Уже все про это написали, но мы не можем пройти мимо.

Практически одновременно Microsoft и FireEye выпустили отчеты в отношении новых вредоносов, которые были обнаружены в рамках расследования атаки Sunburst на IT-разработчика SolarWinds.

Microsoft побеждает со счетом 3:1. Что же они нашли.

1. Бэкдор второго уровня, который по версии Microsoft называется GoldMax, а в отчете FireEye именуется Sunshuttle - скорее всего это один и тот же вредонос. Написан на Go после апреля 2020 года, FireEye говорят, что он был в зараженной сети в августе 2020. Они же не подтверждают однозначную связь бэкдора с UNC2542, как называют группу, стоящую за атакой Sunburst.

Microsoft более категоричны и называют автором GoldMax именно группу Nobelium, так теперь они именуют организатора атаки. Они, судя по отчету, обладают большими первичными данными и отловили GoldMax у нескольких жертв сразу. Время размещения вредоносов во взломанных сетях - с июня по сентябрь 2020 года.

Из интересного - механизмы сокрытия канала связи вредоноса с управляющим центром, когда бэкдор связывается сразу с несколькими легальными сайтами, чтобы скрыть С2, а последний шлет команды через cookie.

2. Бэкдор Sibot на основе VBScript предназначенный для обеспечения постоянного присутствия на зараженной машине. Microsost нашли три варианта Sibot.

3. Модуль GoldFinger, также написанный на Go и предназначенный для HTTP-трассировки маршрута до управляющего центра.

Как обычно, про TTPs, которые могут свидетельствовать о принадлежности атаки российской APT - ни слова.

Supermicro заявили, что серия их материнских плат X10 UP уязвима для атаки UEFI-биос, осуществляемой модулем TrickBoot вредоноса TrickBot.

Сам TrickBoot был найден исследователями из AdvIntel и Eclypsium еще в декабре прошлого года. Понятно, что такой апгрейд вредоноса значительно усложняет задачу не только лечения, но и обнаружения заражения. К тому же малварь сможет удалённо "окирпичивать" зараженные компьютеры, обходить системы безопасности (включая BitLocker, Windows Virtual Secure Mode, Credential Guard и некоторые антивирусы), получать доступ к SPI-контроллеру для проведения сложных атак против процессоров Intel.

Supermicro обещают в ближайшее время выпустить исправления своих биос, а пока рекомендуют всем включить защиту от записи и проверить целостность прошивки.

А мы тем временем напомним, что прошло почти пять месяцев с тех пор, как коалиция "Microsoft и все, все, все" нанесли "решающий удар" по ботнету TrickBot. У себя в фантазиях.

​​Поздравляем всех девушек, работающих в отрасли информационной безопасности, с наступающим 8 марта!

Вы действительно особенные! Ну где еще найдешь таких очаровательных и умных одновременно! Разве что в сказках!

Всех обнимаем, всем привет, за всех выпьем! С праздником, боевые подруги! Ни CVE, ни слабого пароля!!!

За прошедшие праздники появилось несколько интересных новостей, которые неким образом оказываются связаны друг с другом, поэтому обсуждать мы их будем серией постов.

Новость №1 все уже наверняка слышали, потому что про нее написали большинство российских Интернет-СМИ - да, это про угрозы администрации Байдена провести серию кибератак на российские государственные ресурсы в течение следующих трех недель, о чем пишет The New York Times.

Но формулировку при этом американские журналисты применили весьма интересную - по словам источника, планируется "серия тайных действий, которые будут очевидны для Владимира Путина, российской разведки и военных, но незаметна для остального мира".

Очень удобно, на самом деле. Можно вообще ничего не делать, но потом заявить, что киберответ коварным русским был дан, как и обещано. Просто они замалчивают.

Почему мы допускаем подобное развитие событий. Потому что вся активность американских APT свидетельствует, что для них на первом месте стоит конспиративность своей хакерской деятельности. По крайней мере это справедливо для анбшной Equation и црушной Lamberts aka Longhorn.

Но у американцев есть как минимум еще и APT, участвовавшая во взломе подрядчика ФСБ весной прошлого года, - по данным Yahoo это некое подразделение ЦРУ, похоже, что отличное от Lamberts. Наверняка есть APT и у американских военных - того же РУМО и иже с ними.

