S3 Ep104: Atacatorii de ransomware din spitale ar trebui închiși pe viață? [Audio + Text]

Faceți clic și trageți pe undele sonore de mai jos pentru a trece la orice punct. Poti de asemenea asculta direct pe Soundcloud.

DOUG.  Necazurile legale abundă, o actualizare misterioasă pentru iPhone și Ada Lovelace.

Toate acestea și multe altele pe Podcastul Naked Security.

[MODEM MUZICAL]

Bine ați venit la podcast, toată lumea.

Eu sunt Doug Aamoth; el este Paul Ducklin.

Paul, ce faci azi, domnule?

---

RAȚĂ.  Sunt foarte bine, Doug...

…cu excepția unor probleme cu microfonul, pentru că am fost puțin pe drum.

Deci, dacă calitatea sunetului nu este perfectă săptămâna aceasta, este pentru că a trebuit să folosesc echipamente de înregistrare alternative.

---

DOUG.  Ei bine, asta ne conduce cu experiență în noi Istoria tehnologiei segment despre imperfecțiune.

---

RAȚĂ.  [IRONIC] Ohhhhh, mulțumesc, Doug. [râde]

---

DOUG.  La 11 octombrie 1958, NASA a lansat prima sa sondă spațială, Pioneer One.

Era menit să orbiteze în jurul Lunii, dar nu a reușit să ajungă pe orbita lunii datorită unei erori de ghidare, a căzut înapoi pe Pământ și a ars la reintrare.

Deși încă a colectat date valoroase în timpul zborului său de 43 de ore.

---

RAȚĂ.  Da, cred că a ajuns la 113,000 de kilometri deasupra Pământului... iar Luna este la doar 400,000 de kilometri distanță.

Înțeleg că s-a deplasat puțin la țintă și apoi au încercat să corecteze, dar nu au avut granularitatea controlului pe care o au în zilele noastre, când porți motorul rachetei pentru o explozie mică.

Așa că au corectat, dar au putut corecta doar atât de mult... și, în cele din urmă, s-au gândit: „Nu vom ajunge pe Lună, dar poate îl putem pune pe o orbită înaltă a Pământului, astfel încât să continue să meargă în jur. Pământ și putem continua să obținem măsurători științifice?”

Dar, în cele din urmă, a fost o întrebare: „Ce urcă... [Râde] trebuie să coboare”.

---

DOUG.  Exact. [râde]

---

RAȚĂ.  Și, după cum spuneți, a fost ca și cum ați trage cu un glonț foarte, foarte, foarte puternic în spațiul cosmic, cu mult deasupra liniei Kármán, care este la doar 100 km, dar într-o astfel de direcție încât nu a scăpat de fapt de influența Pământul cu totul.

---

DOUG.  Destul de bun pentru o primă încercare, totuși?

Adică, nu-i rău... asta e 1958, la ce te aștepți?

Adică, au făcut tot ce au putut și au ajuns la o treime din drumul către lună.

Ei bine, vorbind despre oamenii care nu fac tot posibilul și se prăbușesc, avem un fel de fulger de povești juridice aici...

…începând cu prietenul nostru Sebastien Vachon-Desjardins, despre care am mai vorbit.

El este în apă caldă în Florida și poate dincolo de asta:

---

RAȚĂ.  Da, am vorbit despre el pe podcast, cred, de câteva ori.

El a fost un afiliat notoriu ocupat al echipajului NetWalker ransomware-as-a-service.

Cu alte cuvinte, el nu a scris ransomware-ul... a fost unul dintre atacatorii, intrunitorii și implementatorii acestuia.

Din câte știu eu, era destul de pasionat de ransomware: s-a alăturat mai multor dintre aceste bande, parcă; s-a înscris la mai multe cluburi.

Aparent, s-ar putea să fi câștigat până la o treime din câștigurile generale ale bandei NetWalker, așa că a fost foarte viguros.

Așa că vorbim despre multe milioane de dolari pe care le-a făcut pentru el însuși și, desigur, 30% din aceștia mergeau către oamenii de bază.

A fost arestat în Canada, a fost trimis la închisoare...

… și apoi a fost eliberat special din închisoarea din Canada.

Nu pentru că le-a părut rău pentru el: l-au eliberat din închisoare pentru a putea fi extrădat în SUA, unde a decis să pledeze vinovat și a primit 20 de ani.

