Search the Community

Иранская хакерская группировка, известная под названиями Charming Kitten, Newscaster и Newsbeef, попыталась провести целевую фишинговую операцию под видом израильской ИБ-компании ClearSky Security, ранее обнародовавшей подробности о деятельности злоумышленников. Группировка создала фишинговый сайт, имитирующий официальный ресурс ClearSky Security, добавив опции авторизации через ряд сервисов, в том числе Google, Yahoo!, Microsoft и Apple, с помощью которых могла получить учетные данные жертв. Как отмечается, на официальном сайте ClearSky нет функции авторизации. По словам исследователей, на момент обнаружения фишингового ресурса хакеры не завершили работу над его созданием. На это указывают сообщения об ошибках на некоторых страницах сайта, а также тот факт, что для хостинга использовался старый сервер, который был обнаружен экспертами в середине июня. Судя по всему, фишинговая кампания оказалась для хакеров неудачной, и им не удалось получить никакие учетные данные. В настоящее время фишинговый сайт отключен. Группировка Charming Kitten, предположительно связанная с иранским правительством, активна на протяжении нескольких последних лет. Изначально хакеры атаковали объекты в Израиле и США, используя методы фишинга, однако затем переключились на другие цели. В частности, один из участников Charming Kitten был обвинен во взломе компьютерных систем телеканала HBO в минувшем году. Charming Kitten - одна из нескольких кибершпионских группировок, связанных с властами Ирана. В их число входят Rocket Kitten (Charming Kitten 2.0), CopyKitten , OilRig и Magic Hound. По данным экспертов в области безопасности, в состав групп входят военные и подрядчики из частного сектора. Если раньше каждая группировка проводила отдельные операции, то в последние несколько лет хакеры стали «делиться» ресурсами (инфраструктурой, серверами, инструментами для фишинга и пр.).

Эксперты компании FireEye раскрыли подробности деятельности специализирующейся на кибершпионаже иранской хакерской группировки APT33, атаковавшей авиакомпании в США и Саудовской Аравии, а также один из южнокорейских конгломератов. Основными целями хакеров являются предприятия аэрокосмической промышленности, энергетического сектора и военные объекты. Группировка APT33 активна с 2013 года. Одним из методов хакеров является фишинговая рассылка. Письма, как правило замаскированные под объявления о работе, содержат вредоносную ссылку, при переходе по которой на компьютер жертвы устанавливается бэкдор. Фишинговые кампании активно проводились в течение всего 2016 года. Эксперты отмечают высокий профессионализм хакеров, злоумышленники даже регистрировали домены фиктивных компаний, чтобы создать видимость законной деятельности. Проанализировав деятельность APT33 за последнее время, эксперты отметили, что хакеры могут готовить более разрушительные атаки. Эксперты обнаружили, что группировка использует один из своих инструментов DropShot для установки вредоносного ПО ShapeShift - усовершенствованной версии червя Shamoon, атаковавшего нефтедобывающие организации в Саудовской Аравии ранее в этом году. Как заявил аналитик по киберугрозам компании Dragos Джо Словик, группировка расширяет географию своей деятельности за пределы Ближнего Востока, и атакует организации в Южной Корее, Пакистане, Израиле и Великобритании. В последние четыре месяца хакеры также проявляют интерес ко все большему количеству государственных структур.

26 апреля Национальная служба безопасности Израиля сообщила о пресечении масштабной кибератаки, направленной на порядка 120 организаций и госучреждений, а также на частных лиц. По данным специалистов Morphisec, организатором кибератаки является группировка OilRig, также известная как Helix Kitten и NewsBeef, которая предположительно связана с разведслужбами Ирана. По имеющейся информации, в период с 19 по 24 апреля нынешнего года хакеры атаковали 250 сотрудников израильских компаний и организаций в различных сферах, включая государственные учреждения, технологические компании, медицинские организации и образовательные учреждения, в том числе Университет имени Бен-Гуриона. Злоумышленники скомпрометировали учетные записи электронной почты высокопоставленных сотрудников Университета имени Бен-Гуриона и использовали их для рассылки вредоносных документов MS Word, содержащих троян Helminth. В ходе атаки хакеры применили эксплоит для нашумевшей уязвимости CVE-2017-0199 в MS Office, позволявшей незаметно установить вредоносное ПО на целевой компьютер. 11 апреля Microsoft выпустила обновление безопасности, устраняющее данную проблему, но, по всей видимости, далеко не все организации успели его установить. По словам экспертов, злоумышленники использовали модифицированную версию открытого инструмента Mimikatz для получения доступа к учетным данным пользователей в сервисе проверки подлинности локальной системы безопасности Windows (Windows Local Security Authority Subsystem Service). Ранее в этом году группировка OilRig осуществила серию кибератак на ряд израильских организаций, включая IT-компании, Почту Израиля и финансовые организации.

Провайдеры Ирана 14 апреля на время заблокировали сервис звонков через Telegram, говорится в сообщении основателя сервиса Павла Дурова на его странице в Twitter. Мы активировали звонки для наших пользователей в Иране, но местные операторы стали их фильтровать. Я думаю, вам стоит пожаловаться на них,- написал Дуров. По словам Дурова, пользователи присылали в Telegram отчёты, которые свидетельствовали о блокировке доступа к серверам для голосовых звонков мессенджера. Несмотря на то, что для передачи данных между пользователями используется p2p-соединение, для первого соединения нужен доступ к серверу Telegram. Основатель Telegram заметил, что при подобной блокировке может помочь использование VPN-соединений, однако это сработает только если такими сервисами пользуются оба участника звонка. Около 14:45 по московскому времени один из пользователей сообщил, что звонки через Telegram снова были запущены в Иране. Представитель Telegram предположил, что причиной блокировки стали «потенциальные убытки операторов от аудиозвонков в мессенджере».