Καλώς ήλθατε στην έκδοση Φεβρουαρίου του SSL.com Security Roundup!
Ο Φεβρουάριος μπορεί να είναι ο συντομότερος μήνας μας, αλλά δεν θα το γνωρίζατε κοιτάζοντας όλες τις αναδυόμενες ειδήσεις σχετικά με την ψηφιακή ασφάλεια. Τους έχουμε στρογγυλοποιήσει σε ένα βολικό μέρος για ανάγνωση, οπότε διασκεδάστε να καλύψετε τις τελευταίες 28 ημέρες περίπου.
Apple για απόκρυψη αιτημάτων ασφαλούς περιήγησης από την Google
Το τελευταίο λειτουργικό σύστημα της Apple για κινητά, το iOS 14.5, έρχεται με μια νέα δυνατότητα προγράμματος περιήγησης που ειδοποιεί τους χρήστες για επικίνδυνους ιστότοπους και αποτρέπει την παράδοση διευθύνσεων IP στην Google. Η λειτουργία Safari ονομάζεται "Προειδοποίηση απάτης ιστότοπου" και παρόλο που χρησιμοποιεί την Ασφαλή περιήγηση Google για τον εντοπισμό επιβλαβών ιστότοπων, η Apple θα ανακατευθύνει τα αιτήματα ασφαλούς περιήγησης Google μέσω διακομιστή μεσολάβησης για να αποφύγει τη διαρροή διευθύνσεων IP στην Google. Ως Ravie Lakshmanan αναφορές για Τα Νέα του Χάκερ, Η Apple θα λάβει και άλλες προφυλάξεις απορρήτου, καθώς τείνουν να ενισχύσουν το απόρρητο για τους χρήστες τους με άλλους τρόπους:
Η νέα αλλαγή στο iOS και το iPadOS είναι μέρος μιας σειράς μέτρων που αφορούν την προστασία της ιδιωτικής ζωής που εφαρμόζει πρόσφατα η Apple, συμπεριλαμβανομένης της εντολής των προγραμματιστών εφαρμογών να αποκαλύπτουν τις πρακτικές συλλογής δεδομένων τους στις λίστες του App Store χρησιμοποιώντας "ετικέτες διατροφής απορρήτου"
Επιπλέον, το iOS 14.5 θα απαιτήσει επίσης από τις εφαρμογές να ζητούν την άδεια των χρηστών προτού τους παρακολουθήσουν σε άλλες εφαρμογές και ιστότοπους χρησιμοποιώντας το αναγνωριστικό διαφήμισης της συσκευής ως μέρος ενός νέου πλαισίου που ονομάζεται Διαφάνεια παρακολούθησης εφαρμογών.
Το νέο iOS 14.5 είναι προς το παρόν σε έκδοση beta, με προσδοκίες ότι θα κυκλοφορήσει αυτή την άνοιξη.
Το Mystery Malware με άγνωστο σκοπό βρέθηκε σε 30,000 Mac
Όπως κάτι από μια σύγχρονη ταινία κατασκοπείας, ένα νέο κομμάτι κακόβουλου λογισμικού γνωστό ως "Silver Sparrow" έχει βρεθεί από ερευνητές ασφαλείας από το Red Canary. Αν και έχει βρεθεί σε σχεδόν 30,000 Mac, κανείς δεν ξέρει πραγματικά τι κάνει, εκτός από τον έλεγχο παραγγελιών. Οπως και Ars Technica's Ο Dan Goodin αναφέρει:
Μια φορά την ώρα, οι μολυσμένοι υπολογιστές Mac ελέγχουν έναν διακομιστή ελέγχου για να δουν αν υπάρχουν νέες εντολές που πρέπει να εκτελέσει το κακόβουλο λογισμικό ή δυαδικά αρχεία για εκτέλεση. Μέχρι στιγμής, ωστόσο, οι ερευνητές δεν έχουν ακόμη παρατηρήσει την παράδοση οποιουδήποτε ωφέλιμου φορτίου σε οποιοδήποτε από τα μολυσμένα 30,000 μηχανήματα, αφήνοντας άγνωστο τον τελικό στόχο του κακόβουλου λογισμικού. Η έλλειψη τελικού ωφέλιμου φορτίου υποδηλώνει ότι το κακόβουλο λογισμικό μπορεί να τεθεί σε δράση μόλις πληρούται μια άγνωστη προϋπόθεση.
Επίσης περίεργο, το κακόβουλο λογισμικό συνοδεύεται από έναν μηχανισμό για την πλήρη κατάργησή του, μια ικανότητα που προορίζεται συνήθως για λειτουργίες υψηλής απόκρυψης. Μέχρι στιγμής, ωστόσο, δεν υπάρχουν ενδείξεις ότι η λειτουργία αυτοκαταστροφής έχει χρησιμοποιηθεί, θέτοντας το ερώτημα γιατί υπάρχει ο μηχανισμός.
Εκτός από την προφανή ίντριγκα, το Silver Sparrow είναι επίσης αξιοσημείωτο γιατί είναι μόνο το δεύτερο κακόβουλο λογισμικό που τρέχει εγγενώς στο νέο τσιπ M1 από την Apple. Και, παρόλο που κανένας ερευνητής δεν το έχει δει ακόμη, Το Red Canary έχει αναγνωρίσει ως «μια αρκετά σοβαρή απειλή, μοναδικά τοποθετημένη για να παραδώσει ένα δυνητικά επιπτώσεις ωφέλιμο φορτίο αμέσως.»
Mozilla και Apple Frown Upon Advanced Hardware Features στο Chrome 89
Το Chrome 89 beta της Google περιλαμβάνει ορισμένα νέα API αλληλεπίδρασης υλικού για τα οποία δεν είναι ενθουσιασμένοι οι Mozilla και Apple. Τα API επιτρέπουν στους προγραμματιστές να επικοινωνούν με gamepads και πληκτρολόγια χρησιμοποιώντας λογική για συγκεκριμένη συσκευή, επιτρέπουν σε εφαρμογές ιστού να διαβάζουν και να γράφουν ετικέτες και ένα WebSerial APO επιτρέπει την άμεση επικοινωνία μεταξύ εφαρμογών ιστού και συσκευών με σειριακές θύρες. Όπως ο Tim Anderson στο Το μητρώο εκθέσεις, Η Mozilla και η Apple το βλέπουν ως επικίνδυνο:
Η τρέχουσα στάνταρ θέση του Mozilla… είπε ότι «επειδή πολλές συσκευές USB δεν έχουν σχεδιαστεί για να χειρίζονται δυνητικά κακόβουλες αλληλεπιδράσεις μέσω των πρωτοκόλλων USB και επειδή αυτές οι συσκευές μπορούν να έχουν σημαντικά αποτελέσματα στον υπολογιστή με τον οποίο είναι συνδεδεμένοι, πιστεύουμε ότι οι κίνδυνοι ασφαλείας της έκθεσης Οι συσκευές USB στον Ιστό είναι πολύ ευρείες για να διακινδυνεύσουν να εκθέσουν τους χρήστες ή να εξηγήσουν σωστά στους τελικούς χρήστες για να λάβουν ουσιαστική συναίνεση μετά από ενημέρωση. "
Επιπλέον, επειδή το Google, το Mozilla και η Apple δεν είναι ευθυγραμμισμένα με την ασφάλεια αυτών των API, εάν μόνο ένα από αυτά (Google) τα εφαρμόσει, μπορεί να κάνει προγράμματα περιήγησης όπως ο Firefox και το Safari να φαίνονται σπασμένα επειδή αυτά τα προγράμματα περιήγησης δεν το έκαναν.
Ο ερευνητής αποκαλύπτει μια ευρεία «Σύγχυση Εξάρτησης»
Οι επιθέσεις της εφοδιαστικής αλυσίδας έχουν γίνει πρόσφατα στα νέα. (Ίσως το θυμάστε από την προηγούμενη κάλυψη μας για πράγματα όπως SolarWinds και Malwarebytes.) Αυτό το μήνα, ο ερευνητής Alex Birsan μάς έδειξε μια νέα, τρομακτική έκδοση της επίθεσης εναντίον προγραμματιστών που συνδυάζουν δημόσιες και ιδιωτικές εξαρτήσεις όταν χρησιμοποιούν διαχειριστές πακέτων όπως το NPM ή το RubyGems. Μπίρσαν περιγράφει λεπτομερώς την ευπάθεια στο Medium. Είναι λίγο περίπλοκο, φυσικά, αλλά ουσιαστικά διαπίστωσε ότι οι εισβολείς αναζητούν ονόματα εσωτερικών πακέτων που εκτίθενται κατά λάθος από εταιρείες μέσω πραγμάτων όπως github ή javascript. Στη συνέχεια, ο εισβολέας δημιουργεί αυτό που φαίνεται να είναι υψηλότερος αριθμός έκδοσης αυτού του πακέτου σε ένα δημόσιο αποθετήριο και στη συνέχεια περιμένει να δει εάν έχει ληφθεί και χρησιμοποιείται από τον στόχο του.
Στο άρθρο του, ο Birsan είπε ότι έχουν εντοπίσει αυτήν την ευπάθεια, την οποία αποκαλεί «σύγχυση εξάρτησης» σε περισσότερους από 35 οργανισμούς. Σας συνιστούμε να διαβάσετε το Μεσαίο κομμάτι εάν ενδιαφέρεστε για τις συγκεκριμένες εντολές και εργαλεία που μπορούν να κάνουν κάποιον ευάλωτο σε αυτόν τον τύπο επίθεσης και πώς να μετριάσετε τον κίνδυνο σύγχυσης εξάρτησης.
