AppSec Solutions

Число уязвимостей в открытом программном коде в 2024 году выросло на 25%

Эксперты AppSec Solutions, в ходе изучения динамики роста уязвимостей открытого кода (Open Source Software) обнаружили заметное ускорение этого процесса в 2024 году. Если с 2021 по 2023 год уязвимостей такого рода становилось больше в среднем на 5 тыс. ежегодно, то за последний год наблюдается двукратный рост, и их число выросло более чем на 10 тыс. с 29 тыс. в 2023 году до 39 тыс. в 2024. 🛡

Степень таких угроз сложно переоценить, так как доля заимствованного Open Source кода в коммерческих программных продуктах может доходить до 90%.

📌 Злоумышленники активно используют различные техники для повышения рейтинга своих программных компонентов в репозиториях открытого ПО. Так, например, программный пакет, содержащий зловредный код, может выглядеть как созданный крупной компанией с хорошей репутацией, но не являться таковым на самом деле. При этом хакеры могут атаковать и авторов пакетов, вносить изменения от их имени, а также маскироваться под активных участников OSS (Open Source Software) комьюнити, делая полезные правки, лишь изредка содержащие встроенный вредоносный код.

Читайте как защитить ПО от попадания зловредного кода по ссылке

#Экспертиза_AppSec

🎄✨ С Новым 2025 годом! ✨🎄

Дорогие друзья!

Поздравляем вас с наступающим 2025 годом! Пусть этот год принесет вам и вашим близким здоровье, удачу и радость.

🚀 Пусть 2025 год станет временем новых возможностей и больших достижений!

🛡Мы, команда AppSec Solutions, будем рядом, чтобы ваши цифровые решения оставались под надежной защитой. Спасибо за ваше доверие и сотрудничество!

📌 Обращаем ваше внимание, что во время новогодних каникул наша техническая поддержка будет работать на принятие входящих обращений. Ответы и отработка запросов начнутся с 9 января.

С наилучшими пожеланиями,
Ваша команда AppSec Solutions 🌟

#НовогоднийРежим

До Нового Года осталось всего 5 дней! А мы уже подготовили для вас коллекцию аватарок для Telegram, которые помогут сказать без слов: «Я уже мандаринизируюсь и под ёлкой» 🎁✨. Cкачивайте, устанавливайте и наслаждайтесь праздниками!🎄 😌

#НовогоднийРежим

🔗 AppSec.Hub теперь интегрирован с AppSec.Code!
#AppSecCode #SCM #Git

Рады сообщить, что платформа AppSec.Hub успешно интегрировалась в безопасную среду разработки AppSec.Code! Теперь у российских компаний есть замена зарубежным Git-платформам, что помогает соблюдать требования импортозамещения 🇷🇺 и решает проблему нехватки ИБ-специалистов.

С помощью интеграции инженерам достаточно одной кнопки 🖱 для запуска сканирования уязвимостей, что значительно ускоряет процесс и избавляет от необходимости взаимодействовать с кодом.

AppSec.Code — это надежная среда разработки с функциями безопасности, ставшая аналогом зарубежных решений, которые больше недоступны. Важно отметить, что с учетом указа Президента, использование иностранного ПО в информационной безопасности запрещено.

Теперь ваши специалисты могут сосредоточиться на более сложных задачах, оставив проверку уязвимостей платформе AppSec.Hub! Подробнее по ссылке

Эксперт AppSec Solutions рассказал о схемах кражи данных россиян на «Черную пятницу»
#AppSec_Stingrey #Экспертиза_AppSec

«Черная пятница» 🛍 – сезон распродаж и начало предновогодних трат 🎄. В это время совершается огромное количество покупок и снижается бдительность потребителей. Юрий Шабалин, директор платформы Стингрей, выделил основные направления кибератак на пользователей в этот период.

По словам эксперта, чаще всего на «Черную пятницу» мошенники применяют фишинг 🎣, скимминг и атаки с использованием ботов 🤖. В первом случае злоумышленники создают поддельные веб-сайты, копирующие популярные платформы, рассылают фальшивые электронные письма и SMS с выгодными предложениями и связываются с потенциальными жертвами через соцсети.

Скимминг позволяет киберпреступникам похищать данные банковских карт с помощью специальных считывающих устройств 💳. Это может быть пластиковая накладка, установленная на кардридер банкомата 🏧, камера в терминале или вредоносное ПО, внедряемое в формы для ввода данных при онлайн-оплатах.

«Боты используются для автоматического выкупа дефицитных товаров, перепродажи, или чтобы загрузить сайты конкурентов. Также их могут использовать для создания фальшивых аккаунтов и отзывов», – поделился Юрий.

Он подчеркнул, что наибольший ущерб от ботов испытывают именно платформы, а пользователи лишаются возможности осуществить запланированные покупки 🛒. Подробнее в ТАСС 📰

Эксперты Стингрей рассказали о краже личных данных при помощи приложений на смартфонах в эфире «Москва 24» 🖥
#AppSec_Stingrey #Экспертиза_AppSec

В мире мобильных приложений вопрос безопасности стоит как никогда остро: сегодня каждое четвертое приложение на Android содержит уязвимости. Согласно недавнему исследованию Стингрей, 21% отечественных приложений используют небезопасную навигацию в приложении. Речь идет об уязвимости в библиотеке Android Jetpack Navigation, позволяющей обходить защиту и получать доступ к внутренним экранам приложений. При эксплуатации этой уязвимости злоумышленник сможет открыть любой экран приложения и похитить личные данные пользователя.

«Уязвимость в библиотеке Android Jetpack Navigation затронула огромное количество приложений, которыми мы все пользуемся ежедневно. И хотя в новых релизах библиотеки уязвимость исправлена, остается проблема с ее доставкой до конечного пользователя, ведь далеко не все обновляют свои приложения до последней версии.»

– поделился Никита Пинаев, руководитель отдела анализа защищенности Стингрей

По словам экспертов, самостоятельно определить наличие уязвимостей в приложении обычным пользователям не под силу. Раньше можно было ориентироваться на рейтинг, отзывы или количество установок. Но из-за удаления многих российских приложений из зарубежных магазинов людям всё чаще приходится загружать их по ссылкам из СМС или пуш-уведомлений. Это создает риски, связанные с социальной инженерией, которую активно используют злоумышленники.

«Нет безопасных систем, есть недостаточно исследованные. Высокотехнологичные функции приложений делают нашу жизнь более удобной, но вместе с этим снижают безопасность. В 2024 году мы наблюдали 3 масштабные атаки на мобильные приложения и прогнозируем, что в будущем откроется еще много новых уязвимостей.»

– отметил Юрий Шабалин, владелец продукта Стингрей.

Даже небольшие проблемы, такие как быстрая разрядка батареи или перегрев устройства, могут указывать на наличие уязвимостей. Команда Стингрей рекомендуют пользователям внимательно оценивать репутацию разработчика и источник загрузки приложения, а также установить антивирусную программу, которая может помочь обнаружить базовые проблемы безопасности.

🛡Решения AppSec Solutions сертифицированы для работы с VK Cloud ☁️
#Решения_AppSec

Друзья, рады объявить, что подтверждение технологической совместимости дало возможность пользователям частного облака Private Cloud и решения для построения внутренних платформ разработки Dev Platform удобнее и быстрее разворачивать и использовать продукты AppSec.Hub, Стингрей и AppSec.Track от AppSec Solutions.

🕵️‍♂️«Увеличение числа кибератак на государственные организации и бизнес мотивирует разработчиков минимизировать риски еще на стадии написания кода. Мы в VK Tech прикладываем большие усилия, чтобы разработка с использованием нашей облачной платформы VK Cloud стала максимально безопасной. Сертификация решений AppSec Solutions позволит нашим клиентам лучше соответствовать всем отраслевым и нормативным требованиям. В свою очередь, для наших партнеров это позволит сократить сроки развертывания продуктов на облачной платформе и стоимость интеграции», — комментирует директор по продукту VK Cloud и бизнес-лидер сегмента SaaS, VK Tech Дмитрий Лазаренко.

📈«В России растёт рынок облачных платформ, а мы видим большой интерес бизнеса к решениям DevSecOps. По данным ЦСР совокупный среднегодовой темп прироста объема российского рынка безопасной разработки может достигать 37,5%. Сертификация наших решений с платформой разработки Dev Platform и частным облаком Private Cloud даст возможность клиентам облака легко и быстро интегрировать их в процессы разработки на облачной платформе. А применение исключительно российского ПО 🇷🇺 крайне важно в условиях как санкционного давления, так и растущей изобретательности хакеров», — рассказал старший управляющий директор AppSec Solutions Антон Башарин.

Подробнее

⚠️ Хакеры атакуют домашние роутеры через Wi-Fi

В сентябре 2024 года в Wi-Fi-роутерах известных брендов была выявлена уязвимость, которая позволяет кибермошенникам получать доступ к частным сетям и похищать трафик, включая личные данные пользователей. 🔒

Проблема затрагивает Wi-Fi чипы MediaTek (например, модели MT7622 и MT7915) и некоторые драйверы SoftAP. Уязвимость особо опасна тем, что с ее помощью хакер может удаленно выполнить произвольный код на устройстве без какого-либо действия со стороны пользователя.

Юрий Шабалин, владелец продукта Стингрей, прокомментировал ситуацию для «Известий» и в эфире телеканала Москва 24. Он пояснил, что проблема заключается в ошибке out-of-bounds write (выход за пределы допустимых значений при записи данных), которая возникает в службе, управляющей беспроводными интерфейсами.

🚨Атаке подверглись устройства таких известных брендов, как Xiaomi, Ubiquiti и Netgear.

Как обнаружили эту уязвимость и что делать, если роутер оказался заражен?

➡️ в материале Известий
➡️ в эфире телеканала Москва 24

🤩 #AppSec_Stingrey

💙 #Экспертиза_AppSec

Друзья, сегодня в 17:00 на Демо-дне Dev Platform от VK Cloud состоится доклад о том, как объединить безопасную разработку и ускоренный Time-to-Market.
#AppSec_мероприятия

Тема доклада: "Возможности DevSecOps для оптимизации затрат и процессов разработки"

Спикеры:
Антон Башарин, Старший управляющий директор AppSec Solutions
Антон Миронов, Архитектор внедрения Dev Platform
Александр Гадай, Руководитель практики инженерии DevSecOps Swordfish Security

Что обсудим:
🔗Реальный кейс интеграции Dev Platform и AppSec.Hub.
🔗Как выглядит процесс безопасной разработки "из коробки".
🔗Data Driven подход к управлению безопасностью ПО
🔗Стратегия создания DevSecOps: три шага к успеху

🖥 Бесплатные онлайн вебинары по РБПО!
#Экспертиза_AppSec

Давно хотели понять процессы в РБПО? Давайте разбираться вместе!

Учебный центр МАСКОМ провел бесплатные онлайн вебинары по направлению РБПО👨‍💻

Где специально для вас эксперты AppSec Solutions эксклюзивно поделились своим опытом и секретами разработки! Центр также пригласили в качестве спикеров и других профессионалов в области кибербезопасности - разработчики, руководители разработки, преподаватели-практики из ведущих ВУЗов страны (МАИ, Мосполитех, МГТУ им. Н.Э. Баумана, РосНОУ).

Вебинары доступны по ссылкам ниже ⬇️

🤩 AppSec.Hub

📺 Управления процессом безопасной разработки
📺 Автоматизация процесса РБПО на практике
📺 Использование метрик для управления процессом безопасной разработки

🤩 Платформа "Стингрей"

📺 Безопасность мобильных приложений, новые вызовы, атаки и как их решить при помощи платформы Стингрей

🤩 AppSec. Track

📺 Предотвращение атак через известные уязвимости в open-source компонентах при помощи AppSec. Track

#AppSec_Вебинары

🤖AppSec Solutions разработала нейро-инженера, который в 5 раз повышает эффективность работы команды DevSecOps
#AppSecПродукты #AI #AppSecCoPilot

Компания AppSec Solutions расширила свой продуктовый портфель в области DevSecOps решением AppSec.CoPilot.

Новый продукт способен обрабатывать уязвимости без участия AppSec-инженера, используя модуль автоматического анализа и приоритизации на основе нейросети, которая была создана и обучена командой AppSec Solutions.

AppSec.CoPilot предназначен для команд информационной безопасности, работающих в компаниях различных отраслей экономики, включая финансовый и страховой сектор, онлайн-ритейл и маркетплейсы, ТЭК и промышленность, а также полезен для специалистов, занимающихся защитой критической инфраструктуры.

🔗Читайте подробности на CNews

AppSec Solutions стали партнером ХХ международного форума «БАНКИТ-2024» в Минске!

🗓 22 октября в Секции "Информационная безопасность в банковском секторе" выступит Антон Башарин, старший управляющий директор AppSec Solutions, с докладом «Data-driven подход к управлению DevSecOps в финансовом секторе».

В докладе Антон расскажет про:

➖ Практики и подходы DevSecOps
➖ ASPM — основу комплексной кибербезопасности банка
➖ Подходы к визуализации данных по уязвимостям
➖ Примеры ИБ метрик и решений

До встречи в Минске! 🇧🇾