Теневые истории ,разная информация полезная и не очень

[Pomidoriys]

ПОЧЕМУ ZERO-DAY - НЕ ВОЛШЕБНЫЙ КЛЮЧ ОТ ЛЮБОЙ СИСТЕМЫ

Вокруг zero-day до сих пор существует почти мифологический ореол: неизвестная разработчику уязвимость автоматически представляется универсальным инструментом, способным открыть любую нужную систему. В действительности сам факт отсутствия исправления ещё ничего не говорит о практической ценности уязвимости. Некоторые zero-day действительно стоят огромных денег, другие могут оказаться практически бесполезными за пределами очень узкого сценария.

Главный вопрос всегда заключается в том, что именно позволяет сделать конкретная ошибка и при каких условиях. Уязвимость может существовать в крайне распространённом продукте, но требовать предварительного доступа или редкой конфигурации. Другая затрагивает небольшое количество систем, зато даёт значительно более серьёзные возможности. Поэтому даже внутри одного класса стоимость и интерес различаются на порядки.

На реальную ценность влияют:
распространённость затронутого продукта
версии и конфигурации, в которых существует проблема
необходимость предварительного доступа
стабильность эксплуатации
получаемый уровень привилегий
возможность обнаружения защитными средствами
вероятность скорого раскрытия и появления исправления

Последний пункт особенно важен. Zero-day - товар с потенциально очень коротким сроком жизни. Пока уязвимость неизвестна разработчику и защитной индустрии, её возможности одни. После обнаружения начинается анализ, появляются индикаторы, обновления и детектирование. То, что вчера представляло редкий ресурс, довольно быстро способно превратиться просто в очередную известную CVE.

Есть и ещё одна проблема: уязвимость и готовый надёжный инструмент - далеко не одно и то же. Обнаружить ошибку в программе недостаточно. В реальных условиях окружение может отличаться, срабатывать защитные механизмы, поведение - зависеть от версии системы, а нестабильная эксплуатация вместо доступа просто приводит к сбою. Чем красивее технический результат в лаборатории, тем важнее вопрос, повторяется ли он за её пределами.

Поэтому самые дорогие экземпляры ценятся не просто за статус «никому не известна». Редкость возникает при сочетании нескольких характеристик: распространённой цели, серьёзного результата, низких требований к исходным условиям и достаточной надёжности. Такое сочетание встречается значительно реже, чем само обнаружение неизвестной уязвимости.

Парадоксально, но в некоторых ситуациях хорошо изученная известная проблема оказывается практичнее эксклюзивного zero-day. Если огромное количество систем годами не обновляется, никакой секретности уже не требуется. Старая уязвимость с большой поверхностью применения может оказаться полезнее новой, но чрезвычайно узкой.

Поэтому zero-day правильнее воспринимать не как высшую категорию «оружия», а как ресурс с набором конкретных характеристик и постоянно уменьшающимся временным преимуществом. Его ценность определяется не тем, что о нём пока никто не знает, а тем, насколько много можно получить за тот короткий период, пока это знание действительно остаётся редким.

 

[Pomidoriys]

В беспроводных наушниках Skullcandy нашли уязвимость, позволяющую постороннему устройству подключиться без подтверждения

Специалисты CERT/CC обнаружили необычную проблему в беспроводных наушниках Skullcandy Dime 3. Оказалось, что их Bluetooth-механизм допускает неаутентифицированное сопряжение: находящийся поблизости человек потенциально может подключить своё устройство к наушникам без обычного подтверждения со стороны владельца. Уязвимость была официально опубликована 8 сентября.

Проблема интересна тем, что Bluetooth-аксессуары обычно воспринимаются как относительно простые устройства, от которых никто не ждёт серьёзных рисков безопасности. Однако современные наушники фактически представляют собой отдельные беспроводные компьютеры со своей прошивкой и протоколами связи. Ошибка в процедуре сопряжения способна позволить чужому устройству вмешаться в соединение там, где пользователь ожидает закрытую связь исключительно со своим смартфоном или компьютером.

Случай со Skullcandy хорошо напоминает, насколько расширилась поверхность потенциальных атак: сегодня обновления безопасности нужны уже не только телефонам, ноутбукам и роутерам. Наушники, часы, колонки, автомобильная электроника и десятки других постоянно подключённых устройств тоже могут содержать вполне обычные программные уязвимости.

