Erre a storyra egy olvasóm "Koenigsberger" hívta fel a figyelmem, köszönet érte.

A story röviden annyi lenne, hogy a kínaik állítólag rácsatlakoztak arra a rendszerre amit az USA hatósága használ arra, hogy kémkedjen a saját polgáraik után. Ja és nem tudják "kiűzni őket".

Viszont frissebb angol nyelvű cikkből kiderül, hogy itt többről van szó:

"Salt Typhoon's surge extends far beyond US telcos"

"While the crew has made headlines recently for hacking "thousands and thousands" of devices at US telcos, research published on Monday by Trend Micro's threat intel team suggests Salt Typhoon (which Trend tracks as Earth Estries) has also hit more than 20 organizations globally since 2023. These span various sectors – including technology, consulting, chemical and transportation industries, government agencies, and non-profit organizations (NGOs) in the US, the Asia-Pacific region, the Middle East, and South Africa."

Igazából semmi különös, csak a kínaik úgy voltak vele, hogy ha az eszközük több, más rendszer feltörésére is használható, akkor minek fogják vissza magukat... világszerte.

És a felhő se védett ellene... ami azt jelenti, hogy akár kontinensnyi méreteket elérő adatbázisokhoz férhettek hozzá... egy hackeléssel... a felhő ereje:

"These intrusions not only compromised telcos' database and cloud servers, but also attacked the firms' suppliers – in at least one instance implanting the Demodex rootkit on machines used by a major contractor to a dominant regional telecommunications provider."

Itt van pár példa arra milyen exploitokat használ a cucc... látszik, hogy Microsoft szerver ( felhő ) vagy "neves" tűzfal se állítja meg:

"CVE-2023-46805 and CVE-2024-21887 in Ivanti Connect Secure. These can be chained to bypass authentication, craft malicious requests, and execute arbitrary commands with elevated privileges.

CVE-2023-48788, a Fortinet FortiClient EMS SQL injection bug that allows an attacker to execute unauthorized code via specially crafted packets.

CVE-2022-3236, a code injection vulnerability in Sophos Firewall which allows for remote code execution (RCE).

CVE-2021-26855 (aka ProxyLogon), CVE-2021-26857, CVE-2021-26858, and CVE-2021-27065. These Microsoft Exchange server flaws can be chained to allow for RCE."

Az eredeti hírről angolul:

"China Wiretaps Americans in ‘Worst Hack in Our Nation’s History’"

Magyarul ezt kaptam linket:

"Hiába vették észre, hogy a kínaiak feltörték az amerikai telekommunikációs hálózatokat, nem tudják kiűzni őket"

"A kínai kormánynak dolgozó hekkerek bejutottak azokba a telekommunikációs rendszerekbe, amelyek segítségével az amerikai hatóságok le tudnak hallgatni megfigyelt személyeket, bírósági engedéllyel, amikor bűnügyeket derítenek fel. Ráadásul erről hiába tudnak ezeknél a szerveknél, sőt, a törvényhozásban is, nem egyértelmű, hogy hogyan lehetne megszabadulni a betolakodóktól."

"Kifejezetten sebezhető rendszerünk van. (...) Bizonyos európai országokkal ellentétben, ahol egy telekommunikációs vállalat van, a mi hálózatunk a különböző felvásárlások miatt egy tákolmány több régi hálózatból. Vannak eszközök, amelyek olyan régiek, hogy nem lehet javítani őket" - fogalmazott a politikus, akinek a távközlés a szakterülete."

Dehát mi van a diverzitás az erősségünk dologgal? Inkább legyen csak egy rendszer... alighanem attól csak még könnyebb dolguk lenne a törőknek. De igaz, így meg foltozni nehéz... de igazából: tök mindegy így is úgyis bejutnak.

"Mindenesetre ezzel magyarázható, hogy hiába tudnak a behatolásról, mégsem tudják, mit tegyenek ellene. A jó hír mindössze annyi, hogy a végpontok között teljesen titkosított rendszerek, például a Signal, a WhatsApp vagy az iMessage-Facetime páros forgalmába így sem láthattak bele a kínaiak. "

Amiket szoktak tenni, frissítések, és hasonlók... nos azok a rendszerek is újra és újra fel lettek törve. Talán... az egész lehallgatást kéne törölni? Mi az értékesebb: a külföldiek ne tudják a titkait az állampolgárainknak, vagy... az, hogy "mi", az állam, tudjuk őket, mindennél fontosabb?

Ami a titkosításokat illeti... azt is szokták mondani, hogy https-sel is már biztonságban vagy, már az is eleve titkosít... csak igazából... az is egy olyan titkosítás ami már rég nem okoz gondot, hogy visszafejtsék... bizonyos esetekben legalábbis. És aligha engedik a titkosszolgálatok, hogy olyanok mint a Facebook valóban erős titkosítást használjanak, szóval...

Most, ez a körülbelül egy hónap alatt, rengeteg Microsoft-os hír jött és szinte minden reprezentálja magát, ami rossz velük kapcsolatban:

Kiderült, hogy a sok "Lesz új kémfunkció- Nem lesz új kémfunkció" csatában a "Lesz új kémfunkció" nyert:

"Megjött a Windows új épített kémfunkciója, a Felidézés"

Hiába nem akarja senki, hiába látta ezt be látszólag többször is a Microsoft és igérte meg, hogy mégse lesz... most mégis megérkezett hozzánk:

"A Microsoft pénteken végre letölthetővé tette a Windows 11 előzetes változatának használói - vagy arra váltani hajlandók - számára rendszerének hónapokkal korábban beharangozott új kémfunkcióját. A cég által Felidézés-nek hívott újítás minden néhány másodpercben képernyőmentéseket készít arról, hogy a felhasználó éppen mit csinál gépén, majd elmenti ezeket egy adatbázisba - hivatalosan azért, hogy később egyszerűen visszakereshetővé tegyen bármit, amivel a felhasználó foglalkozott."

"A Microsoft azt mondja, hogy a Felidézés által rögzített adatok soha nem fogják elhagyni a felhasználók gépét (amihez persze azért a ?hackereknek is lesz még vélhetően pár szavuk - a szerk.), valamint, hogy annak érdekében, hogy megnehezítse az azokhoz történő hozzáférést az illetéktelen számára, kizárólag a Secure Boot-ot és a Windows Hello-t (azaz, a biometrikus azonosítást - a szerk.) támogató gépeken lehet majd bekapcsolni azt."

Hmm... akkor még a Biometrikus adataimat is ellophatják, plusz a titkosszolgálatok kapnak egy megerősítést, hogy tényleg én ülök a gépnél.

"Ezen kívül a felhasználók megadhatnak majd bizonyos alkalmazásokat és webhelyeket, amik tartalmát a Felidézés soha nem fogja rögzíteni."

Aztán majd később kiderül, hogy "Jaj, de mégis figyelték azt is". És a titkosszolgálatokat ezek lesznek kiemelten érdekesek.

"A Microsoft nem mondta egyelőre el, hogy mikor tervezi végleges változatban, a hétköznapi Windows 11 felhasználók számára is elérhetővé tenni az újítást, de jelenleg nagyon valószínűnek tűnik, hogy erre már csak jövő évben fog sor kerülni."

És ha esetleg nem akarnád ezt az újítást, hát erőszakkal nyomnak az újabb Windows felé:

"Rendszeresen nyaggatják majd a nem frissítő felhasználókat a Windows-ok"

"Ennyi volt: Mostantól nem fog működni az új Steam a régebbi Windows-okon"

"Microsoft: Le ne töltsd a Windows 10-et, még tőlünk sem!"

"A Microsoft a napokban úgy módosította weboldalát, hogy annak a Windows 10-es letöltésekhez kapcsolódó részein elkezdett egy plusz, eddig nem létező figyelmeztetést megjeleníteni. Ebben a redmondi konszern arra hívja fel a felhasználók figyelmét, hogy a szóban forgó operációs rendszer támogatása kevesebb, mint egy év múlva megszűnik - és gyakorlatilag azt sugallja, hogy azt ne nagyon töltse már le senki, még tőle sem."

Aztán ott van ez a legyen egyre több és több reklám a fizetős operációs rendszereden... apró lépésekkel, hogy végül elfogad, hogy mindenhol ott van:

"Újabb helyen kezdett el reklámokat megjeleníteni a Windows 11-ben a Microsoft"

És a poén az, hogy nem elég a reklám plusz bevétele, a reklámok egy részének arról kell szólnia, hogy valami előfizetést rádtukmáljanak: Állandó, rendszeres pénz nekik, tőled.

" A cég ugyanis állítólag a rendszer értesítéseihez hasonló, illetve azok közé beszúrt felbukkanó hirdetésekben kezdett el több terméket: köztük legalább egy videójátékot és egy előfizetéshez kötött segédprogramot is reklámozni."

Egyre tempósabban jelennek meg új helyeken a reklámok, mert ebben a hónapban több ilyen hír is jutott nekünk:

"Kiderült: Jönnek a reklámok a Windows 11 tálcájára is hamarosan"

"A Microsoft, miután az elmúlt egy évben számos helyre dugta be "ajánlásait" a Windows-ba, hamarosan újabb helyen fogja megjeleníteni reklámjait operációs rendszerében. A cég ugyanis a jelek szerint kitalálta, hogy annak egyik leginkább szem előtt lévő eleme, a tálca is kiváló hely lenne erre."

Aztán a "fejlesztések" úgy mint:

"Új gombot kap a Windows 11 a Start menüben és a tálcán is"

Aztán... még szinte nem is találkozott vele a felhasználók többsége, de mégis már rossz szájíze van a Microsoft féle AI-nek a Copilotnak? Sebaj itt az új "fejlesztés"... új nevet kap:

"Újabb helyen bukkant fel a Windows Intelligence említése"

"Alig egy héttel az után, hogy először megírta a PC Fórum: nagyon úgy néz ki, hogy a Microsoft - az Apple-t másolva - "Windows Intelligence" név alatt egyesítheti operációs rendszerébe épített mesterséges intelligenciáss szolgáltatásait, egy újabb helyen bukkant fel előbbi említése. Ezúttal a legújabb Windows 11 előzetesben a Gépházban leltek rá az új, vélhetően a Copilot helyét átvevő márkanév említésére."

Egyébként ez a név trükközés az Apple részéről többször szól mint aminek tűnik. Erről nem írtam annó, de a lényeg, hogy ők azért nevezték el így az egész "AI" cuccost, mert így később majd nem perelhetik őket, hogy... igazából amit kínálnak nem is igazi AI... Nem vicc. Úgy tűnik a Microsoft is úgy van vele, hogy jobb ezt bebiztosítani.

Aztán volt itt olyan "fejlesztős" hír, hogy a Microsoft megint abban látta a haladást, ha elvesznek tőled újabb programokat amik jártak neked... Pénzt nem adnak vissza:

"Heteken belül újabb három app-ot nyír ki a Windows 11-ben a Microsoft"

"Azok, akik még mindig a Windows 11 úgymond - ún. UWP technológiára épülő - régi Posta (Mail), Naptár (Calendar) és Kapcsolatok (People) alkalmazásainak valamelyikét használják, már csak pár hétig tehetik meg mindezt. A Microsoft ugyanis a napokban közölte, hogy az idei év végével a szóban forgó három app meg fog szűnni működni."

Micsoda "kellemes", "stabil" érzést ad, hogy bármikor törölnek csak úgy bármit, ha ahhoz van kedvük...

És mondhatni az idő nem tud haladni újabb olyan hírek nélkül, hogy valami nagy baj van a frissítések körül, most is kaptál ilyeneket... Sokat:

"Újabb hibát találtak a Windows 11 24H2 kiadásában - a szívbajt hozza a felhasználókra"

"Téves üzenettel hozza a szívbajt a Windows 11-használókra a Microsoft"

"Megint baj van az új Windows 11-gyel - nem hagyja magát leállítani egyes gépeken"

Hány éve írom már ezt a blog-ot? Már jópár...

A felhővel kapcsolatban már a nulladik nap előtt hogy úgy mondjam voltak... problémáim.

A felhősök makacsul akarják eladni a sz@rjukat az embereknek, sőt mostmár AI-nak hívják sokszort azt, hogy igazából egy felhő előfizetést akarnak rádsózni... csak mostmár, hogy "AI" nem is hitegetnek, hogy olcsó lesz.

Viszont újra és újra kiderült, hogy - nagy megnyugvásomra - a magyar vállalkozók többsége átlát a szitán és elutasítja a felhőt.

Akik meg nem azok csalódtak és sokszor dobják a felhőt a próba után...

A felhősök meg elátkozzák őket, hogy a magyar vállakozók lemaradnak és elpuszultnak majd pár év alatt (Sok éve ez a szöveg); vagy azt hazudják, hogy a magyar vállalkozók igen, elutasították eddig a felhőt, de most hirtelen már minden megváltozott és minden magyar vállalkozás már felhőt akar... aztán jön egy újabb cikk amiben úgy mellékesen megemlítik, hogy nem, a magyar vállalkozók továbbra se kérnek a felhőből ( sokszor a digitalizáltságot mint szinonímát használnak a felhősök, nem számít mennyi high-tech géped van, ha nincs felhő, nem vagy digitális vállalat... szerintük ).

Na és most itt van egy cikk ami megint megmutatja, hogy a magyar vállalkozókat továbbra se sikerül elég nagy számban átverni:

"Digitális transzformáció és AI-robbanás - Hogyan lesz digitális a magyar gazdaság?"

Látod a címet és valahogy automatikusan azt várnád, hogy jönnek majd a "jó hírek", de aztán a sok cikk között van egy ilyen:

"Nagy bajban a magyar kkv-k, hogy lesz ebből digitális átállás?"

"Évek óta stagnál a digitális technológiák vállalati tevékenységben való integrálása Magyarországon"

Óóóóó nem megy a felhő eladás? 

De sebaj, mert már csak pár év és szinte mindenki felhőt... akarom mondani AI-t , vagyis méregdrága felhőt akar majd használni:

"Arra számítanak, hogy 2030-ig vállalatok 70%-a használja majd a mesterséges intelligenciát, a minél koraibb használat jelentősen megdobhatja egy vállalkozás forgalmát."

"Magyarországon 5-8%-os éves GDP növekedési potenciált rejthet az AI alkalmazása, a késői alkalmazása azonban +1-2 %-ra csökkenti ezt a potenciált – tette hozzá."

Az emberek sz@rok...: Idén emberekkel, van nekünk, nem tudom, ha jól emlékszem 0,1% GDP növekedésünk, de ha minden cég AI-t használna... AI-t aminek jelenleg semmi kedvező hatása sincs a valóságban, akkor a magyar GDP 8%-ot is nőne, csak az AI miatt.

De várjunk csak, pont nemrég volt cikk arról, hogy a cégek zöme már eleve használja az AI-t és sehol sincs még 1% gazdasági növekedés se ezért... persze, hogy nem, mert ez ugyanolyan kamu mint annó, hogy azt igérték, hogy a felhő miatt ( attól, hogy nem lesz saját géped, hanem nekik fizetsz havonta, hogy béreld az övékét ) lesz majd ilyen órási profitnövekedések. Sohase volt logikus.

"A cégek zöme már AI-t használ"

"A cég szerint a Fortune 500-as vállalatok 92 százaléka használja az ő termékeiket."

A baj csak az, hogy bizonyos fontos állami emberek az ilyen f@szságoknak látszólag hisznek.

Szerencsére, a magyar vállalkozók továbbra is nehezen átverhetőek.

Még egy dolgot  végére:

"Arra számítanak, hogy 2030-ig vállalatok 70%-a használja majd a mesterséges intelligenciát, a minél koraibb használat jelentősen megdobhatja egy vállalkozás forgalmát."

Magyarországon 5-8%-os éves GDP növekedési potenciált rejthet az AI alkalmazása, a késői alkalmazása azonban +1-2 %-ra csökkenti ezt a potenciált – tette hozzá.

Ez meg mi? Később használom az AI-t akkor csökken a potenciálja? Dehát... azt igérik, hogy a későbbi AI-k még sokkal-sokkal-sokkal jobbak lesznek... Akkor hát mi ez?

Csak nem az, hogy... szeretnének gyorsan üzletet kötni, gyorsan átverni, mert ahogy halad az idő egyre inkább mindenkinek nyilvánvaló lesz, hogy mekkora nagy kamu ez az AI dolog is...

Újra és újra elő szoktak kerülni cikkek arról, hogy te, a normál, egyszerű hétköznapi ember hogyan tudnál védekezni az online veszélyek ellen. Ezek igencsak hálás cikkek az újságíróknak, mert 15 éve csak Ctrl +C Ctrl+V munkák. És közel 100%-ban haszontalan tanácsok.

De héj, ezúttal a vállalatoknak akarnak tanácsot adni, az már biztos komolyabb, hisz sokkal több pénz forog kockán.

De aztán eszedbe juthat a pár nappal ezelőtti cikkem, amiben leírtam, hogy miért teljesen lehetetlen, hogy egy vállalat sikeresen védekezzen a kibertámadásokkal szemben, ha a fontos dolgai a neten lógnak.

Aztán még idéztem is egy kibervédelmi szakembert a cikkből, aki megerősítette, hogy a sikeres védekezés lehetetlen... és az a cikk egy olyan magyar állami cégről szólt aminek a profilja épp a biztonság... nekik se megy, hát akkor egy sima mezei cégnek mennyi esélye lehet?

Netrekötve: Zéró.

De hagy idézem be ide megint a szakembert a másik cikkből:

"Krasznay Csaba kijelentette: ha valaki nagyon be szeretne juttatni egy zsarolóvírust egy szervezethez, különösen egy magas profilúhoz, az előbb-utóbb meg fogja oldani. "

Hozzátette, talán a legnagyobb, legfelkészültebb, legjobban védett cégek esetén a legkisebb a valószínűsége egy sikeres hackertámadásnak, azonban egy magyar közigazgatási szervnél szinte elkerülhetetlen. 

Mondjuk nekem még itt van rejtélyként, hogy ha van egy szakemberük, aki megmondja nekik, hogy a digitális államuk egy kacsalábon forgó palota, akkor miért eröltetik ezerrel... Dehát ez a blogom egyik alap értetlensége.

És akkor forduljunk rá az új cikkre:

"Így védekezhetnek a vállalatok az online csalások ellen"

Őszintén, nagyon meglepődtem, mert nem azt kaptam amire számítottam.

De amit kaptam az egy... érthetetlen zagyvaság... egy AI reklám, de kinek is?

A cikk egy reklám az AI-nak, de... összezavarodhatsz, hogy most kinek is reklámozzák az AI-t. Mert elsőre lejön, hogy igen, a cégeknek, hogy vegyék ezt, ez jó lesz a cégednek, de aztán a cikk igazából folyamatosan azt próbálja bemutatni, hogy az AI... milyen nagy segítségére lesz a hackereknek, hogy még könnyebben bejussanak a cégekhez.

És az egyik legfőbb mód, hogy egy cég védekezzen az lesz, hogy:

"a magas érzelmi intelligenciával rendelkező emberek" kellenek majd, akik észreveszik, hogy át akarják majd verni őket.

Mondok valamit: Bullshit.

Bullshit, mert a "a magas érzelmi intelligenciával rendelkező emberek" se tudnák már a mai csalásokat se kiszúrni, és bullshit, mert a hackereknek semmi szükségük AI-ra, hogy bejussanak a cégekhez.

Ha egy cég netre van kötve és minden fontos cucca elérhető netről, mégha közbe is iktattak Smart Switch-et, vagy komolyabbnak mondot cégeknél Enterprise Switch-eket, tűzfalakkal... akkor sincs esélyük.

Elmondom az egyik legkényelmesebb módszert.

Van egy cég, ami keres üzleti ajánlatokat, vagy keres új alkalmazottakat és a cég minden gépe egy hálózaton lóg mint a magyar állami "biztonsági" cégnél, amiről pár napja írtam...

Tehát eleve ők maguk akarnak nyitni a külvilágra és ennyi már elég.

Írok nekik egy totál random levelet, hogy itt van az üzleti ajánlatom, nyissátok meg a mellékletet, vagy egy totál random levelet, hogy szeretnék jelentkezni a cégükhöz dolgozni és mellékelem az életrajzom...

Mindenképpen meg kell nyitniuk és ehhez nem kell semmi AI hókusz-pókusz, csak egy totál random standard generic leveleket író program ( nem AI ), sőt ha kényelmetlenséget akarok magamnak, akkor én magam írok három sort. Nincs az "a magas érzelmi intelligenciával rendelkező ember" aki ez ellen tudna tenni valamit. Nincs semmilye se ami ki tudná szűrni, hogy a levelem kamu. Ha a levél normális és nem valami... ázsiai próbálkozás netes fordítóval.

Szóval mi kell ide? Kell egy progi ami kamu email címet mutat a fogadónak, olyat ami szintén hitelessé teszi a dolgot. Pl. egy másik létező vállalatnak az email címét lássa, hogy onnan jön a levél. Ez könnyen megoldható.

A többi meg... még egy antivírus megfoghatná ott akkor a progit amivel megfertőzőm a gépet, de állandóan hozzá tudsz férni friss exploitokhoz és progikhoz amik tesztelve vannak, hogy működnek és nem fogja meg őket az antivírus. Ha pedig a hálózaton belül másik gépen van az értékes infó, akkor még pár lépés vár rád, de az is csak lassítja a dolgokat.

És eljutunk ahhoz, hogy akkor miről szól a cikk? Lényegében röhejes... a hackereknek egy reklám, hogy használjanak a jövőben AI-t, hogy még könnyebb dolguk legyen.

De igazából... semmi szükség ezekre. Bőven elég az ami már most rendelkezésre áll a hackereknek. Nem is lenne még kénylmesebb se. Ugyanúgy egy kattintás és már kész is a generic CV-s levél, vagy a generic üzleti ajánlat levél, amire rá kell, hogy kattintsanak és meg kell nyitniuk a mellékletet... különben a cég működése leállna.

Szóval kedves cikk: nem, a hackerek nem fognak az AI-ért fizetni havonta, feleslegesen. A friss explotiokért meg hasonlókért igen, de amit mondhatni kínálnak itt... annak semmi haszna. Pont mint a normál világnak kínált AI-k esetében.

Íme egy totál kamu... totál kamu, mert a hackereknek erre nincs szüksége:

"A GenAI képes személyre szabni az átveréseket pusztán a munkavállalói adatok vagy a vállalatspecifikus tartalmak elemzésével. A fenyegetőkakár a mi digitális lábnyomunkat is felhasználhatják, hogy egy deepfake videót készítsenek rólunk. Mindez kevesebb mint nyolc percbe és elhanyagolható költségbe kerül. Ennek fényében a GenAI fenyegetések mérséklése felé az első lépés az oktatás. Az alkalmazottaknak meg kell érteniük, hogy a technológia hogyan tudja kihasználni az érzelmeiket, hogy felülkerekedjen a racionális döntéseken. "

"A WEF szerint tehát a vezetőknek érdemes lenne befektetniük az érzelmi intelligenciát erősítő képzésekbe."

Aham... és egy totál generic CV-s levelet ezután akkor sohase nyitunk meg? Dehát az igazitól semmiben se térnek el, nincs mit észrevenni.

Egy dolog segíthetne: totál elszeparált rendszerek. De ezt a kényelmetlenséget valahogy szinte senki se akarja meglépni.

Még egy kis bullshit:

"Az egyes embernek azt is figyelembe kell vennie, hogy az érzelmektől vezérelt cselekedetei hogyan okozhatnak nem szándékosan károkat."

És a bullshit kifogyhatatlan:

"Még a kockázatok mérlegelésekor is előfordulhat, hogy a „mesterséges intelligencia hatása" felülírja a józan ítélőképességet. "

Ez egy cikk a vállalati biztonságról, de semmilyük sincs, semmilyük sincs ami érne valamit,

                                                                               SEMMILYÜK!!!

AI nélkül is, százszázalékban bukás lesz a sorsuk a vállalatoknak, akik egy hálózaton tartanak mindent és a hálózat neten lóg.

És a végére egy kis bullshit reklám, ami a hackereknek szól igazából:

"A generatív mesterséges intelligencia fejlődése tehát nemcsak új lehetőségeket teremt, hanem jelentős kockázatokat is hordoz magában, különösen a vállalatok számára. Az oktatás, a megfelelő reagálás és a jól átgondolt döntéshozatal támogatása kulcsfontosságú a munkavállalók védelmében és a vállalati biztonság megőrzésében. Az emberi ítélőképesség és éberség pedig továbbra is a leghatékonyabb védekezési eszköz az online csalások ellen. "