Екипът на LockBit твърди, че е изнесъл всички данни, които е откраднал от Boeing в края на миналия месец, след като гигантът за пътнически самолети очевидно е отказал да плати искания откуп.

Бандата е изхвърлила файловете онлайн рано сутринта в петък. Последното изтичане включва около 50 GB данни под формата на компресирани архиви и резервни файлове за различни системи.

Пълното публикуване идва, след като изнудвачите качиха някои файлове, за които се твърди, че са свързани с финансите и маркетинговите дейности на компанията, както и данни за доставчиците.

Скрийншоти на откраднатата информация показват няколко лога на Citrix, което доведе до някои предположения, че LockBit са използвали Citrix Bleed, за да проникнат в системите на отбранителния изпълнител. Засега Boeing отказва да коментира първоначалната точка на проникване в системите си.

Нито едно от изхвърлянията на данни не е потвърдено от The Register, а Boeing отказа да отговори на конкретни въпроси относно инцидента или откраднатите файлове. Говорител ни изпрати този коментар по електронната поща:

Според изследователя по сигурността Доминик Алвиори файловете са съдържали и корпоративни имейли.

„Не съм прегледал целия набор от данни, но имейлите на Boeing и няколко други се открояват като полезни за тези със злонамерени намерения“, каза Алвиери пред The Register.

LockBit за пръв път включи самолетния гигант в своя сайт в тъмната мрежа на 28 октомври, а на 2 ноември Boeing потвърди пред The Register, че е претърпял ИТ проникване. По това време говорител заяви, че пробивът е засегнал бизнеса на производителя с части и дистрибуция.

Дотогава обаче екипът на откупващия софтуер е премахнал Boeing от своя сайт за изтичане на информация и е съобщил на библиотекарите на зловредния софтуер във VX Underground, че преговаря с американската корпорация. Изглежда, че преговорите са се провалили – или може би мултинационалната компания е преценила, че престъпниците не са получили достъп до никаква чувствителна информация и по този начин няма да се изплати да плати искането за изнудване, или пък всъщност никога не е имало преговори – и сега Boeing отново е на сайта за изнудване LockBit

Също така тази седмица най-голямата китайска банка ICBC беше засегната от атака с цел получаване на откуп, която наруши работата на системите за финансови услуги в четвъртък пекинско време. LockBit заяви пред VX-Underground, че е отговорен и за този пробив. ®

Азия накратко Националният координатор по киберсигурност на Австралия определи атаката срещу логистичната компания DP World като „киберинцидент от национално значение“.

В резултат на атаката техниката на DP World в четири австралийски пристанища излезе от строя късно миналия петък. Към момента на изготвяне на доклада съоръженията остават затворени.

Големият доставчик на логистични услуги обработва 40 % от контейнерите, които влизат в австралийските пристанища – така че макар инцидентът да не е спрял всички стоки, които влизат и излизат от страната, въздействието е значително. Властите увериха жителите, че важни доставки могат да бъдат разтоварени.

Характерът на прекъсването не е разкрит, а националният координатор по киберсигурност обеща, че приоритет е възстановяването на услугите, а приписването на вината е задача за друг ден.

В неделя DP World уведоми, че прекъсванията ще продължат „по-скоро няколко дни, отколкото седмици“.

– Саймън Шърууд

Cloud Software Group напуска Китай

Cloud Software Group, компанията майка на Citrix, стана последният технологичен играч, който напуска Китай.

Според Wall Street Journal, Cloud Software Group е съобщила на своите клиенти и партньори в имейл, че на 3 декември 2023 г. ще спре всички нови търговски сделки в Китай, включително Хонконг, поради нарастващите разходи.

Поддръжката и обслужването на съществуващите договори ще продължат.

Сред другите компании, които са напуснали Китай, са LinkedIn на Microsoft, Yahoo и Salesforce.

The Register многократно поиска от Cloud Software Group интервю през 2023 г., но без успех.

Още един високопоставен китайски технологичен ръководител е обявен за изчезнал

Многобройни източници, включително китайското издание CaiLian Press и Financial Times съобщиха, че председателят и главен изпълнителен директор на китайския сайт за стрийминг на игри DouYu.com е изчезнал.

Чен Шаоцзие е бил видян за последен път на 14 август по време на разговора за приходите на фирмата му за второто тримесечие. Според FT Чен е бил отведен от китайските власти.

През май т.г. DouYu беше разследван от Администратора на киберсигурността на Китай (CAC) за проблеми, свързани с неподходящо съдържание в платформата, и му беше даден месец за отстраняване на проблемите. Оттогава CAC продължава да полага усилия за коригиране и изчистване на китайското интернет пространство от материали, които смята за неподходящи.

Смята се, че съоснователят на Alibaba Джак Ма също така е излязъл в дълга непланирана ваканция с любезното съдействие на Пекин. Той стана подозрително тих през октомври 2020 г., след като публично даде някои нежелани съвети относно финансовите регулаторни системи на Китай. Оттогава се появява отново – включително в едно училище през март 2023 г. – но остава предимно извън полезрението на обществеността.

Камбоджа депортира японски измамници

На 6 ноември Камбоджа депортира петима японски граждани, задържани преди това за участие в онлайн измами.

Според японски медии се смята, че групата е извършвала телефонни измами, насочени към японски граждани.

„В миналото Камбоджа се превърна в страна жертва, тъй като чужденците винаги използват Камбоджа като тайно място за извършване на престъпления, което вреди на репутацията на Камбоджа на международната сцена“, оплаква се заместник-генералният директор на имиграционния отдел на Камбоджа Кео Внатон.

„В същото време Министерството на вътрешните работи издаде директна заповед до съответните органи, особено до генералния комисар на Националната полиция и Генералната дирекция на имиграцията, да си сътрудничат с научните изследвания за ефективно пресичане на всички видове трансгранични престъпления“, добави той.

Micron открива нов завод за DRAM в Тайван

Миналата седмица Micron откри нов завод за DRAM в Тайчунг, Тайван. Компанията съобщи на инвеститорите, че заводът ще произвежда масово памет HBM3E и други продукти.

Производителят на чипове заяви, че фабриката играе „ключова роля в разширяването на производствения капацитет на 1-beta процеса и HBM3E в Япония и Тайван, както и в масовото производство на 1-gamma процеса, използвайки EUV технологията за 2025 г.“.

Infosys и AWS сключват сделка за облачни банки в региона на Европа, Близкия изток и Африка

Индийската компания Infosys сключи сделка с AWS за въвеждане на облачна трансформация във финансовите институции.

„Тригодишното сътрудничество ще достави технологична трансформация и специфични за индустрията решения на финансовите организации, подкрепени от съвместни инвестиции във възможностите за излизане на пазара и доставка в региона на ЕМЕА“, се обяснява в консервирано изявление.

Нетната печалба на Singtel се покачва, докато Optus се срива

Ден след като дъщерното дружество на Singtel Optus преживя хаотичен и широко разпространен срив в Австралия, компанията майка обяви[PDF] 83% увеличение на нетната печалба за полугодието.

Увеличението се дължи на сливането на най-големия доставчик на фиксиран широколентов достъп в Индонезия, Telkomsel, от който Singtel притежава малко над 30 %.

Други новини …

През изминалата седмица азиатските бюра на The Register отразиха новината, че Китай възнамерява да разполага с надеждна верига за доставки на хуманоидни роботи през следващите четири години, което не би трябвало да е ужасяващо за никого.

Междувременно продължаващите антагонистични отношения между САЩ и Китай бяха оспорени от технологични експерти, които твърдят, че те носят повече вреда, отколкото полза, особено по отношение на отворените технологии като RISC-V.

Законодателите в Съединените щати, които се опасяват, че Китай и Русия могат да изпреварят в надпреварата за създаване на квантови компютри, заявиха намерението си да хвърлят милиарди за решаване на проблема, за да стимулират американските изследвания в тази област.

От своя страна Китай изкупува цялото оборудване за производство на чипове, което може да му бъде предоставено, преди все по-строгите правила да прекъснат напълно веригите му за доставки, което доведе до краткосрочна печал ба за холандския производител ASML.

Кралят на ускорителния хълм Nvidia вече се е адаптирал към ограничената среда и е разработил чипове, специално за да заобиколи възможно най-близо до границите на това, което е законно да се доставя в Близкия изток, без да се превишава – защото бизнесът си е бизнес.

