• Исследователи из Гонконгского университета науки продемонстрировали новый способ электромагнитной атаки, который назвали - InjectEave. Соль в том, что такая атака позволяет восстанавливать звук, воспроизводимый в проводных и беспроводных наушниках, в том числе через стену и на расстоянии до 30 метров.

• Обычные атаки по электромагнитным побочным каналам основаны на том, что работа электронных схем неизбежно создает слабое электромагнитное излучение. Так раньше удавалось, например, восстанавливать изображение с дисплеев или регистрировать ввод с клавиатуры. Однако с аналоговыми звуковыми сигналами возникает проблема: их частоты слишком низки, чтобы проводники внутри устройства эффективно работали как непреднамеренные антенны. Поэтому такое излучение обычно сложно обнаружить на заметном расстоянии.

• Авторы исследования предложили не просто пассивно слушать устройство, а дополнительно облучать его высокочастотным электромагнитным сигналом. Нелинейные компоненты электроники, включая усилители, аналого‑цифровые преобразователи и преобразователи питания, смешивают внешний сигнал с внутренним. В результате низкочастотная информация оказывается "перенесена" на высокочастотную несущую, которая значительно лучше излучается наружу. После приема информацию можно демодулировать и восстановить исходный сигнал.

• Исследователи проверили подход на 11 серийных устройствах: проводных и беспроводных наушниках, настольном VoIP‑телефоне, умных вентиляторах и лампах. В лабораторных условиях звук из нескольких моделей наушников удавалось распознавать на расстоянии нескольких метров. В отдельном эксперименте более мощное оборудование увеличило дальность прослушивания до 30 метров. А в гостиничном номере и переговорной исследователи смогли восстановить речь из наушников, находясь за 30-сантиметровой бетонной стеной.

• Для улучшения качества перехваченного звука команда использовала генеративную модель шумоподавления, обученную на синтетических примерах искажений. Метод оказался применим не только к аудио: по электромагнитной утечке исследователи могли определять режим работы вентилятора и яркость умной лампы, а значит, потенциально делать выводы о действиях человека в помещении.

• В отдельной демонстрации авторы объединили подслушивание с электромагнитной инъекцией звука в настольный телефон. Получилась замкнутая атака: система сначала восстанавливает содержание разговора, а затем может подать в устройство поддельную реплику. При этом дальность сильно зависит от конкретной схемы. Например, для микрофонного входа исследователям удалось восстановить речь лишь примерно с 30 сантиметров, поскольку сигнал микрофона намного слабее сигнала, подаваемого на наушники.

• Полной защиты от такого класса атак пока нет. Экранирование, фильтрация и дифференциальные линии уменьшают электромагнитную связь, а использование витой пары в эксперименте заметно ослабило утечку. Авторы считают, что защиту аналоговых интерфейсов необходимо учитывать еще на этапе проектирования электроники.

➡️ https://arxiv.org/pdf/2609.04785

#Новости #Security #Исследование

• ИБ-исследователь Nightmare Eclipse, который на протяжении 6 мес. публиковал эксплойты для еще не исправленных уязвимостей в Windows, Microsoft Defender и Bitlocker, раскрыл личность и рассказал свою историю.

• Исследователем оказался бывший сотрудник Microsoft Абдельхамид Насери (Abdelhamid Naceri), которого уволили из компании и толком не объяснили причину. Также Абделю написали плохую рекомендацию, чтобы он не смог устроиться на другую работу — из-за чего у него возникли проблемы с получением постоянного вида на жительство, до которого осталось всего несколько месяцев.

• Юристы Microsoft предлагали ему более 55 тыс. евро, но Абдель отказался и подал на компанию в суд Кёльна (Германия) — это была ошибка. За 2 года Абдель потратил более 200 тыс. евро на судебные разбирательства и в конечном итоге не смог выиграть суд — его уволили без компенсации, которую предлагали ранее.

