В начале 2024 года в киберпространстве активизировалась группировка MorLock, атакующая предприятия с использованием программ-вымогателей. За короткий период времени было атаковано не менее 9 крупных и средних российских компаний. О тактике группы рассказали специалисты F.A.C.C.T. в новом отчете.

Злоумышленники MorLock используют вымогательские программы LockBit 3.0 и Babuk, что характерно и для других кибергрупп, но благодаря уникальным тактикам, техникам и процедурам MorLock удается выделить среди прочих. Группа предпочитает действовать втайне, не проявляя активности на киберфорумах и в соцсетях, контакты для выкупа передают через зашифрованные каналы коммуникации.

Интересный момент в деятельности MorLock связан с отсутствием эксфильтрации данных перед их шифрованием, что сокращает время проведения атаки и уменьшает шансы на предотвращение инцидента. В случаях успешной атаки компании-жертвы сталкиваются с требованиями о выкупе, размер которого может достигать сотен миллионов рублей.

Как начальный вектор атаки MorLock часто использует уязвимости в публично доступных приложениях, например, Zimbra, или скомпрометированные учетные данные, приобретенные на закрытых торговых платформах. Для дальнейшего распространения вредоносного ПО в сетях жертв применяются инструменты – Sliver для постэксплуатации и SoftPerfect Network Scanner для сетевой разведки. Некоторые инструменты киберпреступники загружали на хосты непосредственно с официальных сайтов с помощью веб-браузера жертвы.

Особенность MorLock также в том, что в случае наличия в сети жертвы «популярного российского корпоративного антивируса», атакующие получают доступ к его административной панели, отключают защиту и используют этот вектор для дальнейшего распространения вредоносного ПО.

Инструменты и методы MorLock постоянно развиваются, а список индикаторов компрометации доступен для общего ознакомления на GitHub, что позволяет IT-специалистам и компаниям-жертвам оперативно реагировать на угрозы.

Лаборатория Касперского представила обзор изменений в ландшафте киберугроз за первый квартал 2024 года. В отчёте отмечается рост числа уязвимостей в программном обеспечении, что подчеркивает важность своевременной реакции на новые угрозы.

По статистике, последние 5 лет демонстрируют устойчивый рост количества уязвимостей, зарегистрированных с CVE-идентификаторами. Такая тенденция связана с развитием программ поощрения за