По-малко обнадеждаващи новини за Китай: най-голямата банка на страната беше засегната от атака с откуп, която извади от строя бизнеса ѝ с финансови услуги за няколко дни – което може да има сериозни последици за нейните партньори и клиенти.

Прегряващ център за данни в Сингапур прекъсна милиони транзакции на двете банки, чиито операции се извършваха в него, след като системата за охлаждане отказа, а след това собствените планове на банките за възстановяване след бедствие не успяха да се задействат – това не е добра новина за страна, която едновременно е все по-зависима от цифровите транзакции и изпитва последиците от изменението на климата.

Накрая индийското правителство обяви, че се бори с дълбоките фалшификати, като нареди на платформите на социалните медии да премахват такова съдържание в рамките на 36 часа след подаването на сигнал, в противен случай ще бъдат наложени санкции. ®

Академично проучване показва как е възможно някой да следи SSH връзките на определени устройства и с малко късмет да се представи за това оборудване, след като безшумно разбере частните RSA ключове на хостовете.

Като се представи за тези устройства, при атаки тип „човек по средата“, използвайки тези изведени частни ключове на хостовете, шпионинът би могъл да наблюдава безшумно данните за вход на потребителите и, като препраща връзките към истинското оборудване, да следи действията на тези потребители с отдалечените SSH сървъри. Обикновено SSH се използва за влизане в дадено устройство и управлението му чрез интерфейс с команден ред, въпреки че има и други приложения.

Казано ни е, че частните ключове на хоста RSA могат да бъдат получени чрез пасивно наблюдение на връзките от клиенти към SSH сървъра на уязвимото устройство: случайни или естествено възникнали изчислителни грешки по време на генерирането на подписа могат да бъдат наблюдавани и използвани за изчисляване на идеално тайния частен ключ на SSH сървъра.

Под естествено възникващи грешки разбираме грешки, причинени от космически лъчи и други малки грешки, които обръщат битове, а под случайни грешки разбираме лошо реализирани алгоритми за генериране на RSA подписи. Човек би си помислил, че първите се срещат толкова рядко, че никой няма да може да се възползва реално от тях, а за вторите вече ще се знае, но сме сигурни, че ако наблюдавате достатъчно SSH връзки към уязвим SSH сървър, в крайна сметка ще видите такава, която можете да използвате.

Тук е важно да се посочи, че не е известно софтуерните библиотеки OpenSSL и LibreSSL, а следователно и OpenSSH, да са уязвими към гореспоменатия метод за приспадане на ключове. Това означава, че според нас огромното мнозинство от устройствата, сървърите и другото оборудване в интернет не са изложени на риск, а това, което ви остава, са някои Internet-of-Things и подобни вградени съоръжения, податливи на атака. Освен това тя засяга само RSA ключовете.

Подробности

Изследването[PDF] е извършено и написано от Киган Райън, Кайвен Хе, Джордж Арнолд Съливан и Надя Хенингер от Калифорнийския университет в Сан Диего (Кайвен Хе работи и в Масачузетския технологичен институт.) Техниката, която екипът е използвал, за да разпознае частните RSA ключове, произтича от изследването на Флориан Ваймер за разбиване на TLS през 2015 г., както и от работата през 2022 г. на няколко от авторите на статията в Сан Диего и други изследвания, датиращи от десетилетия назад, от 90-те години на миналия век.

Инфосек гуруто Томас Птачек, който се изказа много ласкаво за съавтора на изследването от 2023 г. Надя Хенингер, сподели резюме на документа за RSA ключовете тук, ако се нуждаете от лесна за разбиране разбивка на проблема. Дължим шапка и на бившия лешояд на „Реджистър“ Дан Гудин, който в понеделник ни предупреди чрез Ars Technica за документа на Калифорнийския университет в Сан Диего.

По същество, когато клиент се свързва с уязвим SSH сървър, по време на преговорите за установяване на сигурна и криптирана комуникация, сървърът генерира цифров подпис, който клиентът проверява, за да се увери, че говори със сървъра, с който очаква да говори.

