BlueBorne. Запомните это название. Это даже не уязвимость, это — целая пачка дыр в реализациях Bluetooth в Windows, Linux, Android и даже немножко в iOS. Вскрыли этот нарыв исследователи из Armis Labs, они же и оценили число потенциальных жертв в… 5,3 миллиарда устройств.

Словом, дело нешуточное. BlueBorne позволяет атаковать девайс с поддержкой Bluetooth с другого «голубозубого» устройства. Причем, оба аппарата не обязательно должны быть спарены. Более того, жертве даже не нужно быть «на радарах» Bluetooth-собратов в округе. Иными словами, если у тебя есть голубой зуб, ты под угрозой.

Кулек обнаруженных уязвимостей выглядит так:

  • CVE-2017-1000251. RCE в ядре Linux;
  • CVE-2017-1000250. Уязвимость утечки данных в стеке Bluetooth;
  • CVE-2017-0785. Уязвимость утечки данных в Android;
  • CVE-2017-0781. RCE в Android;
  • CVE-2017-0782. RCE в Android;
  • CVE-2017-0783. Логическая уязвимость в Android (Bluetooth Pineapple);
  • CVE-2017-8628. Логическая уязвимость в Windows (Bluetooth Pineapple);
  • Такая лютая, что пока без CVE. RCE-уязвимость проприетарного протокола Apple Low Energy Audio Protocol.

Вон те два блютус-ананаса названы так не случайно. Это отсылка к известному хакерскому (официально, конечно, пентестерскому, но мы-то все понимаем;) девайсу Wi-Fi Pineapple. Эту штуку можно оставить в любом публичном месте, где она мимикрирует под любимые домашние сети всех доступных девайсов. Те же простодушно будут цепляться к якобы родным сетям, ну а дальше случится MiTM со всеми вытекающими. Нечто подобное, только через Bluetooth позволяют провернуть CVE-2017-0783 и CVE-2017-8628.

В оригинальном исследовании приведена очень живописная картинка с “местами гнездования” уязвимостей в Bluetooth-стеке.



В силу того, что дыры — разношерстные и относятся к всевозможным реализациям Bluetooth, злоумышленник сначала должен определить семейство и версию ОС на атакуемом устройстве и затем применить подходящий эксплойт. При этом надо учитывать, что процессы Bluetooth имеют очень высокие привилегии, так что при удачной атаке хакер может делать с девайсом жертвы буквально всё, что вздумается. Например, переманить аппарат на темную сторону, включив в свой ботнет или же перехватывать коммуникации, воровать данные, загружать софт и распространять скверну в радиусе Bluetooth-соединения.

Парни из Armis Labs поступили ответственно и опубликовали свои открытия лишь после того, как Google, Microsoft и Apple выкатили патчи. Но надо учесть, что баг есть во всех Windows, начиная с Vista, в Linux на ядре 3.3-rc1 с BlueZ (включая Tizen) и в неназванных версиях iOS. Прорва устройств с этими операционками не получат свои патчи никогда.



Ну, допустим, смарт-телевизоры в относительной безопасности – их из дома выносят нечасто (хотя как насчет продвинутого соседа за стеной, который не прочь понаблюдать за твоими буднями через веб-камеру?..). А вот за мобильные девайсы как-то совсем тревожно.

Zerodium предлагает миллион долларов за зеродей в Tor

Новость. Поставщик эксплойтов Zerodium снова объявил красивую семизначную награду за эксплойт нулевого дня – на этот раз в браузере Tor. Полностью функциональный эксплойт для доселе неизвестной уязвимости в Tor под Tails Linux и Windows обойдется конторе в миллион долларов.

$250 тыс. будет выплачено за комбинированный эксплойт RCE плюс эскалация привилегий в Tails и Windows, и $200 тыс., если эксплойт окажется только RCE или если он работает только когда включен JavaScript в браузере. Эксплойт принимается с полной документацией, причем вектором атаки обязательно должен быть веб-сайт.

