​​Бгггг, у нас таких половина

​​Очевидно же - антивирус на базе Эльбруса банально дороже!

Реакция известных западных инфосек экспертов на скандал с прослушкой европейских политиков со стороны АНБ.

(Кажется недостаточно ватно-патриотический пост получился... Да, недостаточно)

Слава Путину!

(Во теперь нормально. Ага, нормально. И Бомонту долю кремлевских пряников зашлем, да)

​​Когда мы писали, что американское правительство не сильно возбудится по поводу атаки ransomware на мясоперерабатываюшего гиганта JBS, то мы ошибались. Возбудились и еще как.

Заместитель пресс-секретаря Белого Дома Карин Жан-Пьер заявила вчера журналистам, что JBS USA уведомили правительство США о том, что их серверы пострадали в ходе атаки вымогателей. В связи с этим американский Минсельхоз на стреме, поскольку из-за перебоев с поставками мяса цены могут подскочить.

Ну и, как обычно, по словам Карин Жан-Пьер, владельцы атаковавшего ransomware с большой долей вероятности находятся в России. И это не инсинуации образного Госдепа, а практически медицинский факт. По крайне мере, вероятность того, что вымогатели русскоязычные, не сильно отличается от 99%.

А в завершении - слава российским танковым войскам! Почему им? Да потому что с точки зрения борьбы с киберпреступностью они также эффективны, как и ответственные подразделения российских правоохранительных органов. Практически никак.

Австрийская компания SEC Consult опубликовала отчет о выявленных в апреле 2020 года уязвимостях в микропрограммном обеспечении тайваньской фирмы Korenix Technology, на основании которого построены промышленные коммутаторы нескольких поставщиков.

В частности, подверженными ошибкам оказались коммутаторы Westermo PMI-110 и Pepperl+Fuchs Comtrol Rocker. Как минимум одна из этих моделей поставлялась на территорию России.

Всего австрийцы нашли пять уязвимостей, среди которых возможность администрирования без прохождения аутентификации, вшитые админские аккаунты и другие прекрасные вещи. В случае их эксплуатации хакер может получить полный контроль над атакованным устройством. Соответствующие PoC предоставлены исследователями.

Уязвимые устройства используются преимущественно в промышленных сетях - энергетике, транспорте, тяжелой промышленности и пр.

В добавок к этому Korenix изначально забила на исправление выявленных дырок и только в ноябре 2020 года, когда SEC Consult пригрозила обнародовать свои данные, представители производителей коммутаторов сумели надавить на тайваньцев, а также убедили австрийских экспертов отложить опубликование информации в паблике.

Надежные промышленные сети? Не в этой Вселенной.

​​Когда-то давно, в прошлом году, мы писали обзоры про иностранные прогосударственные APT, в том числе обзор активности северокорейской группы Kimsuky.

Во-первых, пора возвращаться к истокам и опять делать обзоры на APT. А во-вторых, исследователи Malwarebytes выпустили новый отчет в отношении активности Kimsuky.

Напомним, что эта хакерская группа работает на Главное разведывательное бюро (RGB) Генштаба Народной армии КНДР. А точнее на 5-й Департамент RGB aka Bureau 35, занимающийся зарубежной разведкой. Не гнушаются поработать и по российским объектам, впрочем как и их более известные коллеги из APT Lazarus.

Но основными целями для Kimsuky по прежнему являются ресурсы Южной Кореи. Вот и в этот раз исследователи сообщили о проведенной в мае фишинговой кампании, направленной на южнокорейские правительственные учреждения, в частности МИД, Министерство торговли, местное подразделение МАГАТЭ и др., а также на учебные заведения и на Корейское агентство Интернет-безопасности (KISA).

Фишинговая инфраструктура весьма обширна, некоторые из ее частей создавались буквально накануне кампании в апреле этого года. Она настроена под имитацию множества сервисов - Gmail, Hotmail, Telegram (это успех!) и других.

В качестве приманки использовались имитировавшие официальные документы PDF-файлы, в которых сидел старый авторский бэкдор AppleSeed, способный собирать информацию с атакованного компьютера - проводить кейлогинг, делать скриншоты, искать и эксфильтрировать данные. в том числе со съемных носителей.