Изчисляването на този подпис може да бъде нарушено случайно или инцидентно, както описахме по-горе, по начин, по който интелигентни алгоритми могат да открият от лошия подпис частния RSA ключ на сървъра, който се използва при генерирането на подписа. Една от мерките за противодействие е да се гарантира, че подписът е правилен, преди да се изпрати на клиента; OpenSSL и LibreSSL вече правят това.

Както авторите на статията посочват в резюмето си:

„Пасивен противник може спокойно да следи легитимни връзки, без да рискува да бъде открит, докато не забележи дефектен подпис, който разкрива частния ключ“, заключава екипът. „След това нападателят може активно и незабележимо да се представи за компрометирания хост, за да прихване чувствителни данни.“

Специалистите твърдят, че са сканирали интернет и са прегледали предварително събрани данни за сканиране на SSH, за да измерят разпространението на уязвимите подписи, и заявяват, че техният набор от данни от около 5,2 милиарда SSH записи, обхващащ повече от седем години наблюдения, съдържа повече от 590 000 невалидни RSA подписа.

Използвайки своята техника за възстановяване на ключове с решетка, учените твърдят, че повече от 4900 от тези дефектни подписи разкриват факторизацията на съответния публичен ключ RSA, която те използват, за да получат частните ключове RSA за 189 от тези публични ключове.

По време на изследването си авторите са открили четирима производители, чиито продукти са уязвими към този вид търсене на ключове: Cisco, Zyxel, Hillstone Networks и Mocana. Изследователите са разкрили проблема на Cisco и Zyxel и отбелязват, че и двамата производители „са провели незабавно разследване“.

Cisco установи, че софтуерът ASA и FTD е отстранил проблема през 2022 г., а преди публикуването на статията „проучваше възможностите за намаляване на риска“ за софтуера IOS и IOS XE.

Междувременно Zyxel стигна до заключението, че недостатъкът е засегнал само нейния фърмуер в края на жизнения цикъл, а до този момент е започнала да използва неуязвимия OpenSSL, който, както казахме, е имунизиран срещу този проблем. Изследователите казват, че не са успели да се свържат с Hillstone Networks и Mocana и вместо това са изпратили проблема в Координационния център на CERT.

Твърди се, че уязвима е и имплементацията на SSH сървър, обявяващ се като „SSH-2.0-SSHD“, която може да се използва от някои Java приложения от корпоративен клас. Тъй като техниката за преподаване на ключове се върти около PKCSv1.5, DNSSEC, който използва PKCSv1.5-RSA подписи, също може да бъде изложен на риск.

Те също така отбелязват, че наборът от данни за подписи в IPsec връзки не е достатъчно голям, за да се заключи дали този протокол е уязвим на подобно изтичане на ключове: „Като се има предвид рядкостта на уязвимите грешки в подписите, ние не сме в състояние да заключим много за реализациите на IPsec от нашите данни и смятаме, че този въпрос заслужава по-нататъшно проучване.“ ®

Базираната в САЩ изследователска група IPVM обвини китайската компания за оборудване за видеонаблюдение Hikvision, че е сключила договор за разработване на технология, която може да идентифицира мюсюлмански студенти, които постят по време на Рамазана, въз основа на записите им за хранене.

Hikvision използва страницата си в LinkedIn, за да потвърди, че е спечелила търга за проекта, но отрича, че нейните продукти могат да анализират видеопотоци, за да идентифицират етнически малцинства.

Компанията твърди, че „този проект никога не се е занимавал с разработването и внедряването на посочените функции“.

Hikvision добави, че „се обръща към нас, за да предостави разяснения по този въпрос“. Тя не съобщи до кого ще се обърне.

Но според правителственото съобщение китайският производител на оборудване за наблюдение е трябвало да изпълни изискванията на търга без изключение.

Договорът на стойност 9 млн. долара е изисквал да бъде изградена първата фаза на системата „Интелигентен кампус“ за университета Минцзян в провинция Фуцзян. Университетът отбеляза при ключването на договора през декември 2022 г.

В рамките на 600-страничния търг е описана системата, наречена „Асистиран анализ на студенти от етническите малцинства“, която е предназначена да подпомага „вземането на решения“ от администраторите и включва функция, която предупреждава администрацията за студенти, за които има съмнения, че постят, според IPVM.

