S3 Ep113: Pwning του πυρήνα των Windows – οι απατεώνες που κορόιδεψαν τη Microsoft [Ήχος + Κείμενο]

Κάντε κλικ και σύρετε στα ηχητικά κύματα παρακάτω για να μεταβείτε σε οποιοδήποτε σημείο. Μπορείτε επίσης να ακούστε απευθείας στο Soundcloud.

ΖΥΜΗ.  Ασύρματο λογισμικό υποκλοπής spyware, skimming πιστωτικών καρτών και μπαλώματα σε αφθονία.

Όλα αυτά και πολλά άλλα στο podcast του Naked Security.

[ΜΟΥΣΙΚΟ ΜΟΝΤΕΜ]

Καλώς ήρθατε στο podcast, όλοι.

Είμαι ο Doug Aamoth. είναι ο Paul Ducklin.

Παύλο, πώς τα πας;

---

ΠΑΠΙΑ.  Είμαι πολύ καλά, Νταγκ.

Κρύο, αλλά καλά.

---

ΖΥΜΗ.  Κάνει παγωνιά και εδώ, και όλοι είναι άρρωστοι… αλλά αυτός είναι ο Δεκέμβριος για εσάς.

Μιλώντας για τον Δεκέμβριο, μας αρέσει να ξεκινάμε την παράσταση με το δικό μας Αυτή η εβδομάδα στην ιστορία της τεχνολογίας τμήμα.

Έχουμε μια συναρπαστική είσοδο αυτή την εβδομάδα – στις 16 Δεκεμβρίου 2003, ο νόμος CAN-SPAM υπογράφηκε σε νόμο από τον τότε πρόεδρο των ΗΠΑ Τζορτζ Μπους.

Ένα backronym για τον έλεγχο της επίθεσης της μη ζητηθείσας πορνογραφίας και του μάρκετινγκ, το CAN-SPAM θεωρήθηκε σχετικά ανώμαλο για λόγους όπως η μη απαίτηση συναίνεσης από τους παραλήπτες για τη λήψη μηνυμάτων ηλεκτρονικού ταχυδρομείου μάρκετινγκ και το να μην επιτρέπεται σε άτομα να μηνύσουν τους spammers.

Θεωρήθηκε ότι, μέχρι το 2004, λιγότερο από το 1% των ανεπιθύμητων μηνυμάτων συμμορφωνόταν στην πραγματικότητα με τον Νόμο.

---

ΠΑΠΙΑ.  Ναι, είναι εύκολο να το πει κανείς εκ των υστέρων…

…αλλά όπως κάποιοι από εμάς αστειεύτηκαν εκείνη την εποχή, υπολογίσαμε ότι το αποκαλούσαν CAN-SPAM επειδή *ακριβώς* αυτό θα μπορούσατε να κάνετε. [ΓΕΛΙΟ]

---

ΖΥΜΗ.  "ΜΠΟΡΕΙΤΕ να στείλετε spam!"

---

ΠΑΠΙΑ.  Υποθέτω ότι η ιδέα ήταν, "Ας ξεκινήσουμε με μια πολύ ήπια προσέγγιση."

[WRY TONE] Οπότε ήταν η αρχή, ομολογουμένως, όχι τόσο πολύ.

---

ΖΥΜΗ.  [ΓΕΛΙΑ] Θα φτάσουμε εκεί τελικά.

Μιλώντας για κακό και χειρότερο…

…Microsoft Patch Tuesday – δεν μπορείτε να δείτε τίποτα εδώ, εκτός και αν μετρήσετε α υπογεγραμμένο κακόβουλο πρόγραμμα οδήγησης πυρήνα?!

Το υπογεγραμμένο κακόβουλο λογισμικό προγραμμάτων οδήγησης κινείται προς τα πάνω στην αλυσίδα εμπιστοσύνης λογισμικού

---

ΠΑΠΙΑ.  Λοιπόν, αρκετά στην πραγματικότητα – η ομάδα Ταχείας Απόκρισης της Sophos βρήκε αυτά τα τεχνουργήματα σε δεσμεύσεις που έκαναν.

Όχι μόνο η Sophos – τουλάχιστον δύο άλλες ερευνητικές ομάδες για την ασφάλεια στον κυβερνοχώρο αναφέρονται από τη Microsoft ότι έχουν βρει αυτά τα πράγματα πρόσφατα: προγράμματα οδήγησης πυρήνα στα οποία δόθηκε ουσιαστικά ψηφιακή σφραγίδα έγκρισης από τη Microsoft.

Η Microsoft έχει τώρα μια συμβουλευτική που κατηγορεί τους αδίστακτους συνεργάτες.