Поэтому вероятность кибератак США на российские сети в сложившейся обстановке мы оцениваем как женщина в известном анекдоте оценивала вероятность встретить на улице динозавра - 1/2 (или встречу, или не встречу).

Что же касается потенциальной возможности российских государственных ресурсов противостоять возможным операциям американских APT, то тут наша позиция известна. Нет практически такой возможности. Если захотят - сломают.

Ну и напомним, что официально никаких доказательств причастности российских APT к взлому SolarWinds (а именно за это планируются ответные кибератаки) до сих пор нет. Хотя прошло уже больше трех месяцев с момента его обнаружения. Nuff said.

Вторая новость, непосредственно связанная с предыдущим постом, - Secureworks выпустили отчет по результатам исследования вредоноса Supernova.

Веб-шелл Supernova был выявлен в ходе расследования атаки Sunburst на компанию SolarWinds в декабре прошлого года. Тогда ряд инфосек вендоров, например Symantec и Palo Alto Networks, выяснили, что в некоторых случаях этой малварью были заражены установки SolarWinds Orion, для чего эксплуатировалась уязвимость CVE-2020-10148, позволявшая с помощью обхода аутентификации Orion осуществить удаленный вызов API функций.

В начале февраля Reuters написали, что согласно их источникам, близким к расследованию ФБР, за Supernova стоит некая китайская хакерская группа.

И вот теперь Secureworks достаточно обоснованно показали, что, согласно имеющимся TTPs, за атакой на американские организации с использованием вредоноса Supernova стоит APT, получившая название Spiral. А за Spiral с большой долей вероятности стоит Китай - в результате просчетов в OpSec хакеры спалили один из своих IP-адресов.

Но исследователи тут же уточняют, что Supernova никак не связана с атакой Sunburst. Потому что ответственными за Sunburst назначены русские хакеры.

​​На фоне всего вышеперечисленного развивается история с выявленным эксплойт-китом из уязвимостей в Microsoft Exchange, который активно использовали хакеры из группы Hafnium, которую сами Microsoft назвали китайской.

Несмотря на то, что кейс с самого начала был достаточно серьезным (чего стоит хотя бы официальное предостережение американского CISA) ему явно не хватало медийности. Хайпа подвез Брайн Кребс, который сообщил, что согласно его источникам, Hafnium подломили по меньшей мере 30 тыс. американских организаций. А затем добавили Bloomberg, сообщившие, что по данным их источника, знакомого с расследованием, число жертв взлома составляет не менее 60 тыс.

И вот уже американские журналисты стали всерьез обсуждать необходимость санкций и ответных атак не только против России, но и против Китая. Но пока как-то нерешительно. По крайней мере, такого вала обвинений в адрес Пекина, какой последовал в адрес России после взлома SolarWinds, не наблюдается. Несмотря на то, что, повторяемся, никаких официальных заявлений о причастности российских APT к атаке Sunburst до сих пор нет, а инфосек компании называют осуществившую их группу то UNC2542, то Nobelium, то еще как.

Apple выпустили срочное исправление безопасности для macOS, а также для iOS и iPadOS, исправляющие уязвимость CVE-2021-1844.

Ошибка содержится в движке WebKit, который используется Safari, и может привести к удаленному выполнению кода (RCE) при посещении вредоносной страницы.

Уязвимость была обнаружена исследователем Клементом Лесинем из Google TAG. Подробностей нет, но угроза RCE достаточно весома, чтобы обновить свои устройства не откладывая.

Южнокорейские СМИ сообщают, что полиция во взаимодействии с зарубежными коллегами арестовала 20-летнего гражданина Южной Кореи, который обвиняется в распространении ransomware GandCrab.

По данным полиции, в период с февраля по июнь 2019 года хакер разослал обычным пользователям почти 6,5 тыс фишинговых писем, содержавших в себе вредонос. После заражения и шифрования от жертвы требовался выкуп в размере 1300 долларов в биткоинах. Всего были заражены не менее 120 человек, но злоумышленник получил только 10500 долларов, поскольку его доля составляла лишь 7% от выкупа.

Полиция нашла оператора ransomware путем отслеживания криптотранзакций, что привело их к банковскому счету хакера. При этом сам подозреваемый раскололся и сообщил полиции, что ежедневно отправлял 200 тыс. фишинговых писем как с GandCrab, так и с вымогателем Sodinokibi (преемник GandCrab).

