Откриването на Android награждава изследовател по сигурността с награда от $70 000 • The Register

Накратко Изследовател по сигурността, чиято батерия на Google Pixel се е изтощила, докато е изпращал текстово съобщение, може да е бил благодарен за прекъсването – включването му отново го е накарало да открие, че е получил $70 000 от Google за грешка при заобикаляне на заключения екран.

Сега закърпена, уязвимостта би позволила на всеки с резервна SIM карта и достъп до устройство да заобиколи изцяло заключения екран, давайки им неограничен достъп до устройството.

Унгарски изследовател по сигурността Дейвид Швец V каза блог пост Открива се, когато той включи своя Pixel 6 и забрави ПИН кода на SIM картата си, което изисква от него да потърси своя личен ключ за отключване или PUK, което ще му позволи да нулира ПИН кода. След рестартиране телефонът му засяда отново и отново на екрана „Running Pixel“.

Шутц се опита да възпроизведе проблема, но веднъж забрави да включи отново телефона. “Както и преди, въведох PUK кода и избрах нов ПИН. Този път телефонът се срина и бях на началния си екран”, каза Шутц.

След още няколко опита Шутц каза, че е сигурен, че има “Напълно заобикаляне на заключения екранна напълно закърпен [at the time] Pixel 6. Взех стария си Pixel 5 и се опитах да възпроизведа грешката и там. И аз успях.”

Проблемът възниква от това, че Android извиква функцията .dismiss() всеки път, когато SIM PUK кодът се нулира. Това, което Android очевидно е направил, каза Шутц, е да отхвърли екрана, подканващ PUK кода да го нулира, докато тази заявка не е изпратена случайно, така че екранът за нулиране на PUK всъщност изчезва. Тъй като активният защитен слой отдолу беше всичко, което беше останало, Android го отхвърли, без да осъзнава грешката.

Шутц каза, че Google бързо е разрешил проблема, когато той го е изпратил, но е мълчал месеци наред. След като поиска да продължи, му беше казано, че проблемът е дубликат. По-късно Google призна, че въпреки че неговият бъг е дубликат, само поради неговия доклад компанията е предприела действия и го е коригирала в актуализацията за сигурност на Android от 5 ноември.

Като дубликат, Google не можа да даде пълните $100 000 за толкова сериозна грешка, която заслужаваше, но компанията реши да му даде $70 000, защото той го накара да работи.

Фишинг банда подобрява играта си

Съобщава се, че заплаха, известна на Microsoft като DEV-0569, е подобрила играта си от фишинг и спам имейли до използване на по-опасни тактики и дори продажба на достъп на оператори на рансъмуер, опитващи се да въведат нова серия от рансъмуер, известна като Royal.

DEV-0569 показва продължаващ модел на иновация, Microsoft Той казакоето прави тези най-нови центрове само една в дългата поредица от тактики, които групата е възприела, и полезните товари, които е внедрила.

Наскоро приетите тактики, забелязани от Microsoft, включват използване на формуляри за контакт на целеви уебсайтове за предлагане на фишинг връзки, хостване на фалшиви инсталационни файлове на фалшиви сайтове за изтегляне, както и легитимни хранилища, и разширяване на злонамерена рекламна дейност в реклами на Google, „ефективно смесване с рекламен трафик.“ Нормално , каза Microsoft.

По отношение на внедряването на рансъмуер Royal, Microsoft каза, че случаите на верижна инфекция DEV-0569 „в крайна сметка са улеснили атаки на рансъмуер, управлявани от хора, разпространяващи Royal“, но компанията не казва изрично, че DEV-0569 стои зад атаките.

Групата вероятно ще продължи да разчита на фишинг и фалшива реклама. Microsoft препоръчва да защитите системите по съответния начин; Например актуализиране на системи, блокиране на определен уеб трафик и т.н.

Друг служител на Booz Allen е хванат за контрабанда на данни

Booz Allen Hamilton Holding Company, бивш служител Бившият изпълнител на NSA W руски гражданин Едуард Сноудън казал на служителите си, че преди да напусне компанията, един от колегите им е откраднал копие от доклад, съдържащ тяхната лична информация.

Много от това.

„Въз основа на нашия преглед беше разкрита лична информация, включително: вашето име, социалноосигурителен номер, обезщетение, пол, раса, етническа принадлежност, дата на раждане, допустимост и статут на разрешение за сигурност на правителството на САЩ към 29 март 2021 г.“, казаха от компанията в изявление. Примерно съобщение [PDF] Изпратете на персонала.

Компанията не вярва, че служителят е възнамерявал да злоупотреби с данните и смята, че заплахата за нейните служители е ниска. Booz Allen обаче предлага две години кредитен мониторинг на Equifax на служителите за всеки случай.

Може би си спомняте, че Буз Алън беше работодател на Едуард Сноудън, когато той изнесе подробности за шпионските операции на НСА в пресата през 2013 г. Това също не е единственият нашумял инцидент на Боз Алън с изтичане на информация: три години след случая Сноудън, друг служител получи Арестуван е със секретни документи Той се измъкна вкъщи от разузнавателния изпълнител.

Сега също може да е добър момент за Booz Allen да обмисли промени в процеса на наемане. ®