Немного о технологии для борьбы с ложными срабатываниями.
Nomorephish распознает домены, выставленные на продажу на распространенных магазинах доменов, и игнорирует их.
Nomorephish распознает домены, выставленные на продажу на распространенных магазинах доменов, и игнорирует их.
data-stealing-storm-report-2024-RU.pdf
12.4 MB
Команда Kaspersky Digital Footprint Intelligence выпустила отчет со статистикой по вредоносному ПО для кражи информации (инфостилерами) и рекомендациями по методу защиты.
Обновление Nomorephish 1.16.4
Новые функции:
• Добавлен Punycode-конвертер, который преобразовывает IDN-домены (Internationalized Domain Name) из Unicode в ACE (ASCII Compatible Encoding). Например, xn--h1alffa9f.xn--p1ai будет отображаться на веб-странице как "Россия.рф".
• Добавлена форма обратной связи. Ссылка на неё находится в подвале веб-страницы.
Улучшения:
• Улучшена защита сайта: добавлена CSRF-защита и HTTPS-заголовки безопасности.
• Веб-страницы 403, 404 и 500 оформлены в корпоративном стиле.
• Различные оптимизации кода.
• Другие незначительные улучшения.
Новые функции:
• Добавлен Punycode-конвертер, который преобразовывает IDN-домены (Internationalized Domain Name) из Unicode в ACE (ASCII Compatible Encoding). Например, xn--h1alffa9f.xn--p1ai будет отображаться на веб-странице как "Россия.рф".
• Добавлена форма обратной связи. Ссылка на неё находится в подвале веб-страницы.
Улучшения:
• Улучшена защита сайта: добавлена CSRF-защита и HTTPS-заголовки безопасности.
• Веб-страницы 403, 404 и 500 оформлены в корпоративном стиле.
• Различные оптимизации кода.
• Другие незначительные улучшения.
GitHub Actions уязвимы перед тайпсквоттингом — Хакер
https://xakep.ru/2024/09/09/typosquatting-in-github-actions/
https://xakep.ru/2024/09/09/typosquatting-in-github-actions/
XAKEP
GitHub Actions уязвимы перед тайпсквоттингом
Аналитики компании Orca предупредили, что преступники могут использовать CI/CD платформу GitHub Actions для тайпсквоттинга, вынуждая ничего не подозревающих пользователей посещать вредоносные сайты или загружать вредоносные программы и пакеты.
Forwarded from SecAtor
Исследователи из Лаборатории Касперского обнаружили сложную кампанию под общим названием Tusk, инициируемую русскоязычными киберпреступниками, попутно отследив множество ее подкампаний.
Каждая из них имитирует определенный легитимный проект: злоумышленники вносят незначительные изменения в названия и брендинг, а также используют многочисленные аккаунты в социальных сетях, дабы вызвать доверие у жертв.
В ходе анализа исследователи обнаружили, что первичные загрузчики всех активных подкампаний размещаются на Dropbox.
Через них образцы вредоносного ПО, включая стилеры Danabot, StealC и клипперы, попадают на устройство жертвы.
Помимо этого, злоумышленники используют техники фишинга, чтобы обманом получить у пользователей конфиденциальную информацию, например учетные данные.
Позже их реализуют в даркнете или используют для получения неправомерного доступа к игровым аккаунтам и криптокошелькам жертв, осуществляя кражу средств.
На момент проведения исследования ЛК удалось идентифицировать три активных и шестнадцать уже неактивных подкампаний. Причем неактивные подкампании, - это либо уже отработанные, либо еще не реализованные.
Все они в общей массе были названы в соответствии с обнаруженным в сообщениях логов загрузчиков упоминанием слова мамонт, которым злоумышленники обычно именуют свою жертву.
В рамках первой кампании TidyMe злоумышленники имитировали peerme.io - платформу для создания децентрализованных автономных организаций (DAO) в блокчейне MultiversX и управления ими.
На вредоносном сайте вместо кнопки Create your Team now присутствует кнопка Download.
При нажатии определяется подходящая версия вредоносного ПО для Windows или macOS, жертве направляется соответствующий файл.
Первичный загрузчик - TidyMe.exe, приложение на основе Electron, а полезная нагрузка - updateload.exe и bytes.exe (образец использует модульный загрузчик HijackLoader), финальная - вариант вредоносного ПО семейства стилеров StealC.
Вторая подкампания RuneOnlineWorld полагается на поддельный сайт MMO-игры, где расположена ссылка на первичный загрузчик.
Логика подбора версии ПО, соответствующей устройству жертвы, также идентична используемой в TidyMe. Название образца - RuneOnlineWorld.exe (приложение на основе Electron, его логика и структура почти идентичны загрузчику первой кампании).
В кампании RuneOnlineWorld две полезные нагрузки уже не собраны в один файл. Updateload.exe использует HijackLoader и внедряет код в легитимные программы. Финальный этап атаки реализует несколько стилеров семейств Danabot и StealC.
В рамках третьей кампании Voico злоумышленники имитировали переводчик на базе ИИ под названием YOUS.