Αν πράγματι δημιούργησαν μια εταιρεία που προσποιήθηκε ότι κατασκεύαζε υλικό, ειδικά για να συμμετάσχει στο πρόγραμμα προγραμμάτων οδήγησης με την πρόθεση να περάσει κρυφά τα dodgy προγράμματα οδήγησης πυρήνων;

Ή αν δωροδόκησαν μια εταιρεία που ήταν ήδη μέρος του προγράμματος για να παίξει μπάλα μαζί τους;

Ή εάν εισέβαλαν σε μια εταιρεία που δεν είχε καν συνειδητοποιήσει ότι χρησιμοποιήθηκε ως όχημα για να πει στη Microsoft, "Γεια, πρέπει να δημιουργήσουμε αυτό το πρόγραμμα οδήγησης πυρήνα - θα το πιστοποιήσετε;"…

Το πρόβλημα με τα πιστοποιημένα προγράμματα οδήγησης πυρήνα, φυσικά, είναι επειδή πρέπει να είναι υπογεγραμμένα από τη Microsoft και επειδή η υπογραφή προγραμμάτων οδήγησης είναι υποχρεωτική στα Windows, σημαίνει ότι εάν μπορείτε να υπογράψετε το πρόγραμμα οδήγησης του πυρήνα, δεν χρειάζεστε εισβολές ή ευπάθειες ή εκμεταλλεύεται για να μπορέσει να φορτώσει ένα ως μέρος μιας κυβερνοεπίθεσης.

Μπορείτε απλώς να εγκαταστήσετε το πρόγραμμα οδήγησης και το σύστημα θα πάει, "Ω, καλά, είναι υπογεγραμμένο. Επομένως, επιτρέπεται η φόρτωσή του.»

Και φυσικά, μπορείτε να κάνετε πολύ μεγαλύτερη ζημιά όταν βρίσκεστε μέσα στον πυρήνα από ό,τι όταν είστε «απλώς» Διαχειριστής.

Σημειωτέον, έχετε πρόσβαση εσωτερικών πληροφοριών στη διαχείριση διαδικασιών.

Ως διαχειριστής, μπορείτε να εκτελέσετε ένα πρόγραμμα που λέει, "Θέλω να σκοτώσω το πρόγραμμα XYZ", το οποίο μπορεί να είναι, ας πούμε, ένα εργαλείο προστασίας από ιούς ή ένα εργαλείο αναζήτησης απειλών.

Και αυτό το πρόγραμμα μπορεί να αντισταθεί στο κλείσιμο, γιατί, αν υποτεθεί ότι είναι επίσης σε επίπεδο διαχειριστή, καμία διαδικασία δεν μπορεί να διεκδικήσει απολύτως την υπεροχή έναντι της άλλης.

Αλλά αν είστε μέσα στο λειτουργικό σύστημα, είναι το λειτουργικό σύστημα που ασχολείται με την έναρξη και την ολοκλήρωση των διαδικασιών, έτσι ώστε να έχετε πολύ περισσότερη δύναμη για να σκοτώσετε πράγματα όπως το λογισμικό ασφαλείας…

…και προφανώς αυτό ακριβώς έκαναν αυτοί οι απατεώνες.

Στην "ιστορία που επαναλαμβάνεται", θυμάμαι, πριν από χρόνια και χρόνια, όταν ερευνούσαμε λογισμικό που χρησιμοποιούσαν οι απατεώνες για να τερματίσουν προγράμματα ασφαλείας, είχαν συνήθως λίστες με 100 έως 200 διαδικασίες που τους ενδιέφερε να εξοντώσουν: λειτουργικό σύστημα διαδικασίες, προγράμματα προστασίας από ιούς από 20 διαφορετικούς προμηθευτές, όλα αυτά τα πράγματα.

Και αυτή τη φορά, νομίζω ότι υπήρχαν 186 προγράμματα που ο οδηγός τους ήταν εκεί για να σκοτώσει.

Λοιπόν μια μικρή αμηχανία για τη Microsoft.

Ευτυχώς, έχουν πλέον εκδιώξει αυτούς τους αδίστακτους κωδικοποιητές από το πρόγραμμα προγραμματιστών τους και έχουν συμπεριλάβει σε λίστα αποκλεισμού τουλάχιστον όλους τους γνωστούς απαίσιους οδηγούς.

---

ΖΥΜΗ.  Άρα δεν ήταν μόνο αυτό αποκαλύφθηκε το Patch Tuesday.

Υπήρχαν επίσης μερικές ημέρες μηδέν, μερικά σφάλματα RCE και άλλα πράγματα αυτής της φύσης:

Patch Tuesday: 0-ημέρες, σφάλματα RCE και μια περίεργη ιστορία υπογεγραμμένου κακόβουλου λογισμικού

---

ΠΑΠΙΑ.  Ναί.

Ευτυχώς τα σφάλματα zero-day που διορθώθηκαν αυτόν τον μήνα δεν ήταν αυτά που είναι γνωστά ως RCE ή απομακρυσμένη εκτέλεση κώδικα τρύπες.

Έτσι, δεν έδωσαν μια άμεση διαδρομή σε εξωτερικούς εισβολείς απλώς και μόνο για να μπουν στο δίκτυό σας και να τρέξουν ό,τι ήθελαν.

Αλλά υπήρχε ένα σφάλμα προγράμματος οδήγησης πυρήνα στο DirectX που θα επέτρεπε σε κάποιον που ήταν ήδη στον υπολογιστή σας να προωθήσει τον εαυτό του ώστε να έχει δυνάμεις σε επίπεδο πυρήνα.

