Раскрыт источник утечки о программе PRISM

Раскрыт источник утечки о программе PRISM

Британское издание The Guardian сегодня продолжило раскручивать тему американской правительственной программы PRISM, опубликовав данные об источнике утечки. 29-летний молодой человек, работавший на компанию-подрядчика ЦРУ и АНБ США, сейчас находится в Гонконге и говорит, что это он сообщил о PRISM. Более того, скрывать свое лицо и имя он не собирается, так как он заявляет, что не сделал ничего противозаконного, более того, он повел себя как ответственный гражданин и привлек внимание общества к теме незаконных сборов данных.



"У меня нет намерения скрываться, потому что я знаю, что не сделал ничего противозаконного. Вместе с тем, я понимаю, что наверное пострадаю из-за своих действий. Но я был бы удовлетворен тем, что федерация правительственных секретов, которой движет непреодолимая жажда власти над миром, обнажила себя хотя бы на мгновение", - заявил бывший технический консультант компании Booz Allen Hamilton Эдвард Сноуден, находящийся сейчас в Гонконге, пишет cybersecurity.ru.

По его словам, он работал в последние четыре года на АНБ как контрактный работник и имел непосредственное отношение к программе правительственной слежки PRISM. Напомним, что ранее газеты The Guardian и The Washington Post сообщали, что программа PRISM предоставляет "разведывательным ведомствам прямой доступ к корпоративным серверам и позволяет рассматривать изнутри компаний их потоки данных".

Однако сами компании, в частности Apple, Google и Facebook, опровергают данные о том, что они, якобы, предоставляли доступ к своим данным секретным службам. Официальные власти США говорят, что программа PRISM - это не возможность бесконтрольного забора информации, а лишь инструмент выборочного анализа, который только помогает подтверждать ранее собранные данные.

Согласно данным The Guardian, изначально Сноуден работал в штате Северная Каролина, но потом переехал в Мериленд, где расположена штаб-квартира АНБ. Известно, что он был простым охранником в АНБ, после чего перешел на должность ИТ-консультанта в ЦРУ, где он занимался написанием программного обеспечения. В ЦРУ он проработал около трех лет, после чего перешел в Booz Allen Hamilton. В последней заявили, что у них он проработал немногим более трех месяцев.

"Я не отличаюсь от многих других. У меня нет никаких специальных навыков. Я простой парень, который сидит изо дня в день в офисе и видит, что происходило и что происходит. Не нам решать, что правильно, а что нет. Общество само должно решить, нужны ли ему такие программы или нет", - заявил он в интервью.

Сейчас Сноуден находится в Гонконге, с которым у США есть соглашение о выдаче подозреваемых. Через несколько часов после публикации официальные представители Вашингтона уже направили в Гонконг заявление об экстрадиции с обвинениями.

Представители американской разведки сообщили, что Агентство национальной безопасности США потребовало провести уголовное расследование обстоятельств утечки информации о его секретной программе электронной слежки.

Насколько масштабным будет это расследование пока неясно, но пресс-секретарь директора национальной разведки Джеймса Клэппера сообщил, что "заявление о совершенном преступлении уже сделано".

Это заявление направлено в министерство юстиции, которое примет решение о проведении расследования. Прокуроры не всегда удовлетворяют поступающие к ним запросы, но за годы президентства Барака Обамы было уже несколько случаев расследований громких утечек секретной информации. Представители США заявили, что в данном случае утечка была настолько ошеломляющей, что они надеются на возбуждение дела министерством юстиции.

Тем временем, министр иностранных дел Великобритании Уильям Хейг сообщил, что слежка за телефонными разговорами и пользователями Интернета, которую осуществляет британская служба электронной разведки Центр правительственной связи, является законной и не представляет угрозу праву на частную жизнь. В то же время он отказался подтвердить или опровергнуть сообщения о получении информации из секретной программы АНБ США.

Популярную ИИ-библиотеку LiteLLM заразили бэкдором через PyPI

В экосистеме ИИ-разработки всплыла неприятная история: исследователи из Endor Labs обнаружили, что популярная Python-библиотека LiteLLM, у которой больше 95 млн загрузок в месяц, была скомпрометирована в репозитории PyPI. Через заражённые версии злоумышленники распространяли многоступенчатый бэкдор.

Речь идёт о версиях 1.82.7 и 1.82.8. Причём в официальном GitHub-репозитории проекта такого вредоносного кода не было.

Проблема возникла именно в пакетах, опубликованных в PyPI: туда попал файл с закладкой, который декодировал и запускал скрытую нагрузку сразу после импорта библиотеки.

Во второй заражённой версии, 1.82.8, схема стала ещё жёстче. Пакет устанавливал .pth-файл в директорию site-packages, из-за чего вредоносный код мог запускаться вообще при любом старте Python, даже если сам LiteLLM никто не импортировал.

После запуска зловред начинал искать самое ценное: SSH-ключи, токены AWS, GCP и Azure, секреты Kubernetes, криптокошельки и другие конфиденциальные данные. Если заражение происходило в контейнерной или кластерной среде, вредонос пытался двигаться дальше по инфраструктуре, в том числе через развёртывание привилегированных подов на узлах Kubernetes.

Для закрепления на хосте атакующие, как сообщается, ставили systemd-бэкдор sysmon.service, который регулярно связывался с командным сервером и мог получать новые команды или дополнительные вредоносные модули.

Специалисты считают, что за атакой стоит группировка TeamPCP, которая в последнее время явно разошлась: до этого её уже замечали в инцидентах, затронувших GitHub Actions, Docker Hub, npm и OpenVSX.

Украденные данные, по информации исследователей, шифровались и отправлялись на сервер атакующих. Для маскировки использовались домены, внешне похожие на легитимные, например models.litellm[.]cloud и checkmarx[.]zone.

Сейчас разработчикам и DevOps-командам советуют как можно быстрее проверить окружение. Последней известной чистой версией LiteLLM считается 1.82.6. Если в системе использовались 1.82.7 или 1.82.8, нужно проверить наличие файла litellm_init.pth, артефактов вроде ~/.config/sysmon/sysmon.py и сервиса sysmon.service.

RSS: Новости на портале Anti-Malware.ru