Освен че знае дали даден ученик пости, проектът за интелигентен кампус на университета Миндзян проследява и предоставя на ръководството на училището обширна информация за ежедневните навици и живота на човека, според търга.

Това включва подробности за заемането на книги, дестинациите за почивка, използването на паспорти, дейностите на студентските клубове, информация за членовете на семейството и за това, къде се намира кандидатът за членство в Китайската комунистическа партия.

Въпреки че причините за спазването на постите могат да бъдат различни, репресиите на Пекин срещу мюсюлманите пораждат подозрения, че Китай иска да наблюдава уморените и гладни студенти, спазващи свещения месец Рамазан, по време на който вярващите се въздържат от ядене и пиене от изгрев до залез слънце.

Китай е достоверно обвиняван в извършване на нарушения на правата на човека срещу своите мюсюлмански малцинства, включително лишаване от свобода и принудителен труд.

На някои държавни служители е забранено да постят. Държавни служители, студенти и учители в провинция Синдзян, където мнозинството са мюсюлмани, също са получили подобни заповеди.

През юли миналата година Hikvision, както се твърди, е предоставила на китайското правителство технология, която може да идентифицира членове на мюсюлманското уйгурско население по друг договор на стойност 6 млн. долара.

Hikvision отрича доклада, като твърди, че функционалността за идентификация не е налична от 2018 г. насам. ®

Националният център за киберсигурност (NCSC) на Обединеното кралство отново изрази загриженост относно нарастващото ниво на заплаха за критичната национална инфраструктура (КНИ).

В своя годишен преглед, публикуван в полунощ в понеделник, той призна, че нивото на устойчивост на киберсигурността в най-критичните области на Обединеното кралство не е на необходимото ниво, но се опитва да „поддържа темпото“ и да продължи да работи за по-голяма сигурност, въпреки че на хоризонта се очертават все повече проблеми.

„Заплахата се развива. Въпреки че постигаме напредък в изграждането на устойчивост в най-критичните ни сектори, не сме там, където трябва да бъдем“, се посочва в доклада.

„Ще продължим да работим с партньорите от правителството, индустрията и регулаторните органи, за да ускорим тази работа и да сме в крак с променящата се заплаха, включително да проследяваме тяхната устойчивост в съответствие с целите, определени от заместник министър-председателя.“

Националните държави и свързаните с държавата участници – особено тези, които са свързани с Русия, Китай, Иран и Северна Корея – бяха посочени като основни заплахи за сигурността и интересите на Обединеното кралство. За нивото на киберзаплахите за британската КИС допринасят и продължаващият конфликт в Украйна, предизвикан от злощастното нахлуване на Русия, както и общото нарастване на агресивната кибердейност.

Последното предупреждение към операторите на CNI за това, което според NCSC е трайна и значителна заплаха, идва след година на сериозни атаки срещу критични услуги в Обединеното кралство.

През януари „Роял мейл интернешънъл“ беше обект на сериозна атака от групата „ЛокБит“, а това се случи, след като набегът срещу доставчика на софтуер Advanced принуди Националната здравна служба отново да се върне към перото и хартията.

Далеч от Обединеното кралство сериозни атаки срещу CNI бяха извършени и на други територии, като например с ирландската Health Executive Service и фиаското на американския Colonial Pipeline, да не говорим за безбройните разрушителни атаки в Украйна.

В понеделник датската агенция за киберсигурност за CNI също публикува подробен отчет за най-голямата досега атака, с която са се сблъскали организациите от нейния ресор. Двуседмичната атака срещу повече от 20 цели на CNI показа колко бързо могат да се използват уязвимостите, за да се предизвикат широкомащабни смущения.

Обединеното кралство и неговите партньори в областта на разузнаването също така се опитаха да привлекат вниманието към киберзаплахата, пред която са изправени съюзническите CNI през изминалата година, включително чрез сигнали, обхващащи руския зловреден софтуер Snake, позволяващ кибершпионаж, и китайските атаки срещу американски организации.

„Този вид латентна дейност, свързана със заплахи, не може да бъде пренебрегвана и демонстрира интереса, който държавно спонсорираните актьори имат не само да компрометират мрежите на CNI, но и да продължат да съществуват в тях“, се казва в годишния преглед на британците.