Таким образом международной коалиции правоохранительных органов понадобилось всего-то 2 года, чтобы отловить мелкого оператора ransomware. Темпы, мягко говоря, не впечатляют.

​​8 марта прошло, начались трудовые подвиги!

​​VPN .AC упал, якобы из-за пожара в дата-центре. Интересно, еще какие-то провайдеры в этом ЦОД кормятся?

NCC Group выпустила отчет в отношении уязвимостей коммутаторов Netgear ProSAFE Plus.

Там просто праздник - 15 уязвимостей, из которых 10 - критичные. Среди них - удаленное выполнение кода (RCE) без аутентификации, обход аутентификации, обновление прошивки без аутентификации и еще много чего.

Самое печальное, что некоторые из уязвимостей объявлены EOL и не будут устраняться производителем.

Если у вас стоит Netgear ProSAFE Plus серии JGS516PE - проще всего будет его выкинуть.

Международная группа хакеров получила доступ к 150 тыс. камер видеонаблюдения калифорнийской компании Verkada, сообщают Bloomberg. Атаку уже окрестили Operation Panopticon.

Среди клиентов компании - Tesla, Clouflare, американские клиники и психиатрические больницы, полицейские участки, тюрьмы и пр. Некоторые из камер используют систему распознавания лиц для категоризации снятых людей.

Представитель хакеров швейцарец Тилли Коттманн (товарищ, причастный к сливу в паблик конфиденциальных документов Intel летом 2020 года) заявил, что они также получили доступ к полному видеоархиву всех клиентов Verkada. Сами себя хакеры называют APT 69420 aka Arson Cats.

Злоумышленники получили учетные данные суперадминистратора Verkada после того, как компания допустила попадание в паблик части внутренних разработок.

Verkada немедленно заблокировала все учетные записи администраторов и сейчас разбирается в ситуации с помощью привлеченных инфосек экспертов.

Хочется как-то прокомментировать, но все плохие комментарии кончились еще на SolarWinds, а хорошие тут по смыслу не подойдут.

Microsoft выпустили очередное вторничное обновление безопасности.

Всего исправлено 89 уязвимостей в продуктах компании, из них 14 критических.

Пять уязвимостей использовались хакерами в дикой природе - четыре пресловутых ошибки в Microsoft Exchange, которые эксплуатировала китайская APT Hafnium (на самом деле Microsoft исправила их внеочередным патчем 2 марта, поэтому новое обновление - специально для слоупоков), и уязвимость CVE-2021-26411 в Edge и Internet Explorer. Последняя позволяет хакеру осуществить удаленное выполнение кода (RCE) при посещении пользователем вредоносного сайта.

Это именно та уязвимость, которую использовали хакеры из APT Lazarus для атак на исследователей безопасности. Для нее уже доступен PoC, так что организациям, использующим Explorer и Edge (да-да, есть и такие) лучше побыстрее обновиться.

Но и кроме этих ошибок в патче хватает годных исправлений, к примеру CVE-2021-26897, допускающая RCE. Поэтому вы знаете, что следует сделать.

Очередная атака ransomware на государственные организации. В этот раз в Европе.

Оператор вымогателя Ryuk успешно атаковал ресурсы испанского Государственного агентства по трудоустройству (SEPE), о чем агентство сообщило на своем сайте. В результате атаки официальный портала SEPE не функционирует, услуги для граждан, социальных служб и служб занятости не оказываются. Всего атакой затронуто более 700 филиалов SEPE по всей стране.

Директор SEPE Герадо Гитеррес заявил, что конфиденциальные данные граждан Испании в безопасности.

Будем наблюдать.

​​Продолжение сегодняшней истории со сгоревшим дата-центром.

Оказалось, что сгорел один из ЦОД компании OVH в Страсбурге. OVH - это крупнейший хостинг-провайдер в Европе.

Кроме VPN .AC пострадали такие клиенты как известная нам разведывательная компания Bad Packets, крипторешение VeraCrypt, производитель игр Rust и многие другие. Причем Rust подтвердили, что полностью потеряли все данные на своих серверах.

Ну а некоторые пострадавшие, например французская инфосек компания Acceis, относятся к случившемуся с хорошей долей юмора.

Что можно сказать по результатам сегодняшнего ограничения скорости к Twitter.

