S3 Ep104：医院勒索软件攻击者是否应该被终身监禁？ [音频+文字]

单击并拖动下面的声波以跳到任何一点。你也可以 直接听 在 Soundcloud 上。

道格。  法律问题比比皆是，一个神秘的 iPhone 更新和 Ada Lovelace。

所有这些以及更多关于 Naked Security 播客的内容。

[音乐调制解调器]

欢迎大家收听播客。

我是道格·阿莫斯； 他是保罗·达克林。

保罗，先生，你今天好吗？

---

鸭。  我很好，道格……

…除了一些麦克风问题，因为我已经在路上了。

所以如果这周的音质不完美，那是因为我不得不使用替代的录音设备。

---

道格。  好吧，这引导我们熟练地进入我们的 技术历史 关于不完美的部分。

---

鸭。  [讽刺] 哦，谢谢，道格。 [笑]

---

道格。  11 年 1958 月 XNUMX 日，美国宇航局发射了它的第一个太空探测器，先驱者一号。

它原本打算绕月球运行，但由于制导错误而未能到达月球轨道，落回地球，并在重新进入时烧毁。

尽管它在 43 小时的飞行中仍然收集了宝贵的数据。

---

鸭。  是的，我相信它已经到达地球上方 113,000 公里……而月球距离地球只有 400,000 公里。

我的理解是它有点偏离目标，然后他们试图纠正，但他们没有现在所做的控制粒度，你可以在其中运行火箭发动机进行一点微小的爆发。

所以他们纠正了，但他们只能纠正这么多……最后他们想，“我们不会去月球，但也许我们可以让它进入一个高地球轨道，这样它就可以继续绕行地球，我们可以继续获得科学测量吗？”

但最后是一个问题，“上升的东西……[笑]必须下降。”

---

道格。  确切地。 [笑]

---

鸭。  而且，正如你所说，这就像向外太空发射了一种非常、非常、非常强大的子弹，远在卡门线上方，只有 100 公里，但在这样的方向上，它实际上并没有逃脱整个地球。

---

道格。  不过，第一次尝试还不错？

我的意思是，还不错……那是 1958 年，你期待什么？

我的意思是，他们尽了最大的努力，并获得了三分之一的登月路线。

好吧，说到人们没有尽最大努力和崩溃，我们这里有一种闪电般的法律故事……

…从我们之前谈过的朋友 Sebastien Vachon-Desjardins 开始。

他在 热水 在佛罗里达甚至更远的地方：

---

鸭。  是的，我想我们已经在播客上谈过他几次了。

他是 NetWalker 勒索软件即服务团队的一个臭名昭著的忙碌附属机构。

换句话说，他没有编写勒索软件……他是它的攻击者、入侵者和部署者之一。

据我所知，他非常热衷于勒索软件：他加入了其中的几个团伙； 签约了几家具乐部。

显然，他的收入可能高达整个NetWalker团伙收入的三分之一，所以他非常有活力。

所以我们说的是他为自己赚的数百万美元，当然，其中 30% 流向了核心人员。

他在加拿大被捕，他被送进监狱……

……然后他在加拿大被特别从监狱中释放出来。

不是因为他们为他感到难过：他们将他从监狱中释放出来，这样他就可以被引渡到美国，在那里他决定认罪，并被判了 20 年。

显然，当他在联邦监狱中结束这 20 年时，他将被驱逐到加拿大，他将直接回到加拿大结束他在加拿大的七年。

如果我没记错的话，该案的法官指出，这是一个以攻击医疗机构、医院而臭名昭著的勒索软件团伙； 那些真的、真的付不起钱的人，而中断真的、真的直接影响到人们的生活……

......法官显然说了大意的话，“如果你没有真正决定认罪，举手为罪行，我会判处你终身监禁。”

---

道格。  是的，这很疯狂！

好吧，也有点低：前优步 CSO 乔·沙利文…… 这个故事 也是狂野！

他们正在对监管机构发生的违规行为做出回应，当他们对发生的违规行为做出回应时，*另一个*违规行为发生了，并且有掩盖：

---

鸭。  是的，这是许多网络安全社区都在关注的故事……

因为优步已经支付了各种各样的罚款，而且显然他们同意合作，但这不是被指控的公司。

这是据称负责安全的人——他之前曾在 Facebook 工作，然后被 Uber 吸引。

就陪审团而言，在这种情况下，骗子得到的报酬并不多，而是他们得到报酬以假装数据泄露是漏洞赏金； 他们负责任地披露了它，而不是实际窃取了数据然后勒索它。

而且，当然，第二部分是，我相信……我不确定你怎么说这个词，因为你在英国听不到，但它是“误判”……我想你就是这样说的.

它的基本意思是“掩盖罪行”。

而且，当然，这涉及到这样一个事实，正如你所说，他们正在进行调查，他们正在接受 FTC 的审查……你将要说服他们。 “是的，自上次以来，我们已经采取了一系列预防措施。”

在试图为你的案子辩护的过程中，“不，不，我们比以前好多了”……

......哦，亲爱的，你丢失的不仅仅是一些记录，那是什么？

超过 50 万条与乘坐 Uber 的人、客户有关的记录。

600,000 万司机，其中包括 60,000 名司机的驾驶执照号码和 XNUMX 名司机的 SSN（社会安全号码）。

所以这很严重！

然后只是想去，“好吧，让我们 [COUGHS MEANINGFULLY] 做到这一点，这样我们就不必告诉任何人，然后让我们去让骗子签署保密协议。” [笑]

扬声器1
[笑]哦，天哪！

---

鸭。  [笑] 不好笑，道格！

---

道格。  非常好。

还有一点切碎和干燥……

如果您创建了一个声称与 WhatsApp 连接的应用程序，并且您收集了用户凭据，那么 WhatsApp 将 来找你!

---

鸭。  是的，这是 WhatsApp 和 Meta 的案例。

说他们两个听起来有点奇怪，但我猜两个法律实体（WhatsApp 归 Meta 所有）都决定，“好吧，如果你不能打败他们，就起诉他们！”

所以这是凭据盗窃，因此帐户基本上可以用来发送假消息。

垃圾邮件，基本上，但也可能是大量的骗局，对吧？

如果你知道了我的密码，你可以联系我所有的朋友并说，“嘿，我从这个加密币骗局中赚了很多钱”，因为这是*我*说的，而不是互联网上的某个随机个人，你可能更倾向于相信它。

所以 WhatsApp 想，“好吧，我们只是要起诉你，然后尝试以这种方式关闭你的公司。 这基本上会给我们提供一个工具来强制删除所有这些应用程序，无论它们出现在哪里。”

不幸的是，这些骗子已经做了足够的背叛，将他们偷偷溜进了 Google Play。

所以指责是他们 “作为帐户接管攻击的一部分，误导了超过 1 万 WhatsApp 用户自我妥协他们的帐户。”

通过自我妥协，这意味着他们只是向用户展示了一个虚假的登录页面，并且基本上代理了他们的凭据。

据推测，他们保留了它们并在之后滥用了它们……

---

道格。  好的，我们会密切关注的。

现在，请告诉我们，一位生活在 19 世纪上半叶的伯爵夫人与计算和计算机科学有什么关系？

---

鸭。  那将是艾达洛夫莱斯。

或者，更正式地说， 艾达，洛夫莱斯伯爵夫人……她嫁给了一个叫洛夫莱斯勋爵的小伙子，所以她成了洛夫莱斯夫人：

她出身贵族，在那个年代，女性一般不进入科学领域。

但她做到了：她热衷于数学。

我想，在她年轻的时候，在十几岁的时候，她遇到了查尔斯·巴贝奇，他以发明差分机而闻名，它可以计算三角表之类的东西。

因此，英国政府很感兴趣，因为你可以在哪里做三角学，你可以做炮台，这意味着你可以让你的炮手在陆地和海上更加准确。

但后来巴贝奇想，“那只是一个袖珍计算器（用现代术语来说）。 我为什么不造一台通用计算机呢？”

他设计了一个叫做分析引擎的东西。

这就是 Ada Lovelace 真正感兴趣的地方。

事实上，我相信她曾一度提出要成为巴贝奇的风险投资人，他的风险投资人：“我会带来钱，但你必须把经营业务的部分交给我。 让我为您建立业务！

---

道格。  真是太神奇了。

对于任何正在听这个的人......

......当你在听这个故事时，我希望你记住她在 36 岁时去世了。

她在 20 多岁和 30 岁出头时都在做这一切。

惊人的事情！

---

鸭。  她死于子宫癌，所以她真的很痛苦，最终无法工作。

她不只是想成为它背后的商人，“嘿，让我建立一个企业。”

我认为，巴贝奇对没有进来的机构有点苦涩。 他想以一种更传统的方式来做，“不，我想证明我是对的”，而不是“是的，去给我找钱”，这可能是今天的做法。

所以她提议的商业方面从未成功。

但她本质上也是世界上第一个计算机程序员……当然，她是第一个出版的计算机程序员。

你可以想象巴贝奇在修补他的分析引擎……他可能在她之前想出了一些程序，但他从来没有意识到。

当然，他从来没有像她那样发表过一篇关于为什么这个分析引擎很重要的论文，以及它实际上可以做的不仅仅是数字计算。

她有这样的愿景，即计算器将数字加在一起，但如果你可以进行数字计算并在此基础上做出决定（我们现在可以称之为 IF...THEN...ELSE），那么您实际上可以表示并使用各种其他诸如逻辑命题，设计证明，甚至与音乐一起工作，如果你有一些数学或数字的方式来表示音乐。

