Хакеры подменяют сайты Google, Yahoo и Mozilla через поддельные SSL-сертификаты

Хакеры подменяют сайты Google, Yahoo и Mozilla через поддельные SSL-сертификаты

Несколько дней назад разработчики ряда популярных браузеров заявили об обнаружении по крайней мере одного поддельного SSL-сертификата, выпущенного голландской компанией DigiNotar, и принятии соответствующих мер по защите пользователей от возможных действий злоумышленников. Однако, по некоторым данным, в действительности речь идёт не об одном, а более чем о двух сотнях поддельных сертификатов.



В понедельник 29 августа Mozilla, Google и Microsoft сделали заявления в своих блогах в связи с сертификатом, выданным на домен *.google.com. Этот сертификат уже вовсю использовался злоумышленниками, которые, как нетрудно догадаться, пытались выдать свои сайты за сервисы компании Google. В тот же день были выпущены обновлённые версии браузеров Firefox и Chrome, а сам сертификат был убран из базы доверенных сертификатов Windows, сообщает Вебпланета.

На следующий день сочли нужным объясниться голландцы из DigiNotar. Они заявили, что ещё 19 июля обнаружили, что посторонние проникли в инфраструктуру их удостоверяющего центра и сумели сделать запросы на выпуск некоторого количества SSL-сертификатов. DigiNotar предпринял необходимые меры, поддельные сертификаты были отозваны, что также было подтверждено сторонними аудиторами.

Однако, как выяснилось на днях, один из поддельных сертификатов, а именно сертификат на *.google.com, каким-то образом ускользнул от внимания как сотрудников DigiNotar, так и аудитора. Как только это выяснилось, в DigiNotar "прибили" и этот сертификат, говорят в компании.

Казалось бы, инцидент исчерпан. Однако действительность не так радужна, как это пытаются преподнести голландцы. Во-первых, надо заметить, что сертификат на *.google.com был выдан ещё 10 июля. Иначе говоря, действия злоумышленников оставались незамеченными в течение по крайней мере девяти дней. Сколько сертификатов они выпустили для себя — большой вопрос. В DigiNotar не приводят никаких конкретных цифр, настаивая на том, что все левые сертификаты были выловлены.

Во-вторых, нельзя не упомянуть о находках специалистов финской компании F-Secure. Узнав об истории с поддельным сертификатом Google, они внимательно изучили сайт DigiNotar и нашли там несколько текстовых файлов, свидетельствующих о том, что этот сайт был неоднократно взломан хакерами. Собственно, эти файлы являются своего рода визитками взломщиков; одни из них называли себя иранскими хакерами, а один файл, датированный ещё маем 2009 года, был оставлен неким турецким патриотом. Эти факты также ставят под сомнение достаточность мер, принятых в DigiNotar.

Наконец, как выяснилось, в исходниках браузера Chromium (то есть базового, ещё неогугленного "Хрома") вчера были обнаружены 247 новых заблокированных сертификатов — притом что до этого заблокированными числились только 10. В комментариях они помечены как "плохие сертификаты DigiNotar для негугловских сайтов".

Пока нет достоверных данных о том, что это за сертификаты, на какие домены они выданы и как соотносятся с теми, которые DigiNotar отозвал в июле. Честер Вишневски (Chester Wisniewski) из компании Sophos считает более чем вероятным, что если злоумышленники интересовались сертификатом на сервисы Google, то они не меньше были заинтересованы и в "таких сервисах как Facebook, Microsoft, Yahoo и Skype".

А эксперт голландской секьюрной компании Madison Gurka Ханс ван де Лоой (Hans Van de Looy), ссылаясь на собственные источники информации, заявил журналистам ComputerWorld, что злоумышленники сгенерировали порядка 200 сертификатов, среди которых были сертификаты на mozilla.com, yahoo.com and torproject.org.

В общем, ничего удивительного, что эксперты по безопасности сейчас вовсю критикуют DigiNotar и высказывают опасения в том, что часть поддельных сертификатов гуляют "на свободе" и по сей день.

Напомним, что в марте этого года уже имел место схожий инцидент с сертификатами Comodo. Как выяснилось позднее, тогда действовал некий хакер-одиночка из Ирана, побуждаемый якобы патриотическими чувствами. Шум тогда поднялся приличный, и пятно на репутации Comodo осталось — даром что взломали не эту компанию, а её доверенных партнёров, поддельных сертификатов было "наклёпано" всего 9 штук, да и огласке инцидент был предан значительно быстрее, чем нынешний.

VirusTotal накопил зловредов на две с половиной Эйфелевы башни — 31 Пбайт

Исследовательская группа vx-underground заявила в X, что её архив исходного кода зловредов занимает около 30 ТБ. Звучит внушительно, но только пока в тред не пришёл основатель VirusTotal Бернардо Кинтеро и не сообщил, что у его сервиса уже примерно 31 ПБ образцов, загруженных пользователями.

Для масштаба: 1 ПБ — это примерно тысяча ТБ. На фоне VirusTotal архив vx-underground выглядит как аккуратная флешка.

Журналисты решили прикинуть, как выглядели бы эти объёмы данных, если сложить их в виде обычных 3,5-дюймовых жёстких дисков по 1 ТБ. Высота такого диска — около 1 дюйма.

Получается, архив vx-underground занял бы 30 дисков, поставленных друг на друга. Это примерно 76 см, или 2,5 фута. Неплохо, но до монумента не дотягивает.

А вот VirusTotal — совсем другой разговор. 31 ПБ данных потребовали бы 31 744 жёстких диска. Если сложить их башней, конструкция достигла бы примерно 806 м, или 2 645 футов.

Для сравнения: Эйфелева башня — около 330 м, а Бурдж-Халифа — 828 м, поэтому коллекция VirusTotal почти доросла до самого высокого здания мира и примерно равна двум с половиной Эйфелевым башням.

В реальности ёмкость дисков, файловые системы, дубли, сжатие и прочая скучная инженерная магия всё усложнили бы. Но картинка получается отличная: где-то в цифровом мире стоит башня из зловредов высотой почти с Бурдж-Халифу.

И это, пожалуй, самый наглядный способ объяснить, почему базы образцов так важны для ИБ-компаний, исследователей ИИ и команд киберразведки. Чтобы понимать, как эволюционируют атаки, нужно хранить не пару подозрительных файлов, а целые небоскрёбы цифровой заразы.

Источник: Techcrunch

RSS: Новости на портале Anti-Malware.ru