Se pare că, când va termina cei 20 de ani de închisoare federală, va fi deportat în Canada și se va întoarce direct pentru a-și termina cei șapte ani în Canada.

Și dacă îmi amintesc bine, judecătorul din acel caz, a remarcat că aceasta este o bandă de ransomware care este, printre altele, notorie pentru atacarea instituțiilor de sănătate, a spitalelor; oameni care într-adevăr, într-adevăr nu își permit să plătească și unde întreruperea afectează într-adevăr, într-adevăr în mod direct viața oamenilor...

…se pare că judecătorul a spus cuvinte de genul: „Dacă nu te-ai fi decis de fapt să pledezi vinovat, ridică mâna pentru infracțiune, te-aș fi condamnat la închisoare pe viață”.

---

DOUG.  Da, e sălbatic!

OK, și un fel de jos: fostul CSO Uber Joe Sullivan... această poveste este și sălbatic!

Ei răspund la o încălcare care a avut loc cu autoritățile de reglementare și, în timp ce răspund la încălcarea care a avut loc, are loc o altă încălcare și există mușamalizări:

---

RAȚĂ.  Da, aceasta a fost o poveste urmărită cu atenție de o mare parte din comunitatea de securitate cibernetică...

Pentru că Uber a plătit tot felul de penalități și se pare că au fost de acord să coopereze, dar nu aceasta a fost compania acuzată.

Acesta era persoana care se presupunea că era responsabil cu securitatea – el fusese anterior la Facebook, apoi a fost ademenit la Uber.

În ceea ce îl privește pe juriu, nu a fost atât de mult faptul că escrocii au fost plătiți în acest caz, ci că au fost plătiți pentru a pretinde că încălcarea datelor a fost o recompensă pentru bug-uri; că au dezvăluit-o în mod responsabil, mai degrabă decât să fure efectiv datele și apoi le-au extorcat.

Și, desigur, a doua parte a acestui lucru este, cred... Nu sunt sigur cum rostiți acest cuvânt, pentru că nu îl auziți în Marea Britanie, dar este „prisionare greșită”... Cred că așa spuneți. .

Practic înseamnă „ascunderea unei crime”.

Și, bineînțeles, asta se referă la faptul că, așa cum spuneți, ei sunt în mijlocul unei investigații, sunt revizuiți de FTC... sunteți pe cale să-i convingeți. „Da, am luat o mulțime de măsuri de precauție de data trecută.”

Și în mijlocul încercării de a vă pleda cazul și spuneți: „Nu, nu, suntem mult mai buni decât am fost”...

...oh, dragă, nu pierzi doar niște înregistrări, ce a fost?

Peste 50 de milioane de înregistrări referitoare la oameni care au luat Ubers, clienți.

Șapte milioane de șoferi, iar acestea au inclus numere de permis de conducere pentru 600,000 de șoferi și SSN (numere de securitate socială) pentru 60,000.

Deci e destul de grav!

Și apoi încercând doar să spun: „Ei bine, hai să facem [TUSELE ÎN PLIC] ca să nu fim nevoiți să spunem nimănui, apoi să mergem să-i facem pe escrocii să semneze acorduri de nedezvăluire.” [râde]

Difuzor 1
[RÂDE] Oh, Doamne!

---

RAȚĂ.  [Râde] Nu e amuzant, Doug!

---

DOUG.  Foarte bine.

Și încă puțin tăiat și uscat...

Dacă creați o aplicație care se pretinde a fi conectată la WhatsApp și colectați acreditările de utilizator, WhatsApp va vin după tine!

---

RAȚĂ.  Da, acesta este un caz de WhatsApp și Meta.

Sună puțin ciudat să le spui pe amândouă, dar bănuiesc că ambele entități juridice (WhatsApp este deținut de Meta) au decis: „Ei bine, dacă nu îi poți învinge, dă-i în judecată!”

Deci, acesta este furtul de acreditări, astfel încât conturile să poată fi folosite practic pentru a trimite mesaje false.

Spam, practic, dar probabil și o mulțime de escrocherii, nu?

