Журналисты издания Vice Motherboard провели интересный эксперимент: попытались приобрести специальное оборудование, которое правоохранительные органы и ИБ-эксперты используют для взлома мобильных гаджетов.
Так как смартфоны уже являются неотъемлемой частью нашей жизни, криминалистам часто приходится подбирать пароли для мобильных устройств и доставать с них данные. А спрос, как известно, рождает предложение.
Издание пишет, что для покупки столь специфической аппаратуры вовсе не обязательно быть полицейским или представлять компанию, занимающуюся ИБ-криминалистикой по контракту. Как оказалось, подобные устройства можно купить и без всяких проверок, так как некоторых продавцов совершенно не заботит бэкграунд покупателей.
К примеру, на eBay нашелся продавец, который продает не только аппаратные файерволы и прочую аппаратуру, но также устройства Universal Extraction Forensics Devices (UFED) компании Cellebrite. Эта израильская фирма разрабатывает инструменты для киберкриминалистов, и в начале 2016 года многие полагали, что именно Cellebrite поможет ФБР взломать iPhone террориста, с которым у правоохранителей вышел известный казус. Оборудование и ПО фирмы позволяет извлечь с устройства список контактов, почту, текстовые сообщения и так далее. Вышеупомянутый продавец на eBay также предлагает UFED, предназначенные для эксплуатации в тяжелых условиях, такие версии правоохранители используют «в поле»,
Когда журналисты поинтересовались у продавца, поставляется ли в комплекте с оборудованием необходимое ПО, тот ответил, что «софт доступен в онлайне, вы сможете его скачать».
Другой продавец на том же eBay предлагает покупателям аддон Cellebrite UFED CHINEX по цене $2500. CHINEX, как правило, используется для извлечения паролей и информации со смартфонов на базе китайских чипсетов.
Многие сайты, торгующие продукцией Cellebrite, требуют, чтобы покупатель сначала зарегистрировался и оставил запрос в закрытой секции сайта, чтобы просто узнать цену интересующего решения. Однако представители Vice Motherboard обнаружили польский сайт, который специализируется на различных инструментах для частных детективов, и там открыто предлагают за $13 700 приобрести UFED Touch Ultimate, предназначенный для извлечения и удаления данных, а также обхода парольной защиты Android-устройств (в том числе семейства Samsung Galaxy S).
Журналисты смогли беспрепятственно добавить товар в корзину, указать адрес доставки и прошли практически весь процесс оформления заказа, но у них так и не спросили, имеют ли они какое-то отношение к правоохранительным органам. В правилах и условиях пользования сайтом тоже не удалось обнаружить каких-либо ограничений или упоминаний о том, что данная продукция не может быть продана простому «человеку с улицы». При этом ресурс имеет лицензию на продажу продукции Cellebrite, а значит, покупатели гарантировано будут получать последние обновления и техническую поддержку.
С результатами этого небольшого расследования журналисты обратились к представителям Cellebrite, попросив их прокомментировать ситуацию. В компании ограничились лаконичным заявлением, что их лицензионные соглашения категорически воспрещают перепродажу UFED продукции.
Злоумышленники превратили сотни выходных узлов Tor в инфраструктуру для перехвата SSH-соединений. Вместо нужного сервера пользователь мог попасть на сервер атакующих и отдать им пароль. Но был важный барьер: для успешной кражи требовалось принять подменённый ключ сервера.
Атаку описал исследователь под псевдонимом kaba. Проверив около 3000 выходных узлов, он обнаружил 333, перенаправлявших SSH-трафик через одни и те же 12 серверов перехвата. Это примерно каждый десятый узел по количеству.
Исследователь заметил неладное 2 октября: SSH-клиент предупредил, что ключ удалённого сервера изменился. То самое сообщение, которое хочется раздражённо закрыть, в этот раз указывало на реальную подмену.
Если пользователь принимал чужой ключ и вводил пароль, атакующие могли получить доступ к его серверу. В ходе дальнейшей проверки kaba также зафиксировал попытку установить Ebury — бэкдор для Linux, предназначенный в том числе для кражи учётных данных.
Команда Tor подтвердила компрометацию серверов операторов: злоумышленники меняли настройки, а некоторые промежуточные узлы превращали в выходные. Затронутые узлы начали исключать из сети. Первоначальный способ взлома серверов остаётся неясным.
Опасное окно пришлось на 1-5 октября. Число пострадавших неизвестно. Пользователям, которые в эти дни подключались по SSH через Tor, принимали незнакомый ключ и вводили пароль, стоит считать его скомпрометированным. Анонимный маршрут не отменяет проверку того, кому вы отдаёте доступ.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
