Бонус. История о факапе Microsoft

Всем привет, это Самат. Друзья, напоминаю, что мы уходим на каникулы, и несколько месяцев подкаст не будет выходить. Но пока мы работаем над новым сезоном, вы можете послушать бонусные эпизоды по подписке. Их у нас накопилось почти 50 штук. И там есть серия про языки программирования, оригинальное интервью с англоязычными гостями, например, Джеймсом Гриффитсом из прошлого эпизода, и дополнение к основным эпизодам. Сейчас вы услышите кусочек из интервью с Омаром Ганиевым. Омар недавно приходил к нам в подкаст и рассказывал, как хакеры помогают корпорациям защититься от других хакеров, а еще как оставаться в безопасности в интернете. Обычно мы выкладываем такое в бонусы, но решили дать вам послушать то, что обычно слушают только платные подписчики.

Интересно, чтобы ты рассказал пару баек, самых таких свежих, последних, которые ты помнишь, когда популярные сервисы или софт взламывали, и благодаря чему.

Вообще, сервисы постоянно ломают, конечно. Постоянно какие-то утечки. Для многих, наверное, это уже как такой само собой разумеющийся просто шум такой, что очередной сервис слили. Из софта вот мне, наверное, за последние пару лет запомнилось, конечно, впечатлило это то, что в Microsoft Exchange обнаружилась целая просто кладезь уязвимостей внезапно.

Microsoft Exchange— это почтовый сервер от Microsoft, то есть то, на чем работает электронная почта в подавляющем большинстве крупных компаний.

Да, это почтовый сервер, и Exchange торчал наружу, потому что это удобно заходить из интернета в почту.

Да, что корпоративную почту можно было проверить из дома.

Да, никто не думал, что он будет дырявым, доверяли бренду Microsoft. Ну, конечно, там кто-то закрывал ее дополнительный двухфактор, кто-то не закрывал, кто-то закрывал, например, на уровне самого Exchange, там внутри можно как бы плагином закрыть. В общем, особо не парились, что торчит наружу. Ну, конечно, от фишинга надо защищаться. Ну, там можно двухфакторку после пароля вставить, например. А тут вдруг оказалось, что там есть серьезнейшие уязвимости. И не просто одна, а огромное количество. Это обнаружил один исследователь тайваньский. Он решил ковырнуть. Видимо, никто не ковырял, потому что думали, что, ну, это же Exchange, наверняка Microsoft аудирует там. Microsoft изобрели вообще подход к циклическим проверкам безопасности— Secure Development Lifecycle. Они евангелизируют этот подход. Наверняка же Exchange безопасный. А он ковырнул и сказал, что там просто на самой поверхности нашлись уязвимости. С десяток они их нашли. Несколько цепочек уязвимостей составили, которые давали исполнение произвольного кода. То есть ты прямо попадаешь сразу в корпоративную сеть, в самое ее ядро, где находится почтовый сервер.

А с ним рядом стоит еще контроллер домена.

Контроллер домена, там еще что-нибудь прям соседнее. Плюс на самом этом сервере ты, скорее всего, сможешь перехватить токены или пароль вообще администратора. В общем, ты чуть ли не в один шаг захватываешь всю сеть. Шифруешь ее и потом вымогаешь. ну и там были другие цепочки, даже если эту, например, исправить, там можно было письма читать, просто учетки воровать и так далее. он об этом узнал, отрепортил в микрософт, поправили, потом другие посмотрели на это и поняли, что капец.

король-то голый.

да, король-то голый, оказывается там столько багов, все стали ковырять. И одна за другой там начали всплывать уязвимости. Оказалось, что там не просто как бы одна уязвимость, а прям архитектурный недостаток, который создаёт почву для таких уязвимостей фундаментально прям. О господи. И, кстати, ещё был очень интересный момент, что он отрепортил это в январе, что ли, 21-го. После этого какая-то APT, Advanced Persistent Threat, группировка, то есть какая-то группировка, связанная то ли с преступниками, то ли со спецслужбами, некой страны точно такую же уязвимость начала использовать. И это обнаружили. Обнаружил Майкрософт и кто-то еще. И возникли подозрения, соответственно, что тайваньцы кому-то продали или слили, или их взломали, у них слили, или их заставили, их спецслужбы у них отобрали эту информацию и пользуются ей. Но они провели свое расследование, заявили, что точно это не они. В общем, консенсус такой, что, скорее всего, из Майкрософта слили информацию о баге, насколько я понял.

О господи, это вообще ад просто. Типа какие-то спецслужбы вытащили из Майкрософта эту информацию об этом баге и начали его использовать.

Наверное, да. Потому что этот баг же проходит довольно длинный путь. Ты там репортишь на какой-то имейл или на платформе, и потенциально туда могут иметь доступ какие-то support инженеры первой линии, которые могут быть скомпрометированы. Жуть.

Просто капец. То есть ты сообщаешь об ошибке в корпорацию, и если ошибка достаточно ценная, то имеет смысл использовать кротов внутри корпорации для того, чтобы начать это использовать?

Да. Видимо, вот эта ошибка была настолько ценной, что и ей стали пользоваться.

Да, история такая. Особенно мне представляет себе этот момент, когда все сообщество безопасников понимает, что Exchange дырявый, и такие, и тут началось, и тут карта и поперла.

Да, там наперегонки группировки шифровальщиков соревновались, кто быстрее зашифрует.

Ох, жуть. Очень крутая история.

Друзья, подписывайтесь на наши бонусные эпизоды. Эти выпуски можно послушать по подписке либо-либо плюс в Apple подкастах и в закрытом телеграм-канале либо-либо. По этой же подписке также доступны бонусы других проектов студии либо-либо. Например, «Голый Земляков», «Закат империи», «Зависимости», «Харвин» и «Новая волна». А также можно подписаться только на бонусные эпизоды запуска плюс-плюс в нашем закрытом телеграм-канале. Все ссылки в описании. Также проходите опрос по окончании сезона, это для нас очень важно. И не теряйте нас, мы обязательно вернемся.

(лишний фрагмент, не относящийся к выпуску)