Dacă ai parola mea, poți să-mi contactezi toți prietenii și să le spui: „Hei, am câștigat o mulțime de bani din această înșelătorie cu criptomonede”, și pentru că *eu* o spun și nu o persoană aleatoare de pe internet, tu ar putea fi mai înclinat să creadă asta.

Așa că WhatsApp s-a gândit: „Bine, te vom da în judecată și vom încerca să-ți închidem companiile în acest fel. Și asta, practic, ne-ar oferi un vehicul care să forțeze toate aceste aplicații să fie eliminate, oriunde ar putea apărea.”

Din păcate, escrocii făcuseră destulă trădare pentru a-i strecura pe Google Play.

Deci acuzația este că ei „a indus în eroare peste 1 milion de utilizatori WhatsApp să-și compromită conturile ca parte a unui atac de preluare a contului.”

Și prin autocompromis, înseamnă că tocmai le-au prezentat utilizatorilor o pagină de autentificare falsă și, practic, le-au proxy acreditările.

Probabil că i-au păstrat și le-au abuzat după aceea...

---

DOUG.  OK, vom fi cu ochii pe asta.

Acum, vă rog să ne spuneți, ce legătură are o contesă care a trăit în prima jumătate a secolului al XIX-lea cu informatica și informatica?

---

RAȚĂ.  Asta ar fi Ada Lovelace.

Sau, mai formal, Ada, Contesa de Lovelace… s-a căsătorit cu un tip care se numea Lord Lovelace, așa că a devenit Lady Lovelace:

Era de origine aristocratică și, în acele vremuri, femeile, în general, nu intrau în știință.

Dar a făcut-o: era pasionată de matematică.

Și ea s-a întâlnit, în tinerețe, în adolescență, cred, cu Charles Babbage, care este faimos pentru că a inventat motorul de diferențe, care putea calcula lucruri precum tabelele trigonometrice.

Prin urmare, guvernul Marii Britanii a fost interesat pentru că acolo unde puteți face trigonometrie, puteți face mese de artilerie, iar asta înseamnă că vă puteți face artilerii mai precisi pe uscat și pe mare.

Dar apoi Babbage își dădu seama: „Este doar un calculator de buzunar (în terminologia modernă). De ce nu construiesc un computer de uz general?”

Și a proiectat un lucru numit Motor analitic.

Și asta era cu adevărat interesată de Ada Lovelace.

De fapt, cred că ea s-a oferit să fie VC lui Babbage la un moment dat, capitalistul lui de risc: „Voi aduce banii, dar trebuie să-mi lași mie conducerea părții de afaceri. Lasă-mă să construiesc afacerea pentru tine!

---

DOUG.  Este cu adevărat uimitor.

Pentru oricine ascultă asta...

… în timp ce asculți această poveste, vreau să ții minte că ea a murit la 36 de ani.

Ea face toate astea la 20 de ani și la începutul de 30 de ani.

Lucruri minunate!

---

RAȚĂ.  Ea a murit de cancer uterin, așa că a suferit cu adevărat și nu a putut să lucreze în cele din urmă.

Și nu a vrut doar să fie persoana de afaceri din spatele ei, „Hei, lasă-mă să construiesc o afacere.”

Babbage, cred, avea un pic de amărăciune față de stabiliment pentru că nu a intrat; a vrut să o facă într-un mod mai tradițional, „Nu, vreau să demonstrez că am dreptate”, în loc să spună „Da, doar du-te și găsește-mi banii”, care ar putea fi abordarea astăzi.

Așa că partea de afaceri pe care și-a propus-o nu a ieșit niciodată.

Dar ea a fost, de asemenea, în esență, primul programator de computere din lume... cu siguranță a fost primul programator de computer publicat.

Îți poți imagina pe Babbage mânuind cu motorul său analitic... probabil că a venit cu niște programe înainte de ea, dar nu și-a dat seama niciodată de ele.

Și, cu siguranță, nu a publicat niciodată, așa cum a făcut ea, un tratat despre motivul pentru care acest motor analitic a fost important și despre faptul că ar putea face de fapt mult mai mult decât calcule numerice.

Ea a avut această viziune conform căreia calculatoarele adună numere, dar dacă ai putea face calcule numerice și pe baza acestora să iei decizii (ceea ce am putea numi acum DACĂ... ATUNCI... ALTE), atunci ai putea reprezenta și lucra cu tot felul de alte chestii, cum ar fi propoziții logice, elaborarea de dovezi sau chiar lucrul cu muzica, dacă ai avea un mod matematic sau numeric de a reprezenta muzica.

