Безопасность Mac OS X можно взломать?

Пароль компьютера Windows и Mac OS X можно взломать за 13 секунд

Американский специалист по безопасности Роб Фуллер (Rob Fuller) обнаружил уязвимость, которая может быть использована для похищения персональных данных компьютеров с Windows и Mac OS X.

Подробную технологию взлома он распиcал в своем блоге.

«Дыра» дает возможность обойти установленный пароль на компьютере после того, как был выполнен вход в систему. Роб Фуллер говорит, что среднее время, которое необходимо для успешной атаки — всего 13 секунд.

Специалист использовал для взлома мини-компьютер USB Armory, который похож на обычную USB-флешку. Фуллер изменил код встроенного ПО устройства так, чтобы оно имитировало Ethernet-адаптер. После этого устройство начало распознаваться системой и активироваться даже на заблокированных компьютерах.

«Как только вы подключаете USB Armory, она быстро становится сетевым шлюзом, DNS-сервером и протоколом автоматической настройки прокси (WPAD) для машины-жертвы»,

— пишет Фуллер.

По утверждениям Фуллера, это дает возможность подменить сеть, перехватить кэшированные данные учетной записи, а после этого — получить доступ к персональным данным пользователя, вместе с паролем и платежными реквизитами.
Уязвимость может быть использована для взлома компьютеров с Windows 98 SE, Windows 2000 SP4, Windows XP SP3, Windows 7 SP1, Windows 10 Enterprise и Windows 10 Home (но не Windows 8), а также OS X El Capitan и OS X Mavericks.

Устройство за $300 похищает пароли от FileVault2

Шведский исследователь и пентестер Ульф Фриск (Ulf Frisk) создал прибор, при помощи которого можно обойти шифрование FileVault 2, использующееся устройствами Apple. Фриск назвал свою разработку PCILeech и подробно рассказал в блоге, что для создания прибора понадобится всего $300 и опенсорсный софт.

Исследователь пишет, что летом 2016 года он обнаружил две уязвимости в имплементации FileVault2, используемой Apple. Эти баги позволяют атакующему получить пароль жертвы (в виде простого текста), причем извлечь его можно даже с заблокированного или «спящего» Mac. Сама атака очень проста: нужно лишь подключить кастомный Thunderbolt-девайс к Mac, принудительно перезагрузить устройство (ctrl+cmd+power) и дождаться извлечения пароля, которое займет около 30 секунд.

 

Тогда как видеодемонстрацию атаки можно увидеть выше, в блоге Фриск объясняет, как такое возможно. По словам исследователя, проблема делится на две части. Во-первых, устройства Apple не защищены от Direct Memory Access (DMA) атак. Пока macOS еще не запустилась, EFI допускает подключение вредоносных Thunderbolt-устройств и позволяет им чтение памяти и запись в нее. Как только macOS запускается, защита от DMA включается по умолчанию. Во-вторых, пароль от FileVault хранится в памяти в виде простого текста. Хуже того, он не вычищается оттуда, после того как диск был разблокирован. Пароль в памяти меняет расположение, но в пределах фиксированного диапазона.

В результате исследователь реализовал DMA-атаку: как только устройство перезагружается, защита от DMA перестает работать, а значит, до содержимого памяти можно добраться без особенных проблем. Фриск объясняет, что после ввода пароль хранится в памяти как Unicode. Если пароль содержит только ASCII-символы, каждый второй байт – это ноль. В итоге найти парольную фразу несложно.

Для примера исследователь взял сочетание символов eerrbbnn, которое в памяти будет выглядеть как 6500650072007200620062006e006e. Как видно на скриншотах ниже, PCILeech обнаружит, где именно в памяти расположен пароль. Просмотрев эту область, можно обнаружить пароль в виде обыкновенного текста. Фриск отмечает, что атака может обернуться неудачей, если в пароле используются нестандартные (не ASCII) символы. В такой ситуации он предлагает сохранить дамп памяти и позже найти пароль вручную.

Написанный для атак proof-of-concept софт исследователь уже опубликовал на GitHub. Там же можно найти подробные инструкции по созданию вредоносного Thunderbolt-прибора и его прошивке. Так, Фриск объясняет, что использовал чип USB3380, но одного только этого мало. Хотя сам чип можно приобрести за $15, лучше найти макетную плату (development board) с уже установленным чипом. Искать Фриск советует на eBay, AliExpress, или обратить внимание на решения компании BPlus Technology. По данным специалиста, точно работают платы USB3380-EVB mini-PCIe и PP3380-AB PCIe, а вот ExpressCard EC3380-AB точно не подойдет. Фриск пишет, что тестировал свою атаку на нескольких  Macbook и Macbook Air, оснащенных Thunderbolt 2. На более новых девайсах с USB-C тесты не проводились.