现在，我不知道数字音乐是否会起飞，道格，但如果会的话……

---

道格。  [笑] 我们要感谢 Ada Lovelace！

---

鸭。  她在 1840 年在那里思考和写作！

信不信由你，她是著名（或臭名昭著）诗人拜伦勋爵的女儿。

显然她的父母分道扬镳，所以我不相信她曾经见过他——她对他来说是一种“不知名的女儿”。

现在，众所周知，拜伦曾经在瑞士度假，那里的雨让他和他一起度假的朋友们都呆在室内。

那些朋友是珀西和玛丽雪莱。

拜伦说：“嘿，我们来一场恐怖故事写作比赛吧！” [笑声]

而他所做的，以及珀西雪莱所做的，都一事无成。 没有人记得他们写了什么。

但是玛丽雪莱……这显然是她想出的 科学怪人…

---

道格。  哇！

---

鸭。  ……或现代普罗米修斯，这基本上都是关于人工智能和人类创造的思想机器，如果你愿意的话，以及它是如何以糟糕的方式结束的。

拜伦的女儿艾达实际上是第一个以科学的方式写下“机器能思考吗？”的人。 在她在分析引擎上写的笔记中。

她没有*没有*分享她父亲的密友所担心的恐怖故事。

她的写作方式（当时的科学家通常更倾向于文学）：

分析引擎没有任何自命不凡的东西。 它可以做任何我们知道如何命令它执行的事情。 它可以跟随分析，但它没有预测任何分析关系或真理的能力。

因此，她将计算设备、通用计算设备视为帮助我们理解和解决常规人类思维无法完成的事情的一种方式。

但我不认为她认为它们可以替代人类的思想。

---

道格。  再一次，请记住她是在 1842 年写这篇文章的……

---

鸭。  究竟！

在现实生活中破解是一回事。 破解你知道*可能*存在的虚拟计算机是另一回事，但还没有人建造过。

---

道格。  [笑] 没错。

---

鸭。  问题是，因为这些计算机是机械的并且需要机械齿轮，所以它们在制造过程中需要绝对完美。

或者只是存在这种累积误差，使它们由于齿隙而锁死，即齿轮啮合不完美。

而且我认为，正如我们之前在播客中所说，具有讽刺意味的是，它采用了数字计算机的设计，本质上是分析引擎的扩展，可以以足够的精度控制计算机化金属切割机……

……在我们制造出真正有效的差异引擎或分析引擎之前。

如果这不是一个引人入胜的循环故事，我不知道是什么！

所以艾达·洛夫莱斯（Ada Lovelace）就在这中间：传教者； 传道者； 科学家; 数学家； 电脑科学家; 作为一个崭露头角的风险投资家，他对巴贝奇说：“放开你所有的商业利益； 把它们交给我。 我在正确的圈子里找到你的钱——我会得到投资的！ 让我们看看我们能用它做什么！”

而且，无论好坏，巴贝奇对此犹豫不决，显然基本上死于贫困，而不是一个破碎的人。

有人想知道如果他这样做会发生什么……

---

道格。  这是一个有趣的故事。

我敦促您前往 Naked Security 阅读它。

这就是所谓的 搬过来，补丁星期二——今天是 Ada Lovelace 日.

长篇大论，非常有趣！

现在让我们结束这个 神秘的 iPhone 更新，这就是所谓的“一个错误修复”。

这些并不常见：

---

鸭。  不，大多数情况下，当您获得 Apple 更新时（因为您不知道它们何时到来——没有可以预测的星期二补丁），它们才刚刚到来……

......自从他们上一次修复以来，他们已经修复了这个巨大的东西列表。

偶尔会出现零日、大规模紧急情况，你会收到一条 Apple 更新，上面写着：“哦，好吧，我们正在修复一两个问题。”

而这个只是突然到来，仅适用于 iOS 16。

我正要上床睡觉，Doug……已经很晚了，我想，我看看我的电子邮件，看看 Doug 有没有给我发什么东西。 [笑声]

Apple 提供了这个东西：iOS 16.0.3。

我想，“这太突然了！ 我想知道出了什么问题？ 一定是零日。”