Кроме AppleSeed в качестве полезной нагрузки использовался также бэкдор для пользователей Android (фактически мобильный вариант AppleSeed), если зараженный документ открывался на мобильном устройстве. Интересная деталь - в коде бэкдора хакеры обозначают себя как Thallium (одно из известных альтернативных названий Kimsuky, данное группе исследователями Microsoft).

Мы рады, что опять начали появляться хорошие материалы по активности APT. А то эти ransomware заполонили всю ноосферу - никакой красоты.

Как сообщает Прокуратура города Алматы (Казахстан, если чо), двое неназванных участников известной коммерческой хакерской группы Carbanak (она же FIN7) осуждены сегодня районным судом Бостандыкского района г. Алматы за хищение в 2016-217 годах 2 млрд. тенге у двух казахских банков и покушение на хищение еще 8 млрд. тенге.

Дали 8 лет!

Не успели мы вчера вдохнуть свежего воздуха расследований активности APT, как сегодня с утра нас опять накрыла удушливая волна новостей об атаках вымогателей.

Да, в стотысячный раз мы называем ransomware вымогателями, вместо популярного у отечественных инфосек надмозгов термина "шифровальщик". Во-первых потому что это правильный перевод не только по букве, но и по смыслу, а во-вторых по причине отказа некоторых группировок от, собственно, шифрования. "Шифровальщик напал на сеть!" - а оно и не шифровало ничего.

Но вернемся к успехам американской инфосек отрасли.

Только нал, живая очередь, парковочный коллапс и логистический хаос - именно на такой формат работы перешел крупнейший паромный перевозчик Steamship Authority в штате Массачусетс (США) после атаки ransomware. Сообщение между материковой частью США и островами Мартас-Виньярд и Нантакет было на некоторое время парализовано.

В результате инцидента бортовая навигационная аппаратура и наземная инфраструктура оператора не пострадала, все запланированные рейсы хоть и с задержками, но выполняются. Правда пользователям кредиток и заказчикам брони пришлось не по собственной воле все же отказаться от транспортных услуг и отложить поездки до окончания расследования инцидента.

Серия громких атак операторов ransomware в последнее время все чаще сотрясает объекты национальной инфраструктуры США и заставляет Администрацию Байдена предпринимать активные шаги в борьбе с источниками киберугроз. Президент Cyber Threat Alliance Майкл Дэниел при поддержке Минюста США выступили с предложениями по дальнейшему административному и экономическому стимулированию отказов от уплаты выкупа, а также более жесткому регулированию рынка криптовалюты.

Паром - это, конечно, не мясопровод, но все-таки какая-никакая транспортная инфраструктура США. Поэтому, полагаем, атака на Steamship Authority тоже не останется без внимания американских госорганов.

А вот про атаку на мясопровод вспомним в следующем посте.

​​Вчера мы писали, что американское правительство серьезно озаботилось возможными последствиями атаки ransomware на крупнейшего мирового мясопереработчика JBS и, как следствие, сбоя в работе в работе IT-систем JBS USA, на американский же рынок мясных продуктов.

Тогда представители JBS USA упомянули, что, по их информации, к атаке причастны вымогатели из России. И уже ночью появились подробности.

Как сообщает ФБР, подключившаяся к расследованию киберинцидента, к взлому сети JBS причастен оператор ransomware REvil. А эти ребята, как известно, русскоязычные и с большой долей вероятности из России.

Между тем американские чиновники заявляют, что одной из тем переговоров Байдена с Путиным 16 июня в Женеве будут являться проблемы борьбы с киберпреступностью. Подразумевается, естественно, киберпреступность российская. К каким соглашениям придут - будем посмотреть, однако есть вероятность, что наши кибертанковые войска по результатам дружеских президентских посиделок получат живительных мотиваций.

Смешно, кстати, что пару недель назад, после скандала с взломом оператором Darkside трубопровода Colonial Pipeline и последовавшего наезда американцев на вымогателей по всем направлениям, Unknown, представитель группировки REvil, заявлял, что они вводят новые ограничения на допустимые для атаки цели, которые исключают объекты социальной сферы и государственные организации.

Но, как известно, мясопровод ни к тем, ни к другим не относится. А скандал тем не менее вышел знатный.

​​Ну и закончим новостную ленту ransomware постом про взлом FujiFilm, которая сделала вчера об этом официальное заявление.