Zerodium демонстрирует такую щедрость, очевидно, не за свой счет – есть конкретный заказ. Причем, если верить компании, это заказ от неких госорганов, которые желают добраться до ужасных преступников, скрывающихся при помощи Tor. Государства не названы, но в августе Zerodium уже заявлял о пике запросов от «демократических государств, а также государств, не находящихся под санкциями». То есть круг сужается – это точно не КНДР и не Mother Russia. Так или иначе, а у кого-то серьезно подгорает по поводу Tor, о чем свидетельствуют и суммы, и срок: повышенные баунти действуют только до 30 ноября, так что торопитесь.

Проект Tor уже спросили, что они об этом думают, и те классически отболтались, заявив, что, во-первых, такие награды свидетельствуют о высоком уровне безопасности Tor, а, во-вторых, что все это нехорошо, поскольку успешный хак Tor может стать угрозой для жизни некоторых пользователей. Это они намекают на жителей недемократических стран и государств под международными санкциями, а таких среди клиентов Zerodium, как нам сказали, нет.

Тысячи серверов Elasticsearch заражены POS-троянцем

Новость. Исследование. Исследователь из Kromtech решил прощупать публичные сервера Elasticsearch – свободной поисковой системы. Нашел он там нечто очень любопытное – панель управления POS-троянцами JackPOS и AlinaPOS. Это довольно старая малварь, наделавшая много шуму несколько лет назад.

POS-троянцы специализируются на перехвате платежных данных банковских карт, для чего ими заражают терминалы в торговых сетях, ресторанах и гостиницах. Украденные дампы в шифрованном виде пересылаются на сервера, откуда они идут прямиком в кардерские онлайн-магазины.



Как оказалось, кто-то разжился исходниками этих старых троянцев (AlinaPOS – 2012 год, JackPOS – 2014 год) и выставил на продажу. Соответственно, понадобилась и командная инфраструктура, которую в итоге вскрыли Kromtech. Сканирование при помощи Shodan нашло в Сети 15 тысяч серверов Elasticsearch, четыре тысячи из которых были захвачены POS-ботоводами.

Что характерно, почти все хакнутые серверы хостятся в Amazon. Исследователи связывают это с особенностями системы конфигурации серверов. Точнее, сама по себе система достаточно безопасна, а вот пользователи при быстрой установке часто прощёлкивают настройку безопасности – и вот результат.

Древности


«Pentagon»

Опасный вирус, методом «Brain» поражает Boot-сектор флоппи-дисков при обращении к ним. Если при этом дискета уже была поражена вирусом «Brain», то «Pentagon» лечит Boot-сектор этого диска, изменяет его метку и затем заражает своей копией. На заражаемом диске создается файл PENTAGON.TXT. Вирус «выживает» при теплой перезагрузке. Часть вируса зашифрована. Перехватывает int 9 и int 13h. Содержит тексты «© 1987 The Pentagon, Zorell Group», «first sector in segment».

Цитата по книге «Компьютерные вирусы в MS-DOS» Евгения Касперского. 1992 год. Страницa 102.

Disclaimer: Данная колонка отражает лишь частное мнение ее автора. Оно может совпадать с позицией компании «Лаборатория Касперского», а может и не совпадать. Тут уж как повезет.

Комментарии (15)


  1. Falstaff
    16.09.2017 05:38
    +3

    … недемократических стран и государств под международными санкциями, а таких среди клиентов Zerodium, как нам сказали, нет.

    Я не могу не процитировать бородатое: "… они там, оказывается, джентльмены, на слово верят. Вот тут-то мне карта и пошла." :)


    Я правильно понимаю, что, раз обе уязвимости Android касаются BNEP, то для эксплуатации надо, чтобы телефон предоставлял tethering по Bluetooth? (А Windows — создал PAN поверх Bluetooth, чтобы открыться для MitM?)


    1. Kaspersky_Lab Автор
      16.09.2017 13:16

      Хороший вопрос! Не могу сказать точно, однако в соответствующих бюллетенях MITRE (CWE-122, CWE-191, CWE-300) все предложенные методы отражения атак относятся к архитектуре и реализации. Получается, уязвимости доступны вне зависимости от настроек и режимов Bluetooth на устройстве.


      1. wholeman
        16.09.2017 14:38

        А вот если бы Android позволял отключать простой Bluetooth, было бы гораздо лучше: музыку можно и по проводам послушать, а вот часы без BTLE (который для этих атак неуязвим) уведомления показывать не будут. И отказываться от этого удобства ой как не хочется.


        1. Pilat
          16.09.2017 14:50

          Тут же не в музыке дело, а в управлении инфраструктурой IoT, которое через телефон разом подрезали на неопределённый срок.


          1. wholeman
            17.09.2017 23:51

            IoT ж обычно через WiFi работает, вроде.


            1. Pilat
              17.09.2017 23:58

              Ну сейчас он (IoT) вообще не работает, нет его. А в недалёком будущем масса устройств будет через bluetooth, так как он менее энергозатратный.


              1. wholeman
                18.09.2017 22:06

                Ну, какая разница утюгу или кофеварке, какая технология связи более энергозатратная, если они в рабочем режиме жрут по полтора киловатта, а, модуль WiFi — в 6000 раз меньше?


                1. Pilat
                  19.09.2017 00:25

                  А грубо говоря бикону на связке ключей не всё равно, он год работает от одной батарейки.


                  1. wholeman
                    19.09.2017 07:54

                    Это уже не IoT. И работают такие устройства через BTLE.


                    1. Pilat
                      19.09.2017 11:37

                      Это как? Самый как раз исходный IoT.
                      И работают такие устройства через сотовый телефон, подверженный уязвимости.


                      Задействование в «интернете вещей» предметов физического мира, не обязательно оснащённых средствами подключения к сетям передачи данных, требует применения технологий идентификации этих предметов («вещей»). Хотя толчком для появления концепции стала технология RFID, но в качестве таких технологий могут использоваться все средства, применяемые для автоматической идентификации: оптически распознаваемые идентификаторы (штрих-коды, Data Matrix, QR-коды), средства определения местонахождения в режиме реального времени.

                      То есть пачка продуктов со штрихкодом уже объект для IoT. А уж пачка продуктов с bluetooth связанными в единую сеть — тем более.


  1. Pilat
    16.09.2017 10:56

    Не стоит ли для дополнения красоты нового мира указать ссылку на https://play.google.com/store/apps/details?id=com.armis.blueborne_detector&rdid=com.armis.blueborne_detector ?


    1. wholeman
      16.09.2017 13:00
      +1

      Тут, пишут что приложение это довольно слабенькое и реально мало что проверяет. И да, мой PowerBook со свежей Убунтой рисует жёлтым, хотя известно, что там всё пофиксили.
      Kaspersky_Lab, своё что-нибудь делать будете? Посерьёзнее.


      1. Kaspersky_Lab Автор
        18.09.2017 17:26

        Пока не планируем.


  1. Akon32
    16.09.2017 20:15
    +1

    Совершенно непонятно, при каких условиях возможны атаки на Bluetooth. Исходя из написанного в статье, абсолютно всегда и для всех устройств (ну когда BT включён, вероятно).
    Это весьма странно, ибо дырищу в протоколе, делающую возможными RCE(!) атаки на устройства любых архитектур, следовало бы заметить уж за всё это время.


    Можно подробнее о необходимых условиях?


  1. Kaspersky_Lab Автор
    18.09.2017 19:46

    Из исследования:

    The attack does not require the targeted device to be set on discoverable mode or to be paired to the attacker’s device. In addition, the targeted user is not required to authorize or authenticate the connection to the attacker’s device.

    Так что получается да, единственное условие — включенный Bluetooth.