所以我进入了安全公告……这不是零日； 这只是拒绝服务 (DoS) 攻击； 不是实际的远程代码执行。

邮件应用程序可能会崩溃。

然而苹果突然推出了这个更新，它只是说：

影响：处理恶意制作的邮件可能会导致拒绝服务。 输入验证问题已通过改进输入验证得到解决。

那里奇怪地重复使用了validation这个词……

CVE-2022 - 22658。

这就是我们所知道的。

而且它没有说，“哦，它是由某某漏洞搜索小组报告的”，或者“感谢一位匿名研究人员”，所以我想他们自己找到了。

我只能猜测他们觉得他们需要尽快解决这个问题，因为它可能会意外地将你锁在手机之外，或者让它几乎无法使用。

因为这就是消息传递应用程序中的拒绝服务漏洞的问题，不是吗？

您会想到拒绝服务……应用程序崩溃； 呜呼，你重新开始吧。

但是消息应用程序的问题在于： [A] 它倾向于在后台运行，因此可以随时接收消息； [B] 你不能选择谁给你发信息，其他人可以； [C] 可能是为了进入应用程序删除恶意消息，您必须等待应用程序加载，然后它决定。 “哦。 我需要向您展示您想要删除的这条消息……”，CRASH！

我称之为 CRASH: GOTO CRASH错误。

换句话说，也许您无法修复它，因为当您启动手机时，或者如果您重新启动手机，当您到达可以跳入并点击消息删除的地步时......

…应用程序已经再次崩溃； 为时已晚！

我们知道，iOS 之前曾出现过所谓的“死亡文本”问题。

我们有一个 他们的名单 在 Naked Security 文章中 – 他们制作了非常引人入胜的故事。

所以我们不知道它是否是一个图像，字形（字符图像）的形成方式，字符组合，文本方向......我们不知道。

获得补丁当然值得，因为我的直觉是，如果 Apple 认为它足够重要，可以将它放在安全公告中，它有一个唯一的修复，当它不是零日，也不是远程代码时执行，这不是特权提升……

......那么他们可能会担心如果其他人发现了会发生什么！

所以也许你也应该这样做。

道格，这也是一个奇妙的提醒，尽管人们倾向于将远程代码执行的漏洞放在首位； 然后特权提升然后信息泄露……

…拒绝服务是，“好的，服务器可能会崩溃，但我总是可以重新启动它。”

然而，这可能是一个非常麻烦的问题。

尽管它可能不会窃取您的数据或勒索您的文件，但它仍然可以阻止您使用计算机、获取数据和进行实际工作。

---

道格。  是的，我们这里有您需要更新的问题，但是如果您遇到此问题，如果您的手机不断崩溃，您可能无法获得更新！

因此，这将我们引向本周的读者问题。

在我们正在谈论的帖子中，裸体安全读者彼得问：

这里不是 Apple 用户，但 Apple 用户是否没有选项可以在浏览器中登录他们的电子邮件帐户，希望不会像应用程序那样崩溃并删除那里的邮件而不是擦除您的设备？

---

鸭。  嗯，这对我来说当然是真的。

以我使用 iPhone 的方式，我可以在手机上阅读与浏览器中的网络应用程序相同的邮件。

所以这是一个很好的起点，如果你被锁在手机之外，而且你碰巧有一台笔记本电脑。

问题是当你删除邮件时，比如说，在你的网络浏览器中，或者通过你笔记本电脑上的本机应用程序......

…您的手机邮件应用程序仍然需要与服务器同步才能知道它必须删除这些消息。

如果在途中它处理了它现在要删除的消息，它仍然可能陷入崩溃的境地，不是吗？

因此，该评论的问题是我能给出的唯一真正答案是：“信息不足。 不能肯定地说。 但我很高兴希望你能做到这一点！”

---

道格。  试一试，至少。

---

鸭。  是的，试一试！

如果你真的被锁定了，以至于你的手机一启动就崩溃，你会想你可以做苹果所谓的 DFU（直接固件更新），你基本上可以重新开始。

但问题是要启用它（以阻止它被用于邪恶），它本质上涉及擦除和重新开始。

所以你会丢失手机上的所有数据，假设它可以工作。

所以我想这个问题的答案是……

尝试最不打扰的方式来解决它，你可以先。

尝试在手机消息应用程序上“击败应用程序”。

这适用于以前的一些 iOS 事物。

你基本上重启了你的手机； [加速] 你输入你的锁码真的很快； [SPEAKING REALLY FAST] 你尽可能快地进入应用程序，然后点击删除…

…在电话到达那里并开始最终耗尽内存的过程之前。

因此，您可能有足够的时间在手机上进行操作。

如果没有，请尝试通过管理同一组数据的外部应用程序进行操作。

如果完全卡住了，那么我认为刷新并重新安装是您唯一的解决方案。

---

道格。  好的，谢谢你，彼得，把它送进来。

如果您想提交有趣的故事、评论或问题，我们很乐意在播客上阅读。

您可以发送电子邮件至tips@sophos.com； 您可以评论我们的任何一篇文章； 或者您可以在社交媒体上联系我们：@nakedsecurity。

这就是我们今天的节目。

非常感谢您的聆听。

对于 Paul Ducklin，我是 Doug Aamoth，提醒您下次……

---

两个都。  保持安全。

[音乐调制解调器]