Search the Community

Прошедшая неделя ознаменовалась рядом громких событий: возвращением нашумевшего вымогательского ПО WannaCry, арестом предполагаемого лидера хакерской группировки Carbanak, утечкой данных 150 млн клиентов Under Armour, кибератакой на Антидопинговое агентство Великобритании и пр. Подробнее об этих и других инцидентах в кратком обзоре за период с 26 марта по 1 апреля 2018 года. 28 марта один из крупнейших мировых производителей авиационной, космической и военной техники Boeing стал жертвой кибератаки с использованием вымогательского ПО WannaCry, в 2017 году поразившего огромное количество компьютеров по всему миру. По словам представителей компании, атака затронула лишь небольшое количество систем, были приняты необходимые меры и проблем с производственными процессами или доставкой не возникло. Жертвой хакерской атаки стало и Антидопинговое агентство Великобритании (Ukad). Злоумышленники пытались получить доступ к результатам медосмотров и анализов на допинг звезд большого спорта, но безуспешно. По словам представителей агентства, преступникам не удалось похитить данные. В начале минувшей недели испанская полиция арестовала гражданина Украины, предположительно являющегося лидером киберпреступной группировки Carbanak, также известной как Anunak и Cobalt. Carbanak активна как минимум с 2013 года. С помощью вредоносного ПО Anunak киберпреступники атаковали электронные платежные системы и банки в 40 странах по всему миру. В 2016 году киберпреступники переключились с Anunak на более сложное ПО Carbanak, использовавшееся до 2016 года, а затем вооружились еще более усовершенствованным инструментом, созданным на основе программы для проведения тестов на проникновение Cobalt Strike. С помощью вредоносного ПО злоумышленники заставляли банкоматы выдавать наличные. Одновременно с известием об аресте предполагаемого лидера группировки Департамент киберполиции Украины сообщил об установлении личности еще одного участника Carbanak. Им оказался 30-летний житель Киева. Подозреваемый занимался разработкой и поддержкой используемых в атаках эксплойтов. Сотрудникам киберполиции удалось установить личности остальных участников группировки, в настоящее время они находятся на территории РФ. Американский производитель спортивной одежды Under Armour сообщил об утечке данных порядка 150 млн пользователей разработанного компанией фитнес-приложения MyFitnessPal. В руках у хакеров оказались имена пользователей, электронные адреса и пароли, хешированные с помощью bcrypt. Утечка не коснулась данных платежных карт, так как они собираются и обрабатываются отдельно от остальной информации. В конце прошлой недели эксперты «Лаборатории Касперского» сообщили о новой кампании по распространению банковского трояна Buhtrap через ряд крупных российских новостных сайтов. Названия ресурсов исследователи не раскрыли. По данным ЛК, большинство атакованных пользователей находились в России, попытки заражения были также зафиксированы в Украине и Казахстане. Эксперты в области безопасности сообщили о возросшей активности ботнета Hajime. Теперь ботсеть нацелена на массовое инфицирование устройств MikroTik. По подсчетам специалистов Qihoo 360 Netlab, Hajime провел свыше 860 тыс. сканирований на предмет открытых портов 8291, однако точное число успешных заражений исследователи затруднились назвать. Инфицирование происходит через известную уязвимость под названием Chimay Red в версии прошивки MikroTik RouterOS 6.38.4 и более ранних, позволяющую осуществить код и получить контроль над устройством. Ранее эксплоит Chimay Red входил в хакерский арсенал ЦРУ и был опубликован WikiLeaks в рамках проекта Vault 7.

