Киберполиция

Jailbreak

medergrup — Thu, 29 Jun 2017 20:36:22 GMT

Джейлбрейк (англ. Jailbreak — «побег из тюрьмы») iPhone/iPod Touch/iPad — официально неподдерживаемая корпорацией Apple операция, которая позволяет получить доступ к файловой системе ряда моделей устройств iPhone, iPod или iPad. Это позволяет расширить возможности аппарата, например, сделать возможным поддержку тем оформления, твиков и установку приложений из сторонних источников (не App Store). Джейлбрейк открывает полный доступ к файловой системе iPhone, iPod или iPad.
Джейлбрейк зачастую недоступен для современных моделей телефона с обновлённым системным ПО.

BadUSB

medergrup — Thu, 29 Jun 2017 20:24:59 GMT

BadUSB — класс хакерских атак, основанный на уязвимости USB устройств. Благодаря отсутствию защиты от перепрошивки в некоторых USB-устройствах, злоумышленник может видоизменить или полностью заменить оригинальную прошивку и заставить устройство имитировать любое другое устройство. BadUSB предназначен для доставки и исполнения вредоносного кода.

USB устройства несут в себе микроконтроллер, отвечающий за общение с хостом по интерфейсу USB. В процессе инициализации микроконтроллер сообщает хосту, наряду с другой служебной информацией, классы, к которым принадлежит устройство. Хост загружает нужный драйвер и работает с устройством исходя из его класса и этих данных. Одно физическое устройство может реализовывать несколько классов и для хоста являться несколькими отдельными устройствами: веб-камеры реализуют одновременно класс видео и класс аудио устройств.

BadUSB пользуется тем фактом, что производители не защищают свои устройства от перепрошивки, а хосты не проверяют USB устройства на подлинность. Благодаря этому злоумышленник может подменить прошивку микроконтроллера и выдать одно устройство за другое. Также, так как все коммуникации ведутся через этот микроконтроллер, злоумышленник может перехватывать и подменять любые данные и команды между устройством и хостом. Возможно и автоматическое заражение устройств: устройство заражает хост, запуская на нём вредоносное ПО, затем хост автоматически заражает все подключенные к нему USB устройства.

Каждый контроллер уникален, и для каждого необходимо разрабатывать зараженную прошивку или патч отдельно. Невозможно написать универсальное программное обеспечение и использовать его на любом микроконтроллере. Процедура прошивки различается от одного контроллера к другому. Все это значительно уменьшает вероятность эпидемии BadUSB, однако не защищает от целенаправленной атаки

Область уязвимости

Уязвимости подвержены все устройства с незащищенными USB контроллерами на борту: флеш-накопители, вебкамеры, мышки, клавиатуры, андроид-устройства. BadUSB не требует особого программного обеспечения на компьютере жертвы и работает под любыми операционными системами, поддерживающими USB-HIDустройства.
Необходимость трудоемкого реверс-инжиниринга каждого USB-устройства ограничивает этот класс атак заказными атаками на конкретные устройства в рамках черных пиар-технологий либо атаками против конкретной жертвы, пользующейся определенными устройствами..

Некоторые виды атак

Имитация клавиатуры
Устройство представляется компьютеру жертвы клавиатурой, а по истечении некоторого времени начинает отправлять последовательности нажатий клавиш. В результате злоумышленник может выполнить на компьютере жертвы любые действия, доступные авторизованному пользователю с помощью одной только клавиатуры. К примеру, злоумышленник может загрузить из интернета и запустить вредоносное ПО.
Существенным минусом данного вида атак является отсутствие доступа к информации на экране и, как следствие, отсутствие обратной связи на любые действия со стороны зараженного устройства. Например, злоумышленник не может определить как текущую раскладку клавиатуры, так и произведен ли вход в систему.

Имитация сетевой карты
Устройство представляется компьютеру жертвы сетевой картой и, таким образом, может перехватывать или перенаправлять сетевой трафик. В частности, отвечая на DHCP запрос адресом DNS сервера злоумышленника и не предоставляя шлюза по умолчанию, злоумышленник может перенаправить трафик жертвы: компьютер жертвы будет производить разрешение адреса через DNS сервер злоумышленника, но, в отсутствие шлюза по умолчанию, будет использовать другой, настоящий сетевой интерфейс.

