Wikileaks - Wikileaks že od marca objavlja razkritja iz svežnja dokumentov Vault 7, ki opisujejo načine, kako lahko CIA vdira v najrazličnejše kose elektronike. Zadnje razkritje projekta Imperial prinaša informacije o treh orodjih, ki se uporabljajo za vdiranje v sisteme Mac OS X in izpeljanke POSIX-a (tudi Linux).
Med zanimivejšimi je ranljivost oziroma orodje Aeris, ki je napisano v C-ju in napada sisteme na osnovi POSIX, med drugim Debian Linux, Red Hat Linux, Solaris, FreeBSD in CentOS. Aeris je namenjen vohunjenju v teh sistemih, in sicer podpira pridobivanje datotek (automatic file exfiltration), redno javljanje krmilnim strežnikom (beacon and jiter), zna komunicirati šifrirano (HTTPS LP, SMTP s TLS) ter se enostavno namesti. Gre skupino orodij v Pythonu in prevedene C-jevske kode.
Drugi orodji se imenujeta Achilles in SeaPea ter napadata računalnike s sistemom Mac OS X. Prvi omogoča vgraditev trojanskega konja v namestitvene datoteke (.dmg) za različne programe za Mac, SeaPea pa je klasični rootkit za Mac OS X 10.6 in 10.7. Za namestitev potrebujemo administratorski (root) dostop, na disku pa ostane do formatiranja ali namestitve nove verzije operacijskega sistema. Ker gre za ranljivost v starejših verzijah Mac OS X, je zelo verjetno, da je Apple v novejših luknjo odpravil, sicer pa bodo to gotovo storili zdaj. Ko je Wikileaks marca poročal o ranljivosti v Applovi programski opremi, ki da jo izkorišča CIA, je Apple hitro zagotovil, da so omenjene luknje zakrpali že leta 2009 (iPhone 3G) oziroma 2013 (Mac). A po drugi strani to ne pomeni, da CIA nima na zalogi tudi kakšnih novejših.
Ko bo globalno kibervojskovanje in napadi na celotno infrastrukturo na dnevnem redu, bo morda CIA ugotovila, da je bolje ustvariti neprebojen OS ter pomagati MS, Apple, Linux community in drugim zakrpati (ne)znane luknje in s tem pomagati zavarovati digitalno infrastrukturo ZDA in zavezniških držav, kot pa dovoliti, da iste ranljivosti, ki jih lahko zlorabijo sami, zlorabijo nasprotniki. Bo pač par "teroristom" (ustvarjenim in dejanskim) malce težje vdirati v mailboxe...
Not taking sides here (Donny vs. Vlado / coalition of the evil vs. axis of willing al' kako že gre mantra), just pointing out the obvious.
Antifašizem je danes poslednje pribežališče ničvredneža, je ideologija ničesar
in neizprosen boj proti neobstoječemu sovražniku - v zameno za državni denar
in neprofitno najemno stanovanje v središču Ljubljane. -- Tomaž Štih, 2021
Me je zanimalo, katera asociacija se bo najprej pojavila ... Lepa demonstracija, kako en fake news zasenči leta kvalitetnega truda, vloženega v projekt :)
Hmm... zakaj bi to počel. Verjetno lahko na kakšen način detektaš, da ti nekdo iz lastne mreže podatke lifra? To bi se pa dandanes po moje že skoraj moralo dati
Fake news! To ziher Trump lansiral, da bi se ustrašili in presedlal na Windows.
To pa že ne more biti res, da bi lahko kdo vdrl v Linux pa datoteke kradel dol. V Mac-a pa sploh ne! To je že čista blasfemija!
Takšne trditve so tako nesramne in žaljive, kot da bi si jih izmislil Skarabuči osebno. ---------------
Mislim, da moraš biti preklemansko za luno, če ti danes še zmeraj ni jasno, da ni ne operacijskega sistema, ne naprave, ki se jo nebi dalo tako ali drugače shackat. Potem pa kao ta velika novica, da ima CIA neka orodja? Presneto, bolje bi se bilo vprašat, kdo (še) nima takšna ali drugačna orodja!
Folk dela paniko, zganja histerijo, se paranoično trese............naredi pa NIČ. Še posodobitve ne naloži. Najbolj všeč pri teh exploitih mi je to, da tukaj backup ne pomaga ama ništa. Ker kar naprej poslušaš dobronamerne nasvete za zaščito od Ramsonware-a 'dejte delat backup, pa bo sonček večno sijal'. Ja, seveda bo spet zasijal, ko si boš povrnil varnostno kopijo. Samo kaj ti to koristi, če napadalcu ni do tega, da ti uniči podatke ampak jih pokrade? Brezplačen 0touch Cloud backup
Pa ne vem, če se je ravno CIA najbolj za bat - jaz bi se bistveno bolj bal kakšnih hackerjev, ki bi pokradli podatke. Če ti jih bo CIA, najbrž ne bo nikoli nihče izvedel, da so ti vdrlji, kaj šele, kaj si imel na disku.
Če ti vdrejo hackerji, pa sta možna samo dva scenarija: ali te bodo izsiljevali, ali pa jih nekje dumpnejo in ti uničijo ugled, zaupanje strank, nakopljejo inšpekcijo,..... Potem imaš še tiste hackerje, ki so v službi industrijske špijonaže. Te tudi ne boš opazil....dokler ne boš začel tuhtat, da ima tvoj konkurent za čuda vedno neko nerazumljivo prednost pred tabo, da vedno pravilno predvidi tvoje poteze, na trg meče izdelke in inovacije sumljivo podobne tvojim,....
CIA je bolj 'organizacija' katere se moraš bat, če si vpleten v politiko. Vsi ostali se moramo bati čisto drugih akterjev. In teh je tam zunaj veliko več, kot ima CIA agentov na področju cybervojskovanja.
Ampak hej! Don't panic!
Dokler imate na sistemih enega samega uporabnika z geslom 'admin', 'geslo123', 'ViolePrvaki' in podobno, je ves strah pred takšnimi 'naprednimi zlorabami' popolnoma odvečen.
Men je pa najbolj smešno da ljudje mislijo, da ko imajo zadnje posodobitve so pa magično varni. To exploiti so samo tisti, ki so ušli ven, nemalo pa je še drugih in iz drugi držav. Poleg tega tudi ni 2x za reči, da taki exploiti lahko pridejo na računalnik tud iz update-i. Če NSA/CIA prisili Mcirosoft, Apple, Ubuntu ali kakšne druge, da jim zaradi national security vgradijo backdoor potem to morajo naresti in seveda o tem morajo molčati.
Men je pa najbolj smešno da ljudje mislijo, da ko imajo zadnje posodobitve so pa magično varni. To exploiti so samo tisti, ki so ušli ven, nemalo pa je še drugih in iz drugi držav. Poleg tega tudi ni 2x za reči, da taki exploiti lahko pridejo na računalnik tud iz update-i. Če NSA/CIA prisili Mcirosoft, Apple, Ubuntu ali kakšne druge, da jim zaradi national security vgradijo backdoor potem to morajo naresti in seveda o tem morajo molčati.
Saj to se je lepo videlo pri NotPetya, kako ti en autoupdate naredi štalo, če je strežnik padel v roke 'ta pravim'. Noja, pa tudi kakšen čisto legitimen update je že kdaj naredil štalo, brez da bi imele kake barabe svoje prste zraven.
Danes ga ni več eksperta (razen kakšnih čudakov), ki nebi pridigali o tzv. 'layered security' - večplastni varnosti. Posodabljanje je tukaj samo eden od nivojev. Že doma imaš več nivojev (se podučiš, posodabljaš, daš močnejša gesla, namestiš AV, narediš varnostno kopijo). V podjetju pa imaš teh nivojev še več.
Če doma (skoraj) vse nivoje implementiraš na računalniku, se v podjetju nekateri nivoji premaknejo na omrežje, ker so tam lahko učinkovitejši.
Zelo mi je všeč izjava, ki jo je dala ena znanka: "The network doesn't lie" Bistvo je v tem, da CIA&Co, vključno s hackerji znajo naresti takšne škodljivce, ki se skrijejo v kernel mode-u in jih je praktično nemogoče odkriti - na računalniku. Ne pa tudi na omrežju. Čim enkrat skušajo kontaktirat svoj nadzorni center, se morajo razkriti - na omrežju. Potem pa je samo vprašanje, če imaš vzpostavljene ustrezne mehanizme, da 'ujameš' ta klic domov in ga v kopici vseh ostalih logiranih podatkov tudi opaziš. Tukaj pa potem precejšnjo vlogo igrajo razni napredni varnostni servisi, ki znajo posumiti, da se gre za nelegitimno obliko prometa, zagnati alarm, v najboljšem primeru celo zaustaviti tak proces na računalniku. Samo če ti varnost v podjetju ni vredna niti toliko, kot stane skodelica kave /uporabnika/dan, potem lahko kar pozabiš, da boš karkoli podobnega kdaj zaznal, kaj šele zaustavil.
Zelo mi je všeč izjava, ki jo je dala ena znanka: "The network doesn't lie" Bistvo je v tem, da CIA&Co, vključno s hackerji znajo naresti takšne škodljivce, ki se skrijejo v kernel mode-u in jih je praktično nemogoče odkriti - na računalniku. Ne pa tudi na omrežju. Čim enkrat skušajo kontaktirat svoj nadzorni center, se morajo razkriti - na omrežju. Potem pa je samo vprašanje, če imaš vzpostavljene ustrezne mehanizme, da 'ujameš' ta klic domov in ga v kopici vseh ostalih logiranih podatkov tudi opaziš. Tukaj pa potem precejšnjo vlogo igrajo razni napredni varnostni servisi, ki znajo posumiti, da se gre za nelegitimno obliko prometa, zagnati alarm, v najboljšem primeru celo zaustaviti tak proces na računalniku. Samo če ti varnost v podjetju ni vredna niti toliko, kot stane skodelica kave /uporabnika/dan, potem lahko kar pozabiš, da boš karkoli podobnega kdaj zaznal, kaj šele zaustavil.
Torej ukazi za spyware pridejo preko twitter/fb/instagram/karkoližepač komentarjev na slike ali objave znanih (ali manj znanih) osebnosti. Recimo na komentarje na slo-techu.
Že Anna Chapman je uporabljala slike mačk na internetih, v katere so bila shranjena sporočila. Kako se tega lotiš z raznimi naprednimi varnostnimi servisi.
Moje mnenje je, da če ukaze za spyware/cryptovirusu/karkoližepač pošiljaš preko komentarjev na neki spletni strani, ti noben napredni varnostni servis ne more pomagati, ker ni zadosti pameten.
Pa še nekaj: Dokler se ljudje 10x bolj zanimajo za popolnoma trivialen prenos podatkov s kvantno prepletenostjo, kot za konkretne grožnje in ukrepe zoper njih, bodo CIA&Co imeli preklemansko enostavno delo.
Ko je govora o Ransomware-u, pogledajo naslov, si mislijo 'saj delam backup' in gredo dalje. Večino še to ne zanima, kje oz. kako kaj takega stakneš - 'saj imam backup'.... toliko časa se je ljudem tupilo v glavo, da posodabljanje in backup rešita vse probleme, da jih nič ne zanima več.
Imamo pa tudi prave modne trende poneumljanja uporabnikov. Nekaj časa se jim tupi, da ne smejo klikat po priponkah neznancev, potem pride v modo pridiganje o posodabljanju, nakar se spet moda menja in se jim tupi, da naj delajo backup. Nisem ravno prepričan, da je takšen 'trendovski pristop' najbolj primeren.
@jukoz - C&C kanale imaš vseh vrst. Če se je včasih pretežno uporabljalo IRC za te fore, so danes veliko bolj popularne direktne povezave na nadzorne strežnike preko https. Ampak odkrivanje komunikacije z C&C je zgolj en layer pri celotni zgodbi. Mogoče ga res ne boš mogel razkriti, razen če ti analitika prometa ven vrže, da nek tvoj uporabnik, ki ne zna rusko, nekam veliko časa previsi na ruskem dating site-u ali kitajski varianti wikipedije. Zato je tako pomembno, da si tudi kdaj pogledamo analitiko in se vprašamo, kaj vraga pa moji uporabniki počno na nekem čudnem strežniku in to dan in noč, tudi ko nikogar ni v hiši.
Še bolj pomembno pa je blokiranje zadev, da se kakšna taka nadloga sploh ne bo mogla naseliti na naše računalnike, tako da sploh ne bo prihajalo do povezav s C&C strežniki.
Tudi netFlow sam zase ne pomaga veliko, če nimaš ustrezne analitike z vizualizacijo. Dodaten problem je, da je netFlow podprt samo s strani določenih proizvajalcev...
