Posts of Пакет Безопасности

За вами опять следят Мы уже не раз поднимали тему цифрового следа (как тут, так и в нашем чате), который мы оставляем, когда пользуемся смартфоном или компьютером. Стереть след полностью не получится, зато можно и нужно понимать, какие данные мы ежедневно и бесплатно предоставляем корпорациям, и что с этим можно сделать. Погнали смотреть на примере самых популярных приложений на вашем смартфоне. 1. Т-банк (и другие банковские приложения) Лидер по части сбора информации. У приложения 47 разрешений, 24 из них выдаются без запроса: автозапуск, фоновая камера, микрофон, геолокация и др. А также банк отправляет ваш VPN-статус на сервер, снимает цифровой отпечаток устройства и фиксирует каждое касание экрана. 2. Авито (он же Anero) Сканирует ваш смартфон на наличие 200 приложений из собственного внутреннего списка (банки, маркетплейсы, соцсети, конкуренты). Помимо этого приложение содержит внутри 11 трекеров (включая Facebook* SDK, AppMetrica, VK SDK и Adjust), определяет VPN и способно вытащить реальный IP через WebRTC. 3. Госуслуги Содержит внутри 8 трекеров, перехватывает касания экрана, а с апреля этого года активно ищет на смартфоне все VPN-сервисы. 4. Ozon/WB Пока ты выбираешь себе кроссовки, маркетплейсы получают полный список всех установленных VPN-клиентов (прямо с названиями). А после утверждают, что не будут работать с включенным VPN. 5. МегаМаркет Агрессивно шарится на Android-устройствах: через SDK Group-IB (прикол?) собирает контакты, SMS и журнал звонков. На iOS ведет себя спокойнее из-за политики безопасности Apple. Видит список VPN-сервисов и их названия. 6. Сбербанк Онлайн Заботится о нас и сохраняет все данные касаний: нажатие, размер, координаты, длительность. Так приложение может узнать вас даже без логина (поведенческая биометрия). Просит доступ ко всему хранилищу, а потом втихую устанавливает свои пакеты (особенно, на Android). 7. Приложения от Яндекс Яндекс Go регулярно ползает в буфер обмена, может получить доступ к контактам, а на Android – к журналу звонков и SMS. Имеет 6 встроенных трекеров (у AppMetrica 5759 ссылок вшиты прямо в код). Яндекс Браузер зачем-то ищет на каждом смартфоне Tor. А Яндекс Карты знают вашу геолокацию, даже когда приложение свернуто. Кроме того, карты содержат 7 трекеров, рекламную атрибуцию и разные механизмы VPN-детекции. 8. MAX Всеми любимый мессенджер анализирует аудиозвонки на ключевые слова, отправляет телеметрию (когда был звонок, сколько длился, были ли ключевые слова) на серверы VK/OK и умеет маскироваться при поиске VPN-клиентов на смартфоне. К счастью, хотя бы передача самих аудио в трафике пока не подтверждалась. В целом, почти все приложения через встроенные SDK (AppMetrica Яндекса или MyTracker от VK) собирают ваши данные для аналитики и рекламы. Ну или не только для рекламы: в исследовании от RKS Global было указано, что данные таких SDK доступны по запросу правоохранительных органов. А в апреле этого года Минцифры поручило крупнейшим площадкам ограничить доступ пользователям с включенным VPN. Да и для банков детекция VPN, рута и поведенческая биометрия – стандартный антифрод, который защищает ваш счет от угона. Вопрос лишь в том, сколько из собираемой информации действительно необходимо для работы приложения, а где очередной маркетплейс уже начинает наглеть. Как можно себя обезопасить: • Отзовите лишние разрешения (геолокация – только навигаторам и «при использовании», контакты – только мессенджерам, журнал звонков – никому, микрофон и камера – по запросу); • Ограничьте фоновую работу приложений в настройках; • Включите DNS-фильтрацию (AdGuard или NextDNS); • Следите за буфером обмена (не копируйте пароли и номера карт перед запуском приложений); • Удаляйте приложения, которыми не пользуетесь; • Регулярно проверяйте настройки конфиденциальности (кто и когда обращался к геолокации, камере и микрофону); • Ну или крайность – два телефона (один для отслеживающих приложений, второй для всего остального). * организация, деятельность которой запрещена на территории Российской Федерации ⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Мы тут в наш проект Менторства ИБ ищем для наших менти преподавателя по английскому языку для подготовки к международным собеседованиям. Если вы можете с этим помочь, ну или знаете тех, кто делает это круто – пишите мне (@romanpnn), поработаем. UPD: Котелок, не вари. Скоро всем отвечу ❤️

