LYSSNA NU
Med Doug Aamoth och Paul Ducklin.
Intro och outro musik av Edith Mudge.
Klicka och dra på ljudvågorna nedan för att hoppa till valfri punkt. Du kan också lyssna direkt på Soundcloud.
Du kan lyssna på oss på soundcloud, Apple Podcasts, Google Podcasts, Spotify, häft och överallt där bra poddar finns. Eller bara släpp URL till vårt RSS-flöde till din favoritpodcatcher.
LÄS TRANSKRIPTET
DOUG. Uber hackat, mer om LastPass-intrånget och Firefox 105.
Allt det, och mer, på Naked Security Podcast.
[MUSIKALT MODEM]
Välkommen till podden, alla, jag är Doug Aamoth.
Med mig, som alltid, är Paul Ducklin...
[DRAMATISK RÖST] …värden för Säkerhet SOS-veckan, en stjärnspäckad serie intervjuer med säkerhetsexperter som pågår 26–29 september 2022.
ANKA. Jag gillar ljudet av det, Doug. [skrattar]
DOUG. Ja!
ANKA. Häng med nästa vecka, gott folk.
Det är sista veckan i september.
Vi valde det eftersom det är veckan som leder till månaden för medvetenhet om cybersäkerhet – det är ingen slump.
Så, 26, 27, 28 och 29 september 2022.
Varje dag är det en 30 minuters intervju med en av fyra olika experter på Sophos.
Vi har Fraser Howard, extraordinär malwareexpert.
Vi har Greg Rosenberg, som kommer att förklara utmaningarna med att upptäcka att någon finns i ditt nätverk till att börja med, så att du kan avvärja dem innan det blir fel.
Det är Peter Mackenzie från vårt Incident Response Team, som kommer att berätta några fascinerande, läskiga, men väldigt lärorika historier om angripare som han har skickats i slag mot.
Och vi avslutar det hela med Craig Jones, som kommer att berätta hur du skapar ett eget SecOps-team.
Craig är Senior Director of Security Operations *på självaste Sophos*, Doug, så han arbetar med cybersäkerhet i ett cybersäkerhetsföretag.
Han är en härlig kille, och väl värd att lyssna på.
Webbadressen är: https://sophos.com/sosweek
DOUG. Kan inte vänta... jag kommer att vara där!
Snälla följ med mig, alla – det kommer att bli en rullande bra tid.
Och på tal om en rullande bra tid, det är dags för vår Denna vecka i teknisk historia segmentet.
Något som ligger mig nära och varmt om hjärtat – den här veckan, den 23 september 2008, släpptes världens första Android-telefon.
Den kallades T-Mobile G1, och den hade en 3.2-tums utfällbar skärm som visade ett fullständigt hårdvarutangentbord.
Den hade också en styrkula och inget standarduttag för hörlurar.
Tidiga recensioner var blandade, men hoppfulla.
Tack vare Androids relativt öppna karaktär fortsatte G1 att sälja en miljon telefoner på sex månader och stod vid ett tillfälle för två tredjedelar av enheterna i T-Mobiles 3G-nätverk.
Jag hade en av dessa enheter... det var en av mina favorittelefoner genom tiderna.
ANKA. Aaaaah, styrkula på telefoner, va?
Kommer du ihåg BlackBerries?
Det var grejen, eller hur... den trackballen var riktigt bra.
DOUG. Det var bra att scrolla.
ANKA. Sedan gick de, "Ut med rörliga delar", och det var en infraröd sensor eller något.
DOUG. Ja.
ANKA. Hur tiderna förändras, Doug.
DOUG. Ja... jag saknar det.
ANKA. Precis som du gillade jag de där utdragbara tangentborden som de tidiga telefonerna hade.
Det är något lugnande med att faktiskt höra klick-klick-klick.
Jag tror att det jag verkligen gillade med den är att när du tog ut tangentbordet så skymmer det inte halva skärmen.
DOUG. Exakt!
ANKA. Det var inte som att halva mejlet du läser försvann när du ville svara.
Vilket jag antar att vi precis har vant oss vid nu... det är väl världens sätt, antar jag.
DOUG. Det var länge sedan – enklare tider.
