Мутация Exchange. Как мы аномалии в Outlook-страницах ловили 😮

В продолжение историй с расследований инцидентов (о них можно почитать вот тут, здесь и частично послушать тут) мы решили проанализировать общую концепцию вставок вредоносного кода в страницы аутентификации Microsoft Outlook. В итоге:

• Помимо обнаруженного на расследованиях инцидентов кейлоггера, обнаружили множество других аналогичных вредоносов.

• Ключевое отличие всех вредоносных фрагментов кода заключается в способе отправки учетных данных жертв: в нем применяются сохранение данных в файл на сервере, DNS-туннелирование, отправка сообщений в телеграм-бота и другие техники.

• Заражения были обнаружены в 26 странах. Большинство скомпрометированных серверов находятся во Вьетнаме, Китае, России, Тайване.

• Как показывает статистика, основная причина успешных атак на серверы — отсутствие установленных обновлений безопасности; на 3 из 65 серверов обновления отсутствовали с 2013 года.

📫 Какие кейлоггеры были обнаружены, куда и как хакеры отправляют данные жертв и как обнаружить вредоносный код в странице Outlook, рассказали в нашем исследовании.

#TI #IR #Malware
@ptescalator

👽 На ПМЭФ-2025 пройдет международная кибербитва Standoff в специальном формате

На три дня легендарное киберсражение превратится в полноценные учения для синих команд — киберзащитников. В них примут участие очно и онлайн сотни специалистов из 21 страны — Египта, Индии, Индонезии, Китая, Омана и других.

Они будут расследовать атаки с предыдущих битв на киберполигоне, воссоздающем IT-инфраструктуру логистической и нефтегазовой отраслей (с реальными системами SCADA и ПЛК).

💪 Участники посетят брифинг с экспертами Positive Technologies, смогут ближе познакомиться с российской индустрией кибербезопасности и испытать на практике наши продукты: MaxPatrol SIEM, PT Application Firewall, PT Sandbox, PT NAD, PT ISIM.

«Угрозы в цифровом пространстве не знают границ, и противостоять им нужно сообща. Мы продолжаем активно развивать международное сотрудничество, обмениваться экспертизой и открывать российскую индустрию ИБ миру. На ПМЭФ участники киберучений смогут не только усовершенствовать свои навыки защиты, но и попробовать самые передовые решения в сфере кибербезопасности», — отметил Алексей Новиков, управляющий директор Positive Technologies.

Полученный практический опыт команды смогут использовать для защиты своих компаний по всему миру.

👀 Увидеть макеты отраслей виртуального Государства F можно будет на стенде Positive Technologies с 18 по 20 июня (площадка «Территории инноваций»).

#Standoff
@Positive_Technologies

ЦИПР смотрели? Мы защитили ☕️

Точнее, остановили все попытки атак на веб-ресурсы конференции совместно с партнером Servicepipe.

Защита сайтов форума имела особое значение: через них регистрировались первые лица регионов и топ-менеджеры крупных компаний. Внедрение комплексной защиты прошло в сжатые сроки — в течение двух недель.

PT Application Firewall и Servicepipe Cybert обеспечили результативную защиту веб-ресурсов ЦИПР от эксплуатации уязвимостей и угроз ботового трафика, а также помогли предотвратить утечки данных более 10 тысяч участников конференции.

«Необходимо было обеспечить результативную безопасность ресурсов, не блокируя легитимный трафик, включая обращения из других стран, запросы крупных корпоративных клиентов. При этом защита никак не повлияла на время отклика веб-ресурса на запросы пользователей и осталась незаметной для посетителей сайтов конференции и премии», — отметил Алексей Антонов, директор по развитию бизнеса безопасной разработки Positive Technologies.

Все попытки автоматизированного сканирования веб-ресурсов, поиска слабых мест и уязвимостей были заблокированы. В итоге на форум не было совершено ни одной успешной атаки.

Подробности — в нашем материале.