Acum, nu știu dacă muzica digitală va depăși vreodată, Doug, dar dacă o va face vreodată...

---

DOUG.  [RÂDE] Îi mulțumim Adei Lovelace!

---

RAȚĂ.  Ea a fost acolo în 1840, gândindu-se și scriind despre asta!

Ea a fost, crezi sau nu, fiica celebrului (sau infamului) poet Lord Byron.

Se pare că mama și tatăl ei s-au despărțit, așa că nu cred că l-a întâlnit vreodată – era un fel de „fiica necunoscută” pentru el.

Acum, Byron a fost o dată în vacanță în Elveția, unde ploaia l-a ținut pe el și pe prietenii cu care era în vacanță în interior.

Și acei prieteni erau Percy și Mary Shelley.

Și Byron a spus: „Hei, haideți să organizăm un concurs de scriere de povești de groază!” [RÂSETE]

Și ceea ce a făcut el și ceea ce a făcut Percy Shelley, a devenit nimic; nimeni nu-și amintește ce au scris.

Dar Mary Shelley... se pare că aici a venit Frankenstein…

---

DOUG.  Wow!

---

RAȚĂ.  … sau modernul Prometeu, care este, în esență, despre inteligența artificială și mașinile de gândire create de oameni, dacă doriți, și despre cum se termină prost.

Și Ada, fiica lui Byron, a fost de fapt prima persoană care a scris într-un mod științific despre „Pot mașinile să gândească?” în notele pe care le-a scris pe motorul analitic.

Ea *nu* împărtășea aceleași îngrijorări despre povestea de groază pe care le aveau prietenii tatălui ei.

Felul în care a scris-o (oamenii de știință aveau în general o înclinație mai literară în acele vremuri):

Motorul analitic nu are pretenții de a genera ceva. Poate face orice știm să-i ordonăm să execute. Poate urma analizei, dar nu are puterea de a anticipa relații analitice sau adevăruri.

Așa că a văzut dispozitivele de calcul, dispozitivele de calcul de uz general, ca pe o modalitate de a ne ajuta să înțelegem și să rezolvăm lucruri pe care mintea umană obișnuită ar fi imposibil să le facă.

Dar nu cred că ea a crezut că ar putea fi un înlocuitor pentru mințile umane.

---

DOUG.  Și din nou, rețineți că ea scrie asta în 1842...

---

RAȚĂ.  Exact!

Un lucru este să piratezi în viața reală; este alta să piratezi computere imaginare despre care știi că *ar putea* să existe, dar nimeni nu a construit încă unul.

---

DOUG.  [RÂDE] Exact.

---

RAȚĂ.  Problema era că, pentru că aceste computere erau mecanice și necesitau angrenaje mecanice, necesitau perfecțiune absolută în producție.

Sau ar exista doar această eroare cumulativă care le-ar face să se blocheze din cauza reacției, a faptului că angrenajele nu se îmbină perfect.

Și cred că, așa cum am mai spus în podcast, în mod ironic, a fost nevoie de proiectarea computerelor digitale, care sunt în esență extensii ale motorului analitic, care pot controla mașinile computerizate de tăiat metal cu suficientă precizie...

… înainte de a putea face un motor de diferență sau un motor analitic care chiar funcționa.

Și dacă asta nu este o poveste fascinant de circulară, nu știu ce este!

Deci Ada Lovelace a fost în mijlocul acestui lucru: prozelitist; evanghelist; om de stiinta; matematician; informatician; și ca un investitor de capital de risc în devenire, i-a spus lui Babbage: „Renunță la toate interesele tale de afaceri; preda-le mie. Mă mișc în cercurile potrivite pentru a-ți găsi banii – voi obține investiția! Să vedem ce putem face cu asta!”

Și, la bine și la rău, Babbage s-a refuzat la asta și se pare că a murit în principal în sărăcie, mai degrabă un om stricat.

Cineva se întreabă ce s-ar fi putut întâmpla dacă ar fi făcut-o...

---

DOUG.  Este o poveste fascinantă.

Vă îndemn să mergeți la Naked Security pentru a o citi.