Рассказывать про Fuji долго не будем, про них и так все знают. Отметим лишь, что наряду с различной периферией и оргтехникой (например, Xerox), концерн производит еще и фарму. Компания заявила, что вчера стала целью атакои вымогателей, в результате чего была приостановлена работа всех затронутых систем. Пока что известно только о прекращении функционирования электронной почты и телефонной связи.

Хотя сами японцы не сообщают о том, кто конкретно на них напал, по данным Виталия Кремеза (а он в области борьбы с ransomware товарищ авторитетный), в середине мая Fuji была заражена вредоносом QBot, с которым в настоящее время работают вымогатели из группировки REvil. С другой стороны, с QBot работают и другие ransomware, о чем мы в прошлом году уже писали.

А вообще, мы тут пришли к выводу, что выходов из сложившейся с ransomware ситуации ровно два. Естественно если считать, что подобный порядок вещей сильные мира сего долго терпеть не будут.

Первый - государственный органы разных стран уже всерьез берутся за вопросы борьбы с вымогателями, тем более, что история с Colonial Pipeline показала, что это можно делать достаточно эффективно.

Второе - государственные органы забивают, а финансовые потери для стоящих за транснациональными структурами (мы же помним, что реальных владельцев большей части бизнеса на земном шаре не так и много) начинают превышать потенциальные репутационные риски. Вследствие этого условный конгломерат условных финансовых фондов неофициально выделяет, скажем, миллионов 300 долларов на борьбу с ransomware мрачным дядям, имеющим в прошлом трех- и двухбуквенные обозначения работодателей из различных стран мира, и, в силу этого, не отягощенным моральными принципами и особой брезгливостью. После чего несколько представителей владельцев и операторов ransomware в буквальном смысле потрошатся на камеру, а сделанные видеозаписи распространяются среди лиц, потенциально склонных к данному виду киберпреступности.

Меры конспирации вымогателям вряд ли помогут, поскольку, как мы все знаем, лучший инструмент для криптоанализа - это паяльник, а спиздить и форсированно допросить можно хоть Цукерберга, было бы желание и бабки.

Но это уже треш и гуро и мы надеемся, что до такого не дойдет.

Словаки из ESET пишут про вскрытую атаку на водопой (они почему-то называют ее атакой на цепочку поставок) - взлом сайта офиса Президента Мьянмы.

В результате взлома в доступный для загрузки пакет локализованных шрифтов был внедрен загрузчик Cobalt Strike. Исследователи подозревают в причастности к атаке китайскую APT Mustang Panda aka Bronze President, но пока не могут провести окончательное атрибутирование.

В 2015 году сайт Президента Мьянмы уже ломали, внедрив в него тогда загрузчик, подтягивающий троян Evilgrab.

Mustang Panda - это китайская хакерская группа, специализирующаяся на кибершпионаже. Считается, что она активна с 2014 года. Преимущественно работает по соседним с Китаем странам, но известны и киберкампании, направленные, например, на американские Think Tank. Мы про нее уже не раз писали.

Напомним, что в феврале этого года военные Мьянмы устроили госпереворот (хотя по местной Конституции у них весьма большие полномочия), отстранив действующие светские власти. При этом действующее военное руководство имеет с Китаем ряд разногласий, поэтому интерес китайских хакеров к этой соседней стране объяснимо.

#APT #MustangPanda

Вчера мы обрадовались, что наконец-то опять стали появляться интересные материалы про активность прогосударственных APT и как сглазили - сегодня их вывалили целый пучок. Что-то мы рассмотрели сегодня, остальное обозрим завтра.

А в завершении сегодняшнего дня новость про нашу любимую инфосек компанию FireEye, вполне официально принадлежащую ЦРУ (не полностью, конечно, так - на полшишечки).

FireEye заявили, что продают свой продуктовый бизнес, включая само название FireEye, частному консорциуму во главе с инвестиционной компанией Symphony Technology Group за 1,2 млрд. долларов. Останется только киберразведка в виде Mandiat.

Казалось бы можно сказать "Скрипач не нужен, родной", но не все так просто.

Ребята из Symphony Technology Group ранее приобрели за 40 млрд. долларов корпоративный бизнес McAfee, а в прошлом году купили RSA Security. А вот последняя была уличена в 2014 году во встраивании в свои криптопродукты бэкдоров от АНБ.

Так что ничего страшного не произошло. Просто американские спецслужбы пересмотрели портфель своих активов. Демократия не опасносте.

Всем Байден!

