Digital Security провели анализ импланта JETPLOW для устройств Cisco

Digital Security провели анализ импланта JETPLOW для устройств Cisco

Digital Security провели анализ импланта JETPLOW для устройств Cisco

Эксперты исследовательского центра компании Digital Security Роман Бажин и Максим Малютин произвели технический анализ импланта JETPLOW для межсетевых экранов Cisco. В ходе исследования выяснилось, что данное ПО может «встроиться» в оборудование Ciscoи скрыто там существовать, выполняя команды оператора, контролирующего его.

Закладка предоставляет своему оператору практически неограниченные возможности на зараженном устройстве, включая фильтрацию и манипулирование транзитным трафиком, использование зараженного оборудования для дальнейшей атаки на сетевую инфраструктуру организации, кражу конфиденциальной информации и т.д. Причем оператор может иметь доступ даже к информации, передаваемой по защищенным каналам связи.

JETPLOW имеет возможность устанавливаться как удаленно через уязвимость или аутентификационные данные администратора устройства, так и локально при наличии физического доступа (например, при транспортировке). Имплант может встраиваться в Cisco PIX 500-й серии и Cisco ASA серии 5505, 5510, 5520, 5540, 5550.

Другие выводы:

  • Данные в бесплатной части архива от The Shadow Brokers соответствуют материалам, опубликованным Эдвардом Сноуденом;
  • При анализе архива было замечено, что название JETPLOW используется для обозначения ранних версий импланта (в основном, для PIX), а новым версиям дано название SCREAMINGPLOW;
  • Команда разработки JETPLOW/SCREAMINGPLOW была многочисленна, проделала огромную работу и имела как в наличии, так и удаленно большое количество аппаратуры Cisco для разработки и тестирования;
  • Без аппаратной защиты (TPM) подобные JETPLOW могут появляться и в дальнейшем, поскольку программными средствами от этого не защититься.

Полное исследование доступно в работе под названием “Архитектура JETPLOW – NSA бэкдор в моей подставке под кофе”: https://habrahabr.ru/company/dsec/blog/309560/.

Согласно данным, обнародованным Эдвардом Сноуденом, имплант JETPLOWвходит в состав архива кибероружия Агентства национальной безопасности (АНБ). Информация о нем также содержится на страницах архива, выставленного на продажу командой The Shadow Brokers.

В документах, опубликованных Эдвардом Сноуденом, присутствует такое описание: «JETPLOW is a firmware persistence implant for Cisco PIX Series and ASA (Adaptive Security Appliance) firewalls». Cотрудники Digital Security после детального анализа пришли к выводу, что под термином «имплант» подразумевается backdoor (закладка) с функцией bootkit’а.

Стоит отметить, что JETPLOW из опубликованного архива ориентирован только на оборудование Cisco, датированное 2013 годом и ранее. Но эксперты компании Digital Security провели дополнительное собственное исследование и смогли реализовать аналогичную концепцию для современного оборудования Cisco. Производитель уведомлен об уязвимостях и работает над их закрытием. 

Digital Security Роман Бажин и Максим Малютин произвели технический анализ импланта JETPLOW для межсетевых экранов Cisco. В ходе исследования выяснилось, что данное ПО может «встроиться» в оборудование Ciscoи скрыто там существовать, выполняя команды оператора, контролирующего его. " />
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Баг в ПО привел к крупнейшему отзыву самолетов в истории авиации

Airbus объявил об отзыве около 6500 самолетов A320 из-за возможных сбоев в работе системы управления ELAC, возникающих при мощных солнечных вспышках. Поводом стала резкая потеря высоты во время рейса из мексиканского Канкуна в Ньюарк — лайнер совершил вынужденную посадку, и 15 пассажиров получили травмы.

Как сообщило агентство Reuters, решение об отзыве принято на основе расследования инцидента с самолетом A320 авиакомпании JetBlue.

Следствие установило, что причиной происшествия стало некорректное реагирование подсистемы ELAC на сильные солнечные вспышки. В результате система неверно интерпретировала движения штурвала. Производитель рекомендовал откатить обновление ПО L104 до предыдущей версии или заменить вычислительный модуль.

Под отзыв попали свыше 6000 самолетов A320. Авиакомпаниям Lufthansa, IndiGo, easyJet, JetBlue, American Airlines, Air France пришлось вывести из эксплуатации значительную часть парка, что вызвало массовые задержки и отмены рейсов в выходные. Только Air France в субботу отменила 35 рейсов.

В то же время IndiGo, easyJet, JetBlue и American Airlines самостоятельно произвели откат проблемного обновления — работа заняла всего несколько часов, что позволило избежать перебоев в расписании. Замена вычислительного модуля требуется только для наиболее старых самолетов.

«Предварительный анализ выпущенной директивы показал, что она не касается самолетов семейства Airbus A320, эксплуатируемых российскими авиакомпаниями», — заявил официальный представитель Росавиации Артем Кореняко.

По данным источника РБК в отрасли, «иммунитет» российских A320 связан с тем, что их программное обеспечение из-за санкций не обновлялось с 2022 года. Проблемное обновление L104 вышло только в 2024-м.

Ранее серьезные проблемы были выявлены и в бортовом ПО самолетов Boeing 737 Max. Они привели к запрету полетов и масштабным последствиям для производителя.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru