Эксперт взломал внутренние системы Microsoft, Apple, PayPal, Tesla

Эксперт взломал внутренние системы Microsoft, Apple, PayPal, Tesla

Эксперт взломал внутренние системы Microsoft, Apple, PayPal, Tesla

Исследователю в области кибербезопасности удалось взломать внутренние системы более чем 35 крупнейших компаний, среди которых были Microsoft, Apple, PayPal, Shopify, Netflix, Yelp, Tesla и Uber. В этом специалисту помогла новая атака на цепочку поставок софта.

В ходе отработки «взлома» специалист Алекс Бирсан смог загрузить вредоносную программу в репозитории с открытым исходным кодом, включая PyPI, npm и RubyGems. В результате этот зловред автоматически разошёлся по внутренним приложениям корпораций.

Продемонстрированный исследователем способ атаки отличается от похожих схем своей сложностью, при этом для его реализации от жертвы не требуется никаких действий. А всё потому, что атака задействует уязвимость в экосистемах, предназначенных для хранения исходного кода. Эта брешь получила название «путаница зависимостей».

Поскольку обнаруживший проблему безопасности эксперт не ставил целью по-настоящему ломать системы крупнейших корпораций, он открыл информацию о дыре представителям ИТ-гигантов. В результате этичный хакер заработал $130 000.

Идея нового вектора атаки пришла в голову Бирсану в прошлом году. Во время работы с Джастином Гарднером, другим экспертом, Алекс обратил внимание на одну деталь при взаимодействии с репозиториями npm.

Согласно описанию способа атаки на BleepingComputer, исследователь начал создавать фейковые проекты с теми же именами, что были в репозиториях npm, PyPI и RubyGems. Вскоре Бирсан понял следующую зависимость: если используемый приложением пакет находится как в публичном репозитории, так и в личном, то приоритет отдаётся именно публичному.

Используя эту особенность, специалист выполнил успешную атаку на цепочку поставок и добрался до систем Microsoft, Apple, PayPal, Shopify, Netflix, Tesla, Yelp и Uber. Этого удалось добиться простым размещением публично доступных пакетов с теми же именами, которые находились во внутренних системах корпораций.

В 31% российских компаний отсутствует стратегия внедрения средств ИБ

По данным MWS Cloud (входит в МТС Web Services), стратегию внедрения средств кибербезопасности имеют лишь 42% российских компаний. У 27% бизнес-структур она находится в стадии разработки, а у 31% таковой нет.

Проведенное исследование также показало, что российский бизнес осознает необходимость вкладываться в ИБ, однако небольшие предприятия ожидаемо отстают по наличию стратегии на этом направлении (из-за ограниченных ресурсов). У крупных компаний показатель составил 58-68%, у мини и микро — лишь 31%.

Решения в отношении СЗИ обычно принимает руководство: в 66% случаев — директор по инфраструктуре, в 18% — гендиректор, в 8% — директор по кибербезу. На внедрение таких решений в российских компаниях чаще всего уходит от одного до шести месяцев, в 14% случаев — более 1 года.

Две трети крупных бизнес-структур предпочитают пользоваться облачными ИБ-услугами, в СМБ показатели скромнее (от 24 до 29%).

«Отраслевой срез показывает, что лидерами по доле средств кибербезопасности в облаке являются ИТ, сегмент развлечений и медиа, а также наука и образование (средняя доля около 36%), — отметил директор по продуктам MWS Cloud Михаил Тутаев. — Для транспорта и ретейла также характерны высокие значения (24–27%)».

RSS: Новости на портале Anti-Malware.ru