Прошедшая малозамеченной в рунете новость о том, что злоумышленники атаковали репозитории через неправильно сконфигурированный SonarQube.

Мякотка в том, что Сонар - это ПО для проверки качества исходного кода, которое ищет в нём критические уязвимости; ошибки; пинает разработчиков за плохой стиль; заставляет их покрыть код модульными тестами. Короче, установка SonarQube должна делать ваш проект безопасным... Если вы, конечно, чего-нибудь не забудете. Ну вот, например, выделенное на скриншоте.

По утверждению ФБР (а им, в этом случае, нет никаких оснований не доверять), злоумышленники активно ходили в SonarCube, которые торчали обнаженными ягодицами прямо в интернет и получали через них доступ к репозиториям, с которыми Сонар был интегрирован. И сливали оттуда исходные коды, которые их владельцы не планировали делать публичными.

В общем, причина утечек, как всегда, простая - those humans. Разработчики Сонара, кстати, исходят из того, что их ПО рассчитано на квалифицированных пользователей, и, вероятно, считают, что смена схемы авторизации при установке будет для целевой аудитории оскорбительной. Поэтому с 2018 года, когда вездесущий Боб Дьяченко впервые обратил свой взор на эту проблему, не сделали с этим решительно ничего

Мотивационный плакат у въезда в периметр "ядерного острова" на территории РНЦ "Курчатовский институт".

Вас всех, межу прочим, касается!

Пока мы с вами весело ржали над британцами, которые вели базу инфицированных Ковид в экселе и из за этого теряли часть больных... Наши соотечественники делали то же самое в гугл-таблицах и телеграм-чатах. Причём доступ к таблицам, а уж тем более к чатам, никоим образом не защищался. Поэтому, помимо АНБ, которые (потенциально) получили доступ к данным ещё в марте, сейчас они есть вообще у всех.

Можете потренировать свои навыки OSINT и в пару запросов найти их в Гугле. Приготовьтесь к тому, что от масштаба и глубины утечки вам станет плохо.

Но мы сейчас не об этом.

Когда изучаешь слитые материалы, очень хорошо видно, как их авторы в режиме острого цейтнота (у них вообще-то люди задыхаются и умирают) собирали этот самый "режим повышенной готовности" из подручных материалов. К коим однозначно относились "рабочие чаты" в телеграм и таблицы google-docs. Более промышленные системы в этот момент, судя по всему, только разворачивались, понимание, как они должны выглядеть, нарабатывалось на ходу. Среди файлов слива есть инструкции к этим промышленным системам в нескольких вариантах — дописывали "с колёс".

А все существующие регламенты на эту тему писались в глубоко доинтернетную эпоху и предполагали разворачивание КПП, санпропускников, просмотр диафильмов "умей работать в очаге поражения", заполнение и логистику бумажных медицинских карт, цифры на грифельной доске. Может, тогда и была какая нибудь АСУ "Эпидемия" Минздрава СССР" развёрнутая на Объекте 6063 (ЗАТО "Кузнецк-12"), но принимать (и вбивать в терминалы ЕС ЭВМ) данные предполагалось по городскому телефону. В прошлом, во время советских вспышек чумы, холеры, или знаменитой вспышки чёрной оспы в Москве, всё это неплохо работало. Вот только работать авторам экселек и гуглодоков надо было не в прошлом, а здесь и сейчас. Работали в меру своих возможностей. За это их критиковать рука не поднимается.

Был ли у них другой — хороший — вариант? Мы такого не знаем. Зато знаем, что это всё - март и апрель. Данные в сливе заканчиваются приблизительно первым мая. Потом это всё за собой, разумеется, надо было подчистить, вот только никто этим не озаботился.

Возможно, потому что люди, которые должны были озаботиться, о существовании этих чатов даже и не знали. А если бы знали, запретили бы. И отправили бы заполнять бумажные карты и диктовать их содержимое с городского телефона в Кузнецк-12. Вот в этом то и есть самая главная точка отказа.

Сейчас, конечно, сделают (уже сделали) специальный софт для будущих эпидемий, напишут регламенты, расставят по поликлиникам АРМы и будут проводить регулярные тренировки. А потом произойдёт вторжение квазиразумных четырёх-с-половиной-мерных осьминогов, или, там, катастрофическое изменение постоянной Планка (ввиду события, произошедшего вне нашего времени-пространства).

И всё по новой.

Наш подписчик Фил Кулин делится ещё одной фантастической медицинской историей. Для ряда медицинских учреждений логины и пароли к некоей информационной системе рассылаются в виде:

sz.blabla.ru n <логин> p <пароль>

Вот именно так, в одну строчку. Получатели писем копируют эту строчку в свой яндекс-браузер и ввиду того, что строка с пробелами за URL не считается, она попадает в поиск. А оттуда — в историю поиска. Где её можно найти прямо сейчас.

(яндекс и сам этот sz — в курсе, но решают ли проблему — непонятно).

Как всё таки мало надо, чтобы получить массовую утечку авторизационных данных.

В связи с главной отраслевой темой сегодняшнего дня (гуглите по словам "Беллинкэт" и "Навальный"), у нас тут есть небольшой комментарий к законодательной инициативе, запрещающей оператором персональных данных выдавать сведения по сотрудникам правоохранителных органов, спецслужб и военнослужащим.

В качестве комментария будет вот эта картинка. Это шапка из анкеты на загранпаспорт некоего Александра Петрова — предположительно сотрудника российских спецслужб, большого любителя готических соборов. Наличие грифа "Совершенно Секретно" на этой анкете никоим образом не помешало зарубежным (!) исследователям за скромный прайс получить эту бумажку. Сколько им это стоило, расскажут в своих каналах @dataleak и @alexmakus (спойлер: практически нисколько).

Так сложилось, что любые централизованные базы данных у нас в стране в первую очередь обогащают чёрный рынок "пробива". Никакие "политики конфиденциальности", "модели злоумышленников" и даже категорированные помещения — от этого не помогают. Созданные в самых благородных целях системы распознавания лиц в метро, дорожные камеры, платные парковки — немедленно всплывают в объявлениях торговцев новой нефтью нелегальным доступом к информации. А посему можно быть уверенными: единственное, к чему приведёт планируемый закон, так это создание централизованной базы сотрудников органов и военнослужащих, по которой можно будет проверять — можно по конкретному человеку выдать данные или нет. И к практически моментальному появлению этой базы на чёрном рынке.

Коллега Арканоид нас критикует: главная отраслевая новость вчерашнего дня это не какой-то там Беллинкэт, стопятисотый раз купивший биллинг сотрудников ФСБ, а вовсе даже взлом SolarWinds.

Если вы вдруг случайно пропустили эту историю, суть в следующем: некие высокопрофессиональные хакеры взломали компанию SolarWinds и затроянили обновления к ПО Orion, предназначенному для управления сетями.

NB: У обнаруживших этот взлом FireEye забавная формулировка: SolarWinds.Orion.Core.BusinessLayer.dl — это подписанный компонент ПО Орион, который содержит бэкдор, взаимодействующий через HTTP с со сторонними серверами. Мы называем затрояненную версию этого плагина SUNBURST. Из этой фразы при желании можно сделать вывод, что плагин содержал бэкдор и в незатрояненной версии.

Специфика Ориона в том, что он сидит в самом центре вашей сети и имеет доступы примерно везде и пароли тоже примерно от всего. И как любой брелок от ключей, создаёт специфический риск потерять все ключи одновременно. А распространённость Ориона среди крупных компаний и государственных организаций по всему миру (SolarWinds утверждает, что пострадало 18000 клиентов из 33000. Среди пострадавших есть американские министерства, включая министерство национальной безопасности) делает этот взлом одним из самых масштабных событий, которое мы только можем представить.

С другой стороны, мир так устроен, что ребята из пары стран имеют возможность поставлять конечным пользователям ПО и железо с закладками прямо с заводов. А те, кто такой возможности не имеет, вынуждены крутиться, как могут. И получается у них неплохо. Одним запретом на хуавей с такими событиями не справишься.

...обе последних новости сольются в экстазе через несколько месяцев, когда какие нибудь твиттерные расследователи купят информацию про людей, составляющих этот "highly evasive attacker" (формулировка FireEye) на условном форуме пробив.орг за 150 рублей на всех.

А вот 11 ноября 2019 года один исследователь писал в SolarWinds письмо. Парни, — писал он, — во-первых, пароль от вашего ftp c обновлениями вашей системы лежит у вас на гитхабе и, вот смотрите, я создаю там файлик... А во-вторых, solarwinds123 — это так себе пароль.

Каждый раз, когда нам кто-то рассказывает такую историю, мы вспоминаем, как один президент Польши летал на Ту-154 с истекшим сертификатом лётной годности. А когда спасатели разгребали то, что осталось от кабины, они нашли там актуальный сертификат лётной годности от второго резервного борта. Экипаж возил его с собой на всякий пожарный случай. Вдруг кто спросит, а потом не догадается сверить номера в сертификате и на борту самолёта.

Казалось бы, мелкая деталь на фоне остальных обстоятельств, приведших самолёт к печальному концу, — там туман, и допуски у экипажа поддельные, и нетрезвый командующий ВВС в кабине... Но она лучше всего характеризует ОБЩИЙ ПОДХОД, царивший в президентском авиаотряде. И сигнализирует о том, что встреча с берёзой — лишь дело времени.

Так и тут.

Сдаётся нам, что такие новости про Solar Winds будут приходить ещё долго.

​​И опять новости про взлом хакерами американского IT-поставщика SolarWinds.

Оказывается, на странице технической поддержки SolarWinds (ныне почищенной) был совет пользователям отключить антивирусное сканирование файлов и папок NMS Orion (которая как раз и была заражена трояном).

Единственное выражение, которым мы можем охарактеризовать происходящее с учетом уже известных проблем в инфосеке SolwarWinds - "х...й, пи...да и Джигурда".

Air gap или, по-русски говоря, изоляция сети, как вы, наверное, знаете, - миф... Если у вас только нет совершенно случайно достаточного числа программистов, чтобы весь необходимый вам софт прямо там — в изолированной сети — и разрабатывать. А поскольку у вас их нет, остаётся ходить с флешками туда-сюда.

Если внимательно изучать утечки и результаты расследований, выясняется, что государственные команды давным-давно с изолированными сетями работать умеют и скорость передачи данных туда-обратно на флешке раз в неделю их не смущает.

Но оставим государства. Лет десять назад преступный мир выяснил, что самый короткий путь к изолированным (ну, теоретически) сетям банкоматов лежит непосредственно через корпус. Деньги, конечно, всегда помещены в IV класса взломостойкости, к которому подключена сигнализация. Но, как вы знаете, в банкомате есть еще немного интересных узлов. Компьютер, например. А скажи в те времена кому, что компьютер тоже надо защищать, тебе бы в лицо рассмеялись: "Ну как ты себе это представляешь? Придёт хакер с ноутбуком, подключится к нашему банкомату и будет ломать?"

Реальность, как водится, цветов содержала побольше. Хакеры писали свой софт в тепле и уюте, а к банкоматам вместо них приходили дропы с флешками или даже... с CD (вспомнили такую штуку?). Дропы добирались до внутреннего компьютера, вставляли носитель, перезагружали устройство... С носителя загружался обычно дистрибутив линукса (по причинам, указанным выше, с завода все банкоматы приходили с автозагрузкой с флешки или CD, буде кто либо из них вставлен, и эти настройки крайне редко менялись в банке), который подменял файлы в банкоматовской винде и предлагал дропу вытаскивать флешку и, сверкая пятками, валить.