Boot Injection
Устройство с достаточным местом для хранения вредоносного кода, например, флеш-накопитель, может определить момент включения компьютера и в момент определения BIOS’ом выдать на загрузку вирус для заражения операционной системы. Это становится возможным благодаря тому, что по поведению хоста при общении с USB микроконтроллером возможно определить ОС хоста, в частности Windows, Linux, MacOSX, а также BIOS.

Выход из виртуального окружения
Атака использует возможность повторной инициализации устройства. Выполняясь в виртуальной машине, вирус заражает любое подключенное по USB устройство. Зараженная прошивка выполняет переинициализацию и представляется двумя независимыми устройствами: неким новым и тем, которое уже было подключено к виртуальной машине. Новое устройство будет автоматически подключено к хостовой ОС, а старое — обратно в виртуальную машину. Таким образом, может быть произведен выход за пределы виртуального окружения, то есть осуществлен переход от клиентской до хостовой ОС.

ASLR

medergrup — Thu, 29 Jun 2017 20:17:42 GMT

ASLR (англ. address space layout randomization — «рандомизация размещения адресного пространства») — технология, применяемая в операционных системах, при использовании которой случайным образом изменяется расположение в адресном пространстве процесса важных структур данных, а именно образов исполняемого файла, подгружаемых библиотек, кучи и стека.
Технология ASLR создана для усложнения эксплуатации нескольких типов уязвимостей. Например, если при помощи переполнения буфера или другим методом атакующий получит возможность передать управление по произвольному адресу, ему нужно будет угадать, по какому именно адресу расположен стек, куча или другие структуры данных, в которые можно поместить шелл-код. Сходные проблемы возникнут и при атаке типа «возврат в библиотеку» (return-to-libc): атакующему не будет известен адрес, по которому загружена библиотека. В приведённых примерах от атакующего скрыты конкретные адреса, и, если не удастся угадать правильный адрес, приложение скорее всего аварийно завершится, тем самым лишив атакующего возможности повторной атаки и привлекая внимание системного администратора.

ARP-spoofing

medergrup — Thu, 29 Jun 2017 20:14:33 GMT

ARP-spoofing (ARP — poisoning) — разновидность сетевой атаки типа MITM (англ. Man in the middle), применяемая в сетях с использованием протокола ARP. В основном применяется в сетях Ethernet. Атака основана на недостатках протокола ARP.
При использовании в распределённой вычислительной сети алгоритмов удалённого поиска существует возможность осуществления в такой сети типовой удалённой атаки «ложный объект распределённой вычислительной системы». Анализ безопасности протокола ARP показывает, что, перехватив на атакующем узле внутри данного сегмента сети широковещательный ARP-запрос, можно послать ложный ARP-ответ, в котором объявить себя искомым узлом (например, маршрутизатором), и в дальнейшем активно контролировать сетевой трафик дезинформированного узла, воздействуя на него по схеме «ложный объект РВС».

Протокол ARP(Address Resolution Protocol или протокол разрешения адреса) — сетевой протокол, использующийся для связи IP-адреса устройства с его MAC адресом, тем самым делая возможным связь между устройствами сетевого уровня локальной и глобальной сети.

Принцип работы

Пусть у нас есть две локальных сети Ethernet, соединенных маршрутизатором, и пусть узел первой локальной сети (узел A) хочет передать узлу второй локальной сети (узлу B) пакет. По протоколу IP определяется IP адрес интерфейса маршрутизатора (IP1), к которому подключена локальная сеть 1, где находится узел А. Теперь, чтобы пакет инкапсулировать в кадр и передать на интерфейс маршрутизатора с адресом IP1, нужно знать MAC адрес этого интерфейса. Далее начинается работа протокола ARP. Протокол ARP имеет на каждом сетевом интерфейсе компьютера или маршрутизатора свою ARP-таблицу, в которой записаны соответствия между IP-адресами и MAC адресами сетевых устройств. Пусть вначале все ARP-таблицы пусты. Далее:

Протокол IP запрашивает у протокола ARP MAC адрес интерфейса с адресом IP1.

