Asus інженери відкрили паролі компанії на місяці на GitHub

Asus не має дуже хорошого березня. Існують нові свідчення про серйозні порушення безпеки працівників компанії, цього разу з участю GitHub. Ця новина виникає напередодні проблеми безпеки, з якою компанія все ще має справу.

На початку цього тижня «Лабораторія Касперського» та Symantec публічно заявили, що серйозне порушення безпеки в Asus поставило клієнтів компанії під загрозу. За даними Лабораторії Касперського, до мільйона систем могли бути заражені зламаною версією програмного забезпечення LiveUpdate Asus, як частина цілі орієнтування на 600 дуже конкретних користувачів за MAC-адресою. Asus випустила заяву про атаки, що підтверджує, що штурм був класифікований як APT (Advanced Persistent Threat), тип атаки, зазвичай розгортається національними державами або потенційно в корпоративному шпигунстві, а не звичайними хакерами.

Аналітик з безпеки, який йде за SchizoDuckie, зв'язався з Techcrunch, щоб поділитися інформацією про порушення безпеки, які він виявив у людському брандмауері Asus. За його словами, Asus неправильно публікував власні паролі співробітників у сховищах GitHub. Йому вдалося отримати доступ до внутрішньої електронної пошти компанії, внаслідок чого спільно використовувалися нічні програми, драйвери та інструменти. Рахунок належав інженерові, який, як повідомлялося, залишив його відкритим принаймні протягом року. TC повідомляє, що SchizoDuckie поділився знімками, щоб підтвердити свої висновки, хоча вони не були звільнені.

TechCrunch означає, що ця уразливість не є тим, як хакери з попередньої атаки отримали доступ до серверів Asus, написавши:

Висновки дослідника не зупинили б хакерів, які орієнтувалися на інструмент для оновлення програмного забезпечення Asus із бекдором, що виявилися на цьому тижні, але виявляють яскравий провал безпеки, який міг би поставити компанію під загрозу від подібних або інших атак. 31 січня компанія Kaspersky попередила компанію Asus - щойно напередодні розкриття дослідника 1 лютого - хакери встановили бекдор в додатку компанії Asus Live Update. Додаток було підписано сертифікатом Asus та розміщено на серверах завантаження компанії.

Не зовсім зрозуміло, чи точно Asus визначив, яким чином було скомпрометовано його додаток LiveUpdate. Імовірно, додаток було скомпрометовано з липня по листопад минулого року, а обліковий запис GitHub з опублікованими паролями був активний принаймні за рік до того, як розкриття було зроблено до Asus 1 лютого. SchizoDuckie також повідомила про пошук паролів компаній, які виставляються на GitHub на двох облікових записах інших інженерів.

Новий: дослідник безпеки попереджав Asus місяці тому, що відкриті паролі ставлять мережу компанії під загрозу злому. Один пароль облікового запису надав йому доступ до поштової скриньки електронної пошти, яка використовувалася для спільного використання нічних програм, драйверів та інструментів для власників комп'ютерів .https: //t.co/wl2yXZr4fI

- Зак Віттекер (@zackwhittaker) 27 березня 2019 року

"Компанії не мають поняття про те, що їхні програмісти роблять зі своїм кодом на GitHub," сказав SchizoDuckie. Компанія Asus заявила, що не може перевірити претензії Schizo, але "Asus активно вивчає всі системи, щоб видалити всі відомі ризики з наших серверів і підтримуючого програмного забезпечення, а також забезпечити відсутність витоку даних".

Такі питання безпеки не є унікальними для Asus - ми бачили цілу низку компаній, прибитих невдалою інформацією, - але вони говорять про те, наскільки складною є проблема забезпечення сучасної інфраструктури і наскільки простий витік даних.

Читати далі

Ядро вихідного коду iOS, вирване на GitHub, могло б посилити Jailbreaking

Джейлбрік повернувся, дитина. Крім того, дірки безпеки.

Microsoft Re-Open-Sources MS-DOS на GitHub

Microsoft випустила MS-DOS як програмне забезпечення з відкритим кодом - знову - але на цей раз, на GitHub. Партія начебто 1983 року, дитина.