Если шутки про DDoS через зубные щетки остались шутками, то всерьез стоит обратить внимание на исследование Лаборатории Касперского в отношении уязвимостей умных игрушек, которые превращают девайс в чат-рулетку с детьми по всему миру.

Любезно предоставив обучающего робота на опыты исследователям, нойнейм-производитель был очень удивлен, когда выяснилось, что дефекты в безопасности могли быть использованы для доступа к конфиденциальным данным и общения с детьми без ведома их родителей.

Робот предназначен для обучения и развлечения детей, представляя собой интерактивное устройство на базе Android с большим экраном, микрофоном, видеокамерой, а также возможностью передвижения.

Функционал включает игровые и обучающие приложения для детей, голосовой ассистент, подключение к Wi-Fi и связь с родительским приложением для смартфона.

Исследование выявило ряд уязвимостей в API игрушки, связанных с возможностью получения действительного токена доступа, передачей HTTP-трафика в открытом виде, раскрытием ключей доступа к API внешних используемых сервисов (например, QuickBlocks, Azure, Linode), перехватом токена Agora для видеосвязи.

Причем используемый в запросах к API короткий предсказуемый ID позволял осуществлять полный перебор всего множества уникальных идентификаторов с привязкой к IP-адресам, данным владельцев и ребенка.

Особо изощренный злоумышленник в случае успешной атаки на сервер обновлений имел возможность подмены файла-архива в облаке на вредоносный, что обеспечит ему возможность исполнять произвольные команды на всех роботах с привилегиями суперпользователя.

А не особо продвинутый также был способен поколдовать с checkAuthentication и путем перебора перепривязать произвольное устройство к своему аккаунту.

В совокупности весь набор обнаруженных проблем позволял злоумышленнику выкрасть чувствительную информацию (данные ребенка, город проживания, телефон и электронный адрес родителя), а также получить несанкционированный доступ к роботу со всеми вытекающими последствиями.

А это, в свою очередь, может привести к кибербуллингу, социальной инженерии и другим манипуляциям над ребенком вне ведома родителей.

Дабы избежать таких рисков, исследователи рекомендуют внимательно подходить к выбору умных игрушек, а также ответственно относится к обновлениям ПО.

Вот бывает такое, что вроде и кибермем, но не смешно. Вот у меня так с этой картинкой. К слову, эта штука реально продается на Алиэкспрессе.

#КиберМем

Твой Пакет Безопасности

​Подписка, лайк и колокольчик

Сразу скажу, пост будет для кибербезопасников. Возможно кто-то из вас уже знает (а может и нет) о таком сервисе как tl;dr sec. Это сервис рассылок всего полезного в мире кибербезопасности от одного небезызвестного парня в индустрии – Клинта Гиблера.

На самом деле, тут и рассказывать особо нечего, всё банально, просто и эффективно. Вы подписываетесь на эту рассылку на сайте и, после этого, каждый четверг получаете себе на почту полезную информацию о новых инструментах, инфоповодах, докладах или исследованиях из мира кибребеза.

И да, это всё абсолютно бесплатно. Клинту спасибо, что сделал такую штуку, мне спасибо за то, что я вам про эту штуку рассказал, ну а вам спасибо за то, что дочитали до этого места. Всем мир.

#Полезное

Твой Пакет Безопасности

​Социальная инженерия, которую мы заслужили

Пока опытные злоумышленники пытаются изобрести новую фишинговую схему, чтобы украсть чьи-то учетные записи, а обиженные на своих бывших работодателей сотрудники устанавливаются замудрённые бэкдоры (это такие штуки, чтобы потом можно было удаленно получить доступ к внутренним ресурсам компании), обычный парень из Твиттера просто взял и переименовал себя в корпоративном мессенджере, что позволило ему следить за рабочими переписками даже после своего увольнения из компании.

Чуть раскрою суть, так как история просто до боли комичная и поучительная (всё как мы любим). Наш главный герой Том Маккей какое-то время работал в одной компании, где все сотрудники использовали для коммуникации корпоративный мессенджер Slack (который, к сожалению, покинул нашу страну). И в этом мессенжере, как и в Телеграме, есть свои боты, которые помогают управлять чатами, группами и делают взаимодействие удобнее.

Так вот, когда Том Маккей покидал компанию, он просто взял и переименовал свою учетную запись в Слаке на того самого бота Slackbot, поменял аватарку и даже имитировал поведение бота в тех чатах, где он был. Он еще и обошел ограничения на то, что сам Слак запрещает пользователям брать себе уже используемые имена. Таким образом, он оставался незамеченным аж несколько месяцев. Вот тут можно почитать подробнее и на русском.

Не думаю, что он делал это с целью корпоративного шпионажа или нанесения вреда компании (к счастью бывшего работодателя), но факт остаётся фактом. А всё почему? Правильно – потому что кто-то в ИБ не позаботился о том, чтобы блокировать учётки сотрудников сразу же после увольнения (и не важно, какое у них название). Такие вещи нужно автоматизировать в первую очередь, завязывая всё на информации из HR. И да, касается это далеко не только мессенджеров.

Также, в таких случаях помогает заведение корпоративных ресурсов за VPN (если не забывать отзыв сертификатов), но, в данном случае, это кажется уже излишним и будет скорее мешать работать, и пользоваться средствами коммуникации. Короче, следите за учётками, правами и доступами своих сотрудников, а то придется сражаться не только с хакерами.

Твой Пакет Безопасности

Да, схема не самая новая, но такая запоминающаяся.

#КиберМем

Твой Пакет Безопасности