Nekaj v tej smeri je treba imeti - ampak vse ti ne pomaga čisto nič, če si nihče ne vzame časa, da bi zadeve spremljal. Glede na to, da je vse več adminov 'deklica za vse', jim res ne ostane kaj dosti časa, da bi take analitike študirali. Poleg tega se vse več upravljalskih vlog outsoursa. Zunanji izvajalec pa se bo s tvojimi zadevami ukvarjal točno toliko, kolikor mu boš plačal (pa še to ni garantirano). Vsi pa bi plačali čim manj...
Tudi netFlow sam zase ne pomaga veliko, če nimaš ustrezne analitike z vizualizacijo. Dodaten problem je, da je netFlow podprt samo s strani določenih proizvajalcev...
Tudi netFlow sam zase ne pomaga veliko, če nimaš ustrezne analitike z vizualizacijo. Dodaten problem je, da je netFlow podprt samo s strani določenih proizvajalcev...
Kot sem že rekel, je največji problem v tem, da admini te reči (prepogosto) ne gledajo. Če pa že gledajo, pa predvsem takrat, ko jim nekaj na mreži 'nagaja', kot orodje za odkrivanje vzrokov težav. Ne pa kot orodje za preventivo.
Meni osebno je drugače bolj pri srcu spodobno logiranje in analitika, kot ti to ponujajo (nekatere) napredne požarne pregrade, kjer imaš na voljo tudi analitiko po aplikacijah, uporabnikih, vidiš katera pravila so povzročila blokade določenih povezav,..... Za preventivo so namreč veliko bolj zanimive povezave, katere blokiramo iz bilokaterega razloga (ne ustvarijo flowa?). Če ti lepo napiše, da nek klient odstopa v številu blokad in se večina njih nanaša na znane C&C naslove, si že vse kar rabiš, dobil plasirano na pladnju. Klasični Netflow običajno zahteva več 'detektivskega' dela.
Mrežna preventiva je marsikje predraga. Primerno okolje zanjo so podjetja z jasno definiranimi procesi, ki se poredko spreminjajo. Če imaš hitro rastoče podjetje, kjer se procesi spreminjajo na dnevni osnovi, je preventiva v najboljšem primeru pain, če ne celo nemogoča.
Ko enkrat vpelješ preventivo v neko okolje, ga s tem tudi zacementiraš in narediš precej bolj okornega s stališča uvajanja sprememb.
Če ima kdo kako literaturo, ki trdi nasprotno, bi jo z veseljem prebral.
Odvisno za kakšne spremembe se gre, kako dobro je bila premišljena zasnova omrežja,....
Če vsake dve leti spreminjaš IP naslove po segmentih, potem je zagotovo nekdo že v osnovi nekaj zamočil. Če pa zgolj dodajaš kakšen nov VLAN, kakšen nov server, VPN,... pa so to čisto normalni dogodki, ki bi jih moral biti admin sposoben obvladovati, če ni ravno na bojni nogi z rešitvami, katere uporablja.
Je pa res, da mora admin v takem 'hitro rastočem' okolju biti še toliko bolj dosleden. Improviziranje se hitro maščuje. Brez doslednosti, lahko postanejo različne konfiguracije čisto skrpucalo in bog ne daj, da ta admin potem zamenja službo. Nasledniku bo povzročil kar konkretne glavobole in nočne more. V takih primerih je neredko najbolje vse skupaj razdret in na novo zastaviti.
Nebi pa smela biti hitra rast opravičilo za zanemarjanje preventive.
Ni samo "nov vlan, nov server" ... Tu smo bolj na nivoju "nov flow" in že če dovoliš ljudem neomejeno browsanje, si ga najebal, ker ne moreš predvideti in zato nadzirati vseh flowov. Pa do ipv6 in vpnjev še niti prišli nismo.
Pač nekje je treba potegniti razumno ločnico med dovoljenim in nedovoljenim ... In ta je močno odvisna od okolja.
Samo brskanje po spletu je še ta najmanjši problem, če uporabljaš kakovostne filtre (kategorizacija, vsebina, AV pregled, omejitev tipov prenešenih datotek).
Bolj problematične so nestandardne aplikacije, ki uporabljajo port 443, pa v bistvu niso https, včasih niti TLS,... Tu pa potem dejansko hitro naletiš na probleme. Pa to pogosto niti niso toliko tehnični problemi, kot pa problemi upravljanja. Če je vse nekje 'preveč po domače' in si lahko vsak izmišlja nekaj po svoje, boš hitro imel popolno anarhijo.
Najraje imam kakšne direktorčke, ki imajo neko svojo najljubšo aplikacijo, brez katere ne morejo in insistirajo, da jim jo moraš omogočiti. Čez mesec dni pa ugotoviš, da je v vsem tem času to hudo pomembno aplikacijo uporabljal vsega 3 dni...
Enkrat sem imel opravka z enim direktorjem, ki je na vsak način hotel gledat neke video prenose z ene obskurne strani. Stran mu je blokiral web filter, kao kompromitirana stran ali nekaj takega. Ampak baje njegov kolega tam gleda prenose in mu (še?) ni sesulo računalnika. O.k....mogoče narobe kategorizirano, ali pa problem že odpravljen, pa dodam izjemo na web filtru. Stran pa še kar blokirana - IPS blokiral...direktor pa še kar silil, da je to ziher brezvezen alarm. Mu rečem '...na tvojo odgovornost..' pa dodam še izjemo na IPS. Še vedno ne dela... zdaj je AV blokiral..... No, hvala bogu je potem počasi tudi direktor uvidel, da mogoče pa le ni tako zelo pametno riniti tja, kjer se vsi semaforji postavijo na rdečo.
Imaš pa tudi okolja, kjer zdefiniraš zadeve, jih aktiviraš, pa nihče ne pisne, da mu karkoli ne dela (pa si jim odrezal Dropbox in podobno). Uporabniki vedo, da te aplikacije za svoje delo dejansko ne potrebujejo ali pa celo nebi smeli uporabljati, pa tudi pojamrat ne upajo. V takih okoljih te je potem strah, da se ne bo našel kakšen uporabnik, ki bo preveč 'iznajdljiv' in namesto da bi delal svoje delo, 8 ur na dan iskal poti, da bi zaobšel pravila igre.
Res je, uravnilovka 8 ur, pa v steno gledat, edino tako bo zaposleni produktiven. Če se popraska po jajcih je to že čas, ki bi ga lahko porabil za delo.
Res je, uravnilovka 8 ur, pa v steno gledat, edino tako bo zaposleni produktiven. Če se popraska po jajcih je to že čas, ki bi ga lahko porabil za delo.
Ni bilo govora o praskanju po jajcih, ampak o brihtnežih, ki tuhtajo, kako bi na šihtu vzpostavili VPN do svojega domačega strežnika, ki ti privlečejo od doma svoj AP, ....
Enkrat sem imel opravka z enim direktorjem, ki je na vsak način hotel gledat neke video prenose z ene obskurne strani. Stran mu je blokiral web filter, kao kompromitirana stran ali nekaj takega. ... Še vedno ne dela... zdaj je AV blokiral..... No, hvala bogu je potem počasi tudi direktor uvidel, da mogoče pa le ni tako zelo pametno riniti tja, kjer se vsi semaforji postavijo na rdečo.
Lahko bi mu naredil skripto, ki bi s te strani vzel in mu serviral samo tisti video stream.
Ko bo globalno kibervojskovanje in napadi na celotno infrastrukturo na dnevnem redu, bo morda CIA ugotovila, da je bolje ustvariti neprebojen OS ter pomagati MS, Apple, Linux community in drugim zakrpati (ne)znane luknje in s tem pomagati zavarovati digitalno infrastrukturo ZDA in zavezniških držav, kot pa dovoliti, da iste ranljivosti, ki jih lahko zlorabijo sami, zlorabijo nasprotniki.
But, but... mah guns, mah bombs!
Prevod: Ain't gonna happen. (sicer bi že)
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
Enkrat sem imel opravka z enim direktorjem, ki je na vsak način hotel gledat neke video prenose z ene obskurne strani. Stran mu je blokiral web filter, kao kompromitirana stran ali nekaj takega. ... Še vedno ne dela... zdaj je AV blokiral..... No, hvala bogu je potem počasi tudi direktor uvidel, da mogoče pa le ni tako zelo pametno riniti tja, kjer se vsi semaforji postavijo na rdečo.
Lahko bi mu naredil skripto, ki bi s te strani vzel in mu serviral samo tisti video stream.
Lahko bi... ampak zakaj že?
Toliko pa res nisva bila 'prijatelja', da bi mu to naredil v sklopu 'tehnične podpore'.
.