — он подготавливает сайт для работы с платформой AMP от Google и превращает HTTP-ссылки в HTTPS.
Системы самой Cloudflare также подверглись ошибке — «один из утёкших фрагментов информации был приватным ключом, который используется для связи между машинами Cloudflare», — написал Грэхем-Камминг. Ключ позволял компьютерам компании безопасно общаться друг с другом и был внедрён в 2013 году на фоне опасений о государственной слежке.
Грэхем-Камминг подчёркивает, что Cloudflare не обнаружила подтверждений тому, что хакеры успели обнаружить или использовать баг, отметив, что сотрудники заметили бы подозрительную активность в своей сети.
Команды Cloudflare в Сан-Франциско и Лондоне смогли избавиться от самой серьёзной проблемы за семь часов. Полное восстановление и избавление от бага заняло шесть дней, включая работу с поисковыми системами, которая позволила извлечь часть утекшей информации.
Сотрудник Google Тавис Орманди, первым заметивший баг, рассказал, что наткнулся на неожиданную информацию в ходе работы над своим проектом и сперва подумал, что обнаружил баг в собственном коде. После ряда тестов он понял, что утечка происходит из систем Cloudflare — Орманди наблюдал чужие ключи шифрования, куки, пароли и HTTPS-запросы, личные сообщения с крупных сайтов знакомств, кадры из веб-чатов, данные бронирования гостиниц и кредитных карт.
Позже специалист удалил полученные образцы, но опубликовал отредактированные скриншоты с частью информации, которая просочилась с сайтов 1Password, Uber, Fitbit и OkCupid. Он также отметил, что, несмотря на заявления Cloudflare, сотрудники компании недооценивают опасность для клиентов, поскольку утёкшая информация могла осесть не только в кэше поисковых систем, но и в других местах.
Авторы сложных сценариев отъема денег у юрлиц стали использовать ИИ, чтобы ускорить сбор данных о намеченных жертвах. В RTM Group зафиксировали сотни случаев хорошо подготовленных атак на малый и средний бизнес.
Сама мошенническая схема выглядит, как BEC-атака, только вместо имейл используются мессенджер (в данном случае Telegram) и телефонная связь. Применение ИИ, по оценке экспертов, позволило повысить эффективность обмана на 40%; при этом преступный доход ОПГ средней величины (10 участников) может ежедневно составлять от 1 млн до нескольких десятков млн рублей.
В ходе подготовки злоумышленники, вооружившись ИИ, собирают информацию из слитых в Сеть баз. Найдя совпадения по месту работы и совместным счетам, они разбивают мишени на пары: владелец – управляющий компании, гендиректор – его зам, директор – главбух и т. п.
Затем в Telegram создаются поддельные аккаунты лидеров каждой пары, и боты начинают слать сообщения от их имени, вовлекая подчиненных в диалог. В качестве темы обычно используются непорядочность знакомых / клиентов либо мифическая проверка со стороны правоохраны (к примеру, ФСБ).
Сообщения бота могут содержать фамилии реальных представителей госорганов, скриншоты специально составленных документов. После такой обработки следует звонок персоны, упоминавшейся в ходе беседы.
Лжеревизор начинает задавать вопросы о случаях мошенничества, долгах, неких платежах, пытаясь определить финансовую проблему, которую можно использовать как предлог для выманивания денег переводом на левый счет.
«Основной рекомендацией по минимизации рисков является постоянное внимание к деталям в ходе виртуального общения с партнерами по бизнесу и сотрудниками, особенно когда речь идет о проблемах с законом, переводах финансовых средств, проверках компетентных органов, — заявили эксперты «Известиям». — Также специалисты RTM Group рекомендуют не выкладывать в публичный доступ прямые контакты руководителей компаний и департаментов».
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
![В Сеть попали данные покупателей маркетплейса PandaBuy (pandabuy[.]com)](https://www.anti-malware.ru/files/styles/imagesize266w200h/public/images/source/pandabuyleak_news.png?itok=Eez8urMI×tamp=1711964660)
