Willkommen zur Februar-Ausgabe der SSL.com Security Roundup!
Der Februar ist vielleicht unser kürzester Monat, aber Sie würden es nicht wissen, wenn Sie sich alle neuen Nachrichten über digitale Sicherheit ansehen. Wir haben sie an einem geeigneten Ort zum Lesen zusammengefasst. Viel Spaß beim Nachholen in den letzten 28 Tagen.
Apple versteckt sichere Browsing-Anfragen von Google
Das neueste mobile Betriebssystem von Apple, iOS 14.5, verfügt über eine neue Browserfunktion, die Benutzer auf gefährliche Websites aufmerksam macht und die Übergabe von IP-Adressen an Google verhindert. Die Safari-Funktion wird als "Warnung vor betrügerischen Websites" bezeichnet. Obwohl Google Safe Browsing zur Identifizierung schädlicher Websites verwendet wird, leitet Apple Google Safe Browsing-Anforderungen über einen Proxyserver um, um zu verhindern, dass IP-Adressen an Google weitergegeben werden. Als Ravie Lakshmanan Berichte für Die Hacker NachrichtenApple wird auch andere Datenschutzvorkehrungen treffen, da sie die Privatsphäre ihrer Benutzer auf andere Weise verbessern möchten:
Die neue Änderung in iOS und iPadOS ist Teil einer Reihe von datenschutzorientierten Maßnahmen, die Apple in letzter Zeit eingeführt hat, einschließlich der Verpflichtung von App-Entwicklern, ihre Datenerfassungspraktiken in App Store-Listen mithilfe von „Datenschutz-Nährwertkennzeichnungen“ offenzulegen.
Darüber hinaus müssen Apps für iOS 14.5 die Erlaubnis der Benutzer einholen, bevor sie diese über andere Apps und Websites hinweg verfolgen können. Dabei wird die Werbekennung des Geräts als Teil eines neuen Frameworks verwendet, das als App Tracking Transparency bezeichnet wird.
Das neue iOS 14.5 befindet sich derzeit in der Beta-Phase und wird voraussichtlich im Frühjahr dieses Jahres veröffentlicht.
Mystery Malware mit unbekanntem Zweck Auf 30,000 Macs gefunden
Wie etwas aus einem modernen Spionagefilm wurde von Sicherheitsforschern aus Red Canary eine neue Malware namens "Silver Sparrow" gefunden. Obwohl es auf fast 30,000 Macs gefunden wurde, weiß niemand wirklich, was es tut, abgesehen von der Überprüfung auf Bestellungen. Wie Ars Technica's Dan Goodin berichtet:
Einmal pro Stunde überprüfen infizierte Macs einen Steuerungsserver, um festzustellen, ob neue Befehle vorhanden sind, die von der Malware ausgeführt werden sollen, oder ob Binärdateien ausgeführt werden sollen. Bisher haben die Forscher jedoch noch nicht die Bereitstellung von Nutzdaten auf einem der 30,000 infizierten Computer beobachtet, sodass das endgültige Ziel der Malware unbekannt bleibt. Das Fehlen einer endgültigen Nutzlast deutet darauf hin, dass die Malware möglicherweise in Aktion tritt, sobald eine unbekannte Bedingung erfüllt ist.
Die Malware verfügt auch über einen Mechanismus, mit dem sie sich vollständig selbst entfernen kann. Diese Funktion ist normalerweise für High-Stealth-Vorgänge reserviert. Bisher gibt es jedoch keine Anzeichen dafür, dass die Selbstzerstörungsfunktion verwendet wurde, was die Frage aufwirft, warum der Mechanismus existiert.
Abgesehen von der offensichtlichen Intrige ist Silver Sparrow auch bemerkenswert, da es nur die zweite Malware ist, die nativ auf dem neuen M1-Chip von Apple ausgeführt wird. Und obwohl noch kein Forscher es in Aktion gesehen hat, Red Canary hat identifiziert Es handelt sich um eine „einigermaßen ernsthafte Bedrohung, die einzigartig positioniert ist, um in kürzester Zeit eine potenziell wirkungsvolle Nutzlast bereitzustellen.“
Mozilla und Apple missbilligen erweiterte Hardwarefunktionen in Chrome 89
Googles Chrome 89 Beta enthält einige neue Hardware-Interaktions-APIs, von denen Mozilla und Apple nicht begeistert sind. Mit den APIs können Entwickler mithilfe gerätespezifischer Logik mit Gamepads und Tastaturen kommunizieren, Webanwendungen Tags lesen und schreiben lassen, und ein WebSerial-APO ermöglicht die direkte Kommunikation zwischen Webanwendungen und Geräten mit seriellen Schnittstellen. Als Tim Anderson bei Das Register Berichte, Mozilla und Apple sehen dies als gefährlich an:
In der aktuellen Standardposition von Mozilla heißt es: „Da viele USB-Geräte nicht für potenziell böswillige Interaktionen über die USB-Protokolle ausgelegt sind und diese Geräte erhebliche Auswirkungen auf den Computer haben können, an den sie angeschlossen sind, sind wir der Ansicht, dass die Sicherheitsrisiken einer Gefährdung bestehen USB-Geräte im Internet sind zu breit, um zu riskieren, dass Benutzer ihnen ausgesetzt werden, oder um Endbenutzern eine angemessene Erklärung zu geben, um eine aussagekräftige Einverständniserklärung zu erhalten. “
Da Google, Mozilla und Apple nicht auf die Sicherheit dieser APIs ausgerichtet sind und nur eine von ihnen (Google) implementiert, werden Browser wie Firefox und Safari möglicherweise fehlerhaft angezeigt, da diese Browser dies nicht taten.
Forscher enthüllt weit verbreitete „Abhängigkeitsverwirrung“
Supply-Chain-Angriffe waren in letzter Zeit viel in den Nachrichten. (Vielleicht erinnern Sie sich daran aus unserer vorherigen Berichterstattung über Dinge wie SolarWinds und Malwarebytes.) Diesen Monat zeigte uns der Forscher Alex Birsan eine neue, beängstigende Version des Angriffs gegen Entwickler, die öffentliche und private Abhängigkeiten mischen, wenn sie Paketmanager wie NPM oder RubyGems verwenden. Birsan beschreibt die Sicherheitsanfälligkeit auf Medium. Es ist natürlich ein wenig kompliziert, aber im Wesentlichen stellte er fest, dass Angreifer nach Namen interner Pakete suchen, die von Unternehmen versehentlich durch Dinge wie Github oder Javascript offengelegt werden. Der Angreifer erstellt dann eine scheinbar höhere Versionsnummer dieses Pakets in einem öffentlichen Repository und wartet, ob es von seinem Ziel heruntergeladen und verwendet wird.
In seinem Artikel sagte Birsan, dass sie diese Sicherheitsanfälligkeit entdeckt haben, die er in mehr als 35 Organisationen als "Abhängigkeitsverwirrung" bezeichnet. Wir empfehlen seine zu lesen Medium Stück Wenn Sie an den spezifischen Befehlen und Tools interessiert sind, die einen für diese Art von Angriff anfällig machen können, und daran, wie Sie das Risiko von Abhängigkeitsverwirrungen verringern können.
