מקרה VirusTotal ו-SafeBreach: כל האמת ותו לא מלבד האמת

כאן את כל האמת ומה שלא סיפרו לך על מקרה VirusTotal (בבעלות גוגל) וגילוי חברת SafeBreach הישראלית. שזה לא כפי שהועלתה בכמה כלי תקשורת, כולל זה נותן לעצמו להיסחף על ידי מקורות שרמזו על משהו אחר. לכן, מ-LxA אני מתנצל בפני VT ואנסה להגיב על מה שבאמת קרה, וזה לא חמור כמו שזה נראה.

מה השתמע?

מה זה היה רמז לגבי המקרה הזה הוא זה SafeBreach, הייתה חולשה לכאורה שהתגלתה על ידי חברה זו ב-VirusTotal, מה שהוביל גם לחדשות על התקפות לכאורה על שירות ה-VT (שלא היו כאלה), ואף למגעים לכאורה עם גוגל (הבעלים של VirusTotal דרך חברת הבת Chronicle Security) כך שנכון הבעיה הזו. עם זאת, גוגל שמרה על שתיקה. הסיבה? תבינו בסעיף הבא...

כביכול, עם רישיון חודשי של VirusTotal של $600 תוכל לקבל גישה אליו אין סוף אישורי משתמש באמצעות כמה חיפושים פשוטים בתוך שירות זה. ביניהם עשויים להיות קבצים עם נתונים גנובים (כתובות דואר אלקטרוני, שמות משתמש, סיסמאות, אישורי גישה לרשתות חברתיות, אתרי מסחר אלקטרוני, פלטפורמות סטרימינג, שירותי ממשל מקוונים, בנקאות מקוונת ואפילו סיסמאות) של ארנקי מטבעות קריפטוגרפיים פרטיים).

לדברי בר, ​​אחד מחוקרי SafeBreach, "המטרה שלנו הייתה לזהות את הנתונים שפושע יכול לאסוף עם רישיון VirusTotal«, שיטה שהם הטבילו כ- VirusTotal Hacking.

"עבריין המשתמש בשיטה זו עשוי לאסוף כמות כמעט בלתי מוגבלת של אישורים ונתוני משתמש רגישים אחרים עם מעט מאוד מאמץ בפרק זמן קצר תוך שימוש בגישה נטולת זיהומים. אנחנו קוראים לזה פשע הסייבר המושלם, לא רק בגלל העובדה שאין סיכון ומאמץ נמוך מאוד, אלא גם בגלל חוסר היכולת של הקורבנות להגן על עצמם מפני פעילות מסוג זה. לאחר שקורבנות נפרצו על ידי ההאקר המקורי, לרובם יש ראות מועטה לגבי המידע הרגיש שמועלה ומאוחסן ב-VirusTotal ובפורומים אחרים".

עכשיו האמת על מה שקרה עם VirusTotal

VirusTotal מבוסס מלגה השיקה שירות בשם VT Intelligence בשנת 2009 לנצל את כל המידע שמגיע לכך מולטי וירוס באינטרנט. פורטל זה הושק כמאגר מידע גדול עבור חוקרים מתחום אבטחת הסייבר וחברות בעלות מחלקות אבטחה, המסוגלות לגשת לכל הנתונים הללו במטרה לחקור ולשפר את אבטחת המוצרים והמשתמשים שלהם.

גישה מוגבלת ל-VT Intelligence

במילים אחרות, לא משתמשים עם הרישיון הנ"ל של $600 או פושעי סייבר אחרים לא יכלו לגשת לנתונים כאלה, ואף חברה לא יכלה לגשת ל-VT Intelligence. כל מי שיש לו גישה עובר תהליך בדיקה כדי לוודא שהחברה אמינה ובעלת מוניטין, בנוסף לכך שיש לו מקרה שימוש מתאים לגישה למסד הנתונים הזה.

תוכן ומקורות מסד נתונים

מסד הנתונים הזה מכיל מידע מגוון מאוד, עם איומים מכל הסוגים, החל מתוכנות זדוניות, ועד לניצול מתקדם, דרך ערכות דיוג, כלי פריצה שנלקחו מפורומי פריצה תת-קרקעיים, כרטיסים, יומנים (רשומות) וקבצים עם אישורים שנחשפו באותם אתרים וכו'.

כל מה ש מגיע ממקורות שונים:

• חברות
• תעודות
• משתמשים אנונימיים
• דרך API מאתרים רבים אחרים
• וכו '

מרגיע את המשתמשים

לכן, כאשר SafeBreach השיגה כל אחד מאותם קבצים עם אישורים או יומנים עם מידע רגיש, זה בגלל שהנתונים נפגעו או דלפו לפני שהגיעו למסד הנתונים של VT Intelligence. במילים אחרות, VirusTotal אינו המקור ממנו נובעים הנתונים הפרטיים הללו, אלא זהו מסד נתונים ביניים בין האיומים שאפשרו לחלץ את הנתונים הללו לבין ניסוי SafeBreach.

ישויות עם גישה ל-VT Intelligent יכולות לגשת לכל המידע הזה לשים פתרונות או להודיע ​​ללקוחות שלך שייתכן שהם הושפעו מהתקפות סייבר או הדלפות אלו.

מסקנה

לא ניתן להשתמש ב-VirusTotal כמקור לחילוץ נתונים רגישים כפי שמרמז SafeBreach. אלו אישורים שרובם המכריע כבר שונו כאשר דווח שהם נחשפו. ואם הם לא שונו, כנראה שלא תהיה להם השפעה רבה.

מה שכן, אם לא תגיע ל-VirusTotal, באותו אופן שהם ימשיכו להיחשף באתרים שמהם חילצו אותם חוקרי אבטחת סייבר.

הדבר היחיד ש-SafeBreach עשתה, מלבד ליצור את כל המהומה הזו, הוא תרגיל מחשבתי על מה שיקרה אם חשוד בתוקף יוכל לקבל גישה ל-VT Intelligence.

אפס דרמה!