🕵️ Пятнадцать лет назад был обнаружен сетевой червь Win32/Stuxnet

Он считается первым в истории кибероружием, которое нанесло масштабные разрушения в физическом мире (и да, это недопустимое событие).

🎯 Основной целью Stuxnet были центрифуги для обогащения урана на иранском заводе в Нетензе

Сетевой червь вмешивался в работу промышленного оборудования — программируемых логических контроллеров (ПЛК) Siemens и рабочих станций SCADA-системы Simatic WinCC.

Предполагается, что заражение происходило из-за внутренних нарушителей (через USB-накопители), так как системы завода были изолированы от внешнего мира. Используя четыре уязвимости нулевого дня в Windows, Stuxnet заражал устройства под управлением этой ОС. Затем он искал системы с установленным ПО для управления ПЛК Simatic Step7, а после этого модифицировал исполняемый код внутри контроллеров.

Stuxnet заставлял центрифуги вращаться с опасными колебаниями скорости, что приводило к их постепенному разрушению. В результате из строя было выведено около тысячи центрифуг.

🔍 Впервые Stuxnet обнаружила команда белорусской компании «ВирусБлокАда» (в начале этого года Positive Technologies приобрела долю вендора).

Один из клиентов «ВирусБлокАда» — иранская компания — сообщила о странных сбоях Windows-систем, происходящих без видимой причины. При первичном анализе выяснилось, что заражение происходит при открытии ярлыков (файлов .lnk) с USB-накопителя, вредоносное ПО устанавливало два драйвера (руткиты), которые использовались для внедрения в системные процессы и сокрытия самого вредоноса.

После обнаружения Stuxnet:

• Microsoft выпустила экстренное обновление, закрывшее уязвимость в .lnk-файлах Windows. Позже были устранены и другие уязвимости, которые использовал сетевой червь.

• Siemens опубликовала руководство по обнаружению и устранению вредоноса. Производители ПЛК начали внедрять контроль целостности кода и системно подходить к защите промышленного ПО.

• Антивирусные компании выпустили обновления сигнатур и инструменты удаления Stuxnet.

🤗 История со Stuxnet стала началом появления кибероружия, которое влияет на физический мир

Чтобы обеспечить полную защиту конечных устройств, а также киберустойчивость инфраструктур наших клиентов, эксперты Positive Technologies совместно с командой «ВирусБлокАда» работают над усовершенствованием антивирусных технологий в наших продуктах.

С прошлого года они добавлены в песочницу PT Sandbox, до конца лета появятся в MaxPatrol EDR (продукте для выявления киберугроз на конечных устройствах и реагирования на них), до конца года в PT ISIM (системе мониторинга безопасности промышленных инфраструктур), а также экспертиза будет использоваться в PT NGFW (межсетевом экране нового поколения).

@Positive_Technologies

🔎 Эксперты PT SWARM помогли усилить безопасность «Яндекс Телемост» для Windows

По оценкам TelecomDaily, это приложение является наиболее популярным среди отечественных сервисов для видеоконференций и занимает 19% российского рынка.

Недостаток безопасности CVE-2024-12168 получил оценку 8,4 балла по шкале CVSS 4.0, что означает высокий уровень опасности. При его успешной эксплуатации хакеры могли бы получить доступ к рабочей станции в корпоративной сети жертвы или, при другом векторе атаки, распространять вредоносное ПО под видом «Яндекс Телемоста».

«Для закрепления на рабочей станции пользователя злоумышленнику достаточно было бы загрузить свою вредоносную DLL-библиотеку в папку с уже установленным „Яндекс Телемостом“. Права локального администратора для этого не требовались, а вредоносный код исполнялся бы при каждом запуске „Телемоста“. В результате факт закрепления мог бы остаться незамеченным, так как сценарий атаки является достаточно специфичным для большинства классических антивирусных решений», — отмечает Иван Суслопаров, эксперт команды PT SWARM.

🗂 Еще один вариант использования уязвимости — распространение, например через фишинговые атаки, модифицированного архива, где вместе с оригинальным «Яндекс Телемостом» содержалась бы специально сформированная вредоносная DLL-библиотека. В этом случае клиентское приложение «Яндекс Телемост», которое Windows считает безопасным из-за официальной цифровой подписи компании, на самом деле могло бы запустить вредоносный код, при этом защитные механизмы ОС не выдали бы никаких сообщений об угрозе.

Один из примеров использования найденной уязвимости белыми хакерами — получение командой PT SWARM начального доступа к инфраструктуре финансовой компании в ходе проекта по анализу защищенности. Метод DLL Side-Loading среди прочего использовался киберпреступниками из Team46, в недавних вредоносных кампаниях EastWind и DarkGate, а также при распространении трояна удаленного доступа PlugX.

⚠️ Мы уведомили вендора об угрозе, и команда «Яндекс 360» оперативно приняла меры в рамках налаженного процесса управления уязвимостями. Для защиты пользователям необходимо обновить приложение до версии 2.7 или выше.

#PTSWARM
@Positive_Technologies

😱 Уязвимости снова всплыли на проде? Проблема — не в сканерах

Проблема в том, что безопасность не встроена в процесс разработки. Онлайн-практикум по безопасной разработке от Positive Education — это способ перестроить работу команды, а не просто пройти «обучение».

