Работа в Стамбуле

Метка: BGP MiTM

Почему в Google AdSense запретили рекламу криптовалют

   Переводы на криптокошельки, связанные с нелегальной деятельностью, составили 0,14% от всех блокчейн-транзакций

   Вслед за Facebook Audience Network интернет-гигант Google AdSense обратил свою волшебную рекламную палочку в сторону криптовалют и ряда других финансовых продуктов. $40,9 млрд в криптовалютах были получены нелегально в прошлом году, согласно отчету аналитической компании Chainalysis. Сумма средств, переведенных на криптоадреса, которые аналитики связывают с нелегальной деятельностью, снизилась по сравнению с предыдущим годом. В предыдущем периоде объём таких транзакций составляла $46,1 млрд. Абракадабра, и уже в июне реклама бинарных опционов, криптовалют, валютных бирж, криптообменников и контрактов на разницу цен (CFD) в сервисах Google оказалась под запретом. Зачем Google Ads наложил заклятие на крипторекламу и как сообщество реагирует на подобные трюки?

   Вооружение предупреждением

   «Нерегулируемые или спекулятивные финансовые продукты» — так обозначило руководство Google AdSense перечень не подлежащих рекламе категорий. На прямой вопрос о причине внесения изменений в рекламную политику Google AdWords в отношении финансовых продуктов в пресс-службе «Google Россия» мне ответили: «Это связано с тем, что в последнее время мы наблюдаем появление новых сложных финансовых продуктов и считаем необходимым ввести дополнительные меры по защите пользователей». Сумма $40,9 млрд — это предварительная оценка, основанная на данных, имеющихся у аналитиков на текущий момент. По мере того как будут выявляться больше адресов, помеченных как незаконные, связанные с ними транзакции за прошлый год будут включены в итоговую сумму. По прогнозу Chainalysis, через год она может достигнуть уже $51 млрд.

   В сложившейся ситуации, несомненно, Google AdSense, как и Facebook Audience Network чуть ранее, в равной степени защищают и пользователей, и себя. Ограничения на рекламу — это своего рода превентивные меры, которые корпорации используют в качестве «волшебного щита» от финансовых регуляторов. В случае обнаружения схем дроповодов или прямого нарушения законодательства, надзирающие органы и регуляторы могут прийти и наложить штраф, и на рекламную площадку в том числе.

   На данный момент как блокчейн-проекты и ICO, так и площадки вроде Google Ads и Facebook Audience Network вынуждены лавировать в отсутствие определенной, адекватной законодательной базы. Фактически у нас сегодня нет ни закона, ни конкретных запретов от финансовых регуляторов. Ни на международном уровне, ни тем более в России. Юридических обоснований на запрет финансовых инструментов просто не существует. От того интернет-гиганты и вынуждены ориентироваться в этой мутной воде и защищать и свою спину, и своих пользователей. Стоит заметить, что под запрет попадают не только криптовалютные проекты — ранее в истории запрещались и форекс-брокеры, и фармацевтические компании, и азартные игры. Рекламщики Google AdSense с настороженностью относятся и к реабилитационным центрам, предлагающим лечение от разного рода зависимостей. Незаконные переводы в ээтом году составили 0,14% от общего объема блокчейн-транзакций, говорится в отчете. Годом ранее показатель равнялся 0,61%.

   С другой стороны, не все гиганты выбирают осторожную стратегию защиты. Например, с недавних пор за размещение рекламы на всех проектах такого весомого игрока, как Mail.Ru Group, и в партнерской сети компании можно заплатить в биткоинах или же Bitcoin Cash (BCH). Хозяева сетевых площадок смогут и получать доход в криптовалюте. О возможности внедрения биткоина в свою платежную сеть объявил Amazon — по неофициальным данным сервис может создать собственную криптовалюту и выйдет на блокчейн-рынок. Однако, в схемах дроповодов или отмывании денежных средств, полученных нелегално, используются все типы активов. Транзакции, связанные с нарушением санкций, перешли в основном на стейблкоины.

Дроповод своё возмёт

   Что же до сообщества, то с выводом Google AdSense из набора инструментов крипторекламщика ситуация не станет плачевной. Упомянутая мной неопределенность в законодательной области здесь — в своем роде выгодный сумрак. Стандартные зарубежные площадки ограничивают возможность размещать рекламу определенного характера, и все начинают искать новые возможности. И, разумеется, находят. Подключают CPA-агрегаторы, создают свои СМИ и каналы, размещаются на специализированных криптомедиаплощадках, делают свои видеоканалы и так далее. Кстати, согласно вышеупомянутому ответу пресс-службы Google Ads, рекламные ограничения в некоторой степени затронут и видеохостинг YouTube.

   С тех пор как Facebook Audience Network ввел запрет на рекламу ICO, у маркетологов лишь стало на один инструмент меньше. Проекты все так же проводятся, деньги собираются, жизнь маркетологов, и без того непростая, усложняется. Так же и запрет на крипторекламу на площадках Google Ads не смертелен и не убьёт на корню рекламу в индустрии. Наоборот, может стать весьма полезным скам-фильтром для быстро и мощно развивающейся криптоэкономики.

   Одним из крупнейших игроков этого рынка на текущий момент аналитики называют китайский маркетплейс Huione Guarantee. По их данным, на площадке с начала двадцатых годов было проведено транзакций более чем на $70 млрд.

27.01.2025
BGP маршрутизаторы по прежнему уязвимы
Исследователи предупредили о недостатках в программной реализации протокола BGP (Border Gateway Protocol), которые можно использовать для провоцирования отказа в обслуживании (DoS) на уязвимых одноранговых узлах BGP.

Уязвимости были найдены во FRRouting версии 8.4, популярном наборе протоколов интернет-маршрутизации с открытым исходным кодом для платформ Linux и Unix. В настоящее время он используется многими вендорами, включая NVIDIA Cumulus, DENT и SONiC, что создает риски для цепочки поставок.

Проблемы были выявлены в ходе анализа семи различных имплементаций BGP, проведенного Forescout Vedere Labs: FRRouting, BIRD, OpenBGPd, Mikrotik RouterOS, Juniper JunOS, Cisco IOS и Arista EOS.

Список обнаруженных недавно проблем выглядит следующим образом:
- CVE-2022-40302 (6,5 балла по шкале CVSS) — out-of-bounds чтение при обработке искаженного сообщения BGP OPEN с опцией Extended Optional Parameters Length;
- CVE-2022-40318 (6,5 балла по шкале CVSS) — out-of-bounds чтение при обработке искаженного сообщения BGP OPEN с опцией Extended Optional Parameters Length;
- CVE-2022-43681 (6,5 балла по шкале CVSS) — out-of-bounds чтение при обработке искаженного сообщения BGP OPEN.
Наши эксперты пишут, что проблемы «могут использоваться нарушителем для провоцирования состояния отказа в обслуживании на уязвимых одноранговых узлах BGP, что приведет к сбросу всех сессий BGP и очистке таблицы маршрутизации, а сам одноранговый узел перестанет отвечать».

«Отказ в обслуживании может быть продлен на неопределенный срок путем многократной отправки искаженных пакетов. Основная причина — один и тот же уязвимый шаблон кода, скопированный в несколько функций, связанных с разными этапами анализа сообщений OPEN», — пишут наши исследователи.

К своему отчету наши аналитики приложили ссылку на опенсорсный инструмент BGP Fuzzer на основе Python, который поможет всем желающим протестировать безопасность BGP или найти новые проблемы в его различных реализациях.

«Современные реализации BGP роутеров по-прежнему имеют уязвимости, которые могут легко эксплуатироваться нарушителем, — говорят в Forescout. — Для снижения рисков использования уязвимых реализаций BGP, лучшей рекомендацией является как можно более частая установка патчей на устройства сетевой инфраструктуры».
26.01.2025
Как заработать на нелегальном майнинге в 2025 году

Пули летели со всех сторон, но Абдельрахман Бадр оставался невозмутимым. Он хорошенько прицелился, чтобы сделать решающий выстрел, нажал на курок — и вдруг экран монитора погас.

Компьютер вырубился без предупреждения. Абдельрахман удивился. Эта игра никогда прежде не вызвала проблем. Он заглянул внутрь машины, прикоснулся к одной из деталей и, чертыхнувшись, отдернул руку. Видеокарта накалилась настолько сильно, что на пальцах остался ожог.

18-летний юноша не сразу понял, что его компьютер начали использовать криптохакеры. Нарушитель, который мог находиться в любой точке планеты, запустил в компьютер специальную программу, чтобы незаметно использовать его для майнинга биткойнов или какой-то другой криптовалюты.

В настоящее время виртуальными деньгами в мире пользуются более 47 млн человек, хотя их анонимность затрудняет точный подсчет. Возник новый вид бизнеса в сети — криптохакерство. Нарушитель загружает в компьютер ничего не подозревающего пользователя исполняемый файл, и тот начинает, без ведома владельца, производить сложные математические операции, известные под названием «майнинг».

Майнинг — это процесс выпуска виртуальных денег, обогащающий тех, кто им занимается. Криптовалюту затем можно использовать для онлайн-покупок или обменять на обычные деньги.

Использование чужих компьютеров увеличивает доходы криптохакеров, а для простых пользователей оборачивается, во-первых, дополнительными счетами за электроэнергию, и во-вторых, замедлением работы их компьютеров. В отдельных случаях машина может непоправимо сломаться.

Чем мощнее компьютер, тем больше криптовалюты он может производить. На прошлой неделе около десяти суперкомпьютеров в Европе пришлось остановить из-за криптохакерского проникновения. Компьютер Абдельрахмана Бадра относился к средней категории и использовался его владельцем в основном для игр. Со слов Абдельрахмана, он понятия и не имел, как и когда криптохакеры проникли в его машину. Молодой человек думает, что загрузил лишний исполняемый файл случайно.

Примерно за три недели до происшествия Абдельрахмана начал замечать некоторые странности.

«Когда мой компьютер переходил в спящий режим, экран гас, но я слышал, что вентилятор продолжал работать. Я подходил, и рабочий стол сразу открывался без логина. Казалось, что компьютер никогда не спит», — рассказывает Абдельрахман.

Шокирован и возмущен

Это не особо тревожило британского студента, занятого домашними заданиями и подготовкой к экзаменам, пока он не обжег руку. «Тогда я решил поиграть с программой для отслеживания активности компьютера. Все было нормально, пока однажды я случайно не оставил ее включенной на ночь», — вспоминает он. Программа зафиксировала передачу огромного объема данных на странный сайт, о котором Абдельрахман ничего не слышал и никогда не заходил на него. Оказалось, что сайт принадлежит анонимному майнеру, собирающему криптовалюту под названием Monero. Тут-то Абдельрахман все понял. «Я был шокирован и возмущен, — говорит он. — Я всегда гордился тем, что держу свой компьютер в порядке и безопасности. И вдруг я узнаю, что какой-то парень, оказывшийся криптохакером, хозяйничал в нем без моего ведома и наживался, портя мое оборудование и используя моё электричество».

Сотни, а может быть тысячи таких, как Абдельрахман, невольно пополняют виртуальные кошельки кроптобизнесменов. Он продвинутый пользователь, но обнаружил «жучка» случайно.

По мнению Абдельрахмана, кроптомайнерство раскрылось из-за сбоя в исполняемом коде. Обычно майнинг происходит, только когда компьютер находится в режиме сна. Но в тот раз майнинговая программа заработала, когда владелец и сам пользовался машиной.

«Криптоатаки становятся все более изощренными и трудноуловимыми, — говорит Алекс Хинклифф, специалист по компьютерной безопасности из компании Palo Alto Networks. — Чем больше ботов, тем лучше для киберхакеров. Обычный персональный компьютер, сервер, мобильник, «облачный» сервис — любое умное устройство. Количество позволяет вырабатывать много криптовалюты, используя относительно неназойливые и скрытные техники».

Криптохакерство на подъеме

Масштабы криптохакерства растут или сокращаются в зависимости от колебаний курсов криптовалют. Сейчас, по данным исследования, проведенного Palo Alto Networks, оно на подъеме.

«Выгодность криптомайнинга уже не та, что в прошлом, поэтому криптохакеры проникают в самые неожиданные области интернета, стараясь увеличить число ботов», — говорит Райан Калембер из специализирующейся на компьютерной безопасности фирмы Proofpoint.

«Очень часто криптомайнеры добавлены в бесплатный компьютерный код, так что мы находим их спрятанными в самых странных программах по всему интернету», — добавил специалист.

10.01.2025
Сброс BGP-сессии при помощи TCP Connection Reset Remote Exploit

Уже ни раз рассказывал о протоколе ТСР, так что повторятся особо не буду, напомню лишь основные положения: Transmission Control Protocol описывается в RFC 793 и преимуществом его является надежность передачи данных от одной машины к другому устройству по сети интернет. Это означает, что ТСР гарантирует надежность передачи данных и автоматически определит пропущенные или поврежденные пакеты. Что для нас важно из его конструкции?

В общем виде заголовок ТСР пакета выглядит так:

Программа передает по сети некий буфер данных, ТСР разбивает данные на сегменты и дальше упаковывает сегменты в наборы данных. Из наборов данных формируются пакеты и уже они передаются по сети. У получателя происходит обратный процесс: из пакетов извлекаются набор данных, его сегменты, затем сегменты передаются в ТСР стек и там проверяются, потом собираются и передаются программе.

Sequence numbers

Данные разбиваются на сегменты, которые отдельными пакетами направляются по сети получателю. Возможна ситуация, когда пакеты прибудут в точку назначения не по порядку. Это поле — 32-битный номер, определяющий номер сегмента в последовательности, он с каждым пакетом увеличивается и позволяет собрать данные в правильном порядке. В общем смысле значение определяет принадлежит ли пакет активной сессии или нет.

Window

TCP так же предоставляет хостам механизм сказать друг другу сколько данных они хотят получить. Это и есть поле Window — 16 битное число в ТСР заголовке. Будучи однажды заданным, оно говорит хосту, что приниматься будет строго ограниченный объем данных, а остальные пакеты будут отброшены. Если очередь приема будет переполнена, то хост может выставить значение окна приема в 0 и таким образом сказать партнеру по обмену трафиком, что типа мол хорош.

Контрольные биты — SYN, ACK, PSH, URG, RST и FIN, про них уже не раз говорили, так что повторяться не буду.

Атака TCP RESET

Главная идея — сфальсифицировать пакет и прекратить или скомпрометировать установленное ТСР соединение. Давай представим, что существует соединение от хоста А к хосту В. Третий хост С подделывает пакет в котором указывает исходный порт и IP адрес хоста А, порт назначения и адрес хоста В, и текущий sequence number активного ТСР соединения между А и В. Хост С устанавливает RTS бит на пакете, так что когда В получит пакет, он немедленно прекратит соединение. Это приведет к отказу от обслуживания до тех пор, пока соединение не будет восстановлено. На уровне приложения конечно трудно сказать что будет, это скорее зависит от самой программы.

В такой ситуации конечно наиболее уязвимы приложения и протоколы поддерживающие продолжительные соединения. Например BGP (Border Gateway Protocol) от Cisco (см. RFC 1771), так как он основывается на постоянной ТСР сессии между компьютерами. Сбой в работе протокола может привести к “колебанию маршрута” (route flapping), довольно неприятному событию для маршрутизатора.

Уязвимость

Paul Watson, обнаруживший уязвимость, объясняет, что на самом деле такую атаку не так трудно организовать как казалось ранее. По предыдущим подсчетам выяснили, что брутфорс атака на sequence number потребует перебора всех чисел от 1 до 4.294.967.295. Однако это вовсе не так. Например, если ТСР стек на хосте А ограничен window в 16К, стек должен получать все пакеты в пределах этого «окна» и атакующему не обязательно посылать пакеты с установленным RTS во всей последовательности SN, а ограничится только каждым возможным окном, так как ТСР примет любой Sequence number в пределах некоторого диапазона, заданного величиной окна. Таким образом нападающему надо перебрать 4.294.967.295 / 16.384 = 262.143 что бы попасть во все доступные окна.

Вероятно и 262 тысячи может показаться большим числом, однако это не так. Во-первых, при хорошем коннекте атакующий способен генерить десятки тысяч пакетов в секунду. Во-вторых, атаку можно распределить по нескольким хостам. Например на стандартной DSL линии можно производить 250 пакетов в секунду, что исчерпает все варианты за 17 минут, при подключении на скорости 2 МБит/С это уже 4.730 пакетов и всего лишь 60 секунд.

В примере рассмотрен пример окна в 16К, однако по RFC это поле 16 битное, что дает до 64К. Еесли используется полный его размер, то атакующему достается всего 65.537 пакетов, 4 и 15 секунд соответственно. Причем имейте ввиду, что это максимальное время, в среднем оно будет наполовину меньшим (на практике это 3 минуты и 8 секунд). Что касается описанных в уязвимости 4 пакетов, то она возникает только при использовании window scaling, ТСР расширении (см. RFC 1323) где размер «окна» увеличен с 16 до 30 бит (реализовано, например, и в описанном выше BGP). В случае максимального размера атакующему действительно придется послать только 4 пакета что бы реализовать TCP Reset.

Source Port

Все приведенные выше примеры опираются на то, что атакующий знает порт назначения и IP адрес, порт исходный и исходный адрес. Первые два параметра доступны и известны, IP адрес получателя так же не составляет труда узнать — это адрес клиента которого спуфим. Единственный вопрос — исходный порт. Например если ОС случайным образом выдает порт из пула от 1025 до 49.152 (так как например делает OpenBSD), это увеличит количество попыток ровно в 48.127 раз, так как надо будет попробовать подловить номер SN с каждым номером порта. Хорошая новость в том, что большинство ОС, включая Linux и Windows, не используют такой механизм, что сводит на нет вероятность такой защиты.

reset-tcp.c exploit или сплохи средь бела дня

Paul Watson оказался на редкость щедрым и выложил в сеть написаный им reset-tcp.c эксплоит, который собирается достаточно просто даже на простеньком Debian Linux. Перед сборкой советую проверить наличие в системе необходимой библиотеки libnet-1.1.1 и доставить её в случае отсутствия:

apt-get install libnet1-dev

после успешной установки библиотеки в систему переходим к сборке бинарника сплоита:

gcc reset-tcp.c -o reset-tcp /usr/lib/libnet.a
или
gcc -o reset-tcp reset-tcp.c -lnet
** можно также поменять предварительно MAC адрес (enet_src/enet_dst) в коде, во избежание лишних проблем со своим интернет-провайдером, которые могут возникнуть в процессе эксплуатации сплоита

пример запуска:
reset-tcp [interface] [src ip] [src port] [dst ip] [dst port] [window size]

[root@orc EuroTransTelecom]# ./reset-tcp eth1 172.16.0.1 1 172.16.0.2 2 65536

Packets sent: 8192 Sequence guess: 536805376
Packets sent: 16384 Sequence guess: 1073676288
Packets sent: 24576 Sequence guess: 1610547200
Packets sent: 32768 Sequence guess: 2147418112
Packets sent: 40960 Sequence guess: 2684289024
Packets sent: 49152 Sequence guess: 3221159936
Packets sent: 57344 Sequence guess: 3758030848
packets sent: 65535

SYN атака

Reset атака может быть выполнена и без RST бита. Вместо него можно установить SYN бит выполнив точно такую же атаку, что была описана выше. На большинстве реализаций TCP стека в случае получения повторного SYN будет выслан RST с sequence number. Если SYN входит в «окно» текущей сессии, то вместо с RST ответом сессия будет прекращена, а система вероятно даже перезагружена.

Blind data injection

Наконец и третий, но далеко не последний вариант развития событий. Делается все так же как и в предыдущих случаях — брутфорсом подбирается sequence number, только вместо посылки пустых SYN или RST пакетов лепим нормальный пакет с данными. Соединение в таком случае не прервется, а вот что у пользователя соберется на компьютере — совершенно непонятный вопрос. Передаваемые данные будут катастрофически повреждены.

05.01.2025
Сбербанк и дропы площадки процессинга, и кто кого?

Крупных открытых площадок в даркнете, специализирующихся именно на покупке-продаже российских банковских данных, обнале и скаме около десятка, самая большая из них – это Dark Money.

Здесь есть нальщики, дропы, процессинг крипты, связанный с ними бизнес, здесь льют и налят миллионы, здесь очень много денег, но тебе не стоит пока во все это суваться. Кинуть тут может любой, тут кидали и на десятки миллионов и на десятки рублей. Кидали новички и кидали проверенные люди, закономерности нету.

Горячие темы – продажи данных, банковских карт, поиск сотрудников в скам и вербовка сотрудников банков и сотовых операторов, взлом аккаунтов, обнал и советы – какими платежными системы пользоваться, как не попасться милиции при обнале, сколько платить Правому Сектору или патрулю, если попались. Одна из тем – онлайн-интервью с неким сотрудником Сбербанка, который время от времени отвечает на вопросы пользователей площадки об уязвимостях системы банка и дает советы, как улучшить обнальные схемы.

Чтобы пользователи площадки «не перекидали» друг друга, работает услуга «гаранта» — один из модераторов за 10-13% от сделки берет деньги от клиента, и только ее после успешного закрытия передает сумму продавцу. А для всех спорных моментов есть открытый раздел с арбитражем во главе с главным арбитром. Эта схема – гарант и арбитр — используется на всех крупных площадках даркнета.

Dark Money был создан еще в 2012 году. Сначала это была маленькая площадка с 200 пользователями. Но в 2013 году произошел обвал крупной площадки Beznal.cc. В итоге все пользователи перешли на Dark Money. «Администраторы форума вложились в рекламу – на всех известных бордах появились их баннеры, и так сложился костяк пользователей. Теперь только реклама проектов приносит Dark Money по 200 тысяч евро в месяц.

Костяк администрации площадки сложился почти сразу – все затеяли администратор Darkmoney и супермодератор Luca Brasi, а спустя несколько лет к ним присоединился администратор Night Flight, который вывел площадку на новый уровень своими советами по скаму. По данным источника, Darkmoney – это 29-летний Никита Хаджибикян, получивший срок за вывод денег из банков в 2019 году. Это подтверждает и второй пользователь даркнета. А Night Flight – создатель платежной системы Delta Key Андрей Новиков. На форуме он появился в 2013 году, буквально за несколько месяцев стал сначала администратором, а потом главным арбитром. Даже оказавшись под стражей за похищение человека в 2014 году, Новиков продолжил работать на форуме.

На свободе находится только супермодератор Luca Brasi — Николай Журавлев. Про него известно, что ему 31 год, родился и вырос в московском районе Бирюлево. В 2012 году Хаджбикян и Журавлев пытались выдвигаться в муниципальные депутаты по району Восточное Бирюлево, а после провала своей избирательной кампании занялись бизнесом.

Им принадлежало в равных долях четыре компании — в том числе по продаже автозапчастей, компания по предоставлению телефонной связи и небольшое кафе в Светлогорске (Калининградская область) Crazy Tomatos. Все эти фирмы, по данным СПАРК, на сегодняшний день ликвидированы.

Под контролем спецслужб

Большинство русскоязычных площадок даркнета ориентированы на совершения киберопераций за границей – в США, Европе и Азии. Вклады, накопления и товары у западных клиентов застрахованы, а практики расследования киберинцендентов на территории других государств нет как таковой.

На многих форумах запрещено работать в России и странах СНГ. Их услугами пользовался Цент информационной безопасности ФСБ, не скажу, что там все под контролем ЦИБа, даже близко такого нет, но контакты там налажены отлично. А основные направления, чем занимались ребята с форума, – это организация хакерских атак, спам, продажа данных кредитных карт. В России хакерам, продавцам нелегальных услуг и товаров и электронным кидалам очень много что дозволено. Но на форумах есть представители спецслужб, в том числе и ФСБ, и ГРУ, — рассказал специалист по безопасности Никита Козьмин, занимающийся изучением активности в даркнете.

Спецслужбы в курсе деятельности площадок и иногда даже проводят разовые задержания их активных пользователей. Но никаких глобальных мер не принимают. По-своему с хакерами боролся бывший замглавы ЦИБ Сергей Михайлов. Он получил 22 года колонии за госизмену как раз то, что вместе с сотрудником «Лаборатории Касперского» Русланом Стояновым передавал иностранным спецслужбам данные о российских хакерах. В итоге американские власти предъявляли им обвинения не во взломах и атаках, а в совершении кибермошенничества на миллионы долларов. Например, сын депутата от ЛДПР Роман Селезнев был осужден на 14 лет за хищение $50 млн.

Интересно, что именно Михайлову приписывают участие в создании компании по борьбе с киберугрозами Сбербанка – Бизон. Якобы туда он собирался переходить из ЦИБа и даже успел устроить своих подчиненных.

31.12.2024