Search the Community

Министерство юстиции США предъявило официальные обвинения гражданину КНДР Пак Чин Хеку в участии в сговоре с целью совершения многочисленных разрушительных кибератак по всему миру, повлекших повреждение значительного числа компьютеров, масштабные потери данных, денежных средств и других ресурсов. Согласно пресс-релизу Минюста, Пак Чин Хек, работавший в качестве программиста на северокорейскую компанию Chosun Expo Joint Venture, несет ответственность за кибератаки на компанию Sony Pictures Entertainment в 2014 году, кражу $81 млн из Центробанка Бангладеша, создание и распространение вымогательского ПО WannaCry 2.0 в мае 2017 года, а также другие кибератаки на компании в развлекательной, финансовой, оборонной, технологической и прочих сферах. Предположительно, Пак Чин Хек является участником печально известной хакерской группировки Lazarus Group, связанной с Бюро 121 - подразделением военной разведки Северной Кореи. В случае признания виновным мужчине грозит максимальное наказание в виде 25 лет лишения свободы. В декабре минувшего года правительство США публично обвинило КНДР в атаках с использованием вымогателя WannaCry. По данным специалистов, программа-вымогатель инфицировала компьютерные системы в более чем 150 странах мира, общий ущерб оценивается в порядка $8 млрд.

На этой неделе вымогательское ПО WannaCry, спровоцировавшее хаос по всему миру в мае нынешнего года, нашло новую жертву.Вредонос атаковал сервисные центры LG Electronics и вывел из строя их киоски самообслуживания. Компания сообщила об инциденте Корейскому агентству по вопросам интернета и безопасности (KISA), которому удалось взять ситуацию под контроль, поскольку атака находилась на начальном этапе. Как сообщил пресс-секретарь LG Electronics изданию Korea Herald, попытка вымогателя атаковать компанию провалилась. Незамедлительное отключение сетей сервисных центров позволило избежать шифрования данных и требования выкупа. По данным KISA, киоски были инфицированы WannaCry, однако, каким образом вредонос попал на системы, неизвестно. Возможно, кто-то целенаправленно установил программу на устройства. Не исключено также, что злоумышленники обманным путем заставили кого-то из сотрудников загрузить вредонос. В мае 2017 года мир захлестнула волна атак с использованием вымогательского ПО WannaCry. Вредонос эксплуатировал уязвимость в протоколе SMB в ОС Windows и заразил порядка 200 тыс. компьютеров в 150 странах. Атаки были остановлены британским ИБ-экспертом Маркусом Хатчинсом, однако и по сей день WannaCry находит новых жертв в разных уголках планеты.

За последние полтора месяца пользователи Windows дважды столкнулись с мощными атаками программ-вымогателей, в результате которых были заблокированы сотни тысяч компьютеров по всему миру. Как известно, и WannaCry, и NotPetya эксплуатировали уязвимость в протоколе SMB, который используется в Windows. После майской атаки WannaCry компания Microsoft исправила уязвимость во всех версиях своей ОС (в том числе в более неподдерживаемых), однако массовое заражение NotPetya показало, что на многих системах спасительное обновление так и не было установлено. В связи с этим Microsoft решила разработать способ, обеспечивающий безопасность пользователей, даже если новые патчи не были установлены. Компания намерена реализовать в будущих версиях Windows функцию Controlled folder access («Контролированный доступ к папкам»). В настоящее время компания проводит ее тестирование. Предназначением данной функции является контроль над доступом к критически важным папкам. При каждой попытке определенного приложения сделать неавторизованное уведомление пользователь будет получать соответствующее предупреждение. Инструмент Controlled folder access интегрирован с Windows Defender Security Center в предварительной сборке Windows 10 Fall Creators Update и будет доступен широкому кругу пользователей с выходом новой версии ОС в сентябре текущего года. С его помощью пользователи смогут следить за каждой папкой, а также за сетевыми ресурсами и подключенными дисками. То есть, в случае попадания на компьютер вымогательского ПО, оно не сможет зашифровать хранящиеся на нем файлы. В Controlled folder access предусмотрен ряд настроек. Пользователи смогут выбирать папки, которые нужно обезопасить, а также делать исключения, разрешая некоторым приложениям вносить изменения в определенные папки. Тем не менее, папки «Документы», «Изображения», «Видео» и «Рабочий стол» будут защищены по умолчанию, и пользователь не сможет внести их в список исключений.

«Ростелеком» объявил об отражении атаки новой модификации вируса Petya, как и недавних атак WannaCry, которым подверглись многие российские компании и государственные учреждения. Организации, пользующиеся защитой от «Ростелекома», смогли быстро остановить распространение этих вирусов и минимизировать ущерб от него. В качестве одного из основных векторов заражения злоумышленники использовали «фишинговые» письма - как только пользователь открывал письмо, вирус загружался на компьютер пользователя и продолжал распространятся по сети на ПК других пользователей корпоративной сети. «Команда центра мониторинга и реагирования на инциденты безопасности «Ростелекома» непрерывно изучает оперативную информацию о новых киберугрозах и индикаторах компрометации и незамедлительно реагирует, принимая оперативные меры с целью минимизации риска для защищаемого сегмента, проводит детальный анализ инцидента и предлагает дополнительные меры для адаптации контура защиты к новым угрозам», - сказал директор продуктового офиса «Информационная безопасность» «Ростелекома» Станислав Барташевич. «Ростелеком» запустил управляемые сервисы информационной безопасности (MSS), которые позволяют с минимумом затрат за 1-2 месяца значительно увеличить устойчивость организации к кибер-атакам, а также застраховать кибер-риски для обеспечения непрерывности бизнеса. Поскольку основным каналом заражения являет рассылка мошеннических писем, то для своих заказчиков «Ростелеком» запустил новый проект по управлению навыками ИБ пользователей, что значительно повышает вероятность распознавания и удаления сотрудником «фишингового» письма с вредоносным вложением или ссылкой. «Еще при атаке WannaCry наши службы показали слаженную работу и достойно отразили атаку на периметр Национальной облачной платформы и инфраструктуру электронного правительства благодаря использованию актуальных средств защиты и высокой квалификации специалистов ИБ», - отметил директор продуктового офиса перспективных продуктов «Ростелекома» Александр Обухов. «Кроме того, для клиентов услуги «Виртуальный ЦОД» доступна возможность резервного копирования важных данных заказчиков, размещенных в облачной инфраструктуре, что позволяет восстановить практически все важные файлы из резервной копии даже в случае заражения локальной и облачной инфраструктур».

Спустя два дня после волны атак с использованием вымогательского ПО WannaCry сотрудники правоохранительных органов Франции изъяли три сервера, принадлежащие французскому активисту Aeris. Aeris сообщил о случившемся в новостной рассылке организации Tor Project 15 мая и попросил коллег-разработчиков отозвать цифровые сертификаты изъятых серверов, использовавшихся в качестве выходных узлов Tor. По словам активиста, серверы были изъяты в связи с заражением сетей одной из крупных французских компаний вымогательским ПО WannaCry 12 мая. Специалисты компании зарегистрировали весь исходящий во время атаки трафик и передали эти данные полиции. C&C-сервер WannaCry находится в теневой части всемирной паутины в доменной зоне .onion. Aeris предполагает, что его серверы использовались в качестве посредников при подключении вредоноса к своему командно-контрольному серверу. Однако у полицейских очень мало шансов получить полезные сведения на основании анализа изъятых серверов, поскольку конфигурация большинства выходных узлов Tor предполагает регистрацию лишь очень незначительного количества данных. Как отметил активист, на той же неделе во Франции загадочным образом исчезли еще 40 выходных узлов Tor. Пока неизвестно, является ли это совпадением, или серверы были изъяты сотрудниками правоохранительных органов в связи с атаками WannaCry.

Исследователи компании Qihoo 360 обнаружили вымогательское ПО для Android-устройств, маскирующееся под печально известный WannaCry. Для того чтобы напугать пользователей и заставить их поскорее заплатить выкуп, вредонос использует такое же, как у WannaCry уведомление с требованием выкупа. Вымогательское ПО распространяется через китайские игровые форумы и маскируется под плагин для популярной в Китае мобильной игры King of Glory. Несмотря на то, что записка с требованием выкупа выглядит очень похожей на WannaCry, складывается впечатление, будто операторы вредоноса хотят быть арестованными. Вымогатели требуют за разблокировку Android-устройства 40 китайских юаней (около $6), которые должны быть перечислены через один из китайских сервисов QQ, Alipay или WeChat. Либо им не известно о существовании анонимной криптовалюты, либо они забыли, в какой стране живут. Китайские правоохранители смогут отследить платежи за считанные минуты. Если не учитывать все вышеупомянутое, вредонос довольно впечатляющий. В отличие от большинства вымогателей для мобильный устройств он не просто блокирует экран, а шифрует файлы. Шифрование осуществляется с использованием AES, а к именам файлов добавляется расширение из смеси букв латинского алфавита и китайских символов. Вредонос способен шифровать только файлы размером не более 10 КБ.

Windows XP является одной из уязвимых операционных систем, пораженных в прошлую пятницу вымогательским ПО WannaCry.Несмотря на выход исправляющих уязвимость обновлений, огромное количество компьютеров стали жертвами вредоноса. К счастью, французский исследователь безопасности Адриан Гине разработал инструмент, позволяющий удалить WannaCry с системы без уплаты выкупа. Стоит отметить, инструмент работает только в случае, если после заражения системы компьютер не был перезагружен. Если система была перезапущена, и WannaCry зашифровал файлы, программа Гине будет бесполезна. Разработанный исследователем инструмент ищет ключ для дешифровки в памяти самого компьютера и способен восстановить простые числа закрытого RSA-ключа, используемого WannaCry при шифровании файлов жертвы. Как пояснил Гине, его инструмент ищет числа в процессе wcry.exe, генерирующем закрытый RSA-ключ. После зашифровки закрытого ключа его незашифрованная версия удаляется из памяти инфицированного компьютера с помощью функции CryptReleaseContext. Тем не менее, как пояснил исследователь, CryptDestroyKey и CryptReleaseContext стирают только указывающий на ключ маркер, но не числа, благодаря чему закрытый ключ можно извлечь из памяти. Программа работает только на Windows XP и не тестировалась на других версиях ОС. Скачать инструмент можно с репозитория GitHub.

Как сообщалось ранее, программисту из Великобритании, известному в Twitter как MalvareTechBlog, удалось на время приостановить распространение нашумевшего вымогательского ПО WannaCry (другие названия WannaCrypt, WCry, Wana Decrypt0r и WanaCrypt0r). Исследователь обнаружил вшитый в код вредоноса адрес домена, позволяющего отключать его в случае необходимости. Тем не менее, ИБ-эксперты обнаружили вторую версию WannaCry с другим доменом, на которую метод MalvareTechBlog не подействовал. Вредонос состоит из двух компонентов – SMB-червя и непосредственно вымогателя. Червь распространяет вымогательскую программу сначала по локальной сети, а затем через интернет. Первая версия WannaCry содержала адрес домена, позволившего отключить функцию шифрования файлов на инфицированных компьютерах. Однако SMB-червь по-прежнему продолжал распространять инфекцию. Вскоре после обезвреживания первой версии вредоноса киберпреступники выпустили вторую. Французский исследователь Матье Суиш последовал примеру британского коллеги, зарегистрировал указанный в коде вредоноса домен ifferfsodp9ifjaposdfjhgosurijfaewrwergwea.com, и WannaCry стал обращаться к тому же серверу британского исследователя, что и первая версия. Это значит, что даже в случае заражения компьютера данным вариантом вредоноса, процесс шифрования запускаться не будет. Как бы то ни было, эксперты фиксируют появление новых вымогателей, копирующих WannaCry. К примеру, по данным Лоуренса Абрамса из Bleeping Computer, на сегодняшний день существуют по крайней мере четыре семейства вымогательского ПО, имитирующих интерфейс нашумевшего вымогателя.

МВД и Следственный комитет России опровергли сообщения о заражении своих серверов вирусом WannaCry, поразившим компьютеры в 74 странах мира. «12 мая была зафиксирована вирусная атака на персональные компьютеры ведомства, находящиеся под управлением операционной системы Windows. Серверные ресурсы МВД России не подвергались заражению благодаря использованию иных операционных систем и отечественных серверов с российским процессором «Эльбрус». Было блокировано порядка тысячи зараженных компьютеров, что составляет менее 1 процента», — указано в информационном сообщении министерства. В свою очередь, в пресс-службе СК России сообщили, что «никаких хакерских атак на ресурсы Следственного комитета на было, все они работают в штатном режиме». Ранее источник в МВД сообщал, что работа отделений ведомства в нескольких регионах России нарушена из-за вируса, поразившего множество компьютеров и грозящего уничтожить все данные. Ранее в пятницу о массовом распространении вируса сообщили в Великобритании и Испании. Отмечается, что атака хакеров затронула больницы в нескольких британских городах и испанскую телекоммуникационную компанию Telefonica. Речь идет о вирусе-вымогателе WCry, также известном как WannaCry или WannaCryptor. Он шифрует информацию на компьютере и требует заплатить выкуп в размере 300 долларов биткоинами за расшифровку. Пользователь «Пикабу» под ником vasa48 опубликовал фотографию, на которой продемонстрировал работу шифровальщика на российских компьютерах. Его интерфейс внешне идентичен вирусу, поразившему британские и испанские устройства.