🔥 Он стартует 30 июня, и за шесть недель вы:

• разберете реальные кейсы AppSec-внедрений

• освоите SAST, DAST, SCA, фаззинг, threat modeling

• прокачаете навыки на облачном стенде

• получите поддержку инженеров и полезные материалы для работы

🎤 Кто ведет:

Артем Пузанков — выстраивал AppSec-процессы в enterprise-компаниях.

Светлана Газизова — внедряла DevSecOps в «невнедряемых» условиях.

Алексей Жуков — практик, прошедший путь от стажера до лидера AppSec.

И еще шесть инженеров Positive Technologies, которые ежедневно решают задачи безопасной разработки на практике.

Покажем, как ускорять релизы, снижать издержки и наконец договориться с разработчиками 🤝

🤩 Узнать подробности вы можете на сайте Positive Education.

#PositiveEducation
@Positive_Technologies

Первый день ПМЭФ завершен, но впереди еще много интересного 😎

Стенд Positive Technologies — эпицентр кибердвижухи. Мы демонстрируем наши технологичные продукты и решения, которыми интересуются гости из самых разных отраслей и стран.

А еще здесь проходит кибербитва Standoff в спецформате: сотни защитников со всего мира расследуют атаки в двух отраслях, макеты которых представлены на стенде 👽

Если вы на ПМЭФ, не проходите мимо (Сектор Е, Территория инноваций).

@Positive_Technologies

✍️ На ПМЭФ мы подписали соглашение о стратегическом партнерстве с фондом «Московский инновационный кластер»

Основная цель сотрудничества — применение лучших практик построения кибербезопасности.

«Нас интересует сотрудничество, которое объединяет научный, производственный и отраслевой потенциал. Взаимодействие с „Московским инновационным кластером“ поможет сделать наши технологии доступнее. Это важный шаг в сторону устойчивого технологического развития, которое невозможно без обеспечения киберустойчивости», — отметил Владимир Клявин, коммерческий директор Positive Technologies.

«Московский инновационный кластер» объединяет более 40 тысяч компаний из Москвы и других регионов России, которым доступны свыше 50 цифровых сервисов и услуг от города. Фонд будет содействовать продвижению решений Positive Technologies в деловом пространстве Москвы, включающем государственный сектор и крупные корпорации.

«Подписание соглашения открывает новые возможности для защиты и развития цифровой инфраструктуры города Москвы. Мы уверены, что наш опыт в организации пилотирования и масштабировании инноваций позволит технологическим компаниям быстрее выходить на рынок и развивать конкурентоспособные решения», — считает генеральный директор фонда Алексей Парабучев.

Совместно мы будем масштабировать и популяризировать применение проверенных технологических продуктов в области ИБ, планируется проводить совместные обучающие программы и форумы.

🤝 Подробнее о партнерстве рассказали в новости на нашем сайте.

@Positive_Technologies

🍳 Хотите узнать, как устроена внутренняя кухня AppSec в Positive Technologies?

Попросили рассказать об этом подробнее наших коллег-экспертов Владимира Кочеткова, Георгия Александрию, Валерия Пушкаря и Дмитрия Рассадина.

В итоге получилось очень классное и интересное интервью для Positive Research, в котором ребята говорят о своей непростой работе, скилах, без которых в ней не обойтись, процессах и инструментах.

Вы узнаете:

✅ почему в нашем случае не всегда подходят практики DevSecOps;
✅ готовы ли мы контрибьютить в AppSec;
✅ как нашим экспертам удается успешно «поженить» задачи ИБ, разработки и интересы бизнеса;
✅ приходилось ли им сталкиваться с серьезными проблемами безопасности, и что из этого вышло.

Обо всем этом и многом другом читайте на сайте нашего медиа.

P. S. Кстати, если вы ищете в статье лайфхаки, чтобы попасть в нашу AppSec-команду, вы их найдете.

#PositiveЭксперты #PositiveResearch
@Positive_Technologies

🍎 Эксперт PT SWARM Егор Филатов обнаружил критически опасную уязвимость в приложении Shortcuts для macOS

Эта предустановленная программа позволяет создавать быстрые команды, что ускоряет управление устройством и автоматизирует повторяющиеся действия пользователя.

Уязвимость BDU:2025-02497 содержалась в версии Shortcuts 7.0 (2607.1.3), она получила оценку 9,8 балла по шкале CVSS 3.0.

«При ее успешной эксплуатации злоумышленник гипотетически мог бы атаковать любого невнимательного пользователя, — рассказал Егор Филатов, младший специалист группы исследования безопасности мобильных приложений, Positive Technologies. — До исправления ошибка позволяла атакующему обойти механизмы безопасности macOS и выполнить произвольный код в операционной системе жертвы».

Кроме того, в Shortcuts пользователям доступны макросы с уже готовыми командами, чем и могли бы воспользоваться злоумышленники, загрузив в библиотеку зараженные шаблоны. Запустив один из них, жертва открыла бы хакеру доступ к устройству.

🫣 Среди возможных последствий успешных атак: кража или удаление данных, запуск вредоносного ПО и создание бэкдоров, установка шифровальщиков, нарушение бизнес-процессов организации, если будет заражено корпоративное устройство.

Мы предупредили вендора о найденном недостатке, и Apple выпустила обновление ПО. Чтобы защититься, установите macOS версии Sequoia 15.5 и выше.

Если обновить ОС не удается, эксперт Positive Technologies рекомендует перед запуском внимательно проверять загруженные быстрые команды или вовсе отказаться от их использования.

#PositiveЭксперты
@Positive_Technologie