​​В продолжение вчерашней истории про взлом китайской APT Mustang Panda сайта офиса Президента Мьянмы и внедрение загрузчика Cobalt Strike.

Check Point опубликовали отчет о кибершпионской кампании другой китайской APT - Sharp Panda, которая проводилась против правительственных учреждений одной из стран Юго-Восточной Азии.

Заражение машин начиналось с целевой фишинговой рассылки, содержащей вредоносные DOCX файлы (судя по тексту приманок - речь идет о Вьетнаме). В некоторых случаях фишинговые письма были подделаны под легитимную переписку от другого ведомства.

Приманка загружала 8.t Dropper (он же RoyalRoad), доставляемый в документе RTF, который обычно используется китайскими APT для дальнейшего подтягивания полезной нагрузки в виде различного рода троянов удаленного доступа (RAT).

Загрузчик, названный в данном случае 5.t Dropper, собирал информацию в отношении системы, шифровал ее в RC4 и отправлял на управляющий центр. Если атакованная машина представляла интерес для хакеров, то С2 направлял полезную нагрузку.

В качестве полезной нагрузки поставлялся уникальный авторский бэкдор с внутренним наименованием VictoryDll, который представляет по функционалу полноценный RAT и может искать и эксфильтрировать информацию, делать скриншоты, запускать команды и пр.

Проведя ретроспективное исследование, сотрудники Check Point обнаружили загруженные на VirusTotal в 2018 году ранние тестовые версии VictoryDll, временные метки которых указывают на период разработки с июля 2017 по июнь 2018 года.

Управляющие центры первого этапа кампании были размещены в двух облачных сервисах, расположенных в Гонконге и Малайзии. С2 бэкдора VictoryDll был размещен у американского провайдера.

Проведя атрибуцию израильские исследователи с большой долей вероятности отнесли автора атаки к китайским APT. На это указывает использование 8.t Dropper, временной график активности управляющих центров, а также пересечения с Китаем обнаруженных на VirusTotal тестовых версий бэкдора.

В то же время Check Point не смогли соотнести атаку с профилем какой-либо из известных китайских хакерских групп, а потому решили обозначить актора как новую APT под названием Sharp Panda.

#APT #SharpPanda

​​Мы вчера сами так испугались своего поста про мрачные перспективы появления новой антирансомной инквизиции (идеологом туда точно взяли бы Сачкова - он грозный, у него своя форма сразу, плюс обладает богатым опытом acts of violence), что всю ночь плохо спали. Причем всем снились одинаковые кошмары про то, как Илья Константинович стал следующим Президентом России и решил превратить ее в сингапурскую компанию, для того чтобы вывести из под санкций.

К счастью, борьба с ransomware все-таки пойдет, похоже, по первому варианту - при активном участии властей. Вчера Белый Дом опубликовал открытое письмо за авторством Анны Нойбергер, заместителя помощника Президента и советника по национальной безопасности по вопросам кибербезопасности.

Во-первых, Нойбергер называет атаки вымогателей ведущим приоритетом для Байдена.

Во-вторых, сообщает, что Правительство США совместно со своими международными партнерами приступило к разрушению инфраструктур владельцев ransomware, планирует привлекать к ответственности страны, которые укрывают членов вымогательских группировок (посмотрим, о чем договорятся с Путиным в Женеве), а также будет принимать меры по оперативному отслеживанию и пресечению криптовалютных выплат в адрес вымогателей.

В-третьих, порекомендовали частному бизнесу более ответственно относиться к вопросам защиты от атак ransomware, для чего руководители компаний должны немедленно обсудить на уровне топ-менеджмента состояние корпоративной безопасности и наличие соответствующих планов обеспечения непрерывности бизнеса (мы про это говорили почти год назад, но кто мы такие...).

Скрипя и содрогаясь cart of revenge сдвинулась с места.

Ransomware уже надоели хуже горькой редьки. Так что коротко.

Прямые теле- и радиотрансляции американского медиахолдинга Cox Media Group (57 теле- и радиостанций) вчера были прерваны, судя по всему, по причине атаки вымогателей.

Все.

The New York Times опубликовали статью, в которой сообщили о произошедшей в апреле это года кибершпионской атаке на ресурсы Городского транспортного управления Нью-Йорка (MTA) со стороны китайских APT.

Попавший в руки журналистов внутренний документ MTA свидетельствует, что хакеры оставались в сети в течение нескольких дней и скомпрометировали 3 из 18 основных IT-систем Управления прежде чем инцидент был выявлен. Какие-либо конфиденциальные данные по заявлению представителей MTA не пострадали.

В качестве возможных акторов названы две китайские APT, которые использовали критическую 0-day уязвимость CVE-2021-22893 в Pulse Secure VPN. Именно об этих группах в апреле сообщали исследователи из FireEye. Одна из них с большой долей вероятности была атрибутирована как APT 5 aka Keyhole Panda, ранее уже использовавшая ошибки в VPN сервисах Fortinet и Pulse Secure для проведения своих атак.

Смысл нападения китайских хакеров на MTA остается непонятным. Вряд ли транспортное управление содержит какую-либо сильно секретную информацию, представляющую интерес для разведки КНР. Хотя американские эксперды сразу родили версию о "конкурентной борьбе за мировой рынок железнодорожных вагонов". Такое себе.

Более правдоподобное объяснение гласит, что китайские APT атаковали американскую государственную сеть через 0-day уязвимость до кучи, но, обнаружив, что там нети ничего интересного, просто на нее забили.

В любом случае, американские следователи и представители MTA признают, что хакеры не имели цели вывести из строя изолированную инфраструктуру, управляющую движением транспорта в Нью-Йорке и его окрестностях.

​​Вот прямо про нас 😆

Неделя начинается для владельцев и операторов ransomware нервно.

Для начала в пятничном интервью изданию The Wall Street Journal занимающий пост директора ФБР Кристофер Рэй сравнил атаки ransomware с нападением террористов 9/11. Отсюда недалеко и до прямого признания атак вымогателей террористической деятельностью, а что это означает на языке спецслужб США, мы все прекрасно понимаем - внесудебные задержания, Гуантанамо, имитация утопления и все вот это.

Параллельно с этим Reuter сообщили, что подразделения американской прокуратуры по всей стране получили циркулярку, в соответствии с которой расследование атак ransomware теперь должно осуществляться аналогично расследованию террористических актов. Опять же - секретные тюрьмы ЦРУ, игра в "звонок другу", et cetera.

Ким Зеттер пишет, что заместитель Генпрокурора США дала указание подавать срочные отчеты по каждому выявленному факту атаки вымогателей.

Резюмируя - если долго дергать спящего тигра за хвост, то он может и проснуться. Тiкайте з городу, хлопцi.

У Signal выявили неприятную уязвимость.

Группа исследователей выяснила, что в ряде случаев при переносе клиента на другое устройство код безопасности мессенджера не меняется и контакты пользователя не уведомляются о том, что код безопасности изменился.

Таким образом, если злоумышленник сможет воспроизвести эту ситуацию , то он сможет подменить мессенджер жертвы на свой и продолжить общаться с ее контактами под ее маской.

Проблемы на данный момент ровно две - во-первых, исследователи не смогли установить от чего зависит воспроизведение ошибки, во-вторых - Signal отморозился и после непродолжительной переписки ушел в тину.

Единственное, что администрация мессенджера сделала, - изменила пользовательскую документацию, внеся в нее своеобразный дисклеймер, а именно указав, что "перенос Signal на новый телефон или его переустановка не всегда приводят к изменению номера безопасности" (тогда нахрена вообще он нужен?).

Не баг, а фича же.

Вероятно, кто-то эту новость уже слышал и тем не менее.

Bloomberg в пятницу выкинул материал, согласно которому первичная компрометация сети трубопровода Colonial Pipeline, ставшего в мае жертвой атаки ransomware, произошла через утекшие credentials для VPN.

Со слов старшего вице-президента FireEye Mandiat (или с учетом продажи корпоративного бизнеса FireEye возможно уже просто Mandiat?) Чарльза Кармайкла, взломанная хакерами учетная запись не использовалась, но была при этом активна. По всей видимости, сотрудник поработал-поработал и уволился, а его учетку для VPN никто и не подумал удалить. Действительно, а зачем? Разве может произойти что-то плохое (сарказм)?

Пароль от скомпрометированной учетки был в ходе расследования обнаружен в одной из утечек в даркнете. Похоже сотрудник использовал его одновременно для входа в различные сервисы.

Ну и да, в лучших традициях информационной безопасности за мелкий прайс - никакой многофакторной аутентификации. Не по канону. Деды не использовали и мы не будем.