Протокол ARP проверяет свою ARP-таблицу и не находит MAC адреса, соответствующего адресу IP1

Тогда протокол ARP формирует ARP-запрос (смысл запроса -узнать MAC-адрес интерфейса по его IP -адресу), вкладывает его в кадр Ethernet и рассылает данный кадр широковещательно в локальной сети 1.

Каждый интерфейс локальной сети 1 получает ARP-запрос и направляет его своему протоколу ARP.
Если протокол ARP интерфейса нашел совпадение IP адреса интерфейса с IP1, то ARP генерирует ARP-ответ (В данной ситуации это ARP маршрутизатора), который направляется запрашивающему узлу. В ARP-ответе содержится MAC адрес интерфейса, на который нужно отправить кадр (в данном случае это интерфейс маршрутизатора, подключенный к локальной сети 1).

Далее узел A передает кадр с инкапсулированным пакетом на соответствующий интерфейс маршрутизатора.

Уязвимости ARP

Протокол ARP является уязвимым - он не проверяет подлинность ARP-запросов и ARP-ответов. А так как сетевые интерфейсы на компьютерах поддерживают самопроизвольный ARP (ARP-ответ присылается на интерфейс устройства без необходимости), то как раз в таком случае возможна атака ARP-spoofing.

Инструменты и методы для обнаружения и предотвращения ARP-спуфинга

Программы arpwatch, BitCometAntiARP
Эти программы отслеживают ARP активность на заданных интерфейсах. Могут обнаружить атаку ARP-spoofing, но не могут предотвратить её. Для предотвращения атаки требуется вмешательство администратора сети.

Организация VLAN
Если в локальной сети есть разделение на несколько VLAN, то атака ARP-spoofing может быть применена только к компьютерам, находящимся в одном VLAN. Идеальной ситуацией, с точки зрения безопасности, является наличие только одного компьютера и интерфейса маршрутизатора в одном VLAN. Атака ARP-spoofing для такого сегмента невозможна.

Использование статического ARP
Можно избежать атаки ARP-spoofing путём настраивания ARP-таблицы вручную. Тогда злоумышленник не сможет обновлять ARP-таблицы путём посылки ARP-ответов на интерфейсы компьютеров

Использование шифрования
Для предотвращения атаки ARP-spoofing (как и любой атаки "человек посередине") в локальной сети можно использовать протоколы шифрования данных, для защиты передаваемой информации от злоумышленника. Например такие протоколы как PPPoE или IPSec

AppArmor

medergrup — Thu, 29 Jun 2017 20:07:13 GMT

AppArmor — программный инструмент упреждающей защиты, основанный на политиках безопасности (известных также как профили (англ. profiles)), которые определяют, к каким системным ресурсам и с какими привилегиями может получить доступ то или иное приложение. В AppArmor включён набор стандартных профилей, а также инструменты статического анализа и инструменты, основанные на обучении, позволяющие ускорить и упростить построение новых профилей.

Adware

medergrup — Thu, 29 Jun 2017 20:03:49 GMT

Рекламное программное обеспечение, adware (англ.; от ad, advertisement — «реклама» и software — «программное обеспечение») — программное обеспечение, содержащее рекламу. Также, термином «adware» называют вредоносное программное обеспечение, основной целью которого является показ рекламы во время работы компьютера.

Основное назначение

Основным назначением деятельности по показу рекламы является получение прибыли и покрытие расходов на разработку программного обеспечения (например, конвертера видео или клиента системы мгновенных сообщений), таким образом, adware — это неявная форма оплаты за использование программного обеспечения, осуществляющаяся за счёт показа пользователю рекламной информации.

Схема получения прибыли

Схема монетизации adware-приложений достаточно проста. Разработчики adware-приложений работают или с рекламными агентствами, которые в данном случае выполняют функцию посредника, или же, что бывает значительно реже, напрямую с рекламодателями.

Связь со шпионским программным обеспечением

Многие adware осуществляют действия, присущие spyware (шпионским программам): показывают рекламные заставки, базирующиеся на результатах шпионской деятельности на компьютере, могут устанавливаться без согласия пользователя. Примеры: Exact Advertising от BargainBuddy.
Некоторые adware-программы при удалении оставляют рекламный модуль.
Другие действия, характерные для spyware, такие как доклад о веб-сайтах, посещаемых пользователем, происходят в фоновом режиме. Данные используются для целевого рекламного эффекта.

Способы защиты

Эффективным способом защиты от назойливой рекламы на веб-сайтах являются специальные фильтры, такие как Adblock Plus. Подобные программы позволяют достаточно эффективно бороться с рекламой на различных порталах, размещенных в сети Интернет.
Иногда может помочь очистка расписания задач в Windows.
Для защиты от adware-приложений, устанавливающихся непосредственно на компьютер пользователя можно использовать антивирусные продукты, имеющие функциональность песочницы, что позволяет запустить приложение в ограниченной среде, не опасаясь за безопасность всей системы.

Контент-фильтр

medergrup — Thu, 29 Jun 2017 19:57:50 GMT

Контент-фильтр, или програ́мма ограниче́ния веб-контента (англ. Content-control software или web filtering software) — устройство или программное обеспечение для фильтрации сайтов по их содержимому, не позволяющее получить доступ к определённым сайтам или услугам сети Интернет. Система позволяет блокировать веб-сайты с содержимым, не предназначенным для просмотра.

Контент-фильтр работает по статистическому принципу, то есть подсчитывает заранее определённые слова текста и определяет категорию, к которой относится содержимое сайта. Целью таких устройств или программ является ограничение доступа в Интернет для школ, предприятий, религиозных организаций и т. д. Чаще всего контент-фильтры используются для ограничения доступа для детей и подростков, в учебных заведениях, библиотеках и на рабочих местах в различных учреждениях, а также игровых клубах и интернет-кафе.

Принцип работы

Часто фильтрация проходит на уровне запросов по протоколу HTTP. Для этого URL запрошенного сайта сверяется с чёрным списком с помощью регулярных выражений. Такие списки необходимо регулярно обновлять, защита с их помощью считается малоэффективной. Более продвинутыми являются методы распознавания образов и обработки естественного языка. Для классификации сайтов по разным признакам (например, «порнография / не порнография», «варез / каталог freeware» и т. д.) текст запрашиваемой страницы анализируется на количество разных ключевых слов (например, «бесплатно», «скачать» и т. д.). Эти и другие свойства текста используются для вычисления вероятности попадания в опасную категорию. Если эта вероятность превышает заданный уровень (например, 95 %), доступ к странице блокируется.

Самые простые программы позволяют ввести слова, поиск которых будет вести система вручную. Самые сложные устройства уже имеют большой словарь и предполагают уже готовую базу ссылок, которые уже классифицированы. Как правило, к сложным устройствам производители обеспечивают периодическое обновление базы ссылок. Те веб-сайты, которые не были распознаны автоматически, просматривает человек и присваивает категорию сайта вручную.

Очевидное требование к программам ограничения доступа — быстродействие классификации.

Компьютер-зомби

medergrup — Thu, 29 Jun 2017 19:54:31 GMT

«Компью́тер-зо́мби» — компьютер в сети, который был заражен специализированной вредоносной программой, как правило предоставляющей злоумышленнику удаленный доступ и ресурсы машины. Программа, как правило, активно маскируется и без оффлайновой проверки файлов, контроля трафика или использования специального ПО вычислить такой компьютер достаточно сложно. Такой компьютер может быть использован третьими лицами без ведома владельца: для доступа в закрытую или коммерческую сеть (включая Интернет), использования вычислительных ресурсов (кластеризации), рассылки спама и перенаправления трафика (см. открытые прокси) в момент совершения противоправных действий.

Понятие «зомби» присвоено по аналогии с реальным грибком-паразитом, который влияет на сознание и заставляет муравьев уходить из муравейника.

