Для проникновения в инфраструктуры органов власти злоумышленники использовали три основных вектора атак: фишинг (тщательно проработанный под специфику деятельности того или иного органа госвласти), эксплуатацию уязвимостей веб-приложений, опубликованных в интернете, и взлом инфраструктуры подрядных организаций.

Думаете это опять про «русских хакеров»?

ИБ-специалисты из американской компании Sentinel Labs провели анализ ряда кибератак на органы государственной власти РФ и сообщили, что за взломом предположительно стоят китайские хакеры.

Подробнее

Суммы выкупа, требуемые операторами программ-вымогателей продолжают расти. А из-за того, что некоторые компании отказываются платить, злоумышленники изобретают новые тактики вымогательства: например, если компания не идет на уступки, преступники угрожают сообщить о факте атаки и об украденных данных ее клиентам. По их замыслу, клиенты повлияют на компанию и заставят ее заплатить — чтобы не допустить разглашения своих данных.

Меняются и способы обхода средств защиты. Разработчики ВПО используют редкие языки программирования, как в случае с создателями ВПО для удаленного управления BazarBackdoor, которые переписали его, используя язык Nim. Или операторами программ-вымогателей Vovalex и RobbinHood, которые изначально выбрали редкие языки D и Golang.

К чему это все приводит? На прошедшем The Standoff  красные оставили город без электричества и нефтедобычи, а на баржу упал контейнер. И это из-за реализации 54% от общего числа рисков, заложенных в программу соревнований.

Реальная же картина такая: 77% атак в этом году были целенаправленными, а инциденты с частными лицами составили 12%. Общее же количество атак увеличилось на 17% в сравнении с I кварталом 2020 года. Программы-вымогатели остаются самым распространенным вредоносным ПО. Их доля среди прочего ВПО, применяемого в атаках на организации, увеличилась на семь процентных пунктов в сравнении с IV кварталом 2020 года и составляет 63%.

К чему придем? Пишите свои прогнозы в комментариях👀

Двадцать первый выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru.

Темы нового ролика:

- ФБР и полиция управляли защищенной чат-платформой для слежки за преступниками,
- Apple заплатила студентке миллионы долларов за слив интимных фото,
- Anonymous объявили войну Илону Маску из-за курса криптовалют,
- Microsoft исправила рекордное число 0-Day-уязвимостей с выпуском июньского пакета обновлений,
- в Китае создали гигантскую нейросеть,
- конгрессмен США случайно показал PIN-код и пароль своей электронной почты в Twitter,
- ущерб от атак вымогателей в следующем десятилетии превысит $265 млрд,
- Минюст США вернул $2,3 млн в криптовалюте, выплаченные вымогателям Darkside,
- треть руководителей готовы шпионить за персоналом ради защиты коммерческой тайны.

До сих пор во многих компаниях «безопасники» отвечают за «всю безопасность»: от бумажек до техники 😬

У киберпреступников же наоборот - эра максимального разделения: при низких компетенциях и высокой специализации, преступная кибериндустрия эффективно работает 🤷 Ближайшие два года - период ответной специализации в отрасли ИБ. А поскольку не каждая компания может позволить себе узкого специалиста - будут расти экспертные сервисы. Согласны?

Подробнее - в интервью Андрея Янкина, директора центра информационной безопасности Инфосистемы Джет

На The Standoff работал security operation center (SOC), состоящий из нескольких команд PT Expert Security Center и наблюдавший за всем происходящим. Одной из таких команд был наш отдел обнаружения вредоносного ПО. С помощью песочницы PT Sandbox мы анализировали входной поток файлов на предмет наличия вредоносного кода.

Мы провели анализ событий в песочнице за период с 18 мая 10:00 до 21 мая 14:00. Согласно регламенту проведения противостояния, 18 и 19 мая с 19:00 до 10:00 следующего дня активные действия на полигоне не проводились.

За время проведения кибербитвы в песочницу поступило 67 142 файла на анализ, из которых в 233 случаях было обнаружено вредоносное ПО. Файлы в систему поступали следующим образом:

• из вложений писем с почтовых серверов инфраструктуры города FF;

• из сетевого трафика, перехваченные с помощью PT Network Attack Discovery;

• через ICAP, перехваченные с помощью PT Application Firewall;

• путем загрузки вручную через веб-интерфейс специалистами SOC.

На рисунках представлены распределения всех файлов, поступивших на анализ, по источникам, а также распределение по источникам тех, в которых обнаружен вредоносный код.

Подобнее о работе песочницы в нашем блоге на Хабре https://habr.com/ru/company/pt/blog/562770/

Instagram исправил уязвимость, позволявшую просматривать архивы публикаций и историй закрытых страниц без необходимости на них подписываться. Как пояснил обнаруживший проблему исследователь безопасности Маюр Фартаде (Mayur Fartade), «с помощью Media ID атакующий мог видеть закрытые/архивные публикации, истории, Reels и IGTV, не будучи подписанным на пользователя» 🤷

О приемах OSINT, которые позволяют эффективно добывать приватную и даже секретную информацию, не прибегая к взлому, мы подробно рассказывали на PHDays.

И это не просто скучная лекция. Андрей Масалович продемонстрировал все приемы на реальных примерах 😎

Сайты и сервисы частных объявлений растут который год. А вместе с аудиторией, увеличивается и количество жуликов 💩

С октября 2019 мошенники уже украли 1,4 млрд на таких сайтах, а число группировок злоумышленников превысило 200 (согласно исследованию сервиса мониторинга даркнета DLBI).

Основной способ обмана покупателей на таких площадках — направление фишинговой ссылки через сторонний мессенджер, где нужно сделать платеж за несуществующий товар🤦 Другой вариант выманивания денег направлен на продавцов: им предлагается ввести реквизиты карты якобы для получения средств после продажи. 

За пять месяцев 2021-го объем украденных средств на таких площадках вырос в 3,7 раза к аналогичному периоду прошлого года, до 539 млн рублей. А за весь 2021 год сумма может достичь 2 млрд.

Обязательно посмотрите выступление Дмитрия Андреева на PHDays «Слишком человеческое: социнженерия-2021». В нем подробно разобраны принципы социальной инженерии, сценарии ее применения и способы противодействия этой технике в корпоративной среде. 

👉 Сталкивались с таким? Делитесь в комментариях!

А вот и фотографии с майских PHDays и The Standoff 🤌

Как же круто прошли эти дни 🚀

Ищите себя, делитесь фото.
И не забывайте отмечать нас 😎

#PHDays10 #TheStandoff

Двадцать второй выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru.

Темы нового ролика:

- создатели NFT стали центром крупной фишинговой кампании,
- 80% компаний, заплативших вымогателям, подвергаются повторным кибератакам,
- новый ИИ-инструмент для подделки текста от Facebook невероятен и немного жутковат,
- китайская полиция нейтрализовала более 170 группировок по подозрению в отмывании денег,
- уличные видеокамеры в РФ хотят объединить в единую систему контроля,
- японской корпорации Toshiba удалось передать квантовые биты на 600 километров,
- угроза кибератак на коммунальные системы растет каждую неделю,
- ИИ позволяет создать поддельные документы, обманывающие хакеров,
- квантовые компьютеры смогут взламывать биткойн-кошельки.

Атаки на корпоративную инфраструктуру

В прошлом году злоумышленники взломали ПО Orion компании SolarWinds в США. Хакерам удалось внедрить вирус в обновление, загруженное и использованное тысячами клиентов этой фирмы, среди которых были ведущие правительственные учреждения, а также более 400 крупнейших американских компаний. Расследование показало, что сетевой экран, блокирующий исходящие соединения, мог бы нейтрализовать ВПО 💁

Проблема выявления атак на корпоративную инфраструктуру актуальна для многих компаний. При этом их сложность повышается год от года. Поэтому процессы по выявлению инцидентов в компьютерных сетях также нуждаются в развитии. Один из трендов этого развития - внедрение подхода проактивного поиска угроз (threat hunting). 

✅ Узнать о том, какие опенсорсные проекты используются для выявления современных атак и как можно достичь синергетического эффекта, используя их вместе с коммерческими продуктами можно в выступлении Антона Кутепова

Программы-вымогатели - наиболее популярное вредоносное ПО в 2021 году

Их доля среди прочего ВПО, применяемого в атаках на организации, увеличилась на 7% и составила 63% 🥷

В списке самых атакуемых отраслей оказались медучреждения (17%), госучреждения (16%) и промышленные компании (15%). Основной стратегией злоумышленников стало требование двойного выкупа за дешифровщик и неразглашение украденной информации. 

А вот и топ-5 программ-вымогателей в I квартале 2021 года 👇🏼

• REvil
• Clop
• Conti (Ryuk)
• Babuk Locker
• DoppelPaymer

✅ Как перестать заниматься анализом программ-вымогателей и начать предоставлять своей команде полезные киберразведывательные данные смотрите в презентации Олега Скулкина

Самое небезопасное ПО в первом квартале 2021 года

Первый квартал 2021 года запомнится активной эксплуатацией уязвимостей в программном обеспечении Microsoft Exchange Server (уязвимости ProxyLogon). Слабыми местами ProxyLogon воспользовались злоумышленники, распространяющие шифровальщик Black Kingdom и DearCry, криптомайнер Lemon_Duck, а также APT-группировки.

👀 Microsoft Exchange Server — это желанная цель для многих злоумышленников, ведь в случае эксплуатации уязвимостей или некорректной настройки компонентов атакующий получит доступ к электронным письмам компании, поднять свои привилегии до администратора сети, а также осуществлять фишинговые атаки от лица сотрудников компании. 