Чем «умнее» становится привычная техника, тем меньше устройств вокруг нас остаются просто техникой.

А вы вообще когда-нибудь обновляли прошивку своих беспроводных наушников или даже не проверяли, существует ли для них такая возможность?

 

[Pomidoriys]

КУДА ИСЧЕЗАЮТ ВРЕДОНОСНЫЕ ПРОГРАММЫ ПОСЛЕ СВОЕГО «ЗОЛОТОГО ВЕКА»

У заметных семейств malware почти всегда есть пик узнаваемости. В какой-то момент их обсуждают исследователи, о них пишут отчёты, вокруг них строится инфраструктура, появляются операторы и производные версии. Потом шум стихает, название исчезает из новостей - и создаётся впечатление, что проект умер. На практике вредоносное ПО редко исчезает полностью вместе со своим брендом.

Чаще происходит распад на части. Один проект может прекратить существование как цельный продукт, но его код, отдельные модули, идеи и архитектурные решения продолжают жить дальше. Что-то переходит в новые семейства, что-то переписывается, что-то становится основой для форков, а отдельные компоненты вообще переживают оригинал на годы.

После «золотого века» обычно происходит несколько сценариев:
исходный проект закрывается, но код утекает и расходится по другим командам
разработчики переходят в новые проекты и переносят старые наработки
отдельные модули начинают использоваться независимо от исходного семейства
старые функции переписываются под новые среды и цели
название исчезает, а технические идеи продолжают жить под другими именами
исследователи ещё годами находят производные версии уже после смерти оригинала

Особенно хорошо это видно после утечек исходного кода. В этот момент эксклюзивный инструмент резко теряет уникальность, зато получает вторую жизнь как материал для десятков других разработчиков. Один закрытый проект превращается в технологический донор для целой ветки новых решений.

Есть и противоположный сценарий: исходный код не утекает, но сама идея оказывается слишком удачной, чтобы исчезнуть. Тогда независимые команды воспроизводят похожую архитектуру уже с нуля. В результате конкретное семейство уходит, а его подход становится частью общего технического языка среды.

Иногда исчезновение названия вообще связано не с технологией, а с операционными причинами. Меняется команда, прекращается поддержка, закрывается инфраструктура, становится слишком высоким внимание исследователей или правоохранителей. Но если техническая база остаётся полезной, она почти всегда находит новый контекст.

Поэтому смотреть только на названия семейств - плохой способ отслеживать эволюцию malware. Гораздо интереснее наблюдать за тем, какие компоненты, архитектурные решения и модели поведения переходят из поколения в поколение.

Именно так вредоносное ПО и «исчезает»: не обязательно умирая, а растворяясь в следующих поколениях инструментов. Бренд может закончиться за один день, а его техническое наследие - продолжать жить ещё много лет.

 

[Pomidoriys]

Хакеры вернули $263 млн из украденных биткоинов после одного из самых странных криптовзломов года

История со взломом криптоплатформы Liquid получила неожиданное продолжение. В августе из её федеративного кошелька вывели биткоины примерно на $320 млн, однако атакующие заявили, что действовали как «белые хакеры» и якобы хотели заставить разработчиков устранить найденную проблему. Теперь большая часть средств — около $263 млн — была возвращена.

Сам взлом при этом от обычной программы bug bounty отличался довольно сильно. Никто заранее не давал разрешения выводить сотни миллионов долларов, а после атаки её авторы фактически поставили разработчиков перед фактом: сначала исправьте уязвимость, затем получите деньги обратно. В итоге ситуация оказалась где-то на границе между кражей, самовольным аудитом безопасности и крайне дорогим способом сообщить о баге.

Несмотря на возврат большей части криптовалюты, история на этом не заканчивается: первоначально было выведено около $320 млн, поэтому возвращена пока не вся сумма. Сам случай вновь поднимает старый вопрос криптоиндустрии — можно ли вообще считать человека «белым хакером», если он сначала без разрешения забирает чужие активы на сотни миллионов долларов, пусть даже потом большую часть возвращает.

Иногда самый необычный способ сообщить разработчикам об уязвимости — временно стать владельцем четверти миллиарда долларов.

А вы бы назвали таких людей белыми хакерами или это обычный взлом, который просто закончился возвратом денег?