Se numeste Mută-te, Patch Tuesday – este ziua Ada Lovelace.

Lectură lungă, foarte interesantă!

Și acum să încheiem cu asta actualizare misterioasă pentru iPhone, care este așa-numita „remediere cu o singură eroare”.

Acestea nu sunt comune:

---

RAȚĂ.  Nu, mai ales când primești actualizările Apple (pentru că nu știi când vor veni - nu există un Patch Tuesday unde să poți prezice), ele doar sosesc...

…există această listă uriașă de lucruri pe care le-au reparat de la ultima pe care au făcut-o.

Și, ocazional, există o urgență masivă de zero zi și primești o actualizare Apple care spune: „Oh, bine, reparăm unul sau poate două lucruri”.

Și acesta tocmai a sosit brusc, doar pentru iOS 16.

Eram pe cale să mă culc, Doug... era destul de târziu și m-am gândit, voi arunca o privire la e-mailul meu, să văd dacă Doug mi-a trimis ceva. [RÂSETE]

Și a existat acest lucru de la Apple: iOS 16.0.3.

Și m-am gândit: „Asta e brusc! Mă întreb ce sa întâmplat? Trebuie să fie o zi zero.”

Așa că am intrat în buletinul de securitate... nu este o zi zero; este doar un atac de tip denial-of-service (DoS); nu o execuție reală a codului de la distanță.

Aplicația Mail poate fi făcută să se blocheze.

Și totuși, Apple a scos brusc această actualizare și doar spune:

Impact: procesarea unui mesaj de e-mail creat în mod rău intenționat poate duce la refuzul serviciului. O problemă de validare a intrărilor a fost rezolvată cu o validare îmbunătățită a intrărilor.

Folosirea dublă ciudată a cuvântului validare acolo...

CVE-2022 la 22658.

Și asta e tot ce știm.

Și nu scrie: „Oh, a fost raportat de un astfel de grup de vânătoare de insecte”, sau „Mulțumită unui cercetător anonim”, așa că presupun că l-au găsit ei înșiși.

Și pot doar să presupun că au simțit că trebuie să remedieze acest lucru foarte repede, deoarece te-ar putea bloca accidental din telefon sau îl poate face aproape inutilizabil.

Pentru că aceasta este problema cu erorile de refuzare a serviciului atunci când sunt în aplicațiile de mesagerie, nu-i așa?

Te gândești la refuzul serviciului... aplicația se blochează; woo hoo, pornești din nou.

Dar problema cu o aplicație de mesagerie este că: [A] tinde să ruleze în fundal, așa că poate primi un mesaj în orice moment; [B] nu poți alege cine îți trimite mesaje, ci alții; și [C] s-ar putea ca, pentru a intra în aplicație pentru a șterge mesajul necinstit, trebuie să așteptați ca aplicația să se încarce și aceasta decide. "Oh. Trebuie să-ți arăt acest mesaj pe care vrei să-l ștergi...”, CRASH!

Ceea ce eu numesc a CRASH: GOTO CRASHeroare.

Cu alte cuvinte, poate că nu puteți remedia, pentru că în timp ce porniți telefonul sau dacă reporniți telefonul, când ajungeți la punctul în care ați putea sări și să apăsați șterge pe mesaj...

…aplicația sa prăbușit deja din nou; prea tarziu!

Știm că au mai existat așa-numitele probleme „text al morții” în iOS.

Avem o lista cu ele în articolul Naked Security – au făcut povești destul de fascinante.

Deci nu știm dacă a fost o imagine, modul în care se formează glifele (imaginile de caractere), combinațiile de caractere, direcția textului... nu știm.

Cu siguranță merită să obțin patch-ul, pentru că sentimentul meu este dacă Apple consideră că este suficient de important pentru a-l introduce în buletinul de securitate, care are acea soluție una și numai una, când nu este o zi zero și nu este cod de la distanță. execuție și nu este o ridicare a privilegiului...

… atunci probabil că sunt îngrijorați ce s-ar întâmpla dacă altcineva ar afla despre asta!

Deci poate ar trebui să fii și tu.

Este, de asemenea, Doug, un memento fantastic că, deși oamenii tind să prioritizeze vulnerabilitățile de la execuția codului de la distanță în partea de sus; apoi creșterea privilegiilor apoi scurgerea de informații...

... refuzul serviciului este: „OK, serverul se poate bloca, dar îl pot porni întotdeauna din nou.”

Aceasta poate fi totuși un tip de problemă cu adevărat supărătoare.

Deși s-ar putea să nu vă fure datele sau să nu vă ransomware fișierele, ar putea totuși să vă împiedice să vă folosiți computerul, să vă accesați datele și să faceți o muncă reală.

---

DOUG.  Da, avem aici problema pe care trebuie să o actualizați, dar dacă vă confruntați cu această problemă, este posibil să nu puteți ajunge la actualizare dacă telefonul se blochează în continuare!

Așadar, asta ne conduce la întrebarea cititorului pentru săptămâna.

Aici, în postarea despre care vorbim, cititorul Naked Security Peter întreabă:

Nu este un utilizator Apple aici, dar nu există o opțiune pentru utilizatorii Apple de a se conecta la conturile lor de e-mail într-un browser care, sperăm, să nu se blocheze ca aplicația și să ștergă e-mailurile de acolo în loc să șteargă dispozitivul?

---

RAȚĂ.  Ei bine, asta este cu siguranță adevărat pentru mine.

În felul în care îmi folosesc iPhone-ul, pot citi pe telefon același e-mail ca și în aplicația web din browser.

Așa că este un bun punct de plecare, dacă nu ai acces la telefon și dacă se întâmplă să ai un laptop la îndemână.

Problema este că atunci când ați șters e-mailuri, de exemplu, în browserul dvs. web sau prin aplicația nativă de pe laptop...

… aplicația de e-mail pentru telefonul tău trebuie să se sincronizeze cu serverul pentru a ști că trebuie să ștergă acele mesaje.

Și dacă, pe drum până acolo, prelucrează mesajul pe care acum este pe cale să-l ștergă, tot ar putea ajunge în situația crashtastic, nu-i așa?

Deci problema cu acel comentariu este singurul răspuns real pe care îl pot da este: „Nu sunt suficiente informații. Nu pot spune sigur. Dar sper cu bucurie că poți face asta!”

---

DOUG.  Încearcă, cel puțin.

---

RAȚĂ.  Da, încearcă!

Dacă chiar ești blocat, astfel încât telefonul tău se blochează de îndată ce pornește, ai vrea să crezi că ai putea face ceea ce Apple numește o DFU (actualizare directă a firmware-ului), unde, practic, vei începe din nou.

Dar problema este de a permite ca (pentru a nu mai fi folosit pentru rău), implică în esență o ștergere și o reluare.

Deci ai pierde toate datele de pe telefon, presupunând că ar funcționa.

Deci, cred că răspunsul la această întrebare este...

Încercați mai întâi cel mai puțin intruziv mod de a rezolva problema.

Încercați să „bateți aplicația” pe telefon, aplicația de mesagerie.

Acesta este ceea ce a funcționat pentru unele dintre lucrurile anterioare iOS.

Practic, reporniți telefonul; [SPEEDING UP] introduceți foarte repede codul de blocare; [VORBIȚI FOARTE RAPID] intri în aplicație cât de repede poți și dai clic pe șterge...

… înainte ca telefonul să ajungă acolo și să înceapă procesul care în cele din urmă rămâne fără memorie.

Așa că s-ar putea să aveți suficient timp pentru a o face pe telefonul însuși.

Dacă nu, încercați să o faceți printr-o aplicație externă care gestionează același set de date.

Și dacă este complet blocat, atunci presupun că un flash-and-reinstall este singura ta soluție.

---

DOUG.  Bine, mulțumesc, Peter, pentru că ai trimis asta.

Dacă aveți o poveste interesantă, un comentariu sau o întrebare pe care doriți să o trimiteți, ne-ar plăcea să o citim pe podcast.

Puteți trimite un e-mail la tips@sophos.com; puteți comenta oricare dintre articolele noastre; sau ne poți contacta pe social: @nakedsecurity.

Acesta este spectacolul nostru de azi.

Mulțumesc foarte mult pentru ascultare.

Pentru Paul Ducklin, sunt Doug Aamoth și vă reamintesc până data viitoare să...

---

AMBII.  Rămâi în siguranță.

[MODEM MUZICAL]