#PTAF
@Positive_Technologies

🪲 Продолжаем сагу о том, как устроены антивирусы

Защитные решения — это синергия нескольких продуктов, но за каждым из них — множество инструментов и технологий, и у всех свои задачи по обнаружению и блокировке угроз.

В прошлой статье наши коллеги из PT Expert Security Center разобрали антивирусные решения по компонентам и рассказали, на каких движках те могут работать. Во второй части вы узнаете, почему вредоносы не пройдут и какими способами можно узнать их из тысячи (если вы антивирус, конечно).

В статье эксперты подробно рассказали о методах:

👾 Статический анализ — когда у антивируса есть база сигнатур и хешей и он ищет что-то похожее в структуре, библиотеках и коде полученных файлов, не запуская их.

👾 Динамический анализ — когда файл запускается, чтобы по его поведению стало ясно, заражен он ВПО или нет.

👾 Анализ в эмуляторе — тут предполагаемые вирусы изолируют и создают для них ловушки — например, фальшивые файловые системы, чтобы они начали проявлять активность.

👾 Эвристический анализ — выявляет вирусы по их поведению в файлах. Для этого отслеживаются характерные признаки подозрительной активности, а специальные алгоритмы исследуют код в поисках потенциально опасных фрагментов.

👾 И наконец, анализ сетевого трафика — он позволяет отслеживать сетевую активность, чтобы обнаружить вредоносные соединения и подозрительное поведение программ.

Читайте материал на Anti-Malware.ru, чтобы разобраться во всем детально и понять, в каких случаях эти методы работают, а в каких нет.

#PositiveЭксперты
@Positive_Technologies

👽 Взлом крупных финансовых компаний — это не только цель хакеров, но и челлендж для редтимеров из PT SWARM

Как ребята готовились и проводили атаки при помощи социальной инженерии, что из этого вышло и чем помогло клиентам, подробно рассказал в своей статье для Positive Research Константин Полишин, руководитель группы Red Team SE отдела тестирования на проникновение Positive Technologies.

Вы удивитесь, как много можно узнать о компании, применяя лишь методы пассивной разведки. Например, используемый стек технологий легко находится в вакансиях для айтишников и резюме сотрудников. А корпоративные адреса — в публичных утечках данных и логах инфостилеров. А уж если искать информацию активно — можно собрать из разных источников целые досье на предполагаемых жертв.

🎣 Дальше остается тщательно подобрать фокус-группу, разработать фишинговый сценарий и раз за разом забрасывать удочку, пока не сработает. Для этого редтимеры (как и предполагаемые злоумышленники) тщательно изучают содержимое почтовых ящиков, ключевые слова в письмах, корпоративный стиль общения, внутреннюю жизнь и процессы в компании.

👽👽 Хотите посмотреть на атаку изнутри в мельчайших деталях? Читайте крутое журналистское расследование новый материал в нашем медиа.

#PositiveResearch
@Positive_Technologies

Что происходит, когда вредонос попадает в PT Sandbox? 🤨

Для него начинается киберприключение в изолированной среде, которое всегда заканчивается ☠️

О том, как это работает, на вебинаре 17 июня в 14:00 расскажет Шаих Галиев, руководитель отдела экспертизы PT Sandbox из антивирусной лаборатории PT ESC.

На трансляции вас ждут:

🤗 Аналитика эффективности поведенческого анализа при выявлении неизвестных угроз

✅ Реальные кейсы обнаружения сложных вредоносных программ

🔄 Обновленная экспертиза PT Sandbox для точного детектирования вредоносов

Регистрируйтесь заранее на нашем сайте, чтобы обсудить возможности нашего продукта вместе с экспертом.

#PTSandbox
@Positive_Technologies

🎁 Представляем новую версию PT Container Security — 0.7

Главное в релизе — мультикластерность и поддержка защиты всех кластеров в инфраструктуре из единой точки управления.

Что это дает

Продукт позволяет развернуть все агенты защиты в каждом кластере инфраструктуры клиентов и централизовать контроль безопасности контейнеров. За счет этого сокращается время реагирования на инциденты, а расследовать и анализировать их становится удобнее.

Кроме того, инженеры и аналитики SOC могут:

🔴 подключать в каждом из дочерних кластеров только нужные сенсоры безопасности для экономии ресурсов;

🔴 использовать внешние менеджеры и хранилища, чтобы снизить потребление ресурсов и затраты на инфраструктуру для сбора и обработки больших потоков событий;

🔴 применять общий механизм аутентификации для всех кластеров, чтобы надежнее контролировать доступ к чувствительной информации.

«Наш подход к процессу обработки данных от сенсоров и микросервисная архитектура позволяют построить оптимальную конфигурацию безопасности мультикластерных сред контейнеризации, в которой пользователь получит лучшее отношение потребляемых ресурсов к величине обрабатываемого потока событий безопасности», — комментирует Михаил Бессараб, руководитель продукта PT Container Security.

👀 Подробнее обо всех возможностях новой версии PT Container Security мы написали на сайте.

#PTContainerSecurity
@Positive_Technologies

🕵️ Пятнадцать лет назад был обнаружен сетевой червь Win32/Stuxnet

Он считается первым в истории кибероружием, которое нанесло масштабные разрушения в физическом мире (и да, это недопустимое событие).

🎯 Основной целью Stuxnet были центрифуги для обогащения урана на иранском заводе в Нетензе

Сетевой червь вмешивался в работу промышленного оборудования — программируемых логических контроллеров (ПЛК) Siemens и рабочих станций SCADA-системы Simatic WinCC.

Предполагается, что заражение происходило из-за внутренних нарушителей (через USB-накопители), так как системы завода были изолированы от внешнего мира. Используя четыре уязвимости нулевого дня в Windows, Stuxnet заражал устройства под управлением этой ОС. Затем он искал системы с установленным ПО для управления ПЛК Simatic Step7, а после этого модифицировал исполняемый код внутри контроллеров.

Stuxnet заставлял центрифуги вращаться с опасными колебаниями скорости, что приводило к их постепенному разрушению. В результате из строя было выведено около тысячи центрифуг.

🔍 Впервые Stuxnet обнаружила команда белорусской компании «ВирусБлокАда» (в начале этого года Positive Technologies приобрела долю вендора).

Один из клиентов «ВирусБлокАда» — иранская компания — сообщила о странных сбоях Windows-систем, происходящих без видимой причины. При первичном анализе выяснилось, что заражение происходит при открытии ярлыков (файлов .lnk) с USB-накопителя, вредоносное ПО устанавливало два драйвера (руткиты), которые использовались для внедрения в системные процессы и сокрытия самого вредоноса.

После обнаружения Stuxnet:

• Microsoft выпустила экстренное обновление, закрывшее уязвимость в .lnk-файлах Windows. Позже были устранены и другие уязвимости, которые использовал сетевой червь.

• Siemens опубликовала руководство по обнаружению и устранению вредоноса. Производители ПЛК начали внедрять контроль целостности кода и системно подходить к защите промышленного ПО.

• Антивирусные компании выпустили обновления сигнатур и инструменты удаления Stuxnet.

🤗 История со Stuxnet стала началом появления кибероружия, которое влияет на физический мир

Чтобы обеспечить полную защиту конечных устройств, а также киберустойчивость инфраструктур наших клиентов, эксперты Positive Technologies совместно с командой «ВирусБлокАда» работают над усовершенствованием антивирусных технологий в наших продуктах.

С прошлого года они добавлены в песочницу PT Sandbox, до конца лета появятся в MaxPatrol EDR (продукте для выявления киберугроз на конечных устройствах и реагирования на них), до конца года в PT ISIM (системе мониторинга безопасности промышленных инфраструктур), а также экспертиза будет использоваться в PT NGFW (межсетевом экране нового поколения).