• Так началась личная война между сотрудником и компанией Microsoft, которая привела к публикации многочисленных 0-day! Причем часть из них сразу начали применять злоумышленники. Также следует отметить, что в последние недели исследователь переключился и на другие цели, выпустив PoC-эксплоиты для Kaspersky Endpoint Security, CrowdStrike Falcon, продуктов Avast и NVIDIA.

➡ Источник.

• К слову, после того как Абделя уволили, у него остался доступ к рабочему аккаунту Microsoft. Он имел доступ к различным базам данных, исходному коду некоторых проектов и к корпоративным сервисам. Доступ забрали только спустя несколько месяцев...

#Новости #Security

• Группа хакеров WaterPlum из Северной Кореи заманивали людей на фейковые вакансии, проводили собеседования и взламывали кандидатов. Таким образом, с декабря 2025 года по июль 2026 им удалось взломать более 7000 криптовалютных кошельков...

• Схема была следующей: хакеры размещали заманчивые объявления на популярных ресурсах для поиска работы в сфере AI и криптовалют. Направляли ссылку на фейковое собеседование кандидатам, которые откликнулись на вакансию. На собеседовании хакеры использовали дипфейки и направляли кандидатам тестовое задание, которое содержало ссылку на фишинговый ресурс \ зараженный репозиторий.

• Таким образом хакеры получили доступ к 30 000 устройств и 7 000 криптокошельков более чем в 100 странах. Общая сумма, которую хакеры смогли вывести в результате данной кампании, составляет 10,7 млн. баксов.

• Вакансии с подвохом...

➡️ https://www.npa.go.jp/bureau/cyber/pdf/20260918_e.pdf

#Новости #Security

• Исследователи из Австрийского технического университета выявили серию атак по сторонним каналам, которые могут осуществляться через механизмы отслеживания изменений в файловой системе.

• Атаки позволяют отслеживать активность других пользователей на основе анализа событий об обращении к файлам и каталогам через API: inotify в Linux,  FileObserver в Android, ReadDirectoryChangesW в Windows и File System Events в macOS.

• Полученные сведения могут использоваться для воссоздания информации, вводимой пользователем с клавиатуры, для определения открываемых сайтов или для организации clickjacking - атак, осуществляющих наложение содержимого на активное окно в момент перед кликом. Код с реализацией методов атак опубликован под лицензией MIT.

• Первый метод атаки продемонстрирован в Linux и вызван возможностью определения доступа к файлам внутри каталога, которые напрямую не доступны для чтения и отслеживания. При помощи функции inotifywatch можно косвенно отслеживать факты изменения файлов внутри каталога через мониторинг самого каталога.

• Напрямую у непривилегированного пользователя нет прав доступа на чтение содержимого и отслеживание активности устройства /dev/input/event4, отражающего события клавиатурного ввода. Но события, происходящие с файлом /dev/input/event4, влияют на состояние родительского каталога и могут отслеживаться через мониторинг изменения метаданных каталога /dev/input. Изменение состояния /dev/input/event4 происходит при вводе данных и задержки между фиксируемыми через inotify событиями коррелируют с задержками между нажатиями клавиш на клавиатуре.

• Используя методы статистического анализа и учитывая, что при наборе текста задержки между нажатиями зависят от расположения клавиш на клавиатуре, можно с определенной вероятностью воссоздавать вводимую информацию. Например, реакция при вводе буквы "F" быстрее, чем при вводе "Q" или "X", так как для нажатия требуется меньше движений пальцев.

• Метод также применим для воссоздания ввода в SSH-сеансах при подключении двух разных пользователей к одному SSH-серверу. В этом случае один из пользователей может отслеживать события, возникающие при вводе данных другим пользователем, через мониторинг файла-устройства /dev/pts. Проблема была решена в январских обновлениях ядра 5.10.248, 5.15.198, 6.1.160, 6.6.120, 6.12.65 и 6.18.3 через запрет генерации событий ACCESS и MODIFY для родительского каталога при доступе или изменении специальных файлов внутри него.