No text

No text

No text

No text

No text

No text

Просто спокойный и стандартный воскресный дайджест. Эта неделя была супер напряженной сразу по нескольким причинам. В том числе и из-за того, что мы пытались успеть доснять и домонтировать тот самый ролик. Ну да ладно, теперь можно выдохнуть и немного расслабиться, поэтому погнали смотреть, что там интересного произошло на неделе. ⚡ Обсудили с вами тему заклеивания камер на ноутах и смартфонах – ссылка ⚡ Объявили победителей большого конкурса (скоро ко всем зайду в личку) с флиппером и нафингом – ссылка 📹 Вышел ультимативный разбор всех ролей и направлений в кибербезе, из-за которого у меня бурлит вся личка в Линкедине – ссылка ⚡ Попытались взломать мою жену – ссылка 😎 В нашем уютном красном чатике в один момент перевалило за 2 600 человек. 👁 В одну ночь были взломаны Binance и Polymarket. 👨‍🏫 В канале по менторству рассказал про грядущие коллаборации Менторства ИБ с сервисами по автоматизации поиска работы и с ребятами, которые помогают с визами талантов. 🧠 В Кибер ПТУ начали собирать список всех площадок тля тренировок, CTF и всего, что с ними связано – ссылка ✌️ А еще можете посмотреть, как я напозорился на камеру пару лет назад на подкасте у ребят из Red Security. Тем более, что они решили отрисовать милый тизер в стиле Симпсонов. Ну вот и все. Фоточки тоже ловите.

Как заскамить жену безопасника А я вам сейчас расскажу. Причем на личном примере любимой своей жены 🥰 Началась эта история с того, как я увидел ее ошарашенное лицо в тот момент, как она клала трубку телефона, порываясь мне в чем-то раскаяться. Собственно, так и оказалось, ведь за минуту до этого момента она продиктовала своему собеседнику 4 цифры из СМС от отправителя под названием "2-berega". Схема, при этом, ей попалась уже обкатанная годами. Более того, мы с ней ее даже проговаривали как-то раз. Но ничто не может тебя удержать, если в голове у человека в момент отыгрывания легенды сходятся факты из реальной жизни. Собственно, начальная фаза схемы стартует с "замены домофона в вашем подъезде". Вам звонят из компании-подрядчика и рассказывают о том, что в вашем подъезде меняют домофон. В связи с этим, теперь нужно всем жильцам раздать новые ключи. Но перед этим нужно пройти легкую аутентификацию для того, чтобы связать ваш подъезд, ваш номер квартиры, ваше имя и ваш номер телефона. Как? Да очень просто – при помощи одноразового кода из СМС. Оператор даже называет отправителя этого кода – "2 берега". Через секунду приходит СМС, а мошенник получает 4 заветные цифры оттуда. Я зашел в комнату именно в этот момент. Более того, моя жена уже сама смекнула, что это были мошенники, потому что после того, как она уже передала им код, человек на той стороне решил уточнить, какая у нее сейчас фамилия (девичья или мужа). Мне почему-то сразу показалось, что ничего страшного от этих утекших 4 цифр быть не должно. Я сразу решил проверить, какие коды приходят от Госуслуг, ТБанка, Яндекса и еще пары сервисов, и обнаружил, что там у всех минимум 6 цифр (спасибо, ребята). Перебрав все возможные варианты, пересмотрев активные сессии во всех сервисах и приложениях, мы не нашли никаких следов и решили, что это просто был первый этап. Так и оказалось, так как буквально через полчаса мы вошли в фазу два. Жене сначала пришла СМСка от левого номера телефона с текстом "Вход в "Мои документы" по СМС прошел успешно. При подозрении на несанкционированный доступ обратитесь в службу поддержки [еще один левый номер телефона]". Ну после поступил звонок из МИНЦИФРЫ (а вы как думали) и оператор начал ее грузить тем, что они узнали о ее оплошности, о коде от 2-berega и что с ее Госуслуг уже выписали на кого-то доверенность, подменили "основное устройство", и вот это вот все. Дальше оператор попытался выяснить актуальный адрес электронной почты, чтобы выслать на него уведомление о том, что была выдана доверенность (что?). Письмо я это в итоге на одной из почт жены (само собой, в спаме) нашел, и отправлено оно было с адреса "[email protected]". Настоящий же адрес "[email protected]". В общем, в какой-то момент я взял трубку, потому что хотел завершить этот разговор, но увлекся и в итоге звонок продлился минут 30. По итогу мы дали понять, что до фазы три мы не дойдем, и оператор повесил трубку. Но фаза три таки настала, потому что минут через 10 после этого на номер телефона жены начали сыпаться десятки СМС (в итоге их было около 100) с одноразовыми кодами из банков, аптек, онлайн-кинотеатров, соцсетей и тд. Параллельно шли звонки, где голосом ей также диктовали коды аутентификации. Ну а в мобильных приложениях (по типу WB) также сыпались пуши с кодами. И длилось это порядка часа. Извините, но на этом моменте эта остросюжетная история окончилась, потому что дойти до установки на смартфон вредоносного ПО и звонков от силовиков мы уже не смогли. Вот как-то так. Надеюсь, что эта небольшая история будет уроком и для вас, друзья. Всем мир. И да, спасибо @popepiusXIII за дельный совет – добавлять номера мошенников в базы телекомов. Например, вот тут – ссылка ⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Лучше сядьте Потому что мы досняли и домонтировали тот самый ролик. Ролик с самым полномасштабным разбором всех ролей и направлений в мире кибербезопасности. Без воды, с кучей графики и мемов. Все, как вы любите. https://youtu.be/_mLan7QdY8Q https://youtu.be/_mLan7QdY8Q https://youtu.be/_mLan7QdY8Q Какие профессии есть в ИБ? Чем отличаются SOC, пентест, AppSec, DevSecOps, DFIR, реверс-инжиниринг и другие направления? И главное — как выбрать роль, с которой стоит начать карьеру? Ссылки на ролик: - 📹 Youtube - 📺 VK Video (а надо?) ⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Сегодня взломали популярную криптобиржу Binance

