kliMaster

Команда исследователей двух университетов Германии разработала метод, позволяющий превратить сканирующий движок антивирусной программы в инструмент для кибератак.

Атаки базируются на способности антивирусов обнаруживать вредоносное ПО, основываясь на сигнатурах. Данный метод работы антивирусных решений предполагает рассмотрение файла или пакета согласно словарю известных вредоносов, составленному авторами антивируса. Если какой-либо участок кода просматриваемой программы соответствует известной сигнатуре в словаре, антивирус либо удалит файл, либо отправит в карантин.

По словам исследователей, злоумышленник может изъять сигнатуры из сканирующего движка или понять принцип их работы и использовать антивирус для уничтожения хранящихся на атакуемой системе файлов. Если внедрить копию сигнатуры вредоносного ПО в легитимный файл, антивирусная программа примет его за вредонос и удалит (в лучшем случае поместит в карантин). Таким образом злоумышленник может саботировать работу целого предприятия.

Исследователям удалось получить сигнатуры вредоносного ПО из пяти сканирующий движков. Один из них – движок с открытым исходным кодом ClamAV, а остальные четыре разработаны неназванными коммерческими предприятиями. Эксперты использовали сигнатуры для осуществления трех типов атак: прикрытия угадывания паролей путем удаления журналов приложений, удаления электронных писем пользователей и упрощения атак путем удаления файлов cookie браузера.

Уязвимость в SS7 ставит под угрозу миллиарды пользователей.

Злоумышленники эксплуатируют проблемы в протоколе для кражи денег с банковских счетов пользователей.

Эксперты в области безопасности в течение нескольких лет неоднократно предупреждали о критических уязвимостях в протоколах Общего канала сигнализации № 7 (Signaling System 7, SS7), которые активно используются многими поставщиками сотовой связи. Данные уязвимости позволяют злоумышленникам перехватывать телефонные звонки и просматривать содержимое SMS-сообщений, несмотря на передовые алгоритмы шифрования, реализуемые сотовыми операторами. Но этим дело не ограничивается - теперь преступники эксплуатируют проблемы в SS7 для хищения средств со счетов пользователей мобильного банкинга.

По данным издания Süddeutsche Zeitung, некоторые клиенты немецкого сотового оператора O2-Telefonica лишились средств на своих банковских счетах в результате атаки, в ходе которой злоумышленники перехватывали коды для двухфакторной аутентификции и использовали их для доступа к счетам.

В 2014 году немецкие исследователи продемонстрировали, как атакующий с доступом к системам оператора связи, может через SS7 установить местоположение того или иного абонента сотовой связи, перехватить разговоры или сообщения. Два года спустя подобный эксперимент повторил немецкий ИБ-эксперт Карстен Нол (Karsten Nohl).

В данном случае злоумышленники проэксплуатировали систему двухфакторной аутентификации, применяемую банками в Германии для защиты клиентов и их online-транзакций. Данный механизм предполагает использование идентификатора транзакции, отправляемого банком в SMS-сообщении, при выполнении операции, например, перевода средств со счета на счет.

Атака проводилась в два этапа. На первом злоумышленники инфицировали компьютер жертвы банковским трояном, который похищал логин и пароль к банковской учетной записи, а также просматривал баланс счета и мобильный номер телефона пользователя. Далее злоумышленники покупали доступ к фиктивной базовой станции, имитирующей оператора связи, и настраивали переадресацию с номера жертвы на свой мобильный телефон.

На следующем этапе, как правило, ночью, мошенники авторизовались в банковской учетной записи пользователя, переводили деньги на другие счета, и, получив идентификатор транзакции, завершали операцию.

Ранее специалисты компании Positive Technologies провели масштабное исследование, посвященное анализу защищенности сетей SS7 ведущих мобильных операторов регионов EMEA и APAC.

Большинство атак на сети SS7 были возможны из-за отсутствия проверки реального местоположения абонента. На втором и третьем местах в списке причин — невозможность проверки принадлежности абонента сети и отсутствие фильтрации неиспользуемых сигнальных сообщений. На четвертой позиции — ошибки конфигурации SMS Home Routing.

Среднее число успешных атак в одной сети SS7 (в зависимости от недостатка)

Ранее о SS7:http://pikabu.ru/story/kriticheskaya_dyira_v_serdtse_sotovyi...

• Выпуск второй. Коммутация

• Выпуск третий. Маршрутизация

• Выпуск четвёртый. STP

• Выпуск пятый. ACL и NAT

• Выпуск шестой. OSPF

• Микровыпуск №1. Переход на GNS3

• Выпуск седьмой. VPN

• Выпуск восьмой. BGP

• Микровыпуск №3. IBGP 

P.S. Не расстраивайтесь, что видео аж 2012 года, все эти принципы и основы до сих пор актуальны.

Источник

Огромная благодарность всем подписчикам за вклад в сообщество. Отдельное спасибо администрации Pikabu за оперативное решение возникающих вопросов. Вы лучшие!