• Второй способ атаки позволяет определить момент вывода диалога c запросом параметров аутентификации подсистемой Polkit через отслеживание обращения к исполняемому файлу /usr/bin/pkexec. В этот момент атакующий может сформировать фиктивное окно, стилизованное под диалог ввода пароля, и вывести его поверх реального запроса пароля. Возможность проведения подобной атаки продемонстрирована в дистрибутивах со средой рабочего стола KDE Plasma.

• Предоставляемый платформой Android API FileObserver можно использовать для отслеживания активности с файлами в приватных каталогах других приложений. Например, анализируя активность в каталоге /sdcard/Android/media/com.whatsapp/WhatsApp* можно отследить факты удаления, отправки и получения файлов, видео или изображений в WhatsApp*, а также узнать имена отправляемых или получаемых файлов.

• В Windows оказалось, что включение отслеживания событий для корневого каталога (C:\) передает информацию, включая полный файловый путь, о любых событиях со всеми файлами в файловой системе, независимо от прав доступа к файлам. Исследователями продемонстрирована возможность использования данной особенности для отслеживания в реальном времени того, какие сайты пользователи открывают в Firefox. Реакция Microsoft на данную проблему с безопасностью выдвинута на премию Pwnies Award 2026 в номинации самая неадекватная реакция производителя (Lamest Vendor Response), так как представители компании вначале заявили, что это не баг, а фича.

➡ Источники [1],[2],[3],[4].

* принадлежит компании Meta, которая признана в РФ экстремистской и запрещена!

#Исследование #Security

• У SANS есть очень крутая книга по реагированию на инциденты, которая распространяется совершенно бесплатно и доступна каждому, без регистрации и SMS. Книга, разумеется, на английском языке, так что если у вас с этим сложности, то воспользуйтесь chatgpt и deepl. Содержание на скриншотах. Забираем по ссылке ниже (можно скачать в pdf или читать онлайн):

➡ https://dynamicincidentresponse.com

#Security #Книга

📎Произошла классика: в минувшую пятницу хакеры взломали аккаунт Microsoft в Twitter X и использовали его для продвижения скам токена.

• 2 октября хакеры сменили аватарку профиля Microsoft в Х на изображение Скрепки (Clippy). Далее они подписались на аккаунт, который распространял скам-токен, и сделали репост записи с просьбой собрать 500 тыс. лайков, чтобы вернуть "Скрепку".

• Аккаунт, на который подписали Microsoft, назывался clippymsftcto. Если пользователи переходили в этот профиль, то видели объявление о продвижении скам-токена.

• Спустя некоторое время репост был удален, а представители корпорации подтвердили факт взлома. Сейчас Microsoft расследует данный инцидент.

• К слову, аккаунт Microsoft имеет более 13 млн. подписчиков. А о кол-ве жертв остается только догадываться.

➡️ Источники [1],[2].

#Новости #Security

• Вы ведь читали новости о том, что Дональд Трамп выпустил свой смартфон и запустил сотового оператора Trump Mobile, который работает через Liberty Mobile Wireless?

• Так вот, данные 3615 клиентов Trump Mobile утекли в сеть. Ответственность за взлом взяли на себя хакеры из группировки BYOD. Они получили доступ к базе данных, которая содержит имена, электронную почту, адреса проживания и номера телефонов пользователей.

• В список пострадавших попали сотрудники предвыборного штаба Трампа, руководство Trump Organization и даже CIO Trump Organization, который отвечает за информационную безопасность компании.

• Доступ к системам хакеры получили после заражения ПК сотрудника Liberty Mobile - партнера, который предоставляет услуги связи для Trump Mobile и хранит на своей стороне все данные.

• Также хакеры отметили, что компания Liberty Mobile отреагировала на новости об утечке фразой: "У нас нет команды, чтобы этим заниматься" 🧐

• Пользователи, чьи данные утекли в сеть, уже подтвердили актуальность своих данных, а сами хакеры заявляют, что у них все еще есть доступ к панели управления Trump Mobile...

➡ Источники [1],[2],[3].

#Новости #Security