Έτσι, αυτό είναι λίγο σαν να φέρετε το δικό σας υπογεγραμμένο πρόγραμμα οδήγησης – *ξέρετε* ότι μπορείτε να το φορτώσετε.

Σε αυτήν την περίπτωση, εκμεταλλεύεστε ένα σφάλμα σε ένα πρόγραμμα οδήγησης που είναι αξιόπιστο και που σας επιτρέπει να κάνετε πράγματα μέσα στον πυρήνα.

Προφανώς, αυτό είναι το είδος του πράγματος που κάνει μια κυβερνοεπίθεση που είναι ήδη κακά νέα σε κάτι πολύ, πολύ χειρότερο.

Οπότε σίγουρα θέλετε να το αντιμετωπίσετε.

Περιέργως, φαίνεται ότι αυτό ισχύει μόνο για την πιο πρόσφατη έκδοση, δηλαδή το 2022H2 (δεύτερο εξάμηνο του έτους είναι αυτό που αντιπροσωπεύει το H2) των Windows 11.

Σίγουρα θέλετε να βεβαιωθείτε ότι το έχετε.

Και υπήρχε ένα ενδιαφέρον σφάλμα στο Windows SmartScreen, το οποίο είναι βασικά το εργαλείο φιλτραρίσματος των Windows που όταν προσπαθείτε να κατεβάσετε κάτι που θα μπορούσε να είναι ή είναι επικίνδυνο, σας δίνει μια προειδοποίηση.

Έτσι, προφανώς, αν οι απατεώνες βρήκαν, «Ω, όχι! Έχουμε αυτή την επίθεση κακόβουλου λογισμικού και δούλευε πολύ καλά, αλλά τώρα η Έξυπνη οθόνη την αποκλείει, τι θα κάνουμε;»…

…είτε μπορούν να ξεφύγουν και να δημιουργήσουν μια εντελώς νέα επίθεση, είτε μπορούν να βρουν μια ευπάθεια που τους επιτρέπει να παρακάμπτουν την Έξυπνη οθόνη, ώστε να μην εμφανίζεται η προειδοποίηση.

Και αυτό ακριβώς συνέβη στο CVE-2022-44698, Ντάγκλας.

Άρα, αυτές είναι οι μέρες μηδέν.

Όπως είπατε, υπάρχουν ορισμένα σφάλματα απομακρυσμένης εκτέλεσης κώδικα στη μίξη, αλλά κανένα από αυτά δεν είναι γνωστό ότι υπάρχει στη φύση.

Αν τα αντιμετωπίσεις, προλαβαίνεις τους απατεώνες, αντί να προλαβαίνεις απλώς τη διαφορά.

---

ΖΥΜΗ.  Εντάξει, ας μείνουμε στο θέμα των μπαλωμάτων…

…και μου αρέσει το πρώτο μέρος αυτού επικεφαλίδα.

Λέει απλώς, "Η Apple διορθώνει τα πάντα":

Η Apple διορθώνει τα πάντα, τελικά αποκαλύπτει το μυστήριο του iOS 16.1.2

---

ΠΑΠΙΑ.  Ναι, δεν μπορούσα να σκεφτώ έναν τρόπο να απαριθμήσω όλα τα λειτουργικά συστήματα σε 70 χαρακτήρες ή λιγότερους. [ΓΕΛΙΟ]

Έτσι σκέφτηκα, «Λοιπόν, αυτό είναι κυριολεκτικά τα πάντα».

Και το πρόβλημα είναι ότι την τελευταία φορά που γράψαμε για μια ενημέρωση της Apple, ήταν μόνο iOS (iPhones) και μόνο iOS 16.1.2:

Η Apple προωθεί την ενημέρωση ασφαλείας του iOS που είναι πιο αυστηρή από ποτέ

Λοιπόν, αν είχατε iOS 15, τι έπρεπε να κάνετε;

Είχατε κίνδυνο;

Θα λάβατε την ενημέρωση αργότερα;

Αυτή τη φορά, τα νέα για την τελευταία ενημέρωση βγήκαν τελικά στο πλύσιμο.

Φαίνεται, Doug, ότι ο λόγος που λάβαμε αυτήν την ενημέρωση iOS 16.1.2 είναι ότι υπήρχε ένα in-the-wild exploit, τώρα γνωστό ως CVE-2022-42856, και αυτό ήταν ένα σφάλμα στο WebKit, τη μηχανή απόδοσης ιστού μέσα στα λειτουργικά συστήματα της Apple.

Και, προφανώς, αυτό το σφάλμα θα μπορούσε να προκληθεί απλώς παρασύροντάς σας να προβάλετε κάποιο περιεχόμενο που έχει παγιδευτεί - αυτό που είναι γνωστό στο εμπόριο ως εγκατάσταση driveby, όπου απλά ρίχνετε μια ματιά σε μια σελίδα και, "Ω, αγαπητέ", στο παρασκήνιο, εγκαθίσταται κακόβουλο λογισμικό.

Τώρα, προφανώς, το exploit που βρέθηκε λειτουργούσε μόνο στο iOS.

Αυτός είναι πιθανώς ο λόγος που η Apple δεν έσπευσε να κάνει ενημερώσεις για όλες τις άλλες πλατφόρμες, αν και το macOS (και οι τρεις υποστηριζόμενες εκδόσεις), το tvOS, το iPadOS… όλα περιείχαν αυτό το σφάλμα.

