На этой неделе мы наконец-то узнали некоторые старые истории, начиная с прошлогодняя проблема Bitwarden Windows Hello. Возможно, вы помните, что у Bitwarden есть возможность использовать Windows Hello в качестве варианта разблокировки хранилища. К сожалению, API учетных данных Windows на самом деле не шифрует учетные данные таким образом, чтобы для разблокировки требовалась дополнительная проверка Windows Hello. Таким образом, производный ключ сохраняется в диспетчере учетных данных и может быть получен с помощью простого вызова API. Никакой дополнительной биометрии не требуется. Даже если хранилище Bitwarden заблокировано и приложение закрыто.
Есть еще одна опасность, которая даже не требует доступа к машине, на которой выполнен вход. На машине, присоединенной к домену, Windows создает резервную копию ключей шифрования на контроллере домена. Само зашифрованное хранилище по умолчанию доступно на доменном компьютере через SMB. Скомпрометированный контроллер домена может получить доступ к хранилищу BitWarden, даже не запустив код на целевой машине. Хорошей новостью является то, что эта конкретная проблема с Bitwarden и Windows Hello теперь исправлена. версия 2023.10.1.
Обратная эксплуатация RDP
Обычно мы считаем, что протокол удаленного рабочего стола опасен для доступа в Интернет. И это. Не размещайте свой сервис RDP в сети. Но обратный RDP заключается в том, что подключение RDP-клиента к вредоносному серверу также может быть опасным. И, конечно же, эта проблема возникает во многих реализациях RDP. Есть rdesktop, FreeRDP и собственный mstsc от Microsoft, которые имеют уязвимости, связанные с обратным RDP.
Технические подробности здесь не особо интересны. Это все вариации на тему неправильной проверки удаленных данных с сервера, а значит либо чтения, либо записи прошлых внутренних буферов. Это приводит к различным формам утечек информации и проблемам с выполнением кода. Что интересно, так это разные реакции на полученные результаты, а затем Выводы [Эяля Иткина] о том, как исследователи безопасности должны подходить к раскрытию уязвимостей.
Итак, сначала Microsoft отклонила уязвимость как не заслуживающую обслуживания. А затем приступил к внутреннему исследованию и представил это как новую атаку, не приписывая должным образом [Эялю] первоначальную находку. rdesktop содержал довольно много таких проблем, но смог решить проблему за несколько месяцев. FreeRDP сразу устранил некоторые проблемы, что можно было бы назвать процессом в стиле «ударь крота», но был подготовлен патч, который фактически решил проблему на более глубоком уровне: изменение значения API с беззнакового size_t на подписанное. ssize_t. Этому изменению потребовалось целых два года, чтобы оно наконец увидело свет в виде релиза. Почему так долго?
Две причины такого длительного отставания. Во-первых, это было усиление защиты, а не реакция на одну-единственную уязвимость. Это предотвратило бы сразу несколько из них, но не было обязательным изменением для исправления любого из них по отдельности. Но что еще более важно, это было изменение API. Это сломало бы вещи. Итак, кидаем в ветку основной версии и ждем. И вот тут возникает небольшая дилемма. Стоит ли исследователю опубликовать проблему в Интернете или терпеливо ждать? Здесь нет однозначного ответа, поскольку каждая ситуация имеет свои сложности, но [Эйал] утверждает, что исследователи безопасности должны больше интересоваться проектами, в которых применяются исправления, а не просто контентом для получения еще одной CVE.
Сканирование сетей с помощью SSH-Snake
На этой неделе мы обнаружили этот умный инструмент: SSH-Змея. Идея проста. Скрипт ищет любые закрытые ключи SSH, а затем проверяет их в списке известных хостов SSH. Для каждого хоста, принимающего ключ, сценарий запускается снова. Он не удаляет файлы в файловой системе и запускается автоматически без вмешательства, составляя в конце изящный график доступных систем. Определенно стоящий инструмент, который стоит держать в своем цифровом наборе инструментов.
Биты и байты
В забавной онлайн-игре На этой неделе Mandiant на некоторое время потерял контроль над своей учетной записью X. Это была забавная игра в кошки-мышки: посты, рекламирующие мошенничество с криптовалютами, появлялись, исчезали и появлялись снова. Можно только представить, какую безумную работу проделывали за кулисами, пока это происходило. Надеюсь, через несколько недель мы сможем опубликовать пост в блоге Mandiant об этом. И да, об этом есть XKCD.
Как вы, вероятно, заметили, вчера Mandiant потерял контроль над этой учетной записью X, в которой был включен 2FA. В настоящее время нет никаких признаков вредоносной активности за пределами затронутой учетной записи X, которая снова находится под нашим контролем. После завершения расследования мы поделимся результатами расследования.
— Мандиант (@Мандиант) 4 января 2024
Если у вас все еще есть учетная запись Lastpass, возможно, на этой неделе вы получили электронные письма о изменение требования к мастер-паролю находится в разработке. TL:DR заключается в том, что Lastpass ранее «требовал» 12-значный пароль. Вскоре все пароли должны будут состоять из 12 символов, включая пароли от старых учетных записей. Вероятно, в любом случае было бы лучше отказаться от этого изменения, если у вас более короткий пароль.
Это кажется немного глуховатым, что 23andMe винит жертв в недавних взломах аккаунтов. «пользователи использовали те же имена пользователей и пароли, что и на 23andMe.com, и на других веб-сайтах, которые ранее подвергались нарушениям безопасности, а пользователи по неосторожности переработали и не обновили свои пароли после этих прошлых инцидентов с безопасностью». За исключением того, что это технически правильно. Пользователи действительно повторно использовали пароли. И пользователи действительно согласились поделиться подробностями о своих генетических совпадениях. Единственная реальная неудача заключалась в том, что никто в 23andMe не заметил атаку с подстановкой учетных данных в тот момент, когда она происходила, но, по общему признанию, ее трудно отличить от обычного трафика. Так что, вероятно, пятёрка за техническую сторону. И D за доставку.
- SEO-контент и PR-распределение. Получите усиление сегодня.
- PlatoData.Network Вертикальный генеративный ИИ. Расширьте возможности себя. Доступ здесь.
- ПлатонАйСтрим. Интеллект Web3. Расширение знаний. Доступ здесь.
- ПлатонЭСГ. Углерод, чистые технологии, Энергия, Окружающая среда, Солнечная, Управление отходами. Доступ здесь.
- ПлатонЗдоровье. Биотехнологии и клинические исследования. Доступ здесь.
- Источник: https://hackaday.com/2024/01/05/this-week-in-security-bitwarden-reverse-rdp-and-snake/
- :имеет
- :является
- :нет
- :куда
- $UP
- 1
- 10
- 12
- 2023
- 2FA
- a
- в состоянии
- О нас
- Принимает
- доступ
- доступной
- Учетная запись
- Учетные записи
- деятельность
- на самом деле
- дополнительный
- адрес
- снова
- впереди
- Все
- причислены
- an
- и
- Другой
- ответ
- любой
- API
- появиться
- Применение
- прикладной
- подхода
- МЫ
- AS
- At
- атаковать
- автоматически
- доступен
- прочь
- назад
- спины
- BE
- было
- за
- за кулисами
- ЛУЧШЕЕ
- Beyond
- биометрия
- Немного
- BleepingComputer
- Филиал
- нарушения
- Ломать
- Группа
- но
- by
- призывают
- CAN
- случаев
- изменение
- изменения
- персонаж
- символы
- контроль
- клиент
- закрыто
- код
- COM
- сложности
- Ослабленный
- сама концепция
- обеспокоенный
- в заключении исследования, финансируемого Центрами по контролю и профилактике заболеваний (CDC) и написанного бывшим начальником полиции Вермонта
- Свяжитесь
- содержащегося
- содержание
- контроль
- контроллер
- приготовленный
- исправить
- может
- курс
- ПОЛНОМОЧИЯ
- учетная информация
- Полномочия
- крипто-
- криптографические мошенничества
- В настоящее время
- CVE
- ОПАСНО!
