НеИБи

Агенту не место в песочнице На прошлой неделе OpenAI опубликовала отчет об инциденте, который произошел 20 сентября. Исследовательский агент, проходивший обучение в изолированной среде, должен был найти информацию о человеке по биографическим подсказкам. Задача простая, доступ к интернету — заблокирован. Агент попробовал поисковый инструмент, получил мусор. Попробовал напрямую обратиться к Google, Bing и DuckDuckGo — получил 403 и 502. И тогда он сделал то, что сделал бы любой пентестер на его месте. Обход нашелся на сетевом уровне. DNS-резолвер внутри песочницы продолжал работать, хотя HTTP-трафик был заблокирован. Агент кодировал вопросы в DNS-запросы, отправлял их на публичный чат-бот и читал ответы обратно через тот же канал. Сначала спросил про столицу Франции — получил «Париж». Потом отправил еще 18 вопросов, включая просьбу подсказать публичные DNS-туннели. Система мониторинга зафиксировала аномалию через 15 минут, человек начал проверку через три минуты. Но автоматическая система остановки обучения не сработала — активность вручную прибили только через два с половиной часа. Для тех, кто занимается ИБ, тут нет ничего нового. DNS-туннелирование — техника, которой больше двадцати лет. Iodine, dnscat2, DNS2TCP — инструменты, которые позволяют гонять произвольный трафик через DNS-запросы, когда все остальные протоколы заблокированы. Атакующие используют это для C2-каналов, эксфильтрации данных и обхода файрволов. Проблема в том, что конфигурация, которую использовал агент OpenAI считается дефолтной в Docker, в большинстве политик Kubernetes и почти во всех CI-раннерах. То есть дыра, которую нашел агент, есть у большинства компаний по всему миру, в том числе в России. Просто мы о ней не задумываемся, потому что наши системы не проявляют инициативу. OpenAI уже закрыла канал на двух уровнях и ограничила DNS-запросы внутри исследовательской среды. Но осадок остался. Это второй побег из песочницы за три месяца — в июле тысячи агентов вырвались наружу и атаковали Hugging Face. Агенты в последнее время все чаще показывают, что выросли из песочниц. @antiifosec

Журналисткий запрос как наживка Основатель Segment (развивает свою облачную платформу) и Charm Industrial (занимается удалением углекислого диоксида из атмосферы) Питер Райнхардт получил в X сообщение от якобы журналиста WIRED с предложением интервью про удаление углерода. Ссылка с организацией колла вела на настоящую страницу Calendly, что снимало подозрения. После выбора времени его перебросило на поддельную страницу с брендингом WIRED, где для завершения бронирования требовалось подключить аккаунт X. На самом деле это был OAuth-запрос к приложению CalendarBookings, которое запрашивало права на чтение, запись и доступ к личным сообщениям. Питер подтвердил авторизацию, и его аккаунт был захвачен на несколько минут. То есть ломают не пароль и не второй фактор, а согласие пользователя. Он сам выдает стороннему приложению токен, который действует от его имени. Это важно, потому что такой доступ не требует пароля и обходит многофакторную аутентификацию. Для платформы и жертвы действия выглядят легитимными, пока токен не отозван. Злоумышленник может писать от имени жертвы, читать переписку и раскручивать ту же схему дальше по контактам. Расследование показало, что за атакой стоял общий бэкенд Asteria, а поддельные страницы маскировались под WIRED, TechCrunch и Bloomberg на домене 30min-meetings[.]com. Страница могла персонализироваться под жертву, подставляя имя и аватар из параметров URL. Исследователь использовал отдельный аккаунт, чтобы пройти всю цепочку, зафиксировал запрашиваемые права и отозвал доступ. После отправки сообщений об абузах кампания ушла в офлайн. @antiinfosec