No text

Ну и как это замерять Сегодня расскажу вам про боль. В мире кибербеза шутка про то, что в одной деревне метрики (не важно какие конкретно) мерили линейкой, а в соседней – просто опросили респондентов, и какой разлет результатов при этом получился, давно уже стала бородатой, но от того не потеряла актуальности. Характеристики средства защиты (вообще любого), описанные вендором, получены в одному ему известных условиях. Все прямо как на презентациях Эппл и Xiaomi. Да и в том же направлении ИИ, где с выходом каждой новой модели разгоняется колесо бенч-максинга и получаются результаты, которые никто потом не может воспроизвести. Собственно поэтому возрастает ценность независимой аналитики от третьей стороны, у которой должны быть и компетенции и возможность развернуть какую-нибудь навороченную железку на приближенных к реальности стендах. В России, например, тестированием того же NGFW (это такой умный межсетевой экран) занимаются Джеты. По публичной методологии, все версии которой можно найти и почитать вот тут. Сценарии тестирования изощренные и многоэтапные, метрик столько, что позавидует любой дашборд. Классная статья на тему того, как вообще трактовать эти самые цифры из итогов тестирований, выходила в апреле уже вот тут. Тестирование по последней версии методики Джетов прошли все ведущие российские решения класса межсетевых экранов нового поколения (и даже вроде как уходящий Чекпойнт). Буквально на днях были опубликованы итоги тестирования решения PT NGFW 1.11 от «ТризТех» (это дочка Позитивов с фокусом на сетевую безопасность). Подводя итог, центры независимого тестирования – это очень крутая и ценная история для сообщества, которая позволяет получить более детальные представления о продуктах до запуска пилота на своей инфраструктуре и железе. ⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Как безопасно внедрять облачных ИИ-агентов в разработку ИИ-агенты помогают ускорять разработку, но их внедрение требует отдельного внимания к безопасности. Как не допустить утечки исходного кода и корпоративных данных и при этом дать агентам всё необходимое для работы?   В «Лаборатории Касперского» подготовили практический материал на основе собственного опыта внедрения. Он поможет разобраться в основных рисках, выбрать подходящие меры защиты и понять, что стоит предусмотреть до того, как ИИ-агенты начнут работать с реальными проектами.   Что внутри:   - основные риски внедрения облачных ИИ-агентов в разработку ПО; - подходы «Лаборатории Касперского» к защите — изоляция рабочей среды, многоуровневое журналирование, LLM Gateway и другое; - чек-лист безопасного внедрения ИИ-агентов.   Документ пригодится командам разработки и специалистам по ИБ, которые планируют внедрять ИИ-агентов и хотят заранее продумать меры защиты.   Скачать материал