Το μόνο σύστημα που δεν το έκανε, προφανώς, ήταν το watchOS.

Έτσι, αυτό το σφάλμα υπήρχε σχεδόν σε όλο το λογισμικό της Apple, αλλά προφανώς ήταν εκμεταλλεύσιμο, από όσο γνώριζαν, μόνο μέσω ενός in-the-wild exploit, στο iOS.

Αλλά τώρα, περιέργως, λένε, "Μόνο σε iOS πριν από την 15.1", κάτι που σε κάνει να αναρωτιέσαι, "Γιατί δεν δημοσίευσαν μια ενημέρωση για το iOS 15, σε αυτήν την περίπτωση;"

Απλώς δεν ξέρουμε!

Ίσως ήλπιζαν ότι αν έβγαζαν το iOS 16.1.2, κάποιοι στο iOS 15 θα ενημερωνόντουσαν ούτως ή άλλως και αυτό θα έλυνε το πρόβλημα για αυτούς;

Ή ίσως δεν ήταν ακόμα σίγουροι ότι το iOS 16 δεν ήταν ευάλωτο και ήταν πιο γρήγορο και πιο εύκολο να τεθεί σε λειτουργία η ενημέρωση (για την οποία έχουν μια καλά καθορισμένη διαδικασία), παρά να κάνουν αρκετές δοκιμές για να προσδιορίσουν ότι το σφάλμα δεν μπορούσε. δεν μπορεί να χρησιμοποιηθεί εύκολα στο iOS 16.

Πιθανότατα δεν θα μάθουμε ποτέ, Νταγκ, αλλά είναι μια πολύ συναρπαστική ιστορία σε όλο αυτό!

Αλλά, πράγματι, όπως είπατε, υπάρχει μια ενημέρωση για όλους με ένα προϊόν με το λογότυπο της Apple.

Λοιπόν: Μην καθυστερείτε/Κάντε το σήμερα.

---

ΖΥΜΗ.  Ας μετακομίσουμε στους φίλους μας στο Πανεπιστήμιο Μπεν-Γκουριόν… επιστρέφουν ξανά σε αυτό.

Έχουν αναπτύξει κάποιο ασύρματο λογισμικό υποκλοπής spyware – λίγο πολύ κόλπο ασύρματου spyware:

COVID-bit: το τέχνασμα ασύρματου spyware με ένα ατυχές όνομα

---

ΠΑΠΙΑ.  Ναι… δεν είμαι σίγουρος για το όνομα. Δεν ξέρω τι σκέφτονταν εκεί.

Το έχουν ονομάσει COVID-bit.

---

ΖΥΜΗ.  Λίγο περίεργο.

---

ΠΑΠΙΑ.  Νομίζω ότι όλοι έχουμε τσιμπηθεί από τον COVID με τον ένα ή τον άλλο τρόπο…

---

ΖΥΜΗ.  Ίσως είναι αυτό;

---

ΠΑΠΙΑ.  Η COV προορίζεται να υποστηρίξει συγκαλυμμένος, και δεν λένε τι ID-bit σημαίνει.

Υπέθεσα ότι μπορεί να είναι «αποκάλυψη πληροφοριών λίγο-λίγο», αλλά είναι ωστόσο μια συναρπαστική ιστορία.

Μας αρέσει να γράφουμε για την έρευνα που κάνει αυτό το Τμήμα γιατί, αν και για τους περισσότερους από εμάς είναι λίγο υποθετικό…

…εξετάζουν πώς να παραβιάζουν τα κενά του δικτύου, όπου εκτελείτε ένα ασφαλές δίκτυο που σκόπιμα κρατάτε χωριστά από οτιδήποτε άλλο.

Έτσι, για τους περισσότερους από εμάς, αυτό δεν είναι τεράστιο ζήτημα, τουλάχιστον στο σπίτι.

Αλλά αυτό που κοιτάζουν είναι ότι *ακόμα κι αν αποκλείσετε ένα δίκτυο από το άλλο* και αυτές τις μέρες μπείτε και αφαιρέσετε όλες τις ασύρματες κάρτες, τις κάρτες Bluetooth, τις κάρτες Επικοινωνιών κοντινού πεδίου ή κόψετε καλώδια και σπάσετε ίχνη κυκλώματος στην πλακέτα κυκλώματος για να σταματήσει να λειτουργεί οποιαδήποτε ασύρματη συνδεσιμότητα…

…υπάρχει ακόμα τρόπος με τον οποίο είτε ένας εισβολέας που αποκτά εφάπαξ πρόσβαση στην ασφαλή περιοχή, είτε ένας διεφθαρμένος μυστικός, θα μπορούσε να διαρρεύσει δεδομένα με τρόπο σε μεγάλο βαθμό μη ανιχνεύσιμο;

Και δυστυχώς, αποδεικνύεται ότι η εξ ολοκλήρου στεγανοποίηση ενός δικτύου εξοπλισμού υπολογιστών από ένα άλλο είναι πολύ πιο δύσκολο από όσο νομίζετε.

