Apple поработала во славу хакеров

...

Сайт корпорации Apple взломан хакерами из группы AntiSec. Среди ее членов представители кибербанды, недавно атаковавшей корпорацию Sony. Очередное громкое заявление о своем могуществе – пиар с целью получения работы в крупных компаниях, полагают эксперты.



В воскресенье группа хакеров опубликовала в Twitter документ, содержащий имена пользователей и зашифрованные пароли для взломанного сайта корпорации Apple. По словам взломщиков, они нашли 26 имен пользователей и паролей, в том числе с правами администратора. Доступ к серверу Apple был получен благодаря пробелу в системе безопасности программного обеспечения сервера, расположенного в калифорнийском городе Купертино

Хакеры заверяют, что не будут впредь использовать обнаруженную дыру в сервере Apple. «Не беспокойтесь, мы заняты другим», – добавляют они. Представители Apple отказываются комментировать ситуацию, передает gazeta.ru.

Взлом осуществила хакерская группа AntiSec, которая была создана на прошлой неделе, но уже проявила себя захватом тунисского правительственного сайта. Хакеры заявили, что атаки носят политический характер и вызваны решением Туниса ввести интернет-цензуру. «Приветствуем вас, правительство Туниса! В течение прошлых месяцев вы игнорировали требование группы Anonymous прекратить интернет-цензуру. Люди со всего мира теперь объединяются под именем #AntiSec, чтобы бороться с коррумпированными правительствами по всему миру», – написали они в сообщении, появившемся на месте тунисского правительственного сайта.

В группу уже вошли представители сразу двух известных кибербанд. Первая из них, Anonymous, получила всемирную известность в конце прошлого года, проведя массированную кибервойну против лиц и организаций, оказавших давление на ресурс Wikileaks Джулиана Ассанжа.
Тогда хакеры атаковали сайт шведской прокуратуры, которая инициировала преследование Ассанжа, а также сайты платежных систем и банков, блокировавших платежи Wikileaks. Под удар попали сервис PayPal, финансовый сервис швейцарской почтовой службы Postfinance и банк Swiss Post Office Bank, сайты Visa и MasterCard, а также ряд чиновников и юристов.

Кроме Anonymous в группу AntiSec входят остатки самораспустившейся в конце июня кибербанды Lulz Security (LulzSec). Они ответственны за взлом сайтов ЦРУ, конгресса США, британской полиции, а также сайтов AOL Inc и AT&T.
В начале апреля группой Lulz Security была взломана база данных Sony PlayStation, в результате чего произошла крупная утечка личной информации пользователей сервиса.

В случае с сайтом Apple хакеры использовали уязвимость в коде управляющей сервером системы, проникнув таким образом на сайт, объясняет Роман Карась из G Data Software. «При всей защищенности серверов Apple под MAC OS, их безопасность – величина относительная», – говорит он.

Однако данный инцидент вряд ли приведет к заметному снижению популярности продуктов Apple, поскольку защищенность никогда не была их основным конкурентным преимуществом, считает аналитик компании SearchInform Роман Идов. «Пользователи должны осознавать, что нет программного обеспечения без уязвимостей и ПО Apple отнюдь не исключение из общего правила», – отмечает эксперт. По мнению представителя re:Store Retail Group Людмилы Семушиной, в противоправных действиях хакеров даже есть зерно позитива: они заставляют компании латать бреши в своих системах безопасности

Главная цель AntiSec – демонстрация своего всесилия и возможности осуществить атаку на любой ресурс, полагает Карась. Взлом таких известных сайтов, как Apple или Sony, и громкие заявления о своей причастности однозначно говорят о том, что «ребята пиарятся», соглашается независимый эксперт рынка защиты информации Джин Колесников. В сентябре в Лондоне пройдёт первый в мире съезд iOS-джейлбрейкеров, под названием MyGreatFest, отмечает эксперт. Среди его участников будут авторы программ, «отвязывающих» мобильные телефоны от обязательных контрактов, программ для установки на телефон нелегального ПО, а также многочисленные хакеры. В том числе, как планируется, будут и представители Anonymous. «На подобных съездах хакеры могут найти работу в больших компаниях, которые охотно берут спецов такого уровня», – рассказывает Колесников. Например, их могут позвать в Apple закрывать найденные ими же уязвимости, предполагает Идов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Забытые в коде ключи доступа к OpenAI API позволяют спиратить GPT-4

Разработчики, встраивающие технологии OpenAI в свои приложения, зачастую оставляют API-ключи в коде. Злоумышленники этим пользуются: собирают такие секреты из общедоступных проектов и расшаривают их в соцсетях и чатах, провоцируя пиратство.

Оказалось, что только на GitHub можно с легкостью заполучить более 50 тыс. ключей к OpenAI API, неумышленно слитых в паблик. Украденные данные позволяют использовать ассоциированный аккаунт OpenAI для бесплатного доступа к мощным ИИ-системам вроде GPT-4.

Недавно модераторы Discord-канала r/ChatGPT забанили скрипт-кидди с ником Discodtehe, который упорно рекламировал свою коллекцию ключей OpenAI API, собранных на платформе для совместной работы Replit. Такие же объявления доброхот с марта публиковал в канале r/ChimeraGPT, суля бесплатный доступ к GPT-4 и GPT-3.5-turbo.

Как выяснилось, скрейпинг API-ключей OpenAI на Replit тоже не составляет большого труда. Нужно лишь создать аккаунт на сайте и воспользоваться функцией поиска.

В комментарии для Motherboard представитель OpenAI заявил, что они регулярно сканируют большие публичные репозитории и отзывают найденные ключи к API. Пользователям рекомендуется не раскрывать сгенерированный токен и не хранить его в клиентском коде (браузерах, других приложениях). Полезно также периодически обновлять API-ключ, а в случае компрометации его следует немедленно сменить.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru