Без права на ошибку: почему в промышленной кибербезопасности нет компромиссов
 
Компрометация критической инфраструктуры грозит не просто утечкой данных, а остановкой производства и возможными техногенными авариями. В промышленной кибербезопасности не бывает «остаточного риска»: если систему можно взломать, риск является полным.

Алексей Мартынцев, директор департамента защиты информации и ИТ-инфраструктуры «Норникеля», рассказал Илье Шаленкову, партнеру Kept, руководителю Группы по оказанию услуг в области кибербезопасности, как компания выстраивает защиту КИИ и АСУ ТП, адаптируется к новым реалиям и меняет культуру ИБ-безопасности среди сотрудников.

Поговорили также о том:
🔸 как «Норникель» реализует переход на российские решения и помогает отечественным вендорам создавать зрелые ИБ-продукты;
🔸 где проходят «красные линии» аутсорсинга и какие функции ИБ нельзя передавать подрядчику;
🔸 из чего состоит реальный KPI службы кибербезопасности;
🔸 почему искусственный интеллект в кибербезе — не способ сэкономить, а «налог на выживание».

▶️ Смотрите интервью
🟣 Читайте полную версию

• Минцифры предлагает блокировать все SIM‑карты, принадлежащие пользователю, чей аккаунт в Мах заблокируют за мошенничество. Более того, пользователю могут запретить покупать новую сим‑карту на какое‑то время.

➡️ Источник.

• Получается так, что если у вас или у ваших родственников угнали аккаунт, то вы останетесь без связи, так как все SIM-карты будут в бане. Вы даже не сможете отправить SMS, не говоря уже о том, что вы лишаетесь доступа к сервисам, в которых настроена 2FA через SMS. Последующие выводы можете сделать самостоятельно...

#Новости

• Пост выходного дня: Вы когда-нибудь видели, чтобы кто-то запускал Doom на устройстве, которое работает от двигателя Стирлинга? Ну... теперь видели.

➡️ Источник.

• Кстати, вот тут можно посмотреть каталог всего, на чем запускали DOOM. Там даже есть калькулятор, который был запитан от нескольких мешков картошки - https://canitrundoom.org

#Оффтоп

• Кстати, совсем забыл, что сегодня этому каналу исполняется 6 лет. Спасибо, что читаете. Всех обнял! Всем добра❤

@Infosec

• Доброе утро 🫠

#Понедельник

• За все время существования форума Hacker News на нем накопилось более 6.4 тыс. рекомендаций к различным видео, которые связаны с хакингом и ИТ.

• Так вот, сооснователь OpenAI и бывший глава отдела разработки автопилота Tesla Андрей Карпаты за два часа навайбкодил аналог YouTube и собрал все видео, которые когда-то рекомендовали пользователи Hacker News.

• Клод проанализировал более 43 миллиона комментов за 20 лет существования форума и нашел 6454 видео, которые аккуратно разбил по 16 категориям и 150 темам.

• Сам сервис доступен без регистрации и SMS. А еще там есть всевозможные фильтры, плейлисты, подробное описание каждого ролика и комменты, которые были оставлены юзерами при рекомендации видео.

➡️ https://hackertube.org/categories

#Разное

• Сотни расширений Chrome подменяли поисковик по умолчанию, чтобы их разработчики получали партнерские выплаты от Bing и Yahoo.

• Такая схема была описана в исследовании, в рамках которого было выявлено 319 расширений для Google Chrome, а число их установок переваливало за 13.5 миллионов. Такие расширения не содержали вредоносного кода или опасных разрешений — была лишь настройка в manifest, которая позволяла изменить поисковую систему по умолчанию и маршрутизировать запрос через прокси операторов ради партнерского дохода.

• К моменту публикации исследования большинство найденных расширений удалили из Chrome Web Store, однако, по словам исследователя, новые продолжают появляться. В дальнейшем такие расширения могут редиректить на фишинговые ресурсы или могут быть использованы в ClicFix-атаках.

➡️ https://socket.dev/blog/searchjacked

#Исследование

• Первый из резонансных компьютерных вирусов, попавший в теленовости, празднует 38 лет. Червь Морриса — вирус, который парализовал более 6 тыс. (тогда это было огромное кол-во) интернет-узлов в США и получивший широкое внимание благодаря сообщениям в СМИ по всему миру. Но самое интересное, что создателем этого интернет-червя был обычный студент, который за свои проделки стал первым обвиненным по Закону о мошенничестве и злоупотреблениях с применением компьютера. Хотя на самом деле никакого зла он причинять не хотел...

• 2 ноября, 1988 год. 23-летний студент Роберт Таппан Моррис (на фото) решил оценить масштабы интернета и провести перепись пользователей Сети. Интерес к компьютерной технике ему передался от отца — тот был отличным специалистом по криптографии и одним из разработчиков операционных систем Multics и Unix.

• Для проведения своего исследования Роберт Моррис написал сложнейший код, который был способен самостоятельно распространяться по Сети и препятствовал попыткам его остановить или уничтожить. Чтобы передать его от компьютера к компьютеру, хакер использовал уязвимость почтового сервера Sendmail — в то время программу активно использовали для обмена электронными письмами. Тогда люди плохо осознавали, что их простые пароли могут быть кем-то угаданы, а их учетная запись — взломана. Зато это прекрасно понимал Моррис, потому и создал код, который при подборе пароля использовал следующие варианты:

➡Пустая строка;
➡Имя пользователя;
➡Имя пользователя, написанное наоборот;
➡Имя или фамилия пользователя;
➡Имя или фамилия пользователя, написанные маленькими буквами;
➡432 рандомных слова, встроенных в словарь кода;
➡Файл /usr/dict/words, содержащий примерно 24000 слов и используемый в системе 4.3BSD (и других) как орфографический словарь.

• Но чтобы пользователи ничего не заподозрили и не обнаружили присутствие червя на компьютере, он использовал маскировку: проникнув на ПК, червь менял имя своего процесса, удалял временные файлы и принимал еще ряд мер, препятствующих своему обнаружению, в частности шифровал свои данные в памяти. Запускаясь на новом ПК, червь проверял, не является ли компьютер уже зараженным. При обнаружении двух копий на компьютере они «играли в кости», и одна самоуничтожалась. То ли из-за ошибки Морриса, то ли для страховки от создания простой «вакцины», основанной на этом эффекте, в одном случае из семи новая копия переставала играть «в выживание» и продолжала работать при любых условиях. Именно это решение привело к DDoS-эффекту, коэффициент 1/7 оказался слишком большим, и многие компьютеры повторно заражались десятки раз.

• В течение пары часов после того, как червь был запущен, несколько тысяч компьютеров по всей Америке были выведены из строя. Но при этом ни один файл на них не был поврежден, просто пользоваться устройством было невозможно. Так продолжалось 5 дней, пока некоторые программисты не догадались, как уничтожить червя Морриса.

• Ущерб от сетевого червя был оценен примерно в 96,5 миллионов долларов. Сам Роберт Моррис безнаказанным не остался: он был условно осужден на три года, приговорен к 400 часам общественных работ и оштрафован на 10 050 долларов. И это - смягченное наказание, которого Моррис добился благодаря сделки со следствием.

• Сам Моррис продолжил трудиться в сфере компьютерных технологий, через несколько лет организовал собственный стартап Viaweb, который позднее был продан компании Yahoo! за 50 млн. баксов.

• После этого Роберт погрузился в науку, получил ученую степень и начал академическую карьеру. С 2019 года Моррис занимает должность в Национальной инженерной академии США.

#Разное

• Немного статистики касательно украденных средств с Binance: за несколько дней хакеры смогли отмыть около 240 млн. баксов через Tron. 3 миллиарда из 6 были заморожены Tether и Circle, за что Binance сказал им "большое спасибо".

• Остальные 3 лярда лежат в Bitcoin и Ethereum — заморозить эти средства на текущий момент времени технически невозможно. Они находятся на кошельках хакеров и за ними пристально следят исследователи и правоохранительные органы. Процесс отмыва будет долгим и с потерями...

• Напомню, что ранее этот взлом связали с хакерами из КНДР. Сегодня сестра главы КНДР Ким Ё Чен назвала обвинения США политической провокацией. По ее словам, Вашингтон использует тему киберпреступности для вмешательства во внутренние дела других стран.

➡ Источники [1],[2].

#Новости

• ИБ-исследователь Марк Бла опубликовал PoC-эксплоит для недавно исправленной в Android уязвимости CVE-2026-58882, также получившей название SMS of Death. С помощью специально подготовленного SMS-сообщения эта уязвимость позволяет удаленно нарушить работу мобильной связи, а также заставляет телефон аварийно завершить работу.

• По словам исследователя, эта "фича" относится к классу zero-click DoS и может прервать уже идущий звонок, включая вызов экстренных служб. Более того, Android обрабатывает вредоносное сообщение до того, как оно попадает во входящие, поэтому пользователь не видит само SMS и не понимает, что именно послужило причиной сбоя.

• Исследователь также сообщил, что всего около 20 таких сообщений могут сделать Android‑смартфон совершенно неработоспособным: устройство попадает в бесконечный цикл перезагрузки, поскольку ОС будет постоянно пытаться обработать эти SMS.

• Даже сброс до заводских настроек не решает проблему, так как если отправить серию таких сообщений, оператор связи будет продолжать попытки их доставки, из‑за чего телефон будет перезагружаться каждый раз при включении.

• Марку удалось воссоздать код такого сообщения и опубликовать его на GitHub, а также на специальном сайте SMSofDeath. По словам исследователя, ему удалось вызвать сбой на смартфонах Google Pixel и Samsung Galaxy, работающих под управлением Android версий с 12 по 16.

• Марк впервые сообщил о проблеме в Google 5 мая, однако компания неоднократно отклоняла его отчет, утверждая, что это не уязвимость в системе безопасности. Когда 29 октября исследователь публично раскрыл информацию об уязвимости, выяснилось, что Google уже некоторое время работала над исправлением — вероятно, с того самого момента, как исследователь связался с компанией.

• Согласно записям в исходном коде Android, исправление было готово еще 15 июня; оно позволяет удалять подобные сообщения, не допуская их обработки системой. Google также присвоила этой уязвимости статус критической и включила ее в ноябрьский бюллетень безопасности Android.

➡️ https://smsofdeath.com

#Android #Security #Новости

• Нашел очень крутой инструмент для освоения командной строки Linux, который называется Shell Gym. Соль в том, что тулза полностью интерактивная (пример на видео) и позволяет превратить Linux-машину в настоящий учебный полигон: показывает короткие практические задания, отслеживает действия пользователя и автоматически проверяет их выполнение.

• Обучение устроено следующим образом: вы открываете терминал, а рядом веб-интерфейс Shell Gym. В браузере появляется задание, например перейти в каталог, создать файл или завершить процесс. Вы выполняете команды в терминале, а тренажер проверяет результат и засчитывает упражнение. Ну или не засчитывает, тут уже как вы справитесь. Проверка идет непрерывно, а после выполнения всех условий можно автоматически перейти к следующему заданию. А еще там есть подсказки, навигация по упражнениям, сохранение вашего прогресса и тонна квестов.

➡️ https://github.com/iximiuz/shellgym

#Linux

• Binance опубликовали в Х целую статью, в которой рассказали о том, каким чудесным образом их взломали... Классика жанра: девопс решил пройти собеседование с рабочего ноутбука, где ему любезно предложили скачать тулзу с GitHub для прохождения тестового задания. Вот только тулза оказалась малварью, которая и предоставила хакерам удаленный доступ к ноутбуку для дальнейшего масштабирования атаки в сети компании и вывода 6 миллиардов баксов...

• Началось все в июне, когда DevOps-инженер решил скачать установочник Homebrew, чтобы в дальнейшем установить софт для вайбкодинга. Однако при поиске он попал на фишинговый сайт и скачал малварь, на что отреагировала команда кибербезопасности Binance. Они поменяли ему ноут, однако хакеры успели получить данные о коллегах инженера и о его роли в компании.

• В сентябре хакеры связались с инженером и пригласили его на фейковое собеседование с требованием выполнить тестовое задание. Девопс согласился, скачал тулзу (малварь) для выполнения задания на GitHub и установил себе на ноут. В этот раз вирус остался незамеченным и предоставил атакующим удаленный доступ к ноутбуку.

• В начале октября хакеры получили доступы к ноутбукам других девопсов и программистов. Ну а дальше вы уже знаете: 29 октября хакеры запустили заготовленный скрипт и вывели доступную сумму (6 лярдов) со счетов Binance на свои кошельки. Такая вот тру стори...

➡ Полная версия расследования доступна по этой ссылке.

#Новости

• Отличный лонгрид, который описывает процесс обхода изоляции в облаке. После прочтения этого материала вы узнайте, как уязвимости в Kubernetes, Konnectivity и overlay-сети ведут к RCE и компрометации различных сервисов. Это исследование проводилось в рамках официальной программы багбаунти на одной из крупных площадок.

• Получение первоначального доступа через управляемый Kubernetes:
➡Выход за пределы воркер-узла;
➡Анализ сервисов на control plane;
➡Эксплуатация Konnectivity;
➡Повышение привилегий на хосте.
• Приключения в overlay:
➡Victoria stack;
➡Компрометация управляемых экземпляров Kafka;
➡Утечка учетных данных через redis exporter;
➡Компрометация управляемых кластеров PostgreSQL (Patroni);
• Атака на управляющую инфраструктуру SaltStack:
➡Анализ salt fs;
➡Эксплуатация SQLi.
• Другие способы атаки на облако:
➡Эксплуатация уязвимости в Managed Valkey;
➡MySQL;
• Заключение.

#Пентест