Как и в двух предыдущих, на вредоносном веб-сайте расположена ссылка на первичный загрузчик, замаскированный под приложение, механизм заражения аналогичный, а образец вредоносного ПО носит название Voico.exe.
Оба выполняемых файла в этой кампании (updateload.exe и bytes.exe) по поведению очень напоминают файл updateload.exe из второй подкампании, но с одним различием: скачанное вредоносное ПО StealC связывается с другим С2.
Детальный разбор каждой из кампаний, цепочек заражений с индикаторами компрометации - в отчете.
Каждая из них имитирует определенный легитимный проект: злоумышленники вносят незначительные изменения в названия и брендинг, а также используют многочисленные аккаунты в социальных сетях, дабы вызвать доверие у жертв.
В ходе анализа исследователи обнаружили, что первичные загрузчики всех активных подкампаний размещаются на Dropbox.
Через них образцы вредоносного ПО, включая стилеры Danabot, StealC и клипперы, попадают на устройство жертвы.
Помимо этого, злоумышленники используют техники фишинга, чтобы обманом получить у пользователей конфиденциальную информацию, например учетные данные.
Позже их реализуют в даркнете или используют для получения неправомерного доступа к игровым аккаунтам и криптокошелькам жертв, осуществляя кражу средств.
На момент проведения исследования ЛК удалось идентифицировать три активных и шестнадцать уже неактивных подкампаний. Причем неактивные подкампании, - это либо уже отработанные, либо еще не реализованные.
Все они в общей массе были названы в соответствии с обнаруженным в сообщениях логов загрузчиков упоминанием слова мамонт, которым злоумышленники обычно именуют свою жертву.
В рамках первой кампании TidyMe злоумышленники имитировали peerme.io - платформу для создания децентрализованных автономных организаций (DAO) в блокчейне MultiversX и управления ими.
На вредоносном сайте вместо кнопки Create your Team now присутствует кнопка Download.
При нажатии определяется подходящая версия вредоносного ПО для Windows или macOS, жертве направляется соответствующий файл.
Первичный загрузчик - TidyMe.exe, приложение на основе Electron, а полезная нагрузка - updateload.exe и bytes.exe (образец использует модульный загрузчик HijackLoader), финальная - вариант вредоносного ПО семейства стилеров StealC.
Вторая подкампания RuneOnlineWorld полагается на поддельный сайт MMO-игры, где расположена ссылка на первичный загрузчик.
Логика подбора версии ПО, соответствующей устройству жертвы, также идентична используемой в TidyMe. Название образца - RuneOnlineWorld.exe (приложение на основе Electron, его логика и структура почти идентичны загрузчику первой кампании).
В кампании RuneOnlineWorld две полезные нагрузки уже не собраны в один файл. Updateload.exe использует HijackLoader и внедряет код в легитимные программы. Финальный этап атаки реализует несколько стилеров семейств Danabot и StealC.
В рамках третьей кампании Voico злоумышленники имитировали переводчик на базе ИИ под названием YOUS.
Как и в двух предыдущих, на вредоносном веб-сайте расположена ссылка на первичный загрузчик, замаскированный под приложение, механизм заражения аналогичный, а образец вредоносного ПО носит название Voico.exe.
Оба выполняемых файла в этой кампании (updateload.exe и bytes.exe) по поведению очень напоминают файл updateload.exe из второй подкампании, но с одним различием: скачанное вредоносное ПО StealC связывается с другим С2.
Детальный разбор каждой из кампаний, цепочек заражений с индикаторами компрометации - в отчете.
Securelist
Новая кампания злоумышленников Tusk использует стилеры и клипперы для кражи денег и данных
Эксперты «Лаборатории Касперского» обнаружили активную кампанию Tusk, использующую стилеры Danabot и StealC и клипперы для кражи данных с устройств и из криптокошельков.
«Лаборатория Касперского» предупреждает о массовых почтовых атаках на отели в России
https://www.kaspersky.ru/about/press-releases/fishingovaya-kampaniya-s-progrevom-laboratoriya-kasperskogo-preduprezhdaet-o-massovyh-pochtovyh-atakah-na-oteli-v-rossii
https://www.kaspersky.ru/about/press-releases/fishingovaya-kampaniya-s-progrevom-laboratoriya-kasperskogo-preduprezhdaet-o-massovyh-pochtovyh-atakah-na-oteli-v-rossii
/
«Лаборатория Касперского» предупреждает о массовых почтовых атаках на отели в России
Мошенники пытаются украсть аккаунты гостиниц на популярных сервисах онлайн-бронирования
$20 и просроченный домен могут подорвать доверие к данным WhoIs
https://www.anti-malware.ru/news/2024-09-12-114534/44126
https://www.anti-malware.ru/news/2024-09-12-114534/44126
Anti-Malware
$20 и просроченный домен могут подорвать доверие к данным WhoIs
Перерегистрация домена, в котором ранее работал авторитативный сервер WhoIs для TLD-зоны .mobi, позволила ИБ-экспертам создать фейк, открыв возможность для отслеживания имейл-обмена, подделки
Интересный фишинг: атакующие используют заголовки HTTP для кражи данных
https://www.anti-malware.ru/news/2024-09-16-111332/44153
https://www.anti-malware.ru/news/2024-09-16-111332/44153
Anti-Malware
Интересный фишинг: атакующие используют заголовки HTTP для кражи данных
Киберпреступники запустили новые фишинговые кампании, в которых используются записи «refresh» в HTTP-заголовках для доставки поддельных страниц с формами входа. Задача — вытащить учётные данные
Forwarded from FrontSecOps (Михаил Парфенов)
Frontend-фишинг с использованием JS Notification / Push API
Эти API предоставляют js-коду📱 возможность показывать нативные уведомления браузера на устройстве пользователя. Push API (в отличии от Notification API) может показывать уведомления даже при закрытой вкладке браузера ⚠️ , а на мобильных устройствах даже при закрытом браузере, поэтому рассмотрим именно его.
Исходные данные
Наше frontend-приложение уже запрашивало разрешение на показ уведомлений либо запросит, и пользователи согласятся (доверяют нашей компании).
В случае с мобильными устройствами пользователи добавили наше web-приложений на экран "Домой", что дает web-приложению права PWA (progressive web app), в том числе права на отправку push-уведомлений.
Предположим, что в ваш проект попал вредоносный js-код (с новыми версиями зависимостей, в результате компрометации сервера, сгенерирован "плохой" нейросетью и т.д.), а именно в код Service Worker (требование для вызова Push API, для Notification API в любое место в js-коде).
Злоумышленник получает возможность подключиться к своему серверу push-уведомлений и показывать пользователю нативные уведомления с любой картинкой/текстом/возможностью при клике редиректить пользователя на любой сайт⚠️ . Это открывает безграничные возможности для фишинга 🤒
⚠️ С вашего счета произведен перевод денег..
⚠️ Заказ № 123456 оформлен, сумма 14 793 руб., дата доставки..
⚠️ Обнаружен вирус на устройстве, выберите действие..
⚠️ Ваш почтовый ящик заблокирован..
⚠️ Кто-кто входит в ваш аккаунт..
Далее - кража учетных данных🪪 , загрузка вредоносного вложения с эксплойтом 💣 и т.п.
На Desktop и Android в push-уведомлении можно показать любую картинку (логотип банка, мессенджера, популярного приложения). В iOS всегда будет отображаться иконка нашего сайта.
Если неквалифицированные пользователи / люди в возрасте доверяют баннерам "про обновление антивируса" на сайтах с кулинарными рецептами, то нативным уведомлениям на мобильном устройстве могут поверить даже опытные пользователи.
Злоумышленники "хотят" наш frontend больше💰 , чем мы думаем… А уязвимости браузеров 📱 🌐 делают frontend-приложения идеальной точкой проникновения на устройства пользователей.
Как защититься?
🔹Контролировать использование WebAPI в frontend-приложении: Service Worker API, Push API, Notification API
🔹Контролировать целостность js-кода, включая код Service Worker
🔹Проводить инвентаризацию js-кода, включая динамически загружаемый, в runtime браузера при выполнении основных E2E-сценариев
🔹Контроль при каждом релизе и периодически в продакшене + реагирование
@FrontSecOps
Эти API предоставляют js-коду
Исходные данные
Наше frontend-приложение уже запрашивало разрешение на показ уведомлений либо запросит, и пользователи согласятся (доверяют нашей компании).
В случае с мобильными устройствами пользователи добавили наше web-приложений на экран "Домой", что дает web-приложению права PWA (progressive web app), в том числе права на отправку push-уведомлений.
Предположим, что в ваш проект попал вредоносный js-код (с новыми версиями зависимостей, в результате компрометации сервера, сгенерирован "плохой" нейросетью и т.д.), а именно в код Service Worker (требование для вызова Push API, для Notification API в любое место в js-коде).
Злоумышленник получает возможность подключиться к своему серверу push-уведомлений и показывать пользователю нативные уведомления с любой картинкой/текстом/возможностью при клике редиректить пользователя на любой сайт
Далее - кража учетных данных
На Desktop и Android в push-уведомлении можно показать любую картинку (логотип банка, мессенджера, популярного приложения). В iOS всегда будет отображаться иконка нашего сайта.
Если неквалифицированные пользователи / люди в возрасте доверяют баннерам "про обновление антивируса" на сайтах с кулинарными рецептами, то нативным уведомлениям на мобильном устройстве могут поверить даже опытные пользователи.
Злоумышленники "хотят" наш frontend больше
Как защититься?
🔹Контролировать использование WebAPI в frontend-приложении: Service Worker API, Push API, Notification API
🔹Контролировать целостность js-кода, включая код Service Worker
🔹Проводить инвентаризацию js-кода, включая динамически загружаемый, в runtime браузера при выполнении основных E2E-сценариев
🔹Контроль при каждом релизе и периодически в продакшене + реагирование
@FrontSecOps
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM