Аналитик обнаружил новый способ взлома популярных операционных систем Linux — Dependency Confusion. Хакеры делают это при помощи бэкдоров в различных приложениях известных компаний. Эксперт, который обнаружил эту проблему, получил за нее вознаграждения сразу от 35 компаний. Однако не все разработчики вовремя выпустили патчи, и теперь хакеры атакуют уязвимые приложения. Об особенностях атак рассказал эксперт, который ведет курсы по кибербезопасности для детей онлайн.
Как хакеры воруют пароли, курсы по кибербезопасности для детей
Сама уязвимость находится в инструментах для опенсорсных разработчиков. Дело в том, что все опенсорсные приложения работают по одному и тому же принципу. Они ежедневно обновляют свои компоненты, скачивая их из интернета. Как правило это должны быть проверяемые репозитории, которые модерируют аналитики. Но на практике приложения скачивают нужные пакеты практически со всего интернета. Таким образом все пользователи сети получают актуальные патчи и защиту от злоумышленников. Вот только там, где есть свободное скачивание данных, есть и хакеры. Это хорошо знают те, кто прошел курсы по кибербезопасности онлайн бесплатно недавно.
Именно этой особенностью опенсорсных приложений и воспользовались хакеры. Они научились создавать пакеты, содержащие в себе вирусы. При этом сами пакеты называли таким образом, чтобы при ежедневном обновлении их скачивали приложения. Таким образом нелегитимные файлы и попадали в системы пользователей. Этот бэкдор присутствует в приложениях следующих компаний:
- Slack NodeJS;
- Amazon;
- Lyft;
- Zillow.
Безусловно, все дело в том, что ни один хакер не может пройти мимо публичного репозитория. А между тем системы подтягивают их них обновления в автоматическом режиме. К тому же не все пользователи смогут распознать наличие вируса в пакете. Для этого его придется запускать в изолированной среде, что само по себе достаточно сложно.
Почему актуальна проблема Dependency Confusion
Найденную аналитиком уязвимость признали многие разработчики, за что выплатили ему вознаграждение. Разработанную на основе уязвимости атаку назвали Dependency Confusion или «подмена зависимостей». Компании поспешили, насколько это возможно, исправить бэкдор и закрыть вопрос. Сам аналитик спустя некоторое время опубликовал отчет о найденной уязвимости. Вот только совсем скоро выяснилось, что не все разработчики позаботились о своих пользователях. Потому как практически сразу хакеры всего мира начали эксплуатировать Dependency Confusion. При этом знали о баге даже те, кто окончил курсы по кибербезопасности онлайн для начинающих бесплатно недавно.
Злоумышленники начали встраивать в пакеты из репозиториев различные вирусы. Более того, в их числе обнаружили шифровальщики, шпионское ПО и приложения для кражи документов. Также там находились вирусы, которые помогают злоумышленнику закрепиться в системе. Безусловно, целью хакеров была кража конфиденциальной информации у известных компаний. Однако сейчас многие из них переводят весь персонал на Linux. А значит им стоит сильнее беспокоиться о своей безопасности.
Тем не менее, как только проблема начала распространяться по самым популярным репозиториям, разработчики решили принять меры. Самые крупные компании, в том числе Microsoft, выпустили свои рекомендации. Однако, там они рассказали, как можно защитить пакеты от подмены хакерами. Некоторые эксперты, разработавшие курсы по кибербезопасности онлайн с нуля, считают Dependency Confusion самой простой и опасной атакой на Linux.