Через пару недель, если всё на первом этапе проходило успешно, к банкомату приходил другой дроп, который набирал на клавиатуре код и мог смело подставлять пакет под диспенсер.

Как получить доступ к компьютеру банкомата? Всё по тем же причинам, антивандальные корпуса банкоматов открывались либо одним универсальным ключом на все устройства одной модели, либо — вообще без ключа — отвёрткой. У одной модели банкомата высверливали в передней панели отверстие четырнадцатым буром по металлу и сквозь него просовывали флешку на длинной палке. Уходя, отверстие залепляли подходящей по цвету жевательной резинкой и когда, уже после инцидента, доблестные инфобезопасники банка восстанавливали целостность операционки (сносили и ставили заново), к устройству снова приходил дроп, отковыривал жвачку и всё повторялось по новой.

Операционку, кстати, после инцидента далеко не всегда переустанавливали. Некоторые излишне самонадеянные персонажи честно считали, что достаточно на банкомате прогнать антивирус (например, Касперского) — и можно работать дальше. А были и такие, кто вообще не понимал, что с устройством произошло. Автору доводилось в известной межбанковской почтовой рассылке читать вопросы в духе "А вот у нас тут пришел человек и забрал все деньги из банкомата. Мы удивились, но ничего не поняли. А через неделю он опять пришел и опять забрал. Кто что знает?"

А бывало, увы, и такое, что расскажешь соответствующим сотрудникам про методику, а они и не верят и ищут инсайдера. В хакеров, говорят, не верим. Слишком сложно. Это всё наши. Точно знаем, наши. К счастью у таких банков банкоматов обычно раз-два и обчёлся, а то сотрудники бы быстро заканчивались от этой охоты на "наших".

Если вы считаете, что всё вышеперечисленное с технической точки зрения — полный атас, то это вы ещё не слышали, как примерно в те же времена можно было украсть деньги из банкомата при помощи вилки. Но про это в следующий раз — про технику это у нас всё таки была присказка, а про людей будет сказка. И сказка — впереди.

Ну и заканчивая на этот раз тему изолированных сетей.

Однажды автор пошел в банк проделать одну операцию с УЭК (помните такую карту?). Юный банковский работник провёл его на своё рабочее место, где стоял изолированный от интернета АРМ (о чём юноша автору гордо сообщил) и стал копаться в бумагах. Выяснилось, чо данные есть не все, а то, чо нужно, есть у автора в телефоне, который разряжен в ноль.

"Это ничего", -- сказал юноша, достал microUSB кабель, воткнул один конец в АРМ, а второй протянул автору. Который от такой чести отказался, чем юношу, кажется, обидел. Как обижаются водители в некоторых регионах, когда садишься на переднее сидение и пристёгиваешься. Вроде, как не доверяешь.

Комикс.

Cегодня, 1 января, во всём мире наконец должен быть выпилен флэш, а Whatsapp должен перестать работать на iOS 8 и Android 4.

Зато, если терминалу в linux сказать stty -F /dev/ttyUSB0 cs5 50 cstopb, он начнёт передавать данные в ком-порт телеграфным пятибитным кодом Эмиля Бодо, которому (коду, не Эмилю) в ушедшем году стукнуло ровно 150 лет. Электрические параметры RS-232 тоже совместимы с телеграфной линией за исключением уровней.

В общем, если в наступившем году вы планируете стать попаданцем и оказаться в СССР 1941 года, не забудьте преобразователь USB-UART. И ещё блок питания на 127 вольт. Тогда вы сможете подключиться своим ноутбуком к линии бодо и писать сообщения Сталину и Жукову. Шутка, не сможете. Там же ещё, не поверите, криптография.

А если ничего подобного вы не планируете, просто вспоминайте об этом, когда думаете, не пора ли выпилить обратную совместимость и легаси-код из своих проектов.

С новым годом!

Сопряжение электромеханического телеграфного аппарата СТА М-67 с компьютером наши друзья из Музея современной фортификации "Бункер-703" в новом году вам покажут в своей экспозиции