Οι τακτικοί αναγνώστες θα ξέρουν ότι έχουμε γράψει για πολλά πράγματα που έχουν βρει αυτά τα παιδιά στο παρελθόν.

Είχαν GAIROSCOPE, όπου μπορείτε να επαναχρησιμοποιήσετε ένα κινητό τηλέφωνο τσιπ πυξίδας ως μικρόφωνο χαμηλής πιστότητας.

---

ΖΥΜΗ.  [ΓΕΛΙΑ] Θυμάμαι αυτό:

Παραβίαση της ασφάλειας του διακένου: χρήση του γυροσκόπιου του τηλεφώνου σας ως μικρόφωνο

---

ΠΑΠΙΑ.  Επειδή αυτά τα τσιπ μπορούν να αισθανθούν τους κραδασμούς αρκετά καλά.

Είχαν LANTENNA, όπου βάζετε σήματα σε ένα ενσύρματο δίκτυο που βρίσκεται μέσα στην ασφαλή περιοχή και τα καλώδια δικτύου στην πραγματικότητα λειτουργούν ως μικροσκοπικοί ραδιοφωνικοί σταθμοί.

Διαρρέουν αρκετή ηλεκτρομαγνητική ακτινοβολία που μπορεί να μπορείτε να την συλλάβετε έξω από την ασφαλή περιοχή, επομένως χρησιμοποιούν ένα ενσύρματο δίκτυο ως ασύρματο πομπό.

Και είχαν ένα πράγμα που το ονόμασαν αστειευόμενος FANSMITTER, όπου πηγαίνετε, «Λοιπόν, μπορούμε να κάνουμε ηχητική σηματοδότηση; Προφανώς, αν παίζουμε απλώς μελωδίες μέσω του ηχείου, όπως [θόρυβοι κλήσης] μπιπ-μπιπ-μπιπ-μπιπ-μπιπ, θα είναι αρκετά προφανές.”

Αλλά τι γίνεται αν αλλάξουμε το φορτίο της CPU, έτσι ώστε ο ανεμιστήρας να επιταχύνει και να επιβραδύνει – θα μπορούσαμε να χρησιμοποιήσουμε το αλλαγή στην ταχύτητα του ανεμιστήρα σχεδόν σαν ένα είδος σήματος σηματοφόρου;

Μπορεί ο ανεμιστήρας του υπολογιστή σας να χρησιμοποιηθεί για να σας κατασκοπεύσει;

Και σε αυτή την τελευταία επίθεση, σκέφτηκαν, «Πώς αλλιώς μπορούμε να μετατρέψουμε κάτι μέσα σε σχεδόν κάθε υπολογιστή στον κόσμο, κάτι που φαίνεται αρκετά αθώο… πώς μπορούμε να το μετατρέψουμε σε έναν ραδιοφωνικό σταθμό πολύ, πολύ χαμηλής ισχύος;»

Και σε αυτή την περίπτωση, κατάφεραν να το κάνουν χρησιμοποιώντας το τροφοδοτικό.

Κατάφεραν να το κάνουν σε ένα Raspberry Pi, σε φορητό υπολογιστή Dell και σε μια ποικιλία επιτραπέζιων υπολογιστών.

Χρησιμοποιούν το τροφοδοτικό του ίδιου του υπολογιστή, το οποίο ουσιαστικά κάνει εναλλαγή DC πολύ, πολύ υψηλής συχνότητας για να κόψει μια τάση συνεχούς ρεύματος, συνήθως για να τη μειώσει, εκατοντάδες χιλιάδες ή εκατομμύρια φορές το δευτερόλεπτο.

Βρήκαν έναν τρόπο να το κάνουν να διαρρέει ηλεκτρομαγνητική ακτινοβολία – ραδιοκύματα που μπορούσαν να σηκώσουν έως και 2 μέτρα μακριά από ένα κινητό τηλέφωνο…

…ακόμα κι αν αυτό το κινητό τηλέφωνο είχε όλα τα ασύρματα στοιχεία του απενεργοποιημένα ή ακόμα και αν αφαιρέθηκαν από τη συσκευή.

Το κόλπο που βρήκαν είναι: αλλάζεις την ταχύτητα με την οποία αλλάζει και εντοπίζεις τις αλλαγές στη συχνότητα μεταγωγής.

Φανταστείτε, εάν θέλετε χαμηλότερη τάση (αν θέλετε, ας πούμε, να κόψετε τα 12 V στα 4 V), το τετραγωνικό κύμα θα είναι αναμμένο για το ένα τρίτο του χρόνου και απενεργοποιημένο για τα δύο τρίτα του χρόνου.

Εάν θέλετε 2V, τότε πρέπει να αλλάξετε την αναλογία ανάλογα.

Και αποδεικνύεται ότι οι σύγχρονοι επεξεργαστές ποικίλλουν τόσο τη συχνότητα όσο και την τάση τους προκειμένου να διαχειριστούν την ισχύ και την υπερθέρμανση.

Έτσι, αλλάζοντας το φορτίο της CPU σε έναν ή περισσότερους πυρήνες της CPU – απλώς αυξάνοντας τις εργασίες και μειώνοντας τις εργασίες σε σχετικά χαμηλή συχνότητα, μεταξύ 5000 και 8000 φορές το δευτερόλεπτο – μπόρεσαν να λάβουν τη λειτουργία μεταγωγής τροφοδοσία ρεύματος για *αλλάξτε τις λειτουργίες μεταγωγής* σε αυτές τις χαμηλές συχνότητες.

Και αυτό δημιούργησε εκπομπές ραδιοφώνου πολύ χαμηλής συχνότητας από ίχνη κυκλώματος ή οποιοδήποτε χάλκινο σύρμα στο τροφοδοτικό.

Και μπόρεσαν να ανιχνεύσουν αυτές τις εκπομπές χρησιμοποιώντας μια κεραία ραδιοφώνου που δεν ήταν πιο εξελιγμένη από έναν απλό συρμάτινο βρόχο!

Λοιπόν, τι κάνετε με έναν συρμάτινο βρόχο;

Λοιπόν, προσποιείσαι, Νταγκ, ότι είναι καλώδιο μικροφώνου ή καλώδιο ακουστικών.

Το συνδέετε σε μια υποδοχή ήχου 3.5 mm και το συνδέετε στο κινητό σας τηλέφωνο σαν να είναι ένα σετ ακουστικών…

---

ΖΥΜΗ.  Wow.

---

ΠΑΠΙΑ.  Ηχογραφείτε το ηχητικό σήμα που παράγεται από τον βρόχο καλωδίων – επειδή το ηχητικό σήμα είναι βασικά μια ψηφιακή αναπαράσταση του ραδιοφωνικού σήματος πολύ χαμηλής συχνότητας που λάβατε.

Κατάφεραν να εξάγουν δεδομένα από αυτό με ρυθμό οπουδήποτε μεταξύ 100 bit ανά δευτερόλεπτο όταν χρησιμοποιούσαν το φορητό υπολογιστή, 200 bit ανά δευτερόλεπτο με το Raspberry Pi και οπουδήποτε έως και 1000 bit ανά δευτερόλεπτο, με πολύ χαμηλό ποσοστό σφάλματος, από τους επιτραπέζιους υπολογιστές.

Μπορείτε να βγάλετε πράγματα όπως κλειδιά AES, κλειδιά RSA, ακόμη και μικρά αρχεία δεδομένων με αυτή την ταχύτητα.

Νόμιζα ότι ήταν μια συναρπαστική ιστορία.

Εάν διαχειρίζεστε μια ασφαλή περιοχή, σίγουρα θέλετε να συμβαδίσετε με αυτά τα πράγματα, γιατί όπως λέει η παλιά παροιμία, «Οι επιθέσεις γίνονται μόνο καλύτερες ή πιο έξυπνες».

---

ΖΥΜΗ.  Και κατώτερης τεχνολογίας. [ΓΕΛΙΟ]

Όλα είναι ψηφιακά, εκτός από το ότι έχουμε αυτήν την αναλογική διαρροή που χρησιμοποιείται για την κλοπή κλειδιών AES.

Είναι συναρπαστικό!

---

ΠΑΠΙΑ.  Απλώς μια υπενθύμιση ότι πρέπει να σκεφτείτε τι υπάρχει στην άλλη πλευρά του ασφαλούς τοίχου, γιατί «δεν είναι απαραιτήτως εκτός οπτικής επαφής».

---

ΖΥΜΗ.  Λοιπόν, αυτό ταιριάζει όμορφα με το δικό μας τελική ιστορία – κάτι που δεν φαίνεται, αλλά δεν φαίνεται από το μυαλό:

Skimming πιστωτικών καρτών – ο μακρύς και φιδωτός δρόμος της αποτυχίας της εφοδιαστικής αλυσίδας

Εάν έχετε δημιουργήσει ποτέ μια ιστοσελίδα, γνωρίζετε ότι μπορείτε να ρίξετε τον κώδικα αναλυτικών στοιχείων – μια μικρή γραμμή JavaScript – για το Google Analytics ή εταιρείες σαν αυτό, για να δείτε πώς πάνε τα στατιστικά σας.

Υπήρχε μια δωρεάν εταιρεία ανάλυσης που ονομαζόταν Cockpit στις αρχές της δεκαετίας του 2010, και έτσι οι άνθρωποι έβαζαν αυτόν τον κώδικα Cockpit – αυτή τη μικρή σειρά JavaScript – στις ιστοσελίδες τους.

Αλλά το Cockpit έκλεισε το 2014 και άφησε το όνομα τομέα να λήξει.

Και τότε, το 2021, οι εγκληματίες του κυβερνοχώρου σκέφτηκαν: «Ορισμένοι ιστότοποι ηλεκτρονικού εμπορίου εξακολουθούν να αφήνουν αυτόν τον κώδικα να εκτελείται. εξακολουθούν να καλούν αυτό το JavaScript. Γιατί δεν αγοράζουμε απλώς το όνομα τομέα και, στη συνέχεια, μπορούμε να εισάγουμε ό,τι θέλουμε σε αυτούς τους ιστότοπους που ακόμα δεν έχουν καταργήσει αυτήν τη γραμμή JavaScript;»

---

ΠΑΠΙΑ.  Ναί.

Τι θα μπορούσε να πάει σωστά, Νταγκ;

---

ΖΥΜΗ.  [ΓΕΛΙΑ] Ακριβώς!

---

ΠΑΠΙΑ.  Επτά χρόνια!

Θα είχαν μια καταχώριση σε όλα τα ημερολόγια δοκιμών τους που έλεγε: Could not source the file cockpit.js (ή οτιδήποτε άλλο ήταν) from site cockpit.jp, Νομίζω ότι ήταν.

Έτσι, όπως λέτε, όταν οι απατεώνες άναψαν ξανά το domain και άρχισαν να βάζουν αρχεία εκεί για να δουν τι θα συμβεί…

…παρατήρησαν ότι πολλοί ιστότοποι ηλεκτρονικού εμπορίου κατανάλωναν και εκτελούσαν τυφλά και ευχάριστα τον κώδικα JavaScript των απατεώνων μέσα στα προγράμματα περιήγησης ιστού των πελατών τους.

---

ΖΥΜΗ.  [ΓΕΛΙΑ] "Γεια, ο ιστότοπός μου δεν παρουσιάζει πια σφάλμα, λειτουργεί."

---

ΠΑΠΙΑ.  [ΑΠΙΣΤΕΥΤΟ] «Πρέπει να το έχουν επιδιορθώσει»… για κάποια ειδική κατανόηση της λέξης «διορθώθηκε», Νταγκ.

Φυσικά, εάν μπορείτε να εισάγετε αυθαίρετη JavaScript στην ιστοσελίδα κάποιου, τότε μπορείτε να κάνετε αυτή την ιστοσελίδα να κάνει ό,τι θέλετε.

Και αν, συγκεκριμένα, στοχεύετε ιστότοπους ηλεκτρονικού εμπορίου, μπορείτε να ορίσετε τον ουσιαστικά κώδικα spyware για να αναζητήσετε συγκεκριμένες σελίδες που έχουν συγκεκριμένες φόρμες ιστού με συγκεκριμένα πεδία με όνομα…

…όπως αριθμός διαβατηρίου, αριθμός πιστωτικής κάρτας, βιογραφικό σημείωμα, ό,τι κι αν είναι.

Και μπορείτε βασικά να απομυζήσετε όλα τα μη κρυπτογραφημένα εμπιστευτικά δεδομένα, τα προσωπικά δεδομένα, που εισάγει ο χρήστης.

Δεν έχει μπει ακόμα στη διαδικασία κρυπτογράφησης HTTPS, επομένως το ρουφάτε από το πρόγραμμα περιήγησης, το κρυπτογραφείτε με HTTPS *ο ίδιος* και το στέλνετε σε μια βάση δεδομένων που εκτελείται από απατεώνες.

Και, φυσικά, το άλλο πράγμα που μπορείτε να κάνετε είναι ότι μπορείτε να αλλάξετε ενεργά τις ιστοσελίδες όταν φτάνουν.

Έτσι, μπορείτε να προσελκύσετε κάποιον σε έναν ιστότοπο – έναν ιστότοπο που είναι ο *σωστός* ιστότοπος. είναι ένας ιστότοπος στον οποίο έχουν επισκεφτεί στο παρελθόν, τον οποίο ξέρουν ότι μπορούν να εμπιστευτούν (ή νομίζουν ότι μπορούν να εμπιστευτούν).

Εάν υπάρχει μια φόρμα ιστού σε αυτόν τον ιστότοπο που, ας πούμε, συνήθως του ζητά το όνομα και τον αριθμό αναφοράς λογαριασμού, απλά κολλάτε μερικά επιπλέον πεδία και δεδομένου ότι το άτομο εμπιστεύεται ήδη τον ιστότοπο…

… αν πείτε όνομα, ταυτότητα και [προσθήκη] ημερομηνία γέννησης;

Είναι πολύ πιθανό να βάλουν απλώς την ημερομηνία γέννησής τους επειδή υποθέτουν: «Υποθέτω ότι είναι μέρος του ελέγχου της ταυτότητάς τους».

---

ΖΥΜΗ.  Αυτό μπορεί να αποφευχθεί.

Θα μπορούσατε να ξεκινήσετε από εξετάζοντας τους συνδέσμους της αλυσίδας εφοδιασμού που βασίζονται στον ιστό.

---

ΠΑΠΙΑ.  Ναί.

Ίσως μια φορά κάθε επτά χρόνια θα ήταν μια αρχή; [ΓΕΛΙΟ]

Εάν δεν ψάχνετε, τότε είστε πραγματικά μέρος του προβλήματος, όχι μέρος της λύσης.

---

ΖΥΜΗ.  Θα μπορούσατε επίσης, ω, δεν ξέρω… ελέγξτε τα αρχεία καταγραφής σας?

---

ΠΑΠΙΑ.  Ναί.

Και πάλι, μία φορά κάθε επτά χρόνια μπορεί να ξεκινήσει;

Επιτρέψτε μου να πω μόνο αυτό που έχουμε πει στο παρελθόν στο podcast, Doug…

…αν πρόκειται να συλλέξετε κορμούς που δεν κοιτάτε ποτέ, *απλώς μην μπείτε στον κόπο να τα μαζέψετε καθόλου*.

Σταματήστε να αστειεύεστε και μην συλλέγετε τα δεδομένα.

Γιατί, στην πραγματικότητα, το καλύτερο πράγμα που μπορεί να συμβεί στα δεδομένα εάν τα συλλέγετε και δεν τα κοιτάζετε, είναι ότι οι λάθος άνθρωποι δεν θα το καταλάβουν κατά λάθος.

---

ΖΥΜΗ.  Στη συνέχεια, φυσικά, πραγματοποιήστε τακτικά δοκιμαστικές συναλλαγές.

---

ΠΑΠΙΑ.  Να πω, «Μία φορά κάθε επτά χρόνια θα ήταν η αρχή»; [ΓΕΛΙΟ]

---

ΖΥΜΗ.  Φυσικά, ναι… [WRY] αυτό μπορεί να είναι αρκετά κανονικό, υποθέτω.

---

ΠΑΠΙΑ.  Εάν είστε εταιρεία ηλεκτρονικού εμπορίου και περιμένετε από τους χρήστες σας να επισκέπτονται τον ιστότοπό σας, συνηθίστε μια συγκεκριμένη εμφάνιση και αίσθηση και εμπιστευτείτε την…

…τότε τους οφείλετε να δοκιμάζουν ότι η εμφάνιση και η αίσθηση είναι σωστή.

Τακτικά και συχνά.

Εύκολο.

---

ΖΥΜΗ.  Εντάξει, πολύ καλά.

Και καθώς η εκπομπή αρχίζει να τελειώνει, ας ακούσουμε από έναν από τους αναγνώστες μας για αυτήν την ιστορία.

Σχόλια Larry:

Ελέγξτε τους συνδέσμους της αλυσίδας εφοδιασμού που βασίζονται στον ιστό;

Η Wish Epic Software το είχε κάνει πριν στείλει το σφάλμα παρακολούθησης Meta σε όλους τους πελάτες της.

Είμαι πεπεισμένος ότι υπάρχει μια νέα γενιά προγραμματιστών που πιστεύουν ότι η ανάπτυξη αφορά την εύρεση τμημάτων κώδικα οπουδήποτε στο Διαδίκτυο και την άκριτη επικόλλησή τους στο προϊόν εργασίας τους.

---

ΠΑΠΙΑ.  Αν δεν αναπτύξαμε έτσι κώδικα…

…όπου πηγαίνετε, «Το ξέρω, θα χρησιμοποιήσω αυτή τη βιβλιοθήκη. Απλώς θα το κατεβάσω από αυτή τη φανταστική σελίδα GitHub που βρήκα.

Ω, χρειάζεται ένα σωρό άλλα πράγματα!;

Ω, κοίτα, μπορεί να ικανοποιήσει τις απαιτήσεις αυτόματα… Λοιπόν, ας το κάνουμε τότε!».

Δυστυχώς, πρέπει να *κατέχετε την αλυσίδα εφοδιασμού σας* και αυτό σημαίνει να κατανοείτε όλα όσα σχετίζονται με αυτήν.

Εάν σκέφτεστε κατά μήκος του Λογισμικού Bill of Materials [SBoM], του δρόμου, όπου σκέφτεστε, «Ναι, θα παραθέσω όλα όσα χρησιμοποιώ», δεν αρκεί μόνο να αναφέρετε το πρώτο επίπεδο των πραγμάτων που χρησιμοποιείτε.

Πρέπει επίσης να γνωρίζετε, και να είστε σε θέση να τεκμηριώσετε και να ξέρετε ότι μπορείτε να εμπιστευτείτε, όλα τα πράγματα από τα οποία εξαρτώνται αυτά τα πράγματα, και ούτω καθεξής και ούτω καθεξής:

Οι μικροί ψύλλοι έχουν μικρότερους ψύλλους Πάνω στην πλάτη τους να τους δαγκώσουν Και οι μικρότεροι ψύλλοι έχουν λιγότερους ψύλλους Και έτσι άπειρα.

*Έτσι* πρέπει να κυνηγήσεις την εφοδιαστική σου αλυσίδα!

---

ΖΥΜΗ.  Καλά ειπώθηκαν!

Εντάξει, ευχαριστώ πολύ, Larry, που έστειλες αυτό το σχόλιο.

Εάν έχετε μια ενδιαφέρουσα ιστορία, σχόλιο ή ερώτηση που θέλετε να υποβάλετε, θα θέλαμε να τη διαβάσουμε στο podcast.

Μπορείτε να στείλετε email στο tips@sophos.com, να σχολιάσετε οποιοδήποτε από τα άρθρα μας ή να μας ενημερώσετε στα social: @NakedSecurity.

Αυτή είναι η εκπομπή μας για σήμερα. ευχαριστώ πολύ για την ακρόαση.

Για τον Paul Ducklin, είμαι ο Doug Aamoth, που σας υπενθυμίζω, μέχρι την επόμενη φορά, να…

---

ΚΑΙ ΤΑ ΔΥΟ.  Μείνετε ασφαλείς!

[ΜΟΥΣΙΚΟ ΜΟΝΤΕΜ]