No text

А ведь завтра уже последний день розыгрыша…

Иллюзия безопасности А помните, как в 2016 году все (ладно, не все) смеялись над Цукербергом и называли его паранойиком за то, что он заклеивает скотчем камеру и микрофон своего макбука? На самом деле, слежка через камеры – это не такая уж и городская легенда, а скорее реальная возможность для атаки. Еще со времен нулевых трояны удаленного доступа (RAT) умели включать веб-камеры по запросу хакера. На теневых форумах того времени существовал целый рынок, где доступ к взломанным компьютерам продавали пачками (camfecting). Делалось это с двумя конкретными целями: подсмотреть за человеком (ради удовольствия) или шантажировать (ради денег). Один из самых громких случаев произошел в 2010 году в США, когда школьный округ выдал ученикам макбуки с «противоугонным» софтом, в результате чего были сделаны десятки тысяч фотографий школьников в их личных комнатах и спальнях. Дело закончилось скандалом и судом. После этого в СМИ все чаще стали всплывать мнения о том, что заклеивать камеру – это не всегда про паранойю, а все-таки еще и про безопасность. Обычно в этом споре главный контраргумент звучит так: зачем переживать, ведь камера не сможет включиться без светового индикатора, и я все равно замечу, что меня снимают. Ну правда?) Во-первых, на части ноутбуков индикатор камеры управляется программно: прошивкой или драйвером. Еще в 2013 году была исследована потенциальная атака iSeeYou. На макбуках старых поколений можно было перепрошить контроллер камеры и снимать с погашенным светодиодом. А во-вторых, даже учитывая, что на современных Mac светодиод соединен с камерой аппаратно, есть важный момент – горящий индикатор надо успеть заметить. Для кадра достаточно доли секунды. Ну и еще один важный момент, который нужно держать в голове. Если в вашей машине сидит зловред, у которого хватает прав включить камеру, то у него есть доступ и к микрофону, экрану, файлам, паролям и перепискам. А зачастую разговоры и переписки содержат намного больше информации для шантажа, чем фото вашей спальни. Так что наклейка на камере закрывает лишь один канал утечки из десяти возможных. Так заклеивать камеру или нет? Да, если хотите себя обезопасить, то заклеивать можно и разумно. Это бесплатная страховка от зловредов, от криво написанных приложений и от собственной ошибки (например, незаметно включившейся камеры во время созвона). Физика все равно надежнее любого софта. Шторка на камере или отключенная от USB внешняя вебка снимать не будет даже во время взлома. Но не стоит забывать, что помимо ноутбука, мы еще и повсюду носим с собой смартфон, у которого камер даже больше. И однажды я работал с человеком, у которого на его андроид-смартфоне была заклеена стикером каждая камера 😬 А вы заклеиваете камеру на ноутбуке? ⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

No text

No text

No text

No text

No text

No text

No text

No text

ДАААААААЙДЖЕСТ Да просто погнали уже. ⚡ Разобрались, почему Вотсапп с открытками безопаснее, чем Телеграм со стикерами. Ну и поссорились в комментах на эту тему – ссылка 👁 Огребли (и все еще огребаем) всем мировым кибербезом по самое небалуйся – ссылка ⚡ Получили !!!!!патент!!!!!! – ссылка 📋 Я все еще ищу архитектора ИБ – ссылка 📹 На Ютубе вышел новый ролик с карьерной консультацией – ссылка ⚡️ Здесь я напозорился на камеру перед всем Айдентити Конф и КИбердомом – ссылка ⚡️ А еще забыл вам рассказать, как на той неделе состоялся Positive Hack Security Day, где ребята представили коммерческую версию PT Security Lakehouse, модуль защиты ИИ-сервисов LLM Firewall и новые возможности MaxPatrol O2. Там же компания объявила о разработке продукта для защиты мобильных устройств частных пользователей (ждем?). ⚡️ Но самое главное, что нам объявили даты проведения юбилейного PHDays Fest 2027. Киберфестиваль пройдет 20–22 мая в «Лужниках» под концепцией «Технологии — отражение тебя». Вот так вот. Теперь главное, чтобы не отменили. Ну все, держите фотки и всем мир.

