Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/27/2025, 7:15:04 PM

Вразливості та бекдори в кібер стратегії «У кібер битві перемагає не той, хто може більше придбати експлойтів, а той, хто створив майстерню експлойтів.» – Сунь Цзи Розпочнемо з основ: усі програми мають вразливості. Кіберпростір є повністю людським витвором, з усіма наслідками, які випливають. Отже, кіберпростір надзвичайно вразливий, що є однією з його фундаментальних характеристик. Інші його характеристики включають відсутність відстані між точками – шлях між ними або миттєвий, або його немає зовсім, а також виняткову структурну складність – прості явища та об’єкти в кіберпросторі дуже швидко еволюціонують у надскладні процеси та мережі. Вразливість кіберпростору є не теоретичною чи гіпотетичною, а реальною та експлуатованою. Вона дозволяє нападникам отримувати негласний доступ до систем. Негласний доступ означає, що власник системи не знає про його існування. Власник створює систему, її політику та заходи безпеки, але вразливості, про які він не знає, відкривають шлях для атак. Таким чином, поряд із санкціонованим доступом легітимних користувачів та адміністраторів з’являється несанкціонований, негласний доступ третіх сторін. Вразливості виникають через складність кіберпростору та недостатню увагу до безпеки. Це не завжди пряма вина розробників, оскільки в деяких випадках вони можуть не мати достатніх знань або часу на захист через вимоги ринку. Нагадую, сучасне програмне та апаратне забезпечення є дуже складним, що робить уникнення вразливостей практично неможливим. Якщо кіберпростір має вразливості, які дозволяють отримання контролю над системами, то наступним питанням є “що ж тоді бекдори”? Бекдор (англ. backdoor) – це функціональність, створена розробниками або третіми сторонами з різними цілями. Легальні бекдори можуть бути необхідні для тестування або адміністрування. Наприклад, адміністративний інтерфейс є бекдором, який дає можливість виправляти помилки у системі. Існують також приховані бекдори, які інтегровані в продукт без відома користувачів і навіть розробників. Деякі з них додаються свідомо третіми сторонами для отримання доступу до системи. Найбільш витончені бекдори використовують вразливості – недоліки коду, про які не знають розробники, і які залишаються невиправленими впродовж довгого часу. Вразливості це корисні копалини кіберпростору. Знання про вразливості є цінним ресурсом, а експлойти – інструменти експлуатації вразливостей – складовою арсеналу для проведення кібер операцій. Вразливості дають змогу кібер операторам за допомогою експлойтів отримати негласний доступ до систем противника. Проте є один нюанс: якщо вразливості справді потужні, вони не лише обіцяють державі доступ до чужих систем, але й несуть загрозу її власній кібербезпеці. Отже виникає дилема: тримати вразливості в секреті та акуратно використовувати їх в кібер операціях, чи повідомляти вразливості розробникам систем, щоб ті могли випустити виправлення та оновлення? У США, наприклад, діє програма Vulnerability Equity Process (VEP), що регулює баланс між накопиченням та розкриттям вразливостей. Відомо, що у 2023 році США повідомили розробників про 39 вразливостей. Але чи були ці вразливості розкриті без заміни на нові? Малоймовірно. Якщо вразливість відома лише одній державі, вона може використовувати її ексклюзивно для власної вигоди. Однак у разі розсекречування цієї інформації в кіберпросторі змінюється баланс сил. Відтак, держави інколи розкривають вразливості з метою захисту власної інфраструктури або позбавлення сторони противника доступу до таких вразливостей. Іноді державні кіберрозвідки можуть втрачати контроль над своїми експлойтами. У 2017 році група під назвою Shadow Brokers, під якою маскувалися росіяни, викрила інструменти АНБ США. Потужні вразливості на кшталт EternalBlue стали доступними для інших угруповань. Це призвело до кількох масових атак, і 2017 рік став відомим як «рік великих мережевих хробаків». Зокрема, кібератака NotPetya, виконана ГРУ рф, вийшла з-під контролю нападників, спричинила каскадні побічні ефекти та завдала значних збитків. Не захистили жертв по всьому світі й оновлення цієї вразливості, випущені компанією Microsoft після сповіщення від АНБ про витік, що відбувся. Адже вразливості нульового дня це лише частина усіх вразливостей, а вразливості це лише частина усіх інструментів кібер операторів. Виправлені в оновленнях вразливості (N-ного дня) можуть бути ефективні проти систем, які довго не оновлювалися, а слабкості та помилки налаштування можуть відкрити доступ до повністю оновлених систем. Отже, ми знаємо, що США мають розвинену систему управління вразливостями. Але чи тільки вони? Швидше за все, ні. Китай, Росія, Іран, Північна Корея та інші держави також працюють у цьому напрямку. Проте рівень їхньої прозорості набагато нижчий. Порівнюючи успіхи різних країн у кіберопераціях, можна зробити висновок, що всі вони діють за схожими принципами: накопичують, досліджують та використовують вразливості. Важливо наскільки ефективно країни контролюють свої арсенали вразливостей, і якщо ці арсенали опиняться в чужих руках – наслідки можуть бути суттєвими. Тепер про найцікавіше: використання вразливостей в якості бекдорів. Цей інструмент не є вигаданим: історія повна випадків успішної інтеграції бекдорів в код програмних продуктів та криптосистем, які на перший (другий, третій та всі наступні) погляд виглядали як вразливості, проте грали роль бекдорів та надавали зацікавленій третій стороні доступ до систем потайки від їхніх власників та розробників. Один такий випадок це епопея з бекдором в Juniper ScreenOS, про яку пише в книзі «Хакери та держави» американський дослідник кіберпростору Бен Бюкенен. Щоб уникнути спойлерів, скажу лише, що в цю серію продуктів в різний час вбудовували свої бекдори американські, китайські та якісь ще невідомі спецслужби. І виглядали вони як справжнісінькі вразливості, яких цілком ймовірно могли припуститися програмісти. Бекдори через вразливості це безпрограшна ситуація для розробників та нападників і ось чому. Нападники отримують секретний доступ до тисяч і тисяч вразливих пристроїв і цей доступ залишається ексклюзивним поки вразливість залишається в таємниці. А розробники в свою чергу отримують змогу правдоподібно заперечувати наявність бекдорів в їхніх продуктах. Відчуваєте вишуканість та красу цього рішення? Спецслужби отримують доступ до потрібних джерел даних, розробники уникають звинувачень в співпраці з спецслужбами, отже всі у виграші. Звісно, окрім власників та користувачів систем. Я припускаю, що бекдори через вразливості це природне явище, точніше усталена операційна концепція в усіх країнах, на території яких ведеться розробка програмного забезпечення. США використовує її в прозорий та зважений спосіб, притаманний ліберальним демократіям. Проте щодо інших країн відкритої інформації немає, лише здогади. Наприклад, згідно з чутками від інсайдерів індустрії, ізраїльський виробник шпигунського програмного забезпечення Paragon, заснований колишнім командирам елітного загону ізраїльської кіберрозвідки та колишнім прем’єр-міністром Ізраїлю, використовує в своєму програмному продукті Graphite в тому числі й вразливості протоколів приватних месенджерів WhatsApp, Signal та Telegram. Тобто дозволяє своїм клієнтам перехоплювати повідомлення цілі без встановлення шкідливого програмного забезпечення на її смартфон. Чутки та інсинуації, скажуть скептики. Гаразд, ось ще приклад: в пакеті встановлення системі віртуалізації Parallels, яка зараз юридично розташована в США, проте походить з російської федерації, з серпня 2020 р. до лютого 2025 р. існувала вразливість нульового дня, яка дозволяла нападнику підвищити привілеї в macOS. Щоправда, вона була виправлена в листопаді 2023 р., але у спосіб, що дозволяв обійти це виправлення. Так, вектор атаки тут нетривіальний та вимагає трохи соціальної інженерії, проте з цим у кваліфікованих кібер операторів проблем немає. Ну і вишенькою на торті: на початку 2025 р. було виправлено вразливість нульового дня в 7-Zip, яку російські кібер оператори використовували для атак на українські організації. Попередню вразливість виконання довільного коду в 7-Zip було виправлено у 2023 році. До того була ще одна вразливість у 2018 році. Нагадаю, що 7-Zip – це популярний файловий архіватор, розроблений російським програмістом Ігорем Павловим у 1999 році. Послідовність таких прикладів можна продовжувати, проте чи є в цьому сенс? Кількістю гіпотетичних та недоведених випадків переконати скептиків дуже важко. Тому доведеться чекати, адже всі таємниці колись стають історичними фактами. З огляду на мої спостереження, я наполегливо рекомендую українським громадянам, українським організаціям та українській державі повністю відмовитися від використання програмних продуктів російського походження. Це стосується всіх розробок без виключення, адже правовий режим та розвідувальні традиції держави-агресора не дають змоги сумніватися в її здатності вдаватися до рішучих заходів з метою отримання доступу до чутливої інформації та здійснення руйнівних ефектів. Я переконаний, що в більшості, якщо не в усіх, програмних продуктах російського походження існує можливість негласного доступу через буцімто невідомі розробнику вразливості. Це дає рф змогу досягати стратегічних цілей в кіберпросторі, а розробникам – правдоподібно заперечувати причетність до дій російських спецслужб. Деколи для того, щоб в шпигунів все вдавалося, охоронцям треба просто дивитися в інший бік. Щодо зустрічного питання: як протидіяти агресору на його полі? Маю й гарні новини: стан захищеності російського вітчизняного програмного забезпечення далекій від ідеалу, він навіть далекий від середнього рівня західних розробників. Тому в цьому сенсі в усіх противників росії «шалений потенціал. Якщо не припинимо – все буде. Треба розкрутити тільки.» Дякую за увагу, підписуйтесь де прочитали, і бережіться.

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/20/2025, 5:42:01 AM

Перед тим як ви (знову) завелися що «сигнал зламали»: ні, це (вкотре) не так. Просто не фотайте кожен qr код і перевіряйте приєднані пристрої хоча б раз на місяць

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/21/2025, 8:53:07 AM

Ну вже несеться, тому доповнюю попередній пост контекстом. Google TIG опублікувала звіт про фішингові кампанії проти користувачів Signal. Так, Сигнал напевно найбільш захищений зараз месенджер. Так, він захищає ваше листування від найширшої низки загроз. Проте ні, він не запобігає користувачу додати до своєї обліківки пристрій ворожого розвідника, просканувавши QR-код замаскований під запрошення в чергову групу ситуаційної обізнаності. Тому ловіть рекомендації з захисту ваших Сигналів і поділіться ними з друзями, командирами та підлеглими. 1. Обережно ставтеся до QR-кодів Ніколи не скануйте QR-коди з неперевірених джерел, особливо отримані у повідомленнях або електронних листах. Не довіряйте повідомленням, що містять посилання або QR-коди з вимогою негайної дії. Завжди перевіряйте відправника через надійний, бажано голосовий або відео канал зв'язку. 2. Регулярно перевіряйте підключені пристрої Переглядайте список пристроїв, пов’язаних із вашим акаунтом Signal, та видаляйте незнайомі у Налаштування > Пов’язані пристрої. 3. Увімкніть блокування екрану зі сильною автентифікацією Використовуйте складний пароль, відбиток пальця або розпізнавання обличчя для захисту доступу до вашого пристрою. 4. Оновлюйте додатки та операційну систему Завжди оновлюйте Signal та ОС вашого пристрою, щоб отримувати найновіші виправлення безпеки. 5. Увімкніть блокування повторної реєстрації Активуйте Блокування реєстрації Signal у Налаштування > Акаунт, щоб запобігти несанкціонованій повторній реєстрації вашого номера на склоновану, викрадену або "відновлену" SIM-картку. 6. Не створюйте групи через посилання-запрошення Не використовуйте загальнодоступні посилання для додавання учасників у групи. Натомість, додавайте і видаляйте учасників групи персонально – перевіривши їхній контакт.

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/17/2025, 9:30:16 AM

Huawei Technologies відзвітував про дохід у розмірі понад $118.3 млрд у 2024 році. Ріст на 22% за рік попри міжнародні санкції та багатовекторній тиск США. Ріст обумовлений експансією на ринки кінцевих пристроїв (смартфони, планшети, IoT) та електромобілів. https://archive.ph/Dc1GG

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/17/2025, 9:29:58 AM

Двопартійна група законодавців Палати представників (вкотре) наполягає на створенні у Пентагоні кіберсил. У разі ухвалення ініціативи, буде повністю реформовано підхід США до формування та застосування кібер спроможностей, а почнеться це з капітального ремонту Кіберкомандування. Паралельно двопартійний тандем сенаторів ініціює зміни в законі, за якими організована кіберзлочинна діяльність стає федеральним злочином. Мій прогноз: цього разу все відбудеться, бо Трамп любить створювати нові сили. Минулого разу були космічні, цього разу будуть кібер. https://www.politico.com/newsletters/weekly-cybersecurity/2025/02/10/lawmakers-unite-to-push-forward-cyber-force-00203283

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/12/2025, 9:10:23 AM

Трохи про розуміння військовим керівництвом можливостей та спроможностей операцій в кіберпросторі https://youtu.be/q1B6SfTbT6g?t=3475

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/6/2025, 2:06:39 PM

Якщо хочете розібратися в ролі кібер операцій в міжнародних конфліктах, почніть з прочитання всіх матеріалів, згаданих в цій статті https://www.atlanticcouncil.org/content-series/the-5x5/the-5x5-cyber-conflict-in-international-relations-a-scholars-perspective/

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/16/2025, 2:21:35 PM

*Стратегія vs Велика стратегія: як не програти після перемоги* Joshua Rovner у своїй книзі *Strategy and Grand Strategy* пояснює, чому стратегія допомагає виграти війну, а велика стратегія — не допустити нової. Це критично важливе розрізнення, яке має бути в центрі уваги української безпекової спільноти. *Чому це важливо?* Невміння розрізняти стратегію та велику стратегію призводить до національних катастроф. Стратегія — це захист від загроз тут і зараз. Велика стратегія — це формування умов, у яких захист не знадобиться. - *Стратегія* — це армія, флот, зброя. - *Велика стратегія* — це міжнародні альянси, економічна інтеграція, культурна експансія. Блискуча стратегія може принести перемогу, але якщо велика стратегія хибна — перемога буде пірровою. *Уроки з історії* 📌 *Франція у війні за незалежність США* — чудовий приклад розриву між стратегією та великою стратегією. Французька армія і флот забезпечили поразку Британії, але виснажили власну економіку та фінансову систему. Результат? Революція та крах монархії. 📌 *Британія після війни* — навпаки, змогла адаптувати свою велику стратегію. Втрата колоній призвела до переосмислення безпеки: ставка на глобальне домінування через флот замість сухопутного контролю. У підсумку — два століття світового лідерства. (Шокуючі для мене особисто цифри: десять років після війни Британія інвестувала в розвиток королівського флоту 40 (сорок!!) % державного бюджету). *Висновки для України* Щоб не опинитися в пастці короткострокового мислення, потрібно чітко розуміти: ✔️ які джерела політичної сили ми можемо перетворити на гарантії безпеки; ✔️ які міжнародні механізми забезпечать стабільність після перемоги; ✔️ як уникнути конфлікту між стратегічними цілями та довгостроковими інтересами держави. Без глибокої великої стратегії навіть найкраща оборонна стратегія не гарантує майбутнього. Україна має перемогти у війні — і виграти мир.

Влад Стиран | Хакер, що біжить | Кібербезпека, приватність, біг, медитація

2/4/2025, 2:39:45 PM

"Вразливість нульового дня в 7-Zip, CVE-2025-0411, була використана російськими кіберзлочинними групами для атак на українські організації за допомогою шкідливого програмного забезпечення SmokeLoader." Попередня вразливість виконання довільного коду в 7-Zip була виправлена в 2023 році. До того була ще одна, в 2018 р. 7-Zip це універсальний архіватор, розроблений російським програмістом Іґорєм Павловим в 1999 р. Це були новини, а тепер ніяк не пов'язаний з ними анонс, що в мені вже кілька тижнів зріє текст про - вразливості як бекдори для російських розвідслужб, - вразливості як способи правдоподібного заперечення співпраці російських розробників софта з російськими розвідслужбами, - експлуатацію "переваг домашнього поля" в операціях кібер збору усіма гравцями, - та до чого тут ТікТок, Телеграм, 1С та mailru Скоро зізріє, тому не відписуйтесь та запрошуйте друзів