Кибератака на сайт Минобороны РФ, разоблачение СБУ «прокремлевской» хакерской группировки, утечка данных 880 тыс. клиентов турагентства Orbitz, новые кампании по добыче криптовалюты – об этих и других событиях прошедшей недели в кратком обзоре. На минувшей неделе сайт Министерства обороны РФ подвергся кибератакам во время проходившего на нем финального голосования за названия новейших отечественных вооружений. За день злоумышленники атаковали ресурс семь раз. Атаки осуществлялись с территории Западной Европы, Северной Америки и Украины. Все атаки были успешно отражены. 23 марта Служба безопасности Украины заявила о пресечении деятельности в Киеве «прокремлевской» хакерской группировки, организовывавшей кибератаки на объекты критической инфраструктуры, государственные и банковские организации страны. Согласно сообщению ведомства, преступники по «указу российских спецслужб» использовали так называемые «бот-фермы» для проведения специальных информационных операций против Украины. Пользователей сервиса Telegram захлестнула волна мошенничества с использованием приложения GetContact. С его помощью злоумышленники узнают имена своих жертв, а затем отправляют им сообщение якобы от заказного специалиста по «вскрытию мессенджеров». «Взломщик» сообщает, будто его наняли для взлома учетной записи жертвы, однако он вдруг проникся к ней симпатией и готов выдать своего заказчика. Правда, за это жертва должна выплатить ему небольшое вознаграждение. В надежде заработать киберпреступники продолжают проводить кампании по добыче цифровой валюты. В частности, злоумышленники взломали серверы компании Synopsys, владеющей сервисом Coverity Scan, который применяется десятками тысяч разработчиков для поиска и исправления ошибок в своих проектах, и использовали их для майнинга криптовалют. Исследователи Trend Micro обнаружили еще одну кампанию, в рамках которой киберпреступники распространяли майнер криптовалюты, эксплуатируя уязвимость CVE-2013-2618 в PHP-плагине Weathermap, используемом системными администраторам для визуализации сетевой активности. Данная уязвимость существует уже порядка 5 лет и для нее доступны соответствующие исправления, но, судя по всему, не все организации обновили свои системы. В ходе кампании злоумышленникам удалось добыть порядка $74 тыс. в криптовалюте Monero. На минувшей неделе стало известно об утечке данных 880 тыс. клиентов Orbitz - дочерней компанией американского туристического online-агентства Expedia. Хакеры получили доступ к данным, предоставленным клиентами во время осуществления определенных покупок в период с 1 января 2016 года по 22 декабря 2017 года. В их руках оказались как данные банковских карт, так и персональная информация клиентов компании. Как показывает практика, даже опытные хакеры не застрахованы от ошибок. Как утверждает издание The Daily Beast, экспертам в области кибербезопасности удалось вычислить хакера, использующего псевдоним Guccifer 2.0, который ранее взял на себя ответственность за взлом серверов Национального комитета Демократической партии США и передачу похищенных материалов WikiLeaks в июне 2016 года. Это стало возможно благодаря ошибке, допущенной Guccifer 2.0 – он забыл активировать свой VPN-клиент прежде, чем авторизоваться, и в результате оставил свой настоящий московский IP-адрес на сервере американской соцсети. Согласно источникам издания, хакер якобы является служащим ГРУ, работающим в главном здании спецслужбы на улице Гризодубовой в Москве. Однако настоящую личность Guccifer 2.0 источники не раскрыли.

Прошедшая неделя запомнится рядом инцидентов, в числе которых очередная рекордная DDoS-атака, масштабная майнинговая кампания, затронувшая российских пользователей, а также уязвимость в агенте передачи сообщений Exim, поставившая под угрозу более полумиллиона почтовых серверов. Предлагаем вашему вниманию краткий обзор наиболее значимых событий за период с 5 по 11 марта 2018 года. Злоумышленники продолжают активно проводить мощные DDoS-атаки с применением метода Memcrashed, предполагающего использование доступных в Сети серверов memcached. В начале марта портал для разработчиков GitHub подвергся рекордной по мощности атаке (1,3 ТБ/с на пике), однако спустя четыре дня рекорд был побит. В этот раз жертвой злоумышленников стал один из американских сервис-провайдеров. По данным экспертов компании Arbor Networks, пиковая мощность данной атаки составляла 1,7 ТБ/с. Согласно прогнозам специалистов Qihoo 360, такими темпами мощность DDoS-атак с использованием memcached вскоре достигнет 2 ТБ/с. Более того, в Сети уже опубликованы PoC-коды для запуска масштабных DDoS-атак с использованием серверов memcached. Первая утилита представляет собой скрипт на Python под названием Memcacrashed.py, сканирующий Shodan в поисках IP-адресов уязвимых серверов memcached и позволяющий в считанные секунды осуществлять DDoS-атаки на выбранную цель. Второй PoC-код написан на C, к нему также прилагается список из 17 тыс. IP-адресов уязвимых серверов memcached. С помощью инструмента злоумышленник может осуществить DDoS-атаку на целевой объект, используя для усиления ее мощности серверы memcached из прилагаемого перечня. На прошлой неделе компания Microsoft сообщила о масштабной майнинговой кампании, в основном затронувшей пользователей из России, Турции и Украины. В рамках кампании злоумышленники распространяли ряд троянов семейства Dofoil (также известно как Smoke Loader), загружавших на компьютер жертвы программу для майнинга криптовалюты. Проанализированные экспертами образцы использовались для добычи Electroneum, но, судя по всему, майнер может добывать и другую криптовалюту. На минувшей неделе исследователь безопасности Мех Чан сообщил об опасной уязвимости в агенте передачи сообщений Exim, используемом в операционных системах семейства Unix, поставившей под угрозу более 500 тыс. почтовых серверов. Уязвимость представляет собой однобайтовое переполнение буфера в функции декодирования base64 и позволяет злоумышленнику обмануть сервер Exim и выполнить вредоносные команды до того, как атакующему потребуется авторизоваться на сервере. Ажиотаж вокруг криптовалют не утихает вот уже на протяжении нескольких месяцев, и киберпреступники не гнушаются использовать различные методы для их добычи. В частности, эксперты IBM обнаружили модификацию банковского трояна TrickBot, подменяющего адрес криптовалютного кошелька жертвы на адрес кошелька злоумышленника, и таким образом ворующего средства пользователей. Майнеры криптовалюты стали более агрессивными. К примеру, исследователь безопасности Ксавье Мертенс обнаружил скрипт Powershell, который не только загружает программу для добычи криптовалюты, но также ищет и «устраняет» майнеров-конкурентов на устройстве пользователя.

Предыдущая неделя оказалась довольно насыщенной в плане различных инцидентов кибербезопасности, в том числе вызвавших большой общественный резонанс, как, например, мощнейшие DDoS-атаки на портал для разработчиков GitHub и крупнейшие web-ресурсы России и Европы. В числе других примечательных событий стоит отметить сообщения об атаках «русских хакеров» на правительственные ресурсы Германии и ряд вредоносных кампаний по добыче криптовалют с использованием торрент-сайтов.Более подробно об этих и прочих инцидентах, имевших место на прошлой неделе, в кратком обзоре. Пожалуй, самым громким событием прошлой недели стала мощная DDoS-атака на портал GitHub, в ходе которой злоумышленники использовали новый метод усиления DDoS-атак под названием Memcrashed. Из-за атаки сайт GitHub был недоступен для пользователей с 20:21 до 20:26 МСК, а затем частично недоступен с 20:26 до 20:30. Атака осуществлялась с более тысячи различных автономных систем через десятки тысяч уникальных конечных точек и на пике достигала 1,35 ТБ/с (126,9 млн пакетов/с). С 23 по 27 февраля исследователи из компании Qrator Labs зафиксировали серию высокоскоростных DDoS-атак на ряд крупнейших web-ресурсов России и Европы, в которых использовалась техника амплификации на основе memcache (программное обеспечение, реализующее сервис кэширования данных в оперативной памяти на основе хеш-таблицы). По данным экспертов, источником атаки стал ряд интернет-провайдеров, в том числе крупнейший хостинг-провайдер OVH. Взяв на вооружение новый метод усиления DDoS-атак, злоумышленники не только атакуют интересующие их ресурсы, но и занимаются вымогательством. К примеру, компания Akamai сообщила об одном из таких случаев. Вместо того, чтобы отправить жертве UDP-пакеты с произвольными данными, атакующие оставили в них короткое послание с требованием заплатить по указанному адресу 50 Monero (около $17 тыс.). Однако злоумышленники не пообещали прекратить атаку в случае уплаты требуемой суммы, а только намекнули на такую возможность. На прошлой неделе стало известно, что немецкие спецслужбы раскрыли масштабную кибератаку, направленную на правительство Германии. По имеющимся данным, хакеры заразили вредоносным ПО сети МИД и Минобороны Германии. Вредоносы были выявлены в декабре 2017 года, однако по мнению немецких спецслужб, они находились в сетях по меньшей мере с 2016 года. Еще одним громким событием на минувшей неделе стал скандал вокруг поставщика цифровых сертификатов DigiCert и британского реселлера Trustico. Последняя потребовала аннулировать порядка 50 тыс. SSL-сертификатов Symantec, выданных DigiCert (компания приобрела часть бизнеса Symantec по выпуску сертификатов). DigiCert отказалась аннулировать сертификаты, ссылаясь на то, что массовый отзыв возможен только в случае, если имеются свидетельства инцидента безопасности, в результате которого были скомпрометированы закрытые ключи клиентов. В ответ Trustico направила письмо, содержащее более 23 тыс. закрытых ключей для SSL-сертификатов клиентов компании. В итоге DigiCert пришлось отозвать сертификаты, фигурировавшие в письме. Майнеры не прекращают изыскивать новые возможности для добычи криптовалюты. На прошлой неделе эксперты сообщили о двух вредоносных кампаниях, направленных на пользователей торрент-сайтов b-tor.ru и rTorrent. В обоих случаях злоумышленники загружали на компьютеры пользователей программы для добычи криптовалюты.

Утечки данных, фишинговые и майнинговые кампании, появление новых ботнетов уже стали привычным явлением – практически ни одна неделя не обходится без сообщений о подобных инцидентах, минувшая также не стала исключением. О наиболее интересных событиях за период с 12 по 18 февраля 2018 года в кратком обзоре. Одним из самых громких событий прошлой недели стали обвинения в организации летних атак с использованием вымогательского ПО NotPetya, выдвинутые в адрес РФ рядом стран. В частности, в четверг, 15 февраля, с таким обвинением выступило правительство Великобритании, вскоре аналогичные заявления опубликовали США, Австралия, Канада и Новая Зеландия. В свою очередь Кремль категорически отверг причастность к атакам, назвав их «беспочвенными и бездоказательными». Эксперты подразделения Cisco Talos раскрыли подробности деятельности группировки Coinhoarder, использовавшей сервис Google AdWords для заработка денег. В рамках фишинговой кампании злоумышленники законно покупали рекламу через платформу Google AdWords и размещали ссылки на фишинговые сайты в результатах поиска Google, связанных с Bitcoin. Таким образом мошенники заманивали пользователей на фишинговые сайты и собирали учетные данные жертв, которые впоследствии использовались для кражи средств с их счетов. С помощью данной схемы участникам группировки удалось заработать порядка $50 млн в биткойнах. Трудятся не покладая рук и охотники за криптовалютой, изобретая все новые способы добычи цифровых средств. К примеру, исследователи из Malwarebytes обнаружили новую кампанию, направленную против пользователей Android-устройств. Преступники заманивают пользователей на свои сайты и пока те вводят CAPTCHA, майнят криптовалюту Monero, используя мощности гаджетов жертв. В Сети продолжают появляться новые IoT-ботнеты. Недавно список пополнил ботнет под названием DoubleDoor, способный обходить межсетевые экраны и защиту модемов с помощью эксплоитов для известных уязвимостей. По данным специалистов, в ходе атаки DoubleDoor сначала использует эксплоит, предназначенный для уязвимости CVE-2015-7755 (бэкдор в Juniper Networks ScreenOS, на базе которой работают межсетевые экраны Netscreen). С помощью первого эксплоита вредонос обходит межсетевой экран, после чего использует второй эксплоит, предназначенный для уязвимости CVE-2016-0401 в модемах ZyXEL PK5001Z. Исследователи Kromtech Security Center обнаружили в открытом доступе данные 119 тыс. клиентов службы доставки FedEx. Утечка стала возможной из-за некорректно настроенного сервера Amazon S3, принадлежащего компании Bongo International LLC, которую FedEx приобрела в 2014 году. Обнаруженная база данных содержала отсканированные копии паспортов, водительских удостоверений и другой документации клиентов FedEx по всему миру, в том числе из США, Мексики, Канады, Австралии, Саудовской Аравии, Японии, Китая и ряда европейских стран. На минувшей неделе Western Union предупредила своих клиентов о возможной утечке конфиденциальной информации, произошедшей в результате хакерской атаки на одного из IT-партнеров компании. Взломанный архив содержал контактные данные клиентов Western Union, названия банков, внутренние идентификационные номера сотрудников компании, суммы денежных переводов, а также время осуществления и идентификационные номера транзакций. Утечка не затронула данные банковских карт клиентов. Внутренние платежные и финансовые системы Western Union скомпрометированы не были.

Минувшая неделя ознаменовалась рядом событий, привлекших пристальное внимание общественности. В их числе разоблачение одной из крупнейших киберпреступных группировок Infraud, хакерская атака на сайт Олимпийских игр, сообщения об очередной кибершпионской кампании «русских хакеров» Fancy Bear, крупнейшая утечка в истории Apple и прочие инциденты, о которых и пойдет речь в сегодняшнем обзоре. В среду, 7 февраля, Министерство юстиции США сообщило о пресечении деятельности международной киберпреступной группировки, осуществлявшей незаконную деятельность на организованной ими подпольной интернет-площадке Infraud.Злоумышленники разработали сложную схему по покупке и продаже номеров социального страхования, данных о днях рождения и паролях, похищенных у пользователей со всего мира. Ущерб от деятельности кибергруппы оценивается в $530 млн. В общей сложности ведомство предъявило очные и заочные обвинения 36 участникам группировки, в том числе россиянину и двоим украинцам, один из которых, предположительно, является организатором Infraud. Еще одним громким событием прошлой недели стала публикация на GitHub исходного кода ключевого компонента iOS – iBoot. Он обеспечивает доверенную загрузку операционной системы. При включении iOS-устройства iBoot загружает ядро ОС, проверяет наличие у него соответствующей подписи Apple, а затем выполняет его. Компания Apple подтвердила подлинность исходного кода загрузчика iBoot, отметив, что его публикация не ставит под угрозу пользователей. Тем не менее, адвокаты компании все равно потребовали удалить исходники с GitHub в связи с нарушением авторских прав. На минувшей неделе СМИ сообщили о любопытной кампании, в рамках которой злоумышленники рассылали американским изданиям поддельные пресс-релизы от имени народного банка Китая и Управления денежного обращения Гонконга о совместной подготовке мер по борьбе со «всеми аспектами и сервисами биткойн-трейдинга». Рассылка производилась со взломанного электронного ящика одного из сотрудников Народного банка Китая (центрального банка КНР). Предположительно, фальшивые приглашения на брифинг могут быть делом рук предприимчивых трейдеров, желающих сыграть на падении курса криптовалют, в том числе биткойна. Хакерская группировка Fancy Bear, предположительно связанная с РФ, продолжает проводить кампании по кибершпионажу.Согласно расследованию, проведенному журналистами Associated Press, группировка похитила конфиденциальную переписку у подрядчиков правительства США, занимающихся разработкой военных технологий. Жертвами Fancy Bear стали по меньшей мере 87 человек, занятых в разработке военных беспилотных летательных аппаратов, ракет, истребителей, облачных вычислительных платформ и других технологий. В числе пострадавших сотрудники как небольших, так и крупных компаний, включая Lockheed Martin, Raytheon, Boeing, Airbus Group и General Atomics. В преддверии зимних Олимпийских игр в Пхенчхане (Южная Корея) эксперты в области кибербезопасности неоднократно предупреждали о возможных хакерских атаках. Судя по всему, их прогнозы начинают сбываться. 9 февраля неизвестные атаковали сайт Олимпиады примерно за 45 минут до начала церемонии открытия игр. В результате кибератаки была нарушена работа цифрового интерактивного телевидения в главном пресс-центре. В целях предотвращения дальнейшего ущерба серверы были отключены, что привело к приостановке работы сайта Олимпиады. Пока серверы и сайт не работали, зрители не могли распечатать приобретенные ими билеты на олимпийские мероприятия. Работа сайта была восстановлена утром в субботу, 10 февраля. Минувшая неделя не обошлась без сообщений об утечках данных. Как стало известно, персональная информация 800 тыс. абонентов швейцарского оператора связи Swisscom оказалась скомпрометирована в результате взлома систем оператора. В руках злоумышленников оказались имена, даты рождения, адреса и номера телефонов клиентов Swisscom.

Вновь открытый астероид размером с 20-этажный дом, под названием 2018 BU1, прошел мимо Земли в 5:00 UTC в субботу, 27 января. Этот космический камень пронесся мимо нашей планеты, двигаясь с относительной скоростью в 11,3 километра в секунду, на безопасном расстоянии примерно в 3,06 расстояния Земля-Луна (lunar distance, LD), или 1,18 миллиона километров. Астероид 2018 BU1 был открыт 18 января при помощи обзора неба Catalina Sky Survey (CSS). CSS представляет собой проект, предназначенный для поисков комет и астероидов, включая околоземные объекты, и базируется в Лаборатории Луны и планет Аризонского университета, США. Согласно астрономам астероид 2018 BU1 принадлежит к группе Аполлонов, имеет абсолютную величину 24,6 и диаметр от 23 до 71 метра. Большая полуось солнечной орбиты этого космического камня составляет 1,59 астрономической единицы (1 а.е. равна расстоянию от Земли до Солнца), а полный оборот вокруг нашей звезды он совершает за 2 года. 2018 BU1 также прошел в пятницу, 26 января, в 23:38 UTC на расстоянии примерно 2,66 LD (1,02 миллиона километров) от Луны. Следующее максимальное сближение этого астероида с Землей ожидается 3 февраля 2020 г., когда астероид пройдет на расстоянии 20,8 LD (8 миллионов километров) от нашей планеты. По состоянию на настоящее время астрономы открыли в общей сложности 17700 околоземных объектов. С начала этого года было открыто 127 таких объектов.