@Positive_Technologies

🔎 Эксперты PT SWARM помогли усилить безопасность «Яндекс Телемост» для Windows

По оценкам TelecomDaily, это приложение является наиболее популярным среди отечественных сервисов для видеоконференций и занимает 19% российского рынка.

Недостаток безопасности CVE-2024-12168 получил оценку 8,4 балла по шкале CVSS 4.0, что означает высокий уровень опасности. При его успешной эксплуатации хакеры могли бы получить доступ к рабочей станции в корпоративной сети жертвы или, при другом векторе атаки, распространять вредоносное ПО под видом «Яндекс Телемоста».

«Для закрепления на рабочей станции пользователя злоумышленнику достаточно было бы загрузить свою вредоносную DLL-библиотеку в папку с уже установленным „Яндекс Телемостом“. Права локального администратора для этого не требовались, а вредоносный код исполнялся бы при каждом запуске „Телемоста“. В результате факт закрепления мог бы остаться незамеченным, так как сценарий атаки является достаточно специфичным для большинства классических антивирусных решений», — отмечает Иван Суслопаров, эксперт команды PT SWARM.

🗂 Еще один вариант использования уязвимости — распространение, например через фишинговые атаки, модифицированного архива, где вместе с оригинальным «Яндекс Телемостом» содержалась бы специально сформированная вредоносная DLL-библиотека. В этом случае клиентское приложение «Яндекс Телемост», которое Windows считает безопасным из-за официальной цифровой подписи компании, на самом деле могло бы запустить вредоносный код, при этом защитные механизмы ОС не выдали бы никаких сообщений об угрозе.

Один из примеров использования найденной уязвимости белыми хакерами — получение командой PT SWARM начального доступа к инфраструктуре финансовой компании в ходе проекта по анализу защищенности. Метод DLL Side-Loading среди прочего использовался киберпреступниками из Team46, в недавних вредоносных кампаниях EastWind и DarkGate, а также при распространении трояна удаленного доступа PlugX.

⚠️ Мы уведомили вендора об угрозе, и команда «Яндекс 360» оперативно приняла меры в рамках налаженного процесса управления уязвимостями. Для защиты пользователям необходимо обновить приложение до версии 2.7 или выше.

#PTSWARM
@Positive_Technologies

😱 Уязвимости снова всплыли на проде? Проблема — не в сканерах

Проблема в том, что безопасность не встроена в процесс разработки. Онлайн-практикум по безопасной разработке от Positive Education — это способ перестроить работу команды, а не просто пройти «обучение».

🔥 Он стартует 30 июня, и за шесть недель вы:

• разберете реальные кейсы AppSec-внедрений

• освоите SAST, DAST, SCA, фаззинг, threat modeling

• прокачаете навыки на облачном стенде

• получите поддержку инженеров и полезные материалы для работы

🎤 Кто ведет:

Артем Пузанков — выстраивал AppSec-процессы в enterprise-компаниях.

Светлана Газизова — внедряла DevSecOps в «невнедряемых» условиях.

Алексей Жуков — практик, прошедший путь от стажера до лидера AppSec.

И еще шесть инженеров Positive Technologies, которые ежедневно решают задачи безопасной разработки на практике.

Покажем, как ускорять релизы, снижать издержки и наконец договориться с разработчиками 🤝

🤩 Узнать подробности вы можете на сайте Positive Education.

#PositiveEducation
@Positive_Technologies

Первый день ПМЭФ завершен, но впереди еще много интересного 😎

Стенд Positive Technologies — эпицентр кибердвижухи. Мы демонстрируем наши технологичные продукты и решения, которыми интересуются гости из самых разных отраслей и стран.

А еще здесь проходит кибербитва Standoff в спецформате: сотни защитников со всего мира расследуют атаки в двух отраслях, макеты которых представлены на стенде 👽

Если вы на ПМЭФ, не проходите мимо (Сектор Е, Территория инноваций).

@Positive_Technologies