Как говаривал наше все Гегель - история повторяется дважды: первый раз в виде трагедии, второй раз в виде фарса.

В случае с попытками российских государственных органов ограничить доступ к каким-либо сервисам фарс получается всегда.

Два года назад - The Russian government just managed to hack itself.

Лукацкий прекрасен - https://twitter.com/alukatsky/status/1369704178411401216

​​Парламент Норвегии опять страдает. Не далее как в конце августа прошлого года их электронная почта была взломана. В декабре норвежцы заявили, что "вероятно" это было делом рук российской APT 28 aka Fancy Bear.

Теперь их обидели снова. Вчера представители норвежского парламента заявили, что стали жертвой атаки хакеров, которые использовали свежие уязвимости в Microsoft Exchange для кражи конфиденциальной информации.

Стояли ли за атакой на норвежцев китайцы - непонятно, поскольку каких-либо подробностей пока не сообщается. Как говорят ESET, помимо китайской APT Hafnium, которую изначально Microsoft обвинили в эксплуатации уязвимостей в Exchange, их использовали по меньшей мере 10 APT. Правда до момента выхода экстренного патча среди этих хакерских групп были только китайские, а уже начиная с 3 марта подключились остальные.

Не везет что-то норвежскому Парламенту. Вспоминается анекдот про АвтоВАЗ и проклятое место.

Забавный глюк в медиацентре Toyota Hilux. При подключении в USB-порт мышки и попытки перетащить экран или просто при подключении клавиатуры система выпадает в аут.

Киберпанк 2021.

Университет Джорджтауна выпустил интересный отчет "Академики, искусственный интеллект и APT", в котором анализируются исследования в области искусственного интеллекта шести китайских НИИ, подозреваемых в связях с четырьмя китайскими APT.

Среди изучаемых:
- Хайнаньский университет (связанный с APT 40 aka Leviathan);
- Юго-Восточный университет (APT 19 aka Deep Panda);
- Шанхайский университет Чжао Тонг (APT 1 aka Comment Crew);
- Сианский университет (APT 3 aka Gothic Panda);
- Чжэцзянский университет (APT 1 aka Comment Crew);
- Харбинский технологический институт (APT 1 aka Comment Crew).

Американские исследователи сделали следующие основные выводы:
- несколько китайских университетов проводят исследования на стыке инфосека и машинного обучения. По крайней мере одна APT изучает как использовать машинное обучения для обнаружения аномалий.
- в большинстве случаев ИИ и машинное обучение рассматриваются с точки зрения киберзащиты, но часть исследований направлена на обнаружение аномалий, что может быть использовано в наступательных операциях;
- также, хоть и в меньшем объеме, присутствуют исследования методов атаки и защиты непосредственно систем ИИ.

Истину вам говорим, 4 мая 2025 года ̶з̶е̶м̶л̶я̶ ̶н̶а̶л̶е̶т̶и̶т̶ ̶н̶а̶ ̶н̶е̶б̶е̶с̶н̶у̶ю̶ ̶о̶с̶ь̶ Скайнет решит избавиться от человечества.

​​Осенью прошлого года мы давали ряд инсайдов по российским инфосек компаниям, где сказали, что выпуск прошлым летом со стороны Positive Technologies облигаций на MOEX являлся первым шагом по формированию фондовой истории в долгосрочной стратегии по подготовке к IPO.

Теперь же наша информация находит подтверждение - как нам подсказывают, Позитивы планируют размесить среди частных инвесторов от 10 до 20 процентов своих акций. В качестве целевой аудитории рассматриваются сотрудники IT, инфосека и пр. Сроки выхода на биржу будут зависеть от успешности такого позиционирования.

В целом инвестиции не самые плохие, можно сказать даже хорошие. Позитивы активно растут, у компании конкурентные технологии не только в России, но и на глобальном уровне.

Но, как всегда, подгадили Forbes, выпустившие в конце февраля рейтинг самых дорогих компаний Рунета. И Positive Technologies заняли в нем лишь 15-е место с оценкой стоимости в 580 млн. долларов. А собственная оценка Позитивов - 1 млрд. долларов. Несостыковка почти в 2 раза.

Такое расхождение, скорее всего, происходит из географического дисконта - все российские IT компании сейчас под прицелом потенциальных пендюлей в США. И об этом мы напишем в следующем посте.