Asus інженери відкрили паролі компанії на місяці на GitHub
Asus не має дуже хорошого березня. Існують нові свідчення про серйозні порушення безпеки працівників компанії, цього разу з участю GitHub. Ця новина виникає напередодні проблеми безпеки, з якою компанія все ще має справу.
На початку цього тижня «Лабораторія Касперського» та Symantec публічно заявили, що серйозне порушення безпеки в Asus поставило клієнтів компанії під загрозу. За даними Лабораторії Касперського, до мільйона систем могли бути заражені зламаною версією програмного забезпечення LiveUpdate Asus, як частина цілі орієнтування на 600 дуже конкретних користувачів за MAC-адресою. Asus випустила заяву про атаки, що підтверджує, що штурм був класифікований як APT (Advanced Persistent Threat), тип атаки, зазвичай розгортається національними державами або потенційно в корпоративному шпигунстві, а не звичайними хакерами.
Аналітик з безпеки, який йде за SchizoDuckie, зв'язався з Techcrunch, щоб поділитися інформацією про порушення безпеки, які він виявив у людському брандмауері Asus. За його словами, Asus неправильно публікував власні паролі співробітників у сховищах GitHub. Йому вдалося отримати доступ до внутрішньої електронної пошти компанії, внаслідок чого спільно використовувалися нічні програми, драйвери та інструменти. Рахунок належав інженерові, який, як повідомлялося, залишив його відкритим принаймні протягом року. TC повідомляє, що SchizoDuckie поділився знімками, щоб підтвердити свої висновки, хоча вони не були звільнені.
TechCrunch означає, що ця уразливість не є тим, як хакери з попередньої атаки отримали доступ до серверів Asus, написавши:
Висновки дослідника не зупинили б хакерів, які орієнтувалися на інструмент для оновлення програмного забезпечення Asus із бекдором, що виявилися на цьому тижні, але виявляють яскравий провал безпеки, який міг би поставити компанію під загрозу від подібних або інших атак. 31 січня компанія Kaspersky попередила компанію Asus - щойно напередодні розкриття дослідника 1 лютого - хакери встановили бекдор в додатку компанії Asus Live Update. Додаток було підписано сертифікатом Asus та розміщено на серверах завантаження компанії.
Не зовсім зрозуміло, чи точно Asus визначив, яким чином було скомпрометовано його додаток LiveUpdate. Імовірно, додаток було скомпрометовано з липня по листопад минулого року, а обліковий запис GitHub з опублікованими паролями був активний принаймні за рік до того, як розкриття було зроблено до Asus 1 лютого. SchizoDuckie також повідомила про пошук паролів компаній, які виставляються на GitHub на двох облікових записах інших інженерів.
Новий: дослідник безпеки попереджав Asus місяці тому, що відкриті паролі ставлять мережу компанії під загрозу злому. Один пароль облікового запису надав йому доступ до поштової скриньки електронної пошти, яка використовувалася для спільного використання нічних програм, драйверів та інструментів для власників комп'ютерів .https: //t.co/wl2yXZr4fI
- Зак Віттекер (@zackwhittaker) 27 березня 2019 року
"Компанії не мають поняття про те, що їхні програмісти роблять зі своїм кодом на GitHub," сказав SchizoDuckie. Компанія Asus заявила, що не може перевірити претензії Schizo, але "Asus активно вивчає всі системи, щоб видалити всі відомі ризики з наших серверів і підтримуючого програмного забезпечення, а також забезпечити відсутність витоку даних".
Такі питання безпеки не є унікальними для Asus - ми бачили цілу низку компаній, прибитих невдалою інформацією, - але вони говорять про те, наскільки складною є проблема забезпечення сучасної інфраструктури і наскільки простий витік даних.
Читати далі
Інженерний студент створив MakeShift USB-C iPhone
Між цим та нещодавнє рішення Європейської Комісії щодо портів USB-C, Apple збирається вичерпати виправдання, щоб не зробити перемикач.
Американський армійський корпус інженерів використовує Azure для моделювання шторму
Програма звільняє дорогоцінні урядові ресурси та допомагає Garner ключові уявлення про зменшення руйнування майбутніх бурі.
Стенфордські інженери отримали сонячні панелі, щоб генерувати електрику вночі
Сонячні панелі - це відмінна альтернатива для більш традиційних джерел енергії, але вони приходять з застереженням: їх можна використовувати лише протягом дня. Тобто до цих пір.
Інженери Intel хочуть об'єднати
Тривалий робочий тиждень, несправедливі практики найму та відсутність ясності навколо оплати праці та акцій мають готових інженерів Intel.