✅ О том, как злоумышленники могут закрепиться в системе и методах их обнаружения - в презентации Теймура Хеирхабарова и Антона Медведева

Такие дела. Согласны?

Факты о The Standoff 👇🏼

Если моделируется компания-ретейлер, то у нее обязательно будет ERP-система, где хранится полный список продукции, которая компания реализует. Будет и CRM-система, где собраны данные клиентов магазина, кассовое оборудование и система, передающая данные в ЕГАИС. Если по легенде у ретейлера будет еще и интернет-магазин, мы добавим систему, реализующую личный кабинет пользователя.

✅ Например, для транспортной компании Heavy Ship Logistics у нас предусмотрен бизнес-процесс по продаже авиабилетов. По сценарию The Standoff, команды атакующих могут приложение для покупки билетов взломать и полететь куда угодно бесплатно.  Специально для этого бизнес-процесса мы написали небольшое приложение, эмулирующее процесс продажи.

👨‍💻 А если у вас есть предложения по развитию нашего полигона - оставляйте их в комментариях!

Двадцать третий выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru

Темы нового ролика:

- новые документы проливают свет на использование инструмента GrayKey для взлома iPhone;
- «умный» ковер позволяет наблюдать за людьми без камер;
- Apple преуменьшила опасность критической уязвимости в iCloud;
- SonicWall оставила уязвимость в своих VPN-продуктах частично неисправленной;
- в России прорабатывается программа по вживлению чипов в мозг человека;
- в продуктах Microsoft в 2020 году было обнаружено рекордное количество уязвимостей;
- ИИ стал причиной спада зарплат в США на 50-70% за последние 40 лет;
- хакеры зачастую атакуют оборонные компании через мелких поставщиков;
- механизм защиты от Spectre замедляет работу Linux в 1,6 раза.

Что же с нами стало? 😬

Предлагаем вспомнить громкие инциденты ИБ за последние 10 лет вместе с Владимиром Дащенко 🖤

Во сколько обошлись эти атаки и какие были последствия - все в презентации 👇🏼

Появилась информация про новую атаку на цепочку зависимостей, которая зацепила Microsoft.

Напомним, что эта атака использует недостатки в работе менеджеров пакетов, которые отдают предпочтение загрузке пакета из открытого репозитория перед аналогичной загрузкой частной сборки. Таким образом, если пакет с определенным именем отсутствует в открытом репозитории, то хакер может залить туда поддельный, являющийся на самом деле вредоносом. А тот в свою очередь будет подтянут как вполне легальный.

В феврале этот трюк позволил Алексу Бирсану условно скомпрометировать сети более 35 крупных технологических компаний, включая Microsoft, Apple, PayPal и др.

В этот раз исследователь Рикардо Ирамар дос Сантос изучал опенсорсный пакет SymphonyElectron и наткнулся на зависимость в виде подгружаемого пакета swift-search, который отсутствовал в npmjs .com. Дос Сантос зарегистрировал собственный пакет с тем же именем, который скидывал на его PoC-сервер параметры системы, подтянувшей пакет.

Через несколько часов после публикации исследователь обнаружил, что ̶е̶г̶о̶ ̶в̶ы̶з̶ы̶в̶а̶е̶т̶ ̶Т̶а̶й̶м̶ы̶р̶ ему отвечает игровой сервер Microsoft Halo. Эксперт сообщил данную информацию в Microsoft, а дальше начались обычные ритуальные танцы "я не я, баг а не фича" (сам дос Сантос называет решение сообщить об ошибке в MSRC "ужасной ошибкой").

Сначала они ответили, что это не их дело вообще, а вопрос к поддержке SymphonyElectron. Через час они попросили дос Сантоса воспроизвести компрометацию. А потом затянули стандартную бесконечную бессмысленную переписку, после чего исследователь опубликовал таки информацию об уязвимости в своем блоге.

Остается заметить, что дырку Microsoft таки оперативно прикрыли.

Фишинг против саботирования бизнес-процессов

🐠 Тему фишинга подняли даже во время прямого эфира с президентом. Путин призвал Центробанк активнее бороться с фишинговыми сайтами (социальная инженерия составляет 89% от всех методов атак на частные лица).

Мы много раз писали о социальной инженерии. Сегодня предлагаем взглянуть на неё под другим углом.

Фишинг как метод выявления болевых точек в бизнес-процессах

В компаниях есть сотрудники, которые игнорируют бизнес-корреспонденцию и тем самым тормозят бизнес-процессы. Особенно это актуально для сотрудников на удаленке 🙆

✅ Доклад будет полезен представителям службы ИБ, которые хотят проводить учебные фишинговые атаки, но встречают непонимание со стороны руководства. Докладчик расскажет, как проводить фишинг и находить бизнес-диверсантов.