В контекста на Китай отново беше разгърната фразата „епохално определящ“ – същата, която правителството на Обединеното кралство използва от известно време насам, за да опише технологичните възможности на Средното кралство. Опасенията от разрастването на Китай като технологична свръхсила са реални в правителството, както беше изразено от главния изпълнителен директор на NCSC Линди Камерън на CYBERUK 2023 по-рано тази година.

„Китай не само се стреми към равнопоставеност със западните държави, но и към техническо превъзходство“, каза тя. „Той ще използва своята техническа сила като лост за постигане на доминираща роля в световните дела. Какво означава това за киберсигурността? Откровено казано, не можем да си позволим да не сме в крак с времето, в противен случай рискуваме Китай да се превърне в доминираща сила в киберпространството.

„Някои може да отхвърлят това като пресилено или плашещо, но това е риск, който ви призовавам да приемете сериозно. Това просто не е нещо, към което някой от нас може да бъде самодоволен.“

Освен самите национални държави NCSC посочи и възхода на свързаните с държавата участници – предпочитаната от нея формулировка за това, което други биха нарекли хактивисти – и как те изразяват готовност да причиняват разрушения, а не типичното повреждане на уебсайтове или краткотрайни DDoS атаки.

„Считаме, че е малко вероятно без външна помощ тези групи да имат възможност умишлено да предизвикат разрушително, а не разрушително въздействие в краткосрочен план“, заяви NCSC. Но тези групировки могат да станат по-ефективни с течение на времето, предупреждава центърът в своя доклад.

„Въпреки че в момента не вярваме, че някой има както намерение, така и възможност да наруши значително инфраструктурата в Обединеното кралство, знаем, че не можем да разчитаме, че тази ситуация ще се запази за неопределено време“, заяви той.

Преодоляване на дисбаланса на приоритетите

Тъй като операторите на CNI в Обединеното кралство са разпределени както в частния, така и в публичния сектор, някои от тях са подложени на търговски натиск в допълнение към този, който им оказват кибератаките.

Тези от частния сектор са подчинени на акционерите и понякога могат да вземат решения в областта на киберсигурността, които не съвпадат с целите на правителството или на NCSC. Възможно е да им се наложи да дадат приоритет на печалбите и стойността за акционерите, а не на разходите за устойчивост на киберсигурността.

Дори и в публичния сектор, където няма такъв търговски натиск, NCSC заяви, че предоставянето на критични услуги може да бъде за сметка на киберустойчивостта.

Това е нещо, което трябва да направим заедно

Поради естеството на заплахата за ДНК, NCSC и правителството на Обединеното кралство работят заедно, за да гарантират, че във всички сектори на ДНК е задължително да се осигури адекватно ниво на устойчивост. До 2025 г. организациите на CNI ще имат цели за устойчивост, които трябва да изпълнят, с идеята всеки оператор да може да се защити от най-разпространените заплахи.

Освен че призовава за по-добро базово ниво на сигурност в цялата индустрия, NCSC заяви, че планира да продължи да формира международни отношения, за да гарантира, че данните за атаки и поуките се споделят, за да се изгради устойчивост въз основа на опита.

„Работата за ограничаване на въздействието на кибератаките срещу CNI на Обединеното кралство, особено на тези, извършвани от национални държави, е предизвикателство, но е постижима. Това е нещо, което трябва да направим заедно.“

Майкрософт повтори значението на обмена на информация в своя доклад за цифровата отбрана тази година, като заяви, че „от първостепенно значение е да се обменят сигнали за сигурност и разузнавателни данни за заплахите между правителствените организации и организациите от критичната инфраструктура в рамките на една държава, за да се осигури устойчивост“.

Той също така похвали различните мерки, предприети от регионите през изминалата година за повишаване на стандартите за киберсигурност на ДНК.

Така например TSA на САЩ повиши изискванията за киберсигурност за организациите в транспортния сектор, а CISA на Чичо Сам направи първите си стъпки към разработването на своите правила за докладване на киберинциденти за Закона за критичната инфраструктура от 2022 г.

ЕС също така въведе NIS2, CER и DORA – и трите се очаква да повишат значително киберустойчивостта в областта на CNI – докато Япония и Мексико също въведоха нови политики за регулиране на киберсигурността на операторите на CNI. ®