Ну что, открывайте шампанское – мы это сделали (теперь у нас есть патент)! ⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Ну что, культисты, держите опт. Мы не стали вас тревожить новостями о том, что был взломан VMmanager. Злоумышленники в итоге получили доступ к данным панелей управления нескольких хостинг-провайдеров, а в отдельных случаях смогли добраться до узлов виртуализации и содержимого клиентских дисков. А когда утекли промежуточные индийские сертификаты от eMudhra, мы понадеялись, что вас этого не коснется. Последствия этого пока не выявились, но если плохие ребята успели подсуетиться, то они будут нехилыми. Затем, у старого-доброго PHP, на плечах которого все еще стоит половина интернетов, нашли две критические уязвимости (с оценкой CVSS 9,2). Там, если правильно покрутить эти баги, можно дойти до удалённого выполнения кода без аутентификации. Ну и вишенкой на торте стал вчерашний GitLab со своим новоиспеченным CVE-2026-110264 (тут уже покруче – CVSS 10.0). Уязвимость при определённых условиях позволяет выполнять произвольный код на сервере также без аутентификации. И это всё произошло буквально за 2 дня. И все это время безопасники по всему миру бегают в мыле и пытаются либо все это починить, либо выяснить, где надо чинить, потому что чинить точно надо. А мы бегаем вместе с ними, да. Так что и вас мы от этих новостей не уберегли, простите. Но весь мир подкапотного IT сейчас действительно в таком стрессе, которого не видел давно. За фактуру для поста спасибо коллегам по цеху @tech_b0lt_Genona @By3side @blondandinfosec Join our club Cult 👁

На криптографию надейся, а сам не плошай Настало время разобраться в одном важном вопросе – как работает шифрование в мессенджерах. Вот захотел я, да. Но для начала давайте разберемся на простом примере, что вообще такое шифрование и для чего оно нужно. Представьте, что ваше сообщение – это письмо. В обычной жизни вы кладете письмо в конверт, и любой почтальон может его вскрыть и прочитать. Или кто-то может подойти к почтальону, попросить открыть нужный конверт, прочитать содержимое и вернуть обратно. В мессенджерах с шифрованием вы кладете письмо в условный несгораемый сейф. У вас и у друга есть по уникальному ключу. Вы закрываете сейф своим ключом, а открыть его может только ключ вашего друга. Так обеспечивается конфиденциальность вашей переписки. Вот только когда мессенджер утверждает, что «ваши сообщения зашифрованы», это еще ничего не значит. Правильный вопрос: зашифрованы от ĸого? Вся криптография тут сводится ĸ важному моменту – у ĸого лежат ключи. С точки зрения архитектуры, существует 2 основных вида шифрования: 1. Транспортное шифрование (клиент-сервер) Ваше сообщение шифруется только во время отправки с вашего устройства на сервер. Сервер получает его, дешифрует, сохраняет, а потом снова шифрует для отправки другому клиенту. То есть при большом желании оператор/посредник может прочитать его содержимое (или кому-то показать). Грубо говоря, шифруется тут канал, по которому ваше сообщение проходит путь от устройства до сервера. Плюсы такого подхода: облачная история, мгновенная синхронизация между устройствами, поиск по переписке с любого девайса. Минус один, зато фундаментальный: сервер становится точкой доверия. Взлом, недобросовестный сотрудник, юридическое принуждение – и переписка оказывается доступна третьей стороне. Транспортное шифрование используется во всех мессенджерах, но есть те, кто не добавляет сверху никакой защиты. Например, так работают обычные (не секретные) чаты Telegram, наши любимые мессенджеры VK и Max, корпоративные Google Chat и Microsoft Team и др. 2. Сквозное шифрование (end-to-end, E2EE) Ключи генерируются и хранятся тольĸо на устройствах собеседников. Сервер видит и передает лишь зашифрованный текст, который не может расшифровать даже сам оператор/посредник. Проще говоря, в этом случае шифруется уже не канал передачи, а само сообщение. То есть при перехвате данных все, кроме получателя, увидят лишь бессмысленный набор символов. Плюсы этого вида: никто не сможет получить доступ к вашей переписке – даже при взломе сервера или по запросу спецслужб. Защищены не только тексты, но и фото, видео, файлы, звонки. Минусы: ваши метаданные все равно оседают у оператора/посредника (кому вы пишете, в какое время, с какого устройства и как долго длился разговор). Сквозное шифрование доступно в режиме «секретный чат» в ТГ, а также является основной защитой для WhatsApp, Signal, Viber, iMessage и Threema. Так что, получается, WhatsApp безопаснее Telegram? По сути, с точки зрения архитектуры, да, сквозное шифрование надежнее транспортного. Но на практике, уязвимости всплывали у каждого мессенджера хотя бы раз. Кроме того, шифрование канала не гарантирует полную безопасность. Метаданные, незашифрованные бэĸапы, зараженное устройство, где переписку читают до всяĸого шифрования – все это выносит атаку за пределы криптографии. Ну и стоит помнить, что ни один вид шифрования не защитит вас от перехода по фишинговым ссылкам или добровольной передачи личной информации мошенникам. Так что будьте бдительны и следите, кому вы доверяете свои данные. Всем добра. ⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT