Администраторы веб-сайтов нередко прибегают к самым изощрённым способам слежки за пользователями, например идентифицируя их по нажатиям клавиш на клавиатуре и движениям мыши. Группа исследователей из Австрии нашла ещё один способ (PDF) делать это — отслеживать поведение SSD.

Ryzen и DDR5-6000 на чипах Samsung — G.Skill даёт добро

Обзор Intel Core Ultra 5 250K Plus, или Как Arrow Lake превратился в «топ за свои деньги»

72 полёта над Марсом: как Ingenuity пережил зиму, сбои и собственную миссию

Выбираем лучший игровой ноутбук до 100 000 рублей: сравнительное тестирование 7 интересных моделей

Обзор Intel Core Ultra 7 270K Plus — лучший Arrow Lake за полцены

Схема атаки получила название FROST (Fingerprinting Remotely using OPFS-based SSD Timing) — она позволяет одному ресурсу отслеживать другие сайты, которые посещает пользователь, а также идентифицировать запущенное им ПО. Данные собираются через побочный канал посредством анализа времени, необходимого для выполнения задач. Измеряя время выполнения определённых операций ввода-вывода на SSD, которым пользуется посетитель сайта, исследователи смогли определить, какие ресурсы открыты у него в соседних вкладках и даже в других браузерах, а также какие приложения запущены. От самого пользователя не требуется никаких дополнительных действий — достаточно просто открыть сайт, на котором размещён код атаки.

В отличие от предыдущих механизмов атаки на SSD, FROST работает исключительно в браузере. При помощи кода JavaScript он обращается к виртуальной файловой системе OPFS — выделенному пространству для хранения данных, которое резервируется для конкретного сайта. Ресурсы создают такие пространства без каких-либо действий со стороны посетителей. Каждое такое пространство изолировано от других сайтов и системы устройства, но при помощи JavaScript можно измерять время операций ввода-вывода. Полученные результаты обрабатываются специально обученной свёрточной нейросетью — она позволяет определять активность пользователя в хост-системе, классифицируя новые данные.

Схема атаки FROST имеет некоторые ограничения. Во-первых, файл OPFS должен быть достаточно большим — 1 Гбайт или более, то есть при крупном масштабе пользователь может заметить такую атаку. Во-вторых, файл OPFS должен храниться на основном SSD пользователя — обычно это стандартное расположение браузера, но если для некоторых приложений выделяется отдельный SSD, то идентифицировать эти приложения через FROST не получится. Один из лучших способов избежать атаки FROST — закрывать вкладки в браузере, как только в них исчезает потребность, а также задавать ограничения на максимальный размер разрешённых файлов. Механизм в полной мере проверили на Apple macOS и подтвердили возможность его работы на Linux; в Windows исследование не проводилось. Фактов применения FROST на практике установить не удалось.

Хакерам удалось скомпрометировать аккаунт ведущего разработчика библиотеки Axios в реестре npm и опубликовать две вредоносные версии пакета, распространявшие кроссплатформенный троян удалённого доступа. Заражённые релизы axios@1.14.1 и axios@0.30.4 были доступны для загрузки в течение двух-трёх часов. Эксперты по безопасности рекомендуют считать скомпрометированными все системы, на которых выполнялась установка этих версий.

72 полёта над Марсом: как Ingenuity пережил зиму, сбои и собственную миссию

Ryzen и DDR5-6000 на чипах Samsung — G.Skill даёт добро

Выбираем лучший игровой ноутбук до 100 000 рублей: сравнительное тестирование 7 интересных моделей

Обзор Intel Core Ultra 5 250K Plus, или Как Arrow Lake превратился в «топ за свои деньги»

Обзор Intel Core Ultra 7 270K Plus — лучший Arrow Lake за полцены

Источник изображения: AI

По сообщению Tom's Hardware, атака зафиксирована 30 марта и была реализована через скрытую зависимость plain-crypto-js@4.2.1, представляющую из себя поддельный пакет, замаскированный под легитимную библиотеку CryptoJS, реализующую набор стандартных криптографических алгоритмов на JavaScript.

При установке был запущен сценарий, который загружал вирус, адаптированный под операционные системы macOS, Windows и Linux. По данным аналитиков StepSecurity, вредоносный код связывался с управляющим сервером (sfrclak.com) всего через 1,1 секунды после начала установки npm-пакета.

На macOS троян сохранялся в /Library/Caches/com.apple.act.mond, на Windows — копировал PowerShell в %PROGRAMDATA%\wt.exe, на Linux — загружал Python-версию RAT в /tmp/ld.py. Отмечается, что поскольку данную библиотеку скачивают около 100 млн раз в неделю, инцидент создал угрозу для огромной аудитории.

Подготовка к атаке заняла около 18 часов, в течение которых хакеры загрузили чистую версию plain-crypto-js для создания истории публикаций, а затем заменили её на троян. После этого через взломанный аккаунт мейнтейнера Джейсона Сааймана (Jason Saayman) с разницей в 39 минут были опубликованы заражённые ветки самой библиотеки Axios. После успешного развёртывания скрипт автоматически удалял все следы своего присутствия, поэтому последующая визуальная проверка кода ничего подозрительного не показывала.

Заражённые версии пробыли в открытом доступе примерно три часа, после чего администрация npm удалила их и заблокировала вредоносную зависимость. Эти релизы публиковались в обход стандартного конвейера CI/CD, поэтому они так и не появились в официальном репозитории Axios на GitHub. Крупные IT-компании, включая Snyk, Wiz и Vercel, выпустили предупреждения с рекомендацией считать пострадавшие машины полностью скомпрометированными и немедленно сменить все учётные данные.

Управляющая «Википедией» некоммерческая организация накануне временно перевела платформу в режим «только для чтения» из-за того, что пользователи обнаружили код, который мог удалять статьи и размещать в описании правки русскоязычный текст.

Ryzen и DDR5-6000 на чипах Samsung — G.Skill даёт добро

Обзор Intel Core Ultra 7 270K Plus — лучший Arrow Lake за полцены

Выбираем лучший игровой ноутбук до 100 000 рублей: сравнительное тестирование 7 интересных моделей

72 полёта над Марсом: как Ingenuity пережил зиму, сбои и собственную миссию

Обзор Intel Core Ultra 5 250K Plus, или Как Arrow Lake превратился в «топ за свои деньги»

Источник изображения: Luke Chesser / unsplash.com

Атака посредством вредоносного JavaScript затронула связанную с Wikimedia Foundation учётную запись WMFOffice. При удалении статей в описании правки скрипт оставлял русскоязычное сообщение «Закрываем проект»; правки, однако, он успел внести только на сайте Meta✴✴-Wiki, посвящённом программным проектам организации. Код удалось связать с одним из пользователей платформы, который загрузил его в русскоязычный раздел сайта в марте 2024 года, то есть файл находился в спящем режиме около двух лет. В коде упоминается запуск расширения Special:Nuke для администраторов — оно используется для массового удаления недавно созданных страниц; скрипт запускает функцию Nuke, обращая её на случайные материалы и пытается также разместить несуществующее изображение «Woodpecker10.jpg».

Неудавшуюся атаку сравнили с компьютерным червём: если бы вредоносный файл оказался на главной странице одной из платформ, он в теории помог бы неизвестным злоумышленникам в перехвате функций редактирования от любой учётной записи с привилегиями администратора, когда владелец этого аккаунта посетил бы заражённую страницу. Атака была инициирована, когда сотрудники службы безопасности тестировали все приложения JavaScript и загрузили неактивный вредоносный файл.

«Сегодня ранее сотрудники Wikimedia Foundation проводили проверку безопасности пользовательского кода в „Википедии“. В ходе проверки мы активировали спящий код, который быстро идентифицировали как вредоносный. В качестве превентивной меры мы временно отключили редактирование в „Википедии“ и прочих проектах Wikimedia на время удаления вредоносного кода и подтверждения безопасности сайта для пользователей. Вызвавшая этот сбой проблема безопасности разрешена. Код оставался активным в течение 23 минут. За это время он изменил и удалил материалы в Meta✴✴-Wiki, которые сейчас восстанавливаются, но необратимого ущерба не причинил. Мы разрабатываем дополнительные меры безопасности, чтобы сократить риск повторения подобных инцидентов», — прокомментировали инцидент ресурсу PCMag в Wikimedia Foundation. Пользователя, который, предположительно, загрузил вредоносный файл с именем «test.js», заблокировали.

Когда мобильные телефоны не могли похвастаться мощными процессорами и экранами высокого разрешения, весомым достижением могла показаться игра «Змейка», которой не требовалось ни того, ни другого. Теперь появилась совершенно неожиданная её версия, которой достаточно адресной строки браузера.

Обзор Intel Core Ultra 5 250K Plus, или Как Arrow Lake превратился в «топ за свои деньги»

72 полёта над Марсом: как Ingenuity пережил зиму, сбои и собственную миссию

Обзор Intel Core Ultra 7 270K Plus — лучший Arrow Lake за полцены

Выбираем лучший игровой ноутбук до 100 000 рублей: сравнительное тестирование 7 интересных моделей

Ryzen и DDR5-6000 на чипах Samsung — G.Skill даёт добро

Источник изображения: Demian Ferreiro

Разработчик Демиан Феррейро (Demian Ferreiro) назвал свой проект URL Snake и охарактеризовал его как «своего рода шутку». Исходный код игры он опубликовал на GitHub и призвал общественность подключаться. Минималистичное приложение заняло менее 400 строк кода JavaScript, а для прорисовки игры в адресной строке используются символы шрифта Брайля в Unicode. Размер игрового поля составляет 40 × 4 точки, плавную отрисовку обеспечивает метод RequestAnimationFrame, — но игрокам придётся мириться с ограниченным размером игрового пространства и действовать быстро.

«Оказывается, каждый символ [шрифта] Брайля умещается в сетку 2 × 4 точки. Это два возможных состояния для каждой из восьми точек. То есть 2⁸ = 256 возможных значений. Целый байт! И, к счастью, в Unicode закодированы все эти 256 возможных значений и сопоставлены с кодовыми точками по очень чёткой схеме», — прокомментировал уникальный проект его создатель. Браузерная «Змейка» в адресной строке удивительно хорошо вписалась в нехитрые возможности анимации, которые может предложить шрифт Брайля.

На один неприятный побочный эффект игры обратил внимание ресурс Tom’s Hardware: после даже непродолжительной игровой сессии история браузера быстро наполняется огромным числом записей URL Snake. Как оказалось, на этот случай в Chrome предусмотрена возможность фильтровать историю по группе и быстро удалять ненужные записи целыми наборами.