АНБ США приложило свою руку к Windows 7

АНБ США приложило свою руку к Windows 7

"Работая в партнерстве с Microsoft и представителями Министерства обороны США, АНБ поделилось своей уникальной экспертизой и оперативными знаниями о хакерских атаках, совершаемых на современные продукты, а также в общем помогло повысить безопасность новой операционной системы Microsoft таким образом, чтобы повседневные операции пользователей оставались незатронутыми", - сказал Ричард Шаэффер, помощник директора АНБ по информационной безопасности. Свое заявление он сделал в рамках работы Подкомитета под борьбе с терроризмом и внутренней безопасности.

"Все работы были проведены точно в срок и с привязкой к дате выхода операционной системы, а не позже, на протяжении всего срока поддержки операционной системы. Проделанные разработки помогли операционной системе поднять общий уровень безопасности, соответствовать стандартам безопасности SCAP и реализовать в системе новые технологии мониторинга безопасности", - сказал он.

Набор SCAP (Security Content Automation Protocol) представляет собой свод стандартов для управления уязвимостимями продуктов, оценки общего уровня безопасности системы и ее совместимости с прежними версиями.

Напомним, что сотрудничество Microsoft с американской разведкой носит систематический характер. После релиза Windows Vista представители АНБ также сообщили о своей помощи в разработке системы. Согласно официальной версии, АНБ снабдила Vista рядом алгоритмов шифрования и повысила безопасность системы. Неофициально многие страны заговорили, что разведка могла и не удержаться от соблазна поставить несколько закладок в данную систему. С учетом того, что исходники Windows закрыты, проверить это невозможно. До этого технические консультации по подготовке Windows XP и 2000 АНБ также оказывало.

По мнению Марка Ротенберга, исполнительного директора центра электронной и информационной безопасности EPIC, то, о чем изредка рассказывают Microsoft и некоторые представители американских оборонных и разведывательных ведомств - это лишь верхушка айсберга. По некоторым данным, сотрудничество корпорации с АНБ уходит корнями аж в 1989 год, когда агентство попыталось установить первые стандарты безопасности для тогда еще редких частных компьютеров и Microsoft была одной из немногих компаний, кто откликнулся на тот призыв.

При этом, Ротенберг выразил уверенность в том, что большая часть сотрудничества Microsoft и западной разведки действительно сводится к внедрению разных механизмов защиты и анализа безопасности, а не к "фаршировке ОС недокументированными возможностями".

По мнению эксперта, наличие закладок было бы слишком рискованно для самой АНБ, так как даже в США на это ведомство обрушился бы вал критики и давления. А для корпорации подобные закладки стали бы последней крышкой в гробу под названием "репутация Microsoft".

Согласны с Ротенбергом и в исследовательской компании nCircle, где полагают, что встраивать закладки в Windows 7 - это грубая и небезопасная работа. В том случае, если кому-то необходимо получить те или иные данные с компьютеров, где работает Windows 7, гораздо эффективнее и тише можно провести адресные атаки (чем и занимаются некоторые страны), говорят в nCircle.

"Не могу себе представить обстоятельств и условий, при которых Microsoft согласилась бы позволить АНБ вставить в Windows 7 какие-то шпионские функции", - говорит технический директор производителя антивирусов AVG Technologies Роджер Томпсон.

В АНБ со своей стороны также добавили, что работают по аналогичным направлениям и с другими компаниями, например с Apple, Sun и Red Hat.

Источник

Атакующие взломали популярный сканер Trivy через GitHub-теги

Одна из самых неприятных историй последних дней развернулась вокруг Trivy — популярного сканера уязвимостей от Aqua Security, который используют разработчики и DevOps-команды по всему миру. Атакующие смогли скомпрометировать почти все версии инструмента в рамках атаки на цепочку поставок, и последствия здесь могут быть действительно серьёзными.

О проблеме публично сообщил мейнтейнер Trivy Итай Шакури. По его словам, если есть хоть малейшее подозрение, что в пайплайне запускалась скомпрометированная версия, все секреты нужно считать утёкшими и срочно ротировать.

Исследователи из Socket и Wiz выяснили, что внедрённый зловред не просто подменял работу Trivy, а параллельно запускал настоящий сканер и свою вредоносную нагрузку. То есть внешне всё могло выглядеть вполне штатно, пока внутри шёл сбор конфиденциальных данных.

По данным исследователей, зловред прочёсывал CI/CD-пайплайны, машины разработчиков и окружение в поисках GitHub-токенов, облачных учётных данных, SSH-ключей, Kubernetes-токенов и других секретов. Всё найденное он архивировал, шифровал и отправлял на сервер, контролируемый атакующими.

Особенно неприятно то, как именно была проведена атака. Вместо привычного сценария с добавлением нового коммита или релиза злоумышленники использовали украденные учётные данные, чтобы привязать уже существующие теги к вредоносным коммитам.

Под удар попали 75 тегов в trivy-action и ещё семь тегов setup-trivy. Среди затронутых версий оказались и очень распространённые варианты вроде @0.34.2, @0.33 и @0.18.0. По имеющейся информации, незатронутой осталась только версия @0.35.0.

Именно это делает инцидент особенно опасным. Если воркфлоу в GitHub Actions ссылался на один из таких тегов, при запуске Trivy он автоматически подтягивал уже не легитимный код, а вредоносную подмену. Компрометация могла произойти просто в момент очередного штатного сканирования.

По данным Wiz, у атакующих был и запасной канал вывода данных. Сначала зловред пытался отправить собранную информацию на домен scan.aquasecurtiy[.]org. Если это не удавалось, он пробовал использовать украденный GITHUB_TOKEN, чтобы создать репозиторий tpcp-docs и выгрузить данные туда.

Если же зловред понимал, что работает не в пайплайне, а на машине разработчика, он дополнительно записывал кодированный base64 дроппер на Python для закрепления.

Отдельно настораживает и предыстория атаки. Массовая компрометация началась в четверг, но, как пояснил Итай Шакури, её корни уходят в более ранний инцидент — взлом расширения VS Code Aqua Trivy, произошедший ещё в прошлом месяце. Тогда атакующие получили учётные данные с правами записи в GitHub-аккаунт Trivy.

После того случая мейнтейнеры ротировали токены и другие секреты, но процесс, как выяснилось, не устранил все остаточные артефакты доступа. Именно это, по версии исследователей, и позволило атакующим продолжить аутентифицированные операции без необходимости взламывать сам GitHub.

При этом интересно, что атакующие аккуратно подменяли ссылки тегов на новые коммиты, копируя метаданные старых коммитов: автора, почту, дату и даже текст сообщения. За счёт этого компрометация выглядела максимально правдоподобно.

RSS: Новости на портале Anti-Malware.ru