- опасно
- данным
- более глубокий
- По умолчанию
- определенно
- поставка
- Производный
- описано
- компьютера
- подробнее
- DID
- различный
- трудный
- Интернет
- исчезать
- усмотреть
- раскрытие
- открытый
- приносит
- не
- домен
- сделанный
- Dont
- dr
- Падение
- каждый
- или
- Писем
- включен
- зашифрованный
- шифрование
- конец
- Даже
- НИКОГДА
- Каждая
- Кроме
- XNUMX ошибка
- Ошибка
- несколько
- Файлы
- в заключение
- Найдите
- результаты
- First
- фиксированный
- фиксированной
- исправления
- после
- Что касается
- формы
- от
- fun
- игра
- генетический
- получить
- получающий
- хорошо
- график
- было
- горсть
- Случай
- Есть
- следовательно
- здесь
- С надеждой
- кашель
- хостов
- Как
- HTTPS
- идея
- if
- картина
- влияние
- реализации
- важно
- in
- В том числе
- показания
- в отдельности
- информация
- внутри
- интересный
- в нашей внутренней среде,
- внутренне
- Интернет
- вмешательство
- в
- ходе расследования,
- вопросы
- IT
- ЕГО
- саму трезвость
- присоединился
- JPG
- всего
- Сохранить
- Основные
- ключи
- известный
- Фамилия
- LastPass
- Утечки
- уровень
- Вероятно
- Список
- ll
- запертый
- Длинное
- много времени
- ВЗГЛЯДЫ
- потерянный
- машина
- основной
- сделать
- ДЕЛАЕТ
- злонамеренный
- Malwarebytes
- менеджер
- мастер
- спички
- Май..
- Microsoft
- может быть
- месяцев
- БОЛЕЕ
- с разными
- необходимый
- сетей
- Новости
- щегольской
- нет
- "обычные"
- нормально
- роман
- сейчас
- of
- от
- Старый
- старший
- on
- консолидировать
- ONE
- онлайн
- только
- Опция
- or
- оригинал
- Другое
- наши
- внешний
- за
- собственный
- особый
- Пароль
- пароли
- мимо
- Патчи
- терпеливо
- Платон
- Платон Интеллектуальные данные
- ПлатонДанные
- Играть
- играл
- Точка
- Блог
- представить
- предотвратить
- предварительно
- Предварительный
- частная
- Частные ключи
- вероятно
- Проблема
- проблемам
- процесс
- проектов
- должным образом
- протокол
- Нажимать
- положил
- вполне
- Reading
- реальные
- на самом деле
- причины
- последний
- переработанных
- освободить
- помнить
- удаленные
- требовать
- обязательный
- требование
- требуется
- исследованиям
- исследователь
- исследователи
- ответ
- ответы
- Итоги
- обратный
- правую
- Бег
- работает
- то же
- мошенничество
- Сцены
- Гол
- скрипт
- безопасность
- нарушения безопасности
- исследователи безопасности
- казаться
- сервер
- обслуживание
- обслуживание
- Поделиться
- разделение
- должен
- подписанный
- просто
- с
- одинарной
- ситуация
- SMB
- So
- твердый
- некоторые
- Скоро
- Начало
- По-прежнему
- хранить
- Истории
- начинка
- стиль
- предмет
- системы
- цель
- Технический
- технически
- который
- Ассоциация
- мир
- их
- Их
- тема
- тогда
- Там.
- Эти
- вещи
- think
- этой
- На этой неделе
- те
- Через
- время
- в
- приняли
- инструментом
- Ящик для инструментов
- трафик
- правда
- ОЧЕРЕДЬ
- под
- К сожалению
- отпереть
- Обновление ПО
- использование
- используемый
- пользователей
- ценностное
- изменения
- различный
- Хранилище
- проверка
- версия
- жертвы
- vs
- Уязвимости
- уязвимость
- ждать
- законопроект
- Путь..
- we
- веб-сайты
- неделя
- Недели
- были
- удар-а-моль
- Что
- который
- в то время как
- зачем
- будете
- окна
- без
- WordPress
- Работа
- Мир
- стоит
- бы
- письмо
- X
- лет
- Да
- вчера
- являетесь
- ВАШЕ
- зефирнет