​Моя жизнь длится всего 10 секунд – между стартом и разгоном

Итак, сегодня будет специфичный (и огромный) пост, посвященный защите от взлома автомобилей. Началось всё с того, что я наткнулся на один ролик в запрещенной социальной сети.

Там девушка рассказывала о том, как они с мужем вышли из супермаркета, подошли к своей машине, а она не открывается бесключевым доступом (это когда ключ может просто лежать в кармане водителя, который открывает дверь своего авто). Когда же они открыли машину физическим ключом, выяснилось, что она не заводится с кнопки. Далее они заметили, что такая проблема настигла не только их, но и большинство людей на парковке. Собственно, это подтолкнуло меня немного разобраться в этой теме, поэтому делюсь с вами.

Сразу скажу, что я вообще не специализируюсь на защите вещей, связанных с радиоэлектроникой, автомобилями или прочими умными устройствами (но это мне не помешает умничать в этом посте).

Так вот, вернемся к тому, что мне удалось выяснить и понять. Связаны все эти истории с системами бесключевого доступа, которые у каждого автоконцерна называются по-своему – Smart Entry, KeyLess-Go или Advanced Key, например.

В случае, который описала девушка из ролика, судя по всему, либо произошел какой-то редкий парад планет (ну шутка), либо кто-то начал прямо на парковке массово глушить волну, на которой ЭБУ (мозги вашей машины) пытаются общаться с ключом автомобиля, чтобы его (авто) открыть.

Нюанс состоит в том, что глушилка для этого должна быть очень мощная (мне сложно представить ее размеры, но кажется, антенна должна быть немаленькой), а смысла от такого массового глушения не очень много. По идее, делается это для того, чтобы в нужный момент глушилку отключить, включить считыватель и перехватить сигнал ключа жертвы. Ах да, еще у разных марок авто свои частоты общения, что нЕсколько усложняет жизнь взломщиков.

Дальше тоже не без нюансов. Во-первых, ключ считывается на очень близком расстоянии от автомобиля, поэтому нужно либо стоять где-то неподалёку (чуть ли не в радиусе 1 метра), либо понавтыкать повсюду свои ретрансляторы, чтобы "дотянуться" до сигнала (боюсь представить, что там будет с помехами и искажениями).

Допустим, что злоумышленнику это удалось. Тут перед ним встаёт следующая проблема – всё, что он перехватит, будет зашифровано, а цифровой ключ для открытия автомобиля будет меняться при каждом новом нажатии на кнопку или попытке открытия авто. Это раньше всё было просто – перехватываешь сигнал, потом воспроизводишь его, и машина открывается. Теперь всё посерьёзнее.

Так что, кажется, что подобные уловки не должны быть проблемой для современных авто. Разве что вас попытается взломать кто-то, кто и во взлом алгоритмов шифрования умеет, и в генераторах псевдостучайных чисел разбирается (что маловероятно). Проведя своё небольшое гугл-исследование, я немного подуспокоился, пока не наткнулся на канал ребят, которые рассказывают в подробностях, как угонять практически любые машины (нет, это не реклама).

Если подводить небольшой итог, то угнать можно всё, что угодно, но, далеко не всё можно сделать через цифровой взлом, и не прикладывая особых усилий, что радует. На форумах и в специфичных статьях советуют экранировать свои ключи, обматывая их фольгой, доставать из них батарейки (отходя от машины) и распаивать иммобилайзеры в кустарных условиях, что звучит не очень убедительно и адекватно. Чего-то более менее реалистичного из советов я не нашел, поэтому просто надеемся на автопроизводителей, обновляем свои кареты и живем эту жизнь дальше.

Ну а если вы дочитали этот мегапост знаете что-то еще или нашли ошибку где-то выше, то вэлкам в комментарии.

Твой Пакет Безопасности

​Попался

Пока все массово обсуждают и пытаются понять, как это за пару месяцев в 2024 году утекло уже более 510 000 000 данных граждан нашей страны (что уже побило рекорд за весь прошлый год), предлагаю обсудить один достаточно интересный тип инструментов, который из профессиональной сферы начинает перетекать в бытовую, а имя ему – Honey Tokens. Да, это пост не только для кибербезопасников, а для всех, кто интересуется кибергигиеной.

Мы с вами уже как-то разбирались в том, что такое HoneyPot, так вот, это его родственник. Если коротко, то эта штука позволяет обнаружить признаки и факт взлома любого вашего устройства или сервиса. Происходит это благодаря специальным меткам, маркерам или триггерам, которые умеют расставлять инструменты класса Honey Tokens. Более того, в некоторых случаях, можно даже вычислить источник взлома.

Как же это работает. На самом деле, всё очень просто. Вы выбираете нужную приманку – например, текстовый файл с названием "Пароли" или папку с названием "Документы" (только не надо класть туда реальные пароли или сканы настоящих документов), а затем буквально устанавливаете на них сигнализацию. То есть, как только кто-то попробуем открыть этот файл или зайти в конкретную папку, вам отправится уведомление о том, что это произошло.

Ну а теперь переходим от теории к практике – вы сами можете попробовать, как это работает, например, с Сanary Tokens. Через него вы сможете настроить ту самую сигнализацию на любой файл, ссылку, айпишник, электронную почту, папку и еще много чего. Уведомления именно в этом сервисе можно настроить на вашу почту. И да, всё это бесплатно и с понятным интерфейсом. Так что пользуйтесь на здоровье и делитесь с близкими.

#Полезное

Твой Пакет Безопасности

Если шутки про DDoS через зубные щетки остались шутками, то всерьез стоит обратить внимание на исследование Лаборатории Касперского в отношении уязвимостей умных игрушек, которые превращают девайс в чат-рулетку с детьми по всему миру.

Любезно предоставив обучающего робота на опыты исследователям, нойнейм-производитель был очень удивлен, когда выяснилось, что дефекты в безопасности могли быть использованы для доступа к конфиденциальным данным и общения с детьми без ведома их родителей.

Робот предназначен для обучения и развлечения детей, представляя собой интерактивное устройство на базе Android с большим экраном, микрофоном, видеокамерой, а также возможностью передвижения.

Функционал включает игровые и обучающие приложения для детей, голосовой ассистент, подключение к Wi-Fi и связь с родительским приложением для смартфона.

Исследование выявило ряд уязвимостей в API игрушки, связанных с возможностью получения действительного токена доступа, передачей HTTP-трафика в открытом виде, раскрытием ключей доступа к API внешних используемых сервисов (например, QuickBlocks, Azure, Linode), перехватом токена Agora для видеосвязи.

Причем используемый в запросах к API короткий предсказуемый ID позволял осуществлять полный перебор всего множества уникальных идентификаторов с привязкой к IP-адресам, данным владельцев и ребенка.

Особо изощренный злоумышленник в случае успешной атаки на сервер обновлений имел возможность подмены файла-архива в облаке на вредоносный, что обеспечит ему возможность исполнять произвольные команды на всех роботах с привилегиями суперпользователя.

А не особо продвинутый также был способен поколдовать с checkAuthentication и путем перебора перепривязать произвольное устройство к своему аккаунту.

В совокупности весь набор обнаруженных проблем позволял злоумышленнику выкрасть чувствительную информацию (данные ребенка, город проживания, телефон и электронный адрес родителя), а также получить несанкционированный доступ к роботу со всеми вытекающими последствиями.

А это, в свою очередь, может привести к кибербуллингу, социальной инженерии и другим манипуляциям над ребенком вне ведома родителей.

Дабы избежать таких рисков, исследователи рекомендуют внимательно подходить к выбору умных игрушек, а также ответственно относится к обновлениям ПО.

Вот бывает такое, что вроде и кибермем, но не смешно. Вот у меня так с этой картинкой. К слову, эта штука реально продается на Алиэкспрессе.

#КиберМем

Твой Пакет Безопасности

​Подписка, лайк и колокольчик

Сразу скажу, пост будет для кибербезопасников. Возможно кто-то из вас уже знает (а может и нет) о таком сервисе как tl;dr sec. Это сервис рассылок всего полезного в мире кибербезопасности от одного небезызвестного парня в индустрии – Клинта Гиблера.

На самом деле, тут и рассказывать особо нечего, всё банально, просто и эффективно. Вы подписываетесь на эту рассылку на сайте и, после этого, каждый четверг получаете себе на почту полезную информацию о новых инструментах, инфоповодах, докладах или исследованиях из мира кибребеза.

И да, это всё абсолютно бесплатно. Клинту спасибо, что сделал такую штуку, мне спасибо за то, что я вам про эту штуку рассказал, ну а вам спасибо за то, что дочитали до этого места. Всем мир.

#Полезное

Твой Пакет Безопасности

​Социальная инженерия, которую мы заслужили

Пока опытные злоумышленники пытаются изобрести новую фишинговую схему, чтобы украсть чьи-то учетные записи, а обиженные на своих бывших работодателей сотрудники устанавливаются замудрённые бэкдоры (это такие штуки, чтобы потом можно было удаленно получить доступ к внутренним ресурсам компании), обычный парень из Твиттера просто взял и переименовал себя в корпоративном мессенджере, что позволило ему следить за рабочими переписками даже после своего увольнения из компании.

Чуть раскрою суть, так как история просто до боли комичная и поучительная (всё как мы любим). Наш главный герой Том Маккей какое-то время работал в одной компании, где все сотрудники использовали для коммуникации корпоративный мессенджер Slack (который, к сожалению, покинул нашу страну). И в этом мессенжере, как и в Телеграме, есть свои боты, которые помогают управлять чатами, группами и делают взаимодействие удобнее.

Так вот, когда Том Маккей покидал компанию, он просто взял и переименовал свою учетную запись в Слаке на того самого бота Slackbot, поменял аватарку и даже имитировал поведение бота в тех чатах, где он был. Он еще и обошел ограничения на то, что сам Слак запрещает пользователям брать себе уже используемые имена. Таким образом, он оставался незамеченным аж несколько месяцев. Вот тут можно почитать подробнее и на русском.

Не думаю, что он делал это с целью корпоративного шпионажа или нанесения вреда компании (к счастью бывшего работодателя), но факт остаётся фактом. А всё почему? Правильно – потому что кто-то в ИБ не позаботился о том, чтобы блокировать учётки сотрудников сразу же после увольнения (и не важно, какое у них название). Такие вещи нужно автоматизировать в первую очередь, завязывая всё на информации из HR. И да, касается это далеко не только мессенджеров.

Также, в таких случаях помогает заведение корпоративных ресурсов за VPN (если не забывать отзыв сертификатов), но, в данном случае, это кажется уже излишним и будет скорее мешать работать, и пользоваться средствами коммуникации. Короче, следите за учётками, правами и доступами своих сотрудников, а то придется сражаться не только с хакерами.

Твой Пакет Безопасности