Исследователь связался с разработчиками Apple еще в августе 2016 года, однако на создание патча у компании ушло несколько месяцев. Исправление было представлено 13 декабря 2016 года, в составе macOS 10.12.2.

В том же августе 2016 года Фриск рассказывал о DMA-атаках и PCILeech на Defcon 24, полную версию его сорокаминутной презентацию можно увидеть ниже.

Windows-троян DualToy заражает малварью Android и iOS устройства, подключенные к ПК

Исследователи компании Palo Alto Networks обнаружили трояна DualToy, ориентированного на заражение устройств, работающих под управлением Windows. У малвари, заражающей пользователей в Китае, США, Великобритании, Таиланде, Испании и Ирландии, обнаружилась интересная особенность: DualToy устанавливает вредоносные приложения на iOS и Android устройства, подключенные по USB к инфицированному ПК.

Впервые вредонос DualToy, написанный на C++ и Delphi, попал в поле зрения экспертов еще в январе 2015 года. Тогда малварь атаковала преимущественно китайских пользователей. Теперь, спустя почти два года, эксперты выявили более 8000 образцов трояна. Хотя даже ранние версии DualToy умели заражать девайсы на базе Android, теперь вредонос научился атаковать и устройства на iOS.

Атаки на мобильные устройства не являются первоочередной задачей трояна. Так, на зараженном устройстве Windows малварь модифицирует настройки браузера и показывает пользователю нежелательную рекламу. Но как только к зараженному ПК через USB подключается мобильный гаджет, вредонос начинает развивать активность другого рода. К атаке на мобильные устройства малварь готовится заранее: после заражения Windows-системы, троян скачивает Android Debug Bridge (ADB) и драйверы iTunes. Эксперты пишут, что хакеры делают ставку на то, что когда к компьютеру подключают мобильный девайс, авторизация ним уже установлена и спаривание произведено. Это значительно облегчает доступ к мобильному гаджету.

Если доступ к Android или iOS устройству получен, малварь связывается с командным сервером, где хранится список вредоносных приложений для установки. Перед тем как скачать и установить их, DualToy также скачивает с управляющего сервера код, позволяющий получить root-доступ к Android-устройству. Это дает малвари возможность устанавливать приложения в фоновом режиме, без ведома пользователя.

Затем на Android-гаджеты устанавливаются китайские игры из сторонних магазинов приложений. Эксперты пишут, что ничего слишком опасного злоумышленники пока не распространяют, в основном приложения можно отнести к категориям adware и потенциально опасного ПО.

Приложения, которые троян устанавливает на Android-устройства

С iOS устройств вредонос похищает данные о IMEI, IMSI, ICCID, имени, типе и модели устройства, серийный номер, данные о прошивке и номере телефона. Затем на iOS девайс загружается ряд .ipa файлов (архивы с приложениями для iOS), среди которых есть и такие, которые запрашивают у пользователя Apple ID и пароль. Специалисты отмечают, что эта функция делает DualToy похожим на другой троян — AceDeceiver. Затем все собранные данные отправляются на сервер злоумышленников в зашифрованном виде.

Троян запрашивает Apple ID и пароль
Зашифрованные данные передаются на C&C-сервер

«Хотя атаки такого рода могут быть ограничены защитными механизмами (такими как включение ADB или песочницей iOS), что делает угрозу не слишком опасной, DualToy в очередной раз напоминает нам, что злоумышленники могут использовать USB для атак на мобильные устройства, а малварь способна распространяться между разными платформами», — заключают аналитики Palo Alto Networks.

Исходя из этих данных тяжело рассуждать о безопасности оперативной системы, так как для взлома Mac OS X все же потребуется прямое подключению к вашему Mac.

При создании статьи использованы материалы ilife-news.com

 

Вас могут заинтересовать:

@DDR5.RU

@DDR5.RU

Комментарии не относящиеся к тематикам страниц, вводящие в заблуждение пользователей нашего ресурса, носящие рекламный и провокационный характер будут беспощадно удаляться!!! С уважением, администрация DDR5.RU...

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *