Digital Security опровергает связь участника Zeronights с MoneyTaker

Digital Security опровергает связь участника Zeronights с MoneyTaker

Digital Security опровергает связь участника Zeronights с MoneyTaker

В связи с тем, что публикация отчета Group-IB, посвященного группе хакеров MoneyTaker, 11 декабря 2017 года, содержит факты о конференции ZeroNights, компания Digital Security решила внести свои комментарии по этому поводу.

По словам Digital Security, Group-IB предоставила вводящие в заблуждение факты.

«Как видно на скриншотах текстов из Телеграм-канала Group-IB и отчета, выложенного на сайте компании и доступного по ссылке: https://www.group-ib.ru/blog/moneytaker, в аналитике содержится фраза: «Важными «находками», позволившими обнаружить связи между преступлениями, стали программы для повышения привилегий, скомпилированные на основе кодов с российской конференции ZeroNights 2016». Эти слова вызвали волну вопросов и непонимания в среде специалистов по ИБ и представителей СМИ, поскольку позволяли сделать выводы о том, что злоумышленники получили исходный код для зловредного ПО на конференции», — пишет Digital Security в своем официальном ответе.

Ниже мы даем комментарии исследовательского центра Digital Security в хронологическом порядке о том, как и когда на самом деле произошла публикация исходных кодов.

Итак, аргентинским исследователем Enrique Elias Nissim из IOActive был найден способ обхода механизма рандомизации в ядре Windows 10 с помощью атаки по времени (Timing attack).

Далее, он выступил с докладом, посвященным данной находке, в октябре 2016 на Ekoparty #12 (26 октября 2016 - 28 октября 2016): Enrique Nissim - I Know Where Your Page Lives: De-randomizing the Windows 10 Kernel.

Исполняемый файл назывался "ASLRSideChannelAttack.exe", а не "SLRSideChannelAttack.exe", и он был скомпилирован 23 октября 2016. ZeroNights 2016 состоялась 17-18 ноября, (https://2016.zeronights.ru), а исходный код метода обхода ASLR в репозиторий IOActive был выложен уже после выступления на ZN2016 исследователем 23 ноября 2017 (коммит f9e0e7d3e1eb57f82b16226746d36629b97aa804): https://github.com/IOActive/I-know-where-your-page-lives/commit/f9e0e7d3...

Там же доступен и исполняемый файл  "ASLRSideChannelAttack.exe", а не "SLRSideChannelAttack.exe", имеющий дату компиляции - 23 октября 2016.Подчеркнем, что речь идет не о коде вируса, а о методе обхода рандомизации, который, возможно, использовался в ПО злоумышленников (MoneyTaker).

Digital Security рекомендует специалистам компании Group-IB внимательнее относиться к фактчекингу при создании своих отчетов.

Ранее мы писали о том, что Group-IB опубликовала отчет, в котором говорится, что в течение полутора лет русскоговорящая группа киберпреступников MoneyTaker взламывала системы информационной безопасности трех российских банков.

Brave начал скрывать видеокарту от любопытных сайтов

В Brave 1.93 появилась защита от отслеживания пользователей по характеристикам графического оборудования. Браузер теперь маскирует подробные сведения, которые сайты получают через WebGL и WebGPU. Функция включена по умолчанию на компьютерах и Android, а обновление будет распространяться постепенно в течение нескольких дней.

WebGL и WebGPU нужны для ускоренной графики, игр и интерактивных элементов.

Однако вместе с полезными возможностями они раскрывают модель видеокарты, сведения о драйверах и поддерживаемых функциях. Трекеры объединяют эти данные с другими параметрами и получают устойчивый цифровой отпечаток браузера.

Графический адаптер особенно удобен для слежки: пользователи меняют его заметно реже, чем IP-адрес или файлы cookie. Видеокарта может годами работать внутри компьютера и всё это время исправно представлять хозяина каждому любопытному сайту.

Теперь Brave заменяет строки производителя и визуализатора WebGL одним универсальным значением, скрывает данные адаптера WebGPU и случайным образом меняет списки расширений WebGL. Это должно сделать отпечатки менее точными и не позволить сайтам уверенно связывать разные сеансы с одним устройством.

Перед массовым запуском разработчики проверили механизм в Nightly- и бета-версиях браузера. Компания старалась сохранить работу сайтов, урезав только объём информации, доступной системам слежения.

Если новый режим всё же сломает графику или интерактивные функции, его можно отключить для конкретного сайта. Пользователям также разрешено полностью выключить защиту от цифровых отпечатков или систему Shields.

В дальнейшем Brave собирается рандомизировать и список поддерживаемых расширений WebGPU. Проверить, сколько информации раскрывает браузер, можно с помощью сервиса EFF Cover Your Tracks.

RSS: Новости на портале Anti-Malware.ru