GrapheneOS: forensische bedrijven misbruiken zerodays om data te verkrijgen
Forensische bedrijven maken actief misbruik van zerodaylekken om data van Androidtelefoons te halen, zo stellen de ontwikkelaars van GrapheneOS, een op Android-gebaseerd besturingssysteem voor Pixel-telefoons. De exploit zou misbruik maken van een beveiligingslek in de fastboot mode van sommige Androidtelefoons waardoor de aanvaller toegang kan krijgen tot data die niet 'at rest' is. Telefoons die 'at rest' zijn lopen geen risico.
Het gaat dan om toestellen die zijn uitgeschakeld of na het opstarten nog niet voor de eerste keer zijn ontgrendeld. Na deze eerste unlock komen encryptiesleutels beschikbaar in het geheugen en is het toestel en aanwezige data 'not at rest' meer. Het vergrendelen van de toestel zorgt er niet voor dat het toestel weer 'at rest' is. Hiervoor is een herstart nodig. GrapheneOS reboot telefoons al standaard na 72 uur, maar heeft nu besloten dit terug te brengen naar achttien uur, waardoor het toestel weer volledig 'at rest' is.
Volgens Stacker News kunnen aanvallers via de kwetsbaarheid de vereisten voor het dumpen van het geheugen omzeilen. Via de verkregen RAM-dump is vervolgens een bruteforce-aanval op de telefoon mogelijk. Daarbij wordt gesteld dat gebruikers met een sterke passphrase geen risico lopen. GrapheneOS meldt dat de gebruikte kwetsbaarheden aanwezig zijn in Pixel-telefoons en toestellen van Samsung en dit ook is gerapporteerd. Verdere details zijn nog niet gegeven.
Dit is een dienst die een organisatie inschakelt op het moment dat ze onderzoek willen laten doen naar hun eigen apparaten (die al dan niet in bruikleen zijn bij werknemers), bijvoorbeeld bij een HR-onderzoek, fraude-onderzoek, of onderzoek na een informatiebeveiligingsincident.
Wat we al lang wisten, was dat bedrijven als de NSO Group (maker van spyware Pegasus) zeroday vulnerabilities ontdekt en verborgen houdt, omdat ze hier liever geld aan verdienen dan dat ze gebruikers willen beschermen. Opvallender aan dit bericht is dat bedrijven die digitaal forensisch onderzoek doen, nu blijkbaar ook deze positie in nemen (iets wat in mijn ogen nog niet zo zeer algemeen bekend was).
Zwakheden in software/hardware in het westen betekent koppen die rollen in het midden-oosten.
Zij hebben dan al ervaring als statelijke actoren en ervaring met undisclosed holes. AI zal hun rangen ook al wel snel komen versterken, de AI-hack-as-a-service, coming to a town near you.
luntrus
Zij hebben dan al ervaring als statelijke actoren en ervaring met undisclosed holes. AI zal hun rangen ook al wel snel komen versterken, de AI-hack-as-a-service, coming to a town near you.
luntrus
Frontstores, te vistiteren bij elk overheidskantoor of een afgeleide daarvan die boetes uitdelen of vrijheidsbeneming tot takenpakket heeft laten verklaren. Enge straat, die waar IDF kantoor (gehouden) heeft.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.