Låt oss prata om Firefox 105-versionen.
Vad är nytt här ur säkerhetssynpunkt, Paul?
ANKA. Lyckligtvis inget som verkar vara i det vilda och inget som bedömer en kritisk nivå av sårbarhet.
Men det finns några spännande sårbarheter.
En där en enskild webbsida som är uppdelad i ett gäng separata IFRAMES kan ha säkerhetstillståndsläckage mellan dessa komponenter.
Så du kanske har en mindre privilegierad ram från en underdomän på din webbplats, till exempel, som inte är tänkt att kunna komma åt webbkameran (eftersom det här felet handlar om enhetsbehörigheter), men det ser ut som om du faktiskt kunna göra det.
Och en annan liknande klingande bugg, där en underdomän till din webbplats – en blogg eller en mikrosajt eller något liknande – faktiskt kan röra sig med cookies på överordnad webbplats.
Åh, och ett gott gammalt "stackbuffertspill vid initialisering av grafik"... bara en påminnelse om att minnesbuggar fortfarande är ett problem!
Och naturligtvis finns det de vanliga "minnessäkerhetsbuggarna fixade i Firefox 105" och i den utökade supportversionen, som är 102.3.
Kom ihåg att i den utökade supportversionen adderas de två siffrorna: 102+3 = 105.
Så, den utökade supportversionen är allt från huvudversionsnumret, plus tre uppdateringar värda av säkerhetsfixar, men med funktionsfixarna som hålls tillbaka.
Så få det medan det är färskt.
DOUG. Snälla gör det!
Låt oss gå vidare till århundradets historia, andlöst rapporterad: "Uber har blivit hackad."
Att titta lite närmare på det... ja, det är dåligt, det är pinsamt, men det kunde ha varit mycket, mycket värre.
ANKA. Ja, Uber har kommit ut med en uppföljningsrapport, och det verkar som att de antyder att en hackningsgrupp som LAPSUS$ var ansvarig.
Vi har pratat om LAPSUS$ i podden tidigare.
Det är en slags "låt oss göra det för lulz", där det inte ser ut som om de faktiskt är ute efter att sälja data, även om de kan ge bort det gratis eller säkert skämma ut företaget med det.
Som jag sa, pinsamheten kommer från den uppenbara omfattningen av brottet, lyckligtvis, snarare än dess djup.
Det verkar som att angriparna ville vandra runt genom nätverket så snabbt som möjligt, ta skärmdumpar och säga, "Hej, titta, här är jag i alla möjliga saker"...
… inklusive Slack-arbetsytor; Ubers hotskyddsprogram (på gammalt språk, antivirus); en AWS-konsol; företagsresor och utlägg.
Det fanns en skärmdump som jag såg publicerad som visade vem som hade lagt in de största T&E [resor och utgifter] krav på senare tid. [SKRATT]
Vi skrattar, men det finns anställdas namn där, så det är ett dåligt utseende eftersom det antyder att personen kunde ha kommit åt anställdas data.
En virtuell vSphere-serverkonsol; Google arbetsytor; och platsen där det verkar som om hackaren faktiskt skrev "UBER HAR BEEN HACKED" med versaler som skapade rubrikerna (det blev till och med rubriken Naked Security).
Tydligen postades det till... (åh, kära, Doug [skrattar] – det är inte roligt, men det är det)
…till Ubers egen bug-bounty-tjänst, vilket är ett väldigt pinsamt utseende.
DOUG. Det känns som att någon tog tag i en Uber-pikétröja och tog på sig den, och sött pratade sig förbi receptionen och sa: "Åh, mitt märke fungerar inte" eller något, kom in i högkvarteret och sedan bara började ta bilder på saker.
Sedan skrev de på anslagstavlan i de anställdas pausrum att de blivit hackade.
Det känns som att den här personen kunde ha varit en Initial Access Broker [jargongterm för hackare som stjäl lösenord och säljer dem vidare] om de verkligen ville.
De kunde ha gjort så många andra dåliga saker medan de var där inne.
Men de tog bara bilder, och det var en pinsamhet för Uber.
ANKA. Ja.
Jag tror att nyckeldetaljen som vi skulle kunna lägga till i din analogi om att "ta sig igenom huvudsäkerhetskontrollen" är att det på vägen in också verkar som att de kunde nå in i det supersäkra hemliga skåpet där åtkomst-allt -områden pass hålls, och purloin en.
DOUG. Ja. [SKratt]
ANKA. Med andra ord, de hittade ett lösenord i ett PowerShell-skript, på en öppet synlig nätverksresurs...
...så de behövde bara tillgång på låg nivå, och det gjorde att de kunde komma in i vad som i huvudsak var lösenordshanteraren för Ubers nätverk.
DOUG. Ja.
Så det är inte så att detta inte var oundvikligt.
Om vi kommer till råden i din artikel här, har vi flera saker som Uber kunde ha gjort annorlunda.
Börjar med: "Lösenordshanterare och tvåfaktorsautentisering är inget universalmedel."
Bara för att du har de... det är en säkerhetsgrind, men det är inte slut på allt för att hålla någon utanför.
ANKA. Absolut.
Vi kommer att prata om LastPass-intrånget om en minut, där det verkar som att angriparna faktiskt inte behövde bry sig om 2FA-sidan.
De väntade bara tills användaren som de skuggade hade gått igenom den övningen själva och "lånade sitt pass".
Så, verkligen, 2FA betyder inte, "Åh, nu behöver jag inte oroa mig för att utomstående kommer in."
Det gör den initiala åtkomsten lite svårare och kan göra den sociala ingenjörskonsten mer komplicerad och mer sannolikt att sticka ut.
Men som du säger, det är en extra säkerhetsgrind.
DOUG. Och nästa, med samma anteckning, är: "När du väl är inne kan du inte bara låta folk vandra runt."
Säkerhet hör hemma överallt i nätverket, inte bara i kanten.
ANKA. Hör jag dig säga orden Nollförtroende, Douglas?
DOUG. [skrattar] Jag skulle...
ANKA. Jag vet att det låter som lite av ett försäljningsspel, och (överraskning, överraskning) Sophos har en Noll Trust Network Access produkt.
Men vi har den produkten eftersom jag tror att det är något som efterfrågas av det sätt som moderna nätverk fungerar, så att du bara får den tillgång du faktiskt behöver för uppgiften.
Och om du tänker efter så gynnar det inte bara företaget som delar upp sitt nätverk.
Det är också bra för användarna, eftersom det betyder att de inte kan göra olyckliga misstag trots att de tror att de försöker göra rätt.
DOUG. Och vi pratar också om: "Regelbunden mätning och testning av cybersäkerhet".
Om du inte kan göra det internt, överväg att hyra ut det, eftersom du behöver se på detta dygnet runt.
ANKA. Ja.
Två klichéor, om jag får, Doug?
DOUG. Du får. [skrattar]
ANKA. Cybersäkerhet är en resa, inte en destination.
Du måste hela tiden se över för att försäkra dig om att [A] gjorde rätt som du tänkt dig och [B] att det du planerade att göra igår fortfarande är ett giltigt och användbart försvar idag.
Och tanken med att ha någon som hjälper dig att granska vad som händer, särskilt när du tror att något dåligt just har hänt, är att det inte slutar med att säkerhetsincidenter blir stora distraktioner för ditt vanliga IT- och säkerhetsteam.
Distraktioner kan faktiskt medvetet seedas av skurkarna för att fungera som en distraktion för attacken som de har planerat för senare...
DOUG. Och så avslutar vi med ett par tips till din personal: "Sätt upp en hotline för cybersäkerhet så att din personal kan rapportera incidenter", och lita på att de hjälper dig genom att rapportera sådana incidenter.
ANKA. Ja.
Många har bestämt sig för att människor är det största problemet.
Jag tycker att det är fel sätt att se på det.
Människor är faktiskt ett av de bästa sätten att du kan lägga märke till saker som du inte förväntade dig.
Det är alltid de saker som du inte förväntade dig som kommer att fånga dig, för om du hade förväntat dig dem, hade du förmodligen förhindrat dem från början!
Ta målet att förvandla alla i din organisation till ögon och öron för ditt eget säkerhetsteam.
DOUG. Väldigt bra!
Och vi har fått mer Uber-täckning.
Paul, du och Chester Wisniewski gjorde en fantastisk minisod, S3 Ep100.5.
Ren åska, om jag får.
Det heter: Uber-intrång – En expert talar.
Du kan höra Paul och Chet prata om det här specifika brottet lite djupare:
ANKA. Jag tror att det viktigaste som kom ut ur den minisoden av podcasten är det du anspelade på tidigare, "Tänk om det här hade varit en Initial Access Broker?"
Med andra ord, om de gick in specifikt för att få lösenorden och kom ut tyst.
Den här typen av breda men ytliga attacker är faktiskt förvånansvärt vanliga, och i många fall, som du föreslog, är problemet att du inte inser att det har hänt.
Dessa skurkar gör allt för att hålla så tyst som möjligt, och tanken är att de tar alla dessa åtkomstlösenord, åtkomsttokens, information de har...
…och sälj det på darkweb för andra skurkar som vill göra mycket specifika saker i specifika delar av ditt nätverk.
DOUG. Okej, vi kommer att stanna på tåget, men vi ska bara byta bil på tåget.
Vi ska gå över och vara försiktiga så att vi inte ramlar ut på perrongen... men vi ska sätta oss i LastPass-bilen.
De har fått en obduktion.
De vet fortfarande inte hur brottslingarna tog sig in, men de erkände det åtminstone.
Och det verkar som att det inte nödvändigtvis var för lulz... så likt men annorlunda än Uber-överträdelsen.
ANKA. Det verkar faktiskt som att den här, kan man säga, var djupare men smalare.
Jag tycker att rapporten är ett bra exempel på hur man tillhandahåller information som faktiskt är användbar efter en attack.
Som du säger verkar de ha gått ut med information som gör det tydligt vad de tror har hänt.
De erkände att de "kända okända".
Till exempel sa de: "Det ser ut som om skurkarna implanterade skadlig programvara som kunde maskera sig som en utvecklare som redan hade loggat in med sitt lösenord och 2FA-kod."
De kom på det, men de vet inte hur det implantatet hände från början, och de var anständiga nog att säga att de inte visste.
Och jag tror att det är ganska bra, snarare än att bara säga "Åh, ja, vi har definitivt åtgärdat alla problem och det här kommer inte att hända igen."
Om jag var en LastPass-användare skulle det göra mig mer benägen att tro på de andra sakerna som jag måste lita på att de ska säga...
…nämligen att utvecklingsnätverket där deras kod stals är skilt från deras andra nätverk, så att angriparna inte kunde nå ut och få saker som kunddata eller lösenordshaschar.
Och jag är också benägen att acceptera LastPass's förklaring (eftersom de kan motivera det) att även om skurkarna *hade* kunnat hoppa från utvecklarnätverket till molnlagringsdelarna av nätverket, och även om de hade kunnat springa iväg med lösenordshashar, det hade varit väldigt svårt för dem att göra något med det.
Eftersom LastPass helt enkelt inte känner till ditt huvudlösenord.
Och de har ett litet diagram som förklarar varför de tror att det är så.
Så jag tror, om jag var en Last Pass-användare, att jag skulle vara benägen att tro på dem.
DOUG. Jag *är* en Last Pass-användare, och jag tyckte att detta var mer betryggande än inte.
Jag var inte så orolig för det här innan, och nu är jag lite mindre orolig, och absolut inte tillräckligt orolig för att dumpa det i grossistledet, ändra alla mina lösenord och sånt.
Så jag tyckte det var ganska bra.
ANKA. En av farhågorna som folk kom ut med när vi först rapporterade om detta intrång är, "Tja, skurkarna kom in i källkodens kontrollsystem. Om de kunde ladda ner all denna immateriella egendom, tänk om de kunde ladda upp några lömska och obehöriga ändringar på samma gång?”
Kanske sprang de iväg med koden så att de kunde sälja den immateriella egendomen, så industrispionage var deras främsta fordon...
…men tänk om det också förekom en supply chain-attack?
Och LastPass försökte svara på den frågan genom att säga: "Vi har granskat källkodsändringar och så vitt vi kan se kunde angriparna inte, eller gjorde inte, några."
De förklarar också hur även om skurkarna hade gjort ändringar, det finns kontroller och balanser som förhindrar att dessa ändringar bara flödar automatiskt in i programvaran som du kan ladda ner, eller som deras egna molntjänster kan använda.
Med andra ord, de har en fysisk separation mellan utvecklarnätverket och produktionsnätverket, och en fullständig och korrekt kodgranskning och testprocess krävs varje gång för att något i huvudsak ska hoppa över det gapet.
Det tyckte jag var lugnande.
De har vidtagit försiktighetsåtgärder som gör det mindre troligt att en supply chain-attack i utvecklingsnätverket kan nå kunder.
Och de verkar ha gjort sitt yttersta för att verifiera att inga sådana ändringar gjordes ändå.
DOUG. Okej, det finns mer om det på nakedsecurity.sophos.com, inklusive en länk till själva LastPass-genomgången.
Låt oss nu vända oss till en av våra lyssnare!
Naked Security Podcast-lyssnaren Jonas skriver i...
…och det här är en gammal-men-en-godis.
Jag skulle inte ha trott detta själv – jag har hört den här historien förut i olika sammanhang, och jag blev faktiskt vittne till detta när jag arbetade som datatekniker redan i början av 2000-talet.
Detta är ett verkligt problem, och det händer.
Jonas skriver:
"I början av 1990-talet hade vårt datorklassrum många Apple Macintosh Classics med 3.5-tums diskettenheter.
På den tiden, när du behövde installera saker, gjorde du det med en massa diskar – Sätt in disk 1; Sätt i skiva 2; och så vidare.
Nåväl, en av mina klasskamrater tog installationsinstruktionerna för bokstavligt.
Hon började med den första disketten, och efter ett tag instruerade installationsprocessen henne att 'Sätt in disk 2', och det gjorde hon.”
Låt det bara sitta där en liten stund...
ANKA. [skrattar lite för högt] Vi borde inte skratta, va?
Instruktionerna kunde ha varit tydligare!
DOUG. Jonas fortsätter:
"När hon återberättade historien sa hon: 'Den andra skivan var lite svårare att få in, men jag lyckades tvinga in den. Men den frågade fortfarande efter den andra skivan.'
Så hon förstod inte varför den fortfarande behövde skiva 2 när hon redan hade satt in skiva 1 *och* skiva 2... och det var ganska svårt att få ut de två skivorna.
Och även då fungerade diskettenheten aldrig igen på den där Macen.
Den behövde bytas ut, men hela klassen lärde sig att du behövde ta bort den föregående skivan innan du satte in nästa."
ANKA. Tja, där har du det!
DOUG. Jag minns alltid mina dagar som tekniker på CompUSA.
Vi hade en disk.
Folk skulle släpa in sina stationära datorer, lägga upp skrivbordet på disken och berätta vad som var fel.
Jag såg en kund komma in och såg omedelbart en diskett inklämd i 3.5-tums diskettenheten, och jag tänkte. "Herregud. Jag har hört den här historien. Jag har läst om det på internet och jag får äntligen uppleva det i verkligheten.”
Den kom inte hela vägen in, men de lyckades halvvägs stoppa in en andra diskett i diskettenheten och de kunde inte få ut den.
Så vi var tvungna att öppna datorns hölje, koppla ur och skruva loss diskettenheten, dra ut diskettenheten från framsidan av datorn, och sedan tog det ett par av oss för att lossa den disketten.
Och såklart måste hårddisken bytas ut...
Tack så mycket, Jonas, för att du skickade in det.
Om du har en intressant berättelse, kommentar eller fråga som du vill skicka in, läser vi det gärna i podden.
Du kan skicka e-post till tips@sophos.com, du kan kommentera någon av våra artiklar, eller så kan du kontakta oss på sociala: @NakedSecurity.
Det är vår show för idag.
Tack så mycket för att du lyssnade.
För Paul Ducklin, jag heter Doug Aamoth, påminner dig tills nästa gång att...
BÅDE. Håll dig säker!
[MUSIKALT MODEM]