Компьютеры-зомби являются одним из наиболее эффективных инструментов по рассылке спама — так, они ответственны за 50—80% мирового трафика спама

Мобильный вирус

medergrup — Wed, 28 Jun 2017 18:03:30 GMT

Мобильные вирусы — это небольшие программы, предназначенные для вмешательства в работу мобильного телефона, смартфона, коммуникатора, которые записывают, повреждают или удаляют данные и распространяются на другие устройства через SMS и Интернет.

Впервые о мобильных вирусах заговорили ещё в 2000 году. Вирусами назвать их было тяжело, так как это был набор команд, исполняемый телефоном, который передавался через SMS. Такие сообщения забивали соответствующие ячейки памяти и при удалении блокировали работу телефона. Наибольшее распространение получили команды для таких телефонов, как Siemens и Nokia

Тенденция такова, что: чем функциональнее телефон, тем большему количеству угроз он подвержен. Любые команды, функции и возможности, позволяющие создавать программы и приложения для мобильных телефонов, могут стать инструментом для создания вирусов. Когда-то, наиболее перспективной платформой для написания вирусов являлась Java 2ME, так как подавляющее большинство телефонов середины 00-х поддерживали данную платформу.
Основной целью мобильных вирусов, как и в случае с компьютерными вирусами, является получение персональной информации, которую можно продать или использовать в личных нуждах. К такой информации могут относиться личные данные владельца телефона, данные самого устройства, личные сообщения, иногда номера кредитных карт

Направления развития мобильных вирусов

Кража персональной информации.
В данном случае вирусы собирают различные сведения, имеющиеся в телефоне, например, контакты владельца телефона, пароли от программ, параметры учётных записей, таких, как Google Play или AppStore. Вся информация, полученная вирусом, отправляется на сервер злоумышленников, где используется по их усмотрению. Один из самых серьезных вирусов такого плана — Android.Geinimi. Попадая в систему, он определяет местоположение смартфона, загружает файлы из Интернета, считывает и записывает закладки браузера, получает доступ к контактам, совершает звонки, отправляет, читает и редактирует SMS-сообщения.

Отправка платных SMS-сообщений, звонки на «партнерский номер» без ведома владельца.
В данном случае за отправку сообщения или за звонок списывается серьезная сумма средств с лицевого счета владельца телефона. Разумеется, деньги попадают в руки злоумышленников. Из самых известных подобных угроз можно назвать Android.SmsSend, а также давно известные RedBrowser и Webster для Java-платформы. Они маскируются под различные полезные программы, вызывая тем самым доверие у пользователя. Также существуют вирусы и для других платформ, например, Symbian OS, Windows Mobile и др.

Мошенничество посредством использованием систем интернет-банкинга.
В данном случае вирус открывает доступ к мобильному приложению для работы с банком или соответствующему веб-сайту, либо перехватывает SMS-сообщения, передаваемые пользователю от систем интернет-банкинга. Опасность данного типа может подстерегать владельцев мобильных телефонов, работающих на различных платформах. Известен троян Trojan-Spy.SymbOS.Zbot.a, работающий в совокупности с популярным вирусом Zbot для обычных ПК.

Борьба с мобильными вирусами
Вредоносный код не может проникнуть на мобильное устройство совершенно без ведома его владельца.
Специализированное защитное ПО – мобильный антивирус, не всегда помогает, так как вирусы быстро эволюционируют.
Антивирусные компании давно начали выпускать версии своих программ для защиты мобильных телефонов, но самой лучшей защитой всегда была бдительность пользователя.

Система менеджмента информационной безопасности

medergrup — Wed, 28 Jun 2017 17:58:05 GMT

Система менеджмента информационной безопасности (СМИБ) — часть общей системы менеджмента, которая основана на подходе бизнес-рисков при создании, внедрении, функционировании, мониторинге, анализе, поддержке и улучшении информационной безопасности.
В случае построения в соответствии с требованиями ISO/IEC 27001 основывается на PDCA модели:

Plan (планирование) — фаза создания СМИБ, создание перечня активов, оценки рисков и выбора мер;

Do (действие) — этап реализации и внедрения соответствующих мер;

Check (проверка) — фаза оценки эффективности и производительности СМИБ. Обычно выполняется внутренними аудиторами;

Act (улучшения) — выполнение превентивных и корректирующих действий;