Давняя уязвимость TCP/IP все еще актуальна для миллионов IoT-устройств

Давняя уязвимость TCP/IP все еще актуальна для миллионов IoT-устройств

Новый этап реализации проекта Memoria компании Forescout выявил еще девять уязвимых стеков TCP/IP, на которые полагаются миллионы IoT-устройств. Новые находки, объединенные под именем Number:Jack, связаны с фундаментальным аспектом TCP — нумерацией передаваемых сегментов данных.

Согласно стандарту RFC 793, установка нового TCP-соединения предполагает создание и обмен значениями ISN (Initial Sequence Number) — начальными порядковыми номерами сегментов, гарантирующими доставку данных. Эти ISN по идее должны генерироваться случайным образом, чтобы уберечь передаваемые данные от манипуляций и подмены.

Практика показала, что из-за недочетов в реализации стека TCP/IP номера ISN зачастую получаются не совсем случайными, и злоумышленник может без особого труда их угадать и подменить, чтобы вызвать отказ в обслуживании, организовать перехват нешифрованного трафика, перенаправить жертву на вредоносный сайт или напрямую загрузить на ее компьютер зловреда.

О возможности атаки с предсказанием порядковых номеров ISN эксперты предупреждали еще в 90-х годах прошлого столетия, и такие уязвимости уже почти полностью истребили в Windows, Linux и других широко используемых ИТ-продуктах. К сожалению, в мире интернета вещей подобные бреши до сих пор нередки и часто передаются по наследству, позволяя злоумышленникам обойти аутентификацию и получить дополнительный доступ к атакуемой сети.

По этой причине эксперты Forescout решили запустить проект Memoria, предметом которого является исследование защищенности стеков TCP/IP, используемых в современных встраиваемых и IoT-устройствах. На первом этапе им удалось выявить 33 уязвимости в четырех широко используемых TCP/IP-библиотеках; те находки получили известность как Amnesia:33.

Для второго этапа Project Memoria исследователи расширили контрольную выборку, добавив еще несколько популярных стеков. Проверка различных реализаций генератора ISN на соответствие нормам дала следующие результаты:

  • CVE-2020-27213 в Nut/Net 5.1;
  • CVE-2020-27630 в uC/TCP-IP 3.6.0;
  • CVE-2020-27631 в CycloneTCP 1.9.6;
  • CVE-2020-27632 в NDKTCPIP 2.25;
  • CVE-2020-27633 в FNET 4.6.3;
  • CVE-2020-27634 в uIP 1.0, затрагивает Contiki-OS 3.0 и Contiki-NG 4.5;
  • CVE-2020-27635 в PicoTCP 1.7.0 и PicoTCP-NG.

Все найденные уязвимости оценены в 7,5 балла по шкале CVSS. Вендоры и кураторы проектов поставлены в известность и уже приняли соответствующие меры — кроме одного. Разработчики uIP никак не отреагировали на уведомление от Forescout, так что их планы неизвестны.

Устройства, использующие названные TCP/IP-стеки, эксперты выявлять не стали, чтобы не давать подсказку злоумышленникам. Они только отметили, что такие подробности могли быть опубликованы для некоторых медицинских аппаратов, систем мониторинга работы газотурбинных установок и систем хранения данных.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

TRM Labs: На российских операторов шифровальщиков приходится 69% выкупов

Как подсчитали исследователи из компании TRM Labs, русскоговорящие операторы программ-вымогателей забирают 69% от общего потока криптовалюты, которую жертвы платят в качестве выкупа. В цифрах эта сумма превышает 500 млн долларов за 2023 год.

TRM Labs, занимающаяся блокчейн-аналитикой и отслеживанием незаконных махинаций с криптовалютой, дала Северной Корее первое место по краже цифровой валюты.

Согласно статистике специалистов, северокорейские киберпреступники в 2023 году украли более миллиарда долларов. Само собой, Россию тоже вниманием не обошли, заявив, что российские злоумышленники доминируют во всех других незаконных действиях с криптовалютой.

«Русскоговорящие киберпреступники с территории всего бывшего Советского Союза регулярно лидируют во всех видах незаконной деятельности с цифровой валютой — от атак программ-вымогателей до нелегальных криптобирж и рынков в даркнете», — пишет в отчете TRM Labs.

Например, по данным компании, операторы LockBit и ALPHV за 2023 год собрали выкупов на сумму как минимум 320 миллионов долларов. При этом «российские кибервымогатели» превысили 500 млн долларов в аналогичной активности.

 

В TRM Labs также отметили, что русскоязычные ветки форумов даркнета сбывают нелегальные товары и услуги, занимающие долю в 95% от общего числа таких продаж, зафиксированных по всему миру.

За прошлый год три крупнейших «российских» маркетплейса в даркнете обработали транзакции на 1,4 миллиарда долларов, в то время как западные рынки набрали в общей сложности 100 миллионов долларов за этот же период.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru