Știri
Știri din categoria Securitate cibernetică
Infectarea a peste 2,3 milioane de dispozitive prin Google Play ridică riscul de fraudă și costuri operaționale pentru utilizatori și companii, după ce aplicații aparent legitime au livrat malware-ul „NoVoice” direct din magazinul oficial, potrivit antena3.ro. Miza practică: compromiterea poate ajunge până la accesarea datelor sensibile, inclusiv din aplicații bancare, iar în unele cazuri eliminarea completă a infecției poate fi dificilă.
Malware-ul a fost identificat de cercetătorii McAfee, iar aplicațiile afectate au fost ulterior raportate și eliminate de Google. Autorii nu au fost identificați oficial, însă comportamentul este descris ca fiind similar cu cel al unor grupuri cunoscute, ceea ce a generat avertismente suplimentare pentru utilizatorii Android.
Spre deosebire de scenariile obișnuite, în care infectarea vine din instalări din surse externe, de această dată aplicațiile au ajuns în Google Play ca jocuri, aplicații de „curățare” sau galerii foto și funcționau normal la prima vedere. Codul malițios era ascuns și se activa după instalare, ceea ce i-a permis să treacă de verificările inițiale.
După deschidere, malware-ul rula în fundal și încerca să exploateze vulnerabilități mai vechi din Android, corectate în intervalul 2016–2021. Dacă obținea acces complet, își ascundea componentele în pachete care păreau legitime și încărca în memorie cod malițios mascat în fișiere aparent inofensive.
Odată activ, malware-ul colectează date despre dispozitiv (detalii hardware, versiunea Android, aplicațiile instalate și statutul de securitate) și le trimite către un server de comandă și control, repetând procesul la fiecare 60 de secunde, împreună cu primirea de instrucțiuni noi.
După compromitere, capabilitățile descrise includ:
Publicația notează și un element operațional important: pentru persistență, malware-ul poate instala scripturi în zone greu accesibile ale sistemului, iar în unele situații nici resetarea la setările din fabrică nu îl elimină complet.
Potrivit Google, dispozitivele actualizate după mai 2021 sunt protejate, deoarece vulnerabilitățile exploatate au fost corectate. Cele mai expuse rămân telefoanele mai vechi, care nu mai primesc actualizări de securitate.
Printre semnele menționate că un telefon ar putea fi infectat:
În astfel de cazuri, recomandarea este ca dispozitivul să fie deconectat de la internet și verificat de un specialist.
Recomandate
Google pare să pregătească migrarea cheilor de acces pe Android , prin opțiuni de import și export în Google Password Manager, un pas care ar reduce blocarea utilizatorilor într-un singur dispozitiv și ar face mai simplă trecerea la un telefon nou, potrivit GSMArena . Cheile de acces (passkeys) sunt o alternativă la parole, bazată pe criptografie: utilizatorul păstrează local pe dispozitiv o cheie privată, iar serviciile online primesc cheia publică asociată. Autentificarea se face apoi printr-o metodă sigură pe dispozitiv (de exemplu, biometrie), fără a mai introduce o parolă. De ce contează: transferul între dispozitive rămâne „veriga” sensibilă Principalul obstacol practic pentru adoptarea cheilor de acces este migrarea lor atunci când utilizatorul schimbă telefonul sau își pierde dispozitivul. Pentru asta există Credential Exchange Protocol (CXP) , un standard în dezvoltare susținut de FIDO Alliance , care permite transferul sigur al acreditărilor între furnizori și dispozitive. GSMArena notează că, deși Google se numără printre susținătorii CXP, compania nu a implementat oficial până acum CXP în Google Password Manager și, implicit, în Android. Ce a fost observat: interfață „ascunsă” pentru import/export Conform articolului, Android Authority a reușit să activeze o interfață încă ascunsă în Google Password Manager care permite atât importul, cât și exportul cheilor de acces. Miza este operațională: pe Android, transferul prin CXP se bazează pe Google Play Services și pe Google Password Manager pentru a „muta” cheile între furnizori, iar existența acestei interfețe sugerează că fundația tehnică necesară este deja pregătită. Ce ar putea urma Dacă funcționalitatea va fi lansată oficial, este probabil să apară opțiuni de migrare a cheilor de acces nu doar în Google Password Manager, ci și în alți manageri de parole care rulează pe Android și suportă passkeys, fiind menționat ca exemplu Samsung Pass. Publicația subliniază însă că, în acest moment, este vorba despre o funcție neanunțată oficial și încă ascunsă în aplicație. [...]
Un atac asupra emitentului european StablR a arătat că stablecoin-urile pot „ceda” operațional și financiar chiar și când nu există o vulnerabilitate în cod , după ce au fost create tokenuri neacoperite în valoare de 13,5 milioane de dolari (aprox. 61,5 milioane lei), iar atacatorul a extras circa 2,8 milioane de dolari (aprox. 12,7 milioane lei) în ether, potrivit Gizmodo . Incidentul a avut loc pe rețeaua Ethereum , prin portofelul de tip multisignature (multisemnătură) folosit pentru „minting” (emiterea de tokenuri) de către StablR. Configurația era 1-din-3, adică o singură semnătură autorizată putea aproba tranzacții. Atacatorul ar fi compromis o cheie privată, s-a adăugat ca administrator și i-a eliminat pe operatorii legitimi, apoi a emis aproximativ 8,35 milioane USDR (stablecoin legat de dolar) și 4,5 milioane EURR (stablecoin legat de euro). Firmele de securitate blockchain Blockaid și GoPlus Security au descris cauza drept o problemă de configurare și de administrare a cheilor, nu un defect al contractelor inteligente (smart contracts) în sine. De ce contează: „siguranța” stablecoin-urilor depinde și de operațiuni, nu doar de cod După emiterea tokenurilor neacoperite, atacatorul le-a schimbat pe burse descentralizate (DEX). Lichiditatea redusă a limitat suma ce putea fi scoasă, însă atacatorul a plecat cu aproximativ 1.115 ether, evaluați la circa 2,8 milioane de dolari la acel moment. Spre deosebire de multe stablecoin-uri cu emitent centralizat, ether nu are mecanisme de intervenție care să permită înghețarea rapidă a fondurilor sau inversarea tranzacțiilor, ceea ce complică recuperarea. Efectul imediat a fost deteriorarea „ancorării” (peg) la monedele de referință: USDR și-a revenit, însă EURR era tranzacționat cu aproximativ 17% sub valoarea țintă, potrivit datelor CoinMarketCap citate de publicație. Pentru utilizatori, asta înseamnă că un instrument promovat drept „dolar/euro digital” poate introduce pierderi prin devalorizare, chiar dacă promisiunea este stabilitatea. Măsuri de limitare și întrebarea-cheie: cine acoperă pierderile StablR a reacționat prin înghețarea ambelor tokenuri, suspendarea emiterilor și răscumpărărilor și solicitarea către burse să oprească tranzacționarea, depunerile și retragerile, potrivit CoinDesk, citat de Gizmodo. Rămâne neclar dacă și cum vor fi despăgubiți utilizatorii afectați. Conturile oficiale de pe X asociate stablecoin-urilor au transmis: „Vom împărtăși detalii verificate și pașii următori cât mai curând posibil.” Context: centralizare, „uși din spate” și riscul de reglementare prin înghețări Materialul plasează incidentul într-o tensiune mai largă: stablecoin-urile sunt mai controlate decât criptomonedele „native”, tocmai pentru că pot include mecanisme de înghețare sau confiscare, utile în unele cazuri, dar care reintroduc intermediari de încredere (trusted third parties) pe care tehnologia blockchain pretinde că îi elimină. Gizmodo amintește și exemple recente: Circle a fost criticată de o parte a comunității cripto pentru că nu ar fi folosit suficient aceste pârghii în alte incidente, iar guvernul SUA a înghețat 344 milioane de dolari în USDT (Tether) într-un alt caz menționat de publicație. În paralel, competiția și presiunea pe modelul de afaceri cresc: Circle ar fi strâns recent 222 milioane de dolari într-un „presale” pentru tokenul ARC, pentru a-și finanța propriul blockchain și a reduce dependența de rețele precum Ethereum și Solana. Pentru piață, concluzia practică este că „stabilitatea” stablecoin-urilor nu ține doar de rezerve și de cod, ci și de guvernanță, administrarea cheilor și capacitatea emitentului de a gestiona rapid o criză — inclusiv cu efecte directe asupra prețului și lichidității. [...]
Rusia mută costurile securității anti-drone către sectorul financiar , după ce o lege nouă permite Băncii Centrale și altor instituții financiare să își creeze sisteme de apărare și să își înarmeze personalul pentru a respinge atacurile cu drone, potrivit Adevărul , care citează un document publicat de Duma de Stat. Măsura vine pe fondul intensificării atacurilor ucrainene asupra țintelor din Rusia, inclusiv asupra infrastructurii energetice, pe care Kievul o vizează pentru a reduce veniturile Moscovei și a grăbi încheierea conflictului, potrivit Agerpres. Ce permite noua lege și unde ar putea apărea sistemele anti-drone Conform informațiilor din documentul publicat de Duma de Stat, sistemele de apărare împotriva dronelor ar putea fi amplasate în proximitatea unor obiective financiare majore, inclusiv: Banca Centrală a Rusiei ; Sberbank , cea mai mare bancă comercială din Rusia; Asociația Rusă de Colectare a Numerarului. În plus, personalul acestor instituții va avea permisiunea de a fi înarmat, în cadrul aceluiași cadru legal. Cine plătește: instituțiile, nu statul Costurile pentru apărarea anti-drone vor fi suportate de instituțiile vizate, potrivit lui Anatoli Aksakov, șeful comitetului financiar din Duma de Stat, citat de agenția RBC. Practic, legea creează o obligație operațională și financiară care se transferă către bănci și alte entități financiare, într-un context de risc de securitate în creștere. Context: atacuri asupra infrastructurii financiare În material este menționat un atac asupra birourilor Băncii Rusiei din Sevastopol (Crimeea), despre care guvernatorul local Mihail Razvozhaev a spus că ar fi fost comis cu o rachetă Storm Shadow de fabricație britanică. Potrivit sursei, acesta ar fi fost primul atac asupra unui sediu important al băncii centrale de la începutul războiului. Nu au fost raportate atacuri asupra unor sedii importante ale Sberbank, mai notează publicația. Separat, Alexander Șokhin, șeful celui mai influent grup de lobby al mediului de afaceri din Rusia, i-a transmis președintelui Vladimir Putin că firmele rusești sunt pregătite să finanțeze achiziția de arme și sisteme electronice pentru a-și apăra infrastructura de atacurile cu drone. [...]
Atacatorii folosesc deja AI ca să găsească breșe „zero-day” care pot ocoli inclusiv autentificarea în doi pași , iar asta mută presiunea operațională pe companii: controalele clasice și scanările automate nu mai sunt suficiente pentru a prinde vulnerabilități de logică, greu de observat în testele standard, potrivit Mediafax , care citează Euronews și un raport al Google Threat Intelligence Group . Google spune că a identificat pentru prima dată un atac în care inteligența artificială a fost folosită pentru a descoperi și exploata o vulnerabilitate „zero-day ” – o breșă necunoscută inclusiv dezvoltatorilor și pentru care nu există încă o soluție de protecție. Compania afirmă că a detectat atacul înainte să fie lansat la scară largă și a avertizat discret compania afectată. De ce contează pentru companii: 2FA poate fi ocolită, iar „scanarea” nu mai ajunge Ținta a fost un sistem popular de administrare web, iar vulnerabilitatea identificată cu ajutorul AI ar fi permis ocolirea autentificării în doi pași (2FA), una dintre măsurile considerate esențiale în protecția conturilor. În raportul citat se arată că „actorul criminal intenționa să folosească vulnerabilitatea într-un atac masiv”. Miza operațională este că astfel de breșe nu arată ca erorile „clasice” de programare. Specialiștii citați explică faptul că era vorba de o contradicție logică ascunsă în structura codului: instrumentele tradiționale caută, de regulă, erori evidente sau probleme de memorie, în timp ce AI poate analiza logica sistemelor și poate identifica excepții sau reguli contradictorii pe care oamenii și programele standard le pot rata. Raportul compară situația cu „un seif bancar” care are o încuietoare funcțională, dar se deschide pentru cineva care știe o excepție secretă introdusă accidental. AI „industrializează” atacurile: de la căutarea de breșe la phishing personalizat Google avertizează că grupări asociate cu China și Coreea de Nord folosesc deja AI pentru a căuta vulnerabilități la scară industrială, inclusiv prin trimiterea a mii de solicitări automate pentru analizarea vulnerabilităților software și construirea rapidă de instrumente de atac. În paralel, grupări asociate cu Rusia ar dezvolta malware care se rescrie singur pentru a evita detectarea de către programele antivirus. Raportul mai indică o schimbare și în phishing: în locul mesajelor generice trimise în masă, atacatorii folosesc AI pentru a analiza organigrame, a identifica angajați-cheie și a crea mesaje credibile și personalizate, mai greu de depistat chiar și de utilizatori cu experiență. „Combatant activ”, nu doar instrument: cum răspunde Google Una dintre concluziile raportului este că AI nu mai funcționează doar ca instrument de analiză, ci ca participant direct în lanțul ofensiv. „LLM-ul nu mai este doar un consilier pasiv, ci un participant activ în lanțul ofensiv”, avertizează Google. Compania spune că folosește, la rândul ei, AI pentru a detecta și repara vulnerabilități mai rapid decât ar putea-o face echipele umane, însă avertizează că avantajul tehnologic dintre atacatori și apărători devine tot mai fragil. [...]
Un incident de concediere s-a transformat într-un atac intern care a șters 96 de baze de date guvernamentale , după ce doi foști specialiști IT au folosit accesul de administrator rămas activ, iar o înregistrare uitată din Microsoft Teams a devenit proba-cheie a anchetei, potrivit Focus . Cazul îi vizează pe frații gemeni Muneeb și Sohaib Akhter, ambii în vârstă de 34 de ani, care lucrau pentru furnizorul federal Opexus . Ei au fost concediați pe 18 februarie 2025, în cadrul unei ședințe pe Microsoft Teams cu departamentul de resurse umane, relatează publicația, citând Ars Technica . În timpul apelului, unul dintre frați a pornit înregistrarea videoconferinței la ora 16:48 (ora locală). După ce reprezentanții HR au părăsit convorbirea, funcția de înregistrare ar fi rămas activă fără să fie observată, timp de aproximativ o oră. În acest interval, cei doi ar fi șters, folosind drepturile lor de administrator, 96 de baze de date ale guvernului SUA. Proba centrală: o înregistrare Teams rămasă pornită Compania ar fi securizat ulterior fișierele întâlnirii, care ar oferi anchetatorilor un „protocol audio” complet al discuțiilor și acțiunilor celor doi. Focus menționează și existența unui document depus la instanță („United States’ Response in Opposition to Defendant’s Motion to Revoke the Detention Order”), care descrie în detaliu desfășurarea evenimentelor și baza probatorie. De ce contează pentru companii: riscul operațional al accesului neînchis la timp Dincolo de componenta penală, cazul indică o vulnerabilitate operațională majoră: în situații sensibile (precum concedieri), o întârziere în retragerea privilegiilor de administrator poate permite sabotaj rapid, cu efecte directe asupra continuității activității și a recuperării datelor. Focus mai notează că frații Akhter aveau condamnări anterioare pentru cazuri de fraudă cibernetică, iar Opexus ar fi aflat despre acest istoric abia cu puțin timp înainte de concediere. [...]
O presupus „mega-leak” OnlyFans cu 340 de milioane de înregistrări pare, deocamdată, mai degrabă o compilație de date vechi, dar riscurile de phishing și hărțuire rămân reale , potrivit TechRadar , care citează analiza cercetătorilor de la Cybernews . Pe un forum de pe dark web a apărut un anunț care pretinde că vinde „340 de milioane” de înregistrări despre creatori și utilizatori OnlyFans, incluzând date personale (PII – informații de identificare personală) și indicatori de activitate ai conturilor. În descriere, vânzătorii susțin că ar fi vorba despre un „dump” (copie) dintr-o bază de date internă OnlyFans, cu „aproximativ 350 de milioane” de înregistrări. De ce contează pentru securitate: chiar și fără breșă, datele pot alimenta atacuri țintite OnlyFans neagă că ar fi fost compromisă, iar un purtător de cuvânt a transmis către Cybernews, „pe surse”, că „aceste raportări sunt false”. În plus, analiza Cybernews asupra eșantionului publicat de presupusii atacatori a fost „dezamăgitoare”, iar cercetătorii spun că nu pot confirma autenticitatea sau dimensiunea reală a arhivei doar pe baza acelui sample. Totuși, chiar și în scenariul în care setul de date nu provine dintr-o intruziune în serverele companiei, expunerea unor elemente precum adresele de e-mail și metadatele asociate poate avea consecințe directe: identificare, profilare și atacuri de tip phishing (mesaje frauduloase care urmăresc să fure parole sau bani). Ce ar conține arhiva, potrivit anunțului de pe dark web Conform descrierii din listare, datele ar include, între altele: nume de utilizator și data înscrierii; adrese de e-mail; număr de urmăritori și aprecieri; număr de fotografii, videoclipuri, transmisii; informații despre datele cardului de plată (formularea din sursă indică „payment card data information”, fără detalii suplimentare); profiluri asociate. Ipoteza principală a cercetătorilor: agregare din scurgeri mai vechi și surse publice Potrivit aceleiași analize, autorii anunțului nu afirmă explicit că au spart OnlyFans, ci că ar fi compilat informații din scurgeri anterioare legate de OnlyFans, corelate cu surse publice, alte breșe și date disponibile public. Cybernews indică faptul că această variantă ar putea fi plauzibilă și avertizează că, și ca „simplă” compilație, arhiva poate fi periculoasă: atacatorii pot verifica reutilizarea adreselor de e-mail pe mai multe site-uri, pot corela identități și pot direcționa spam, tentative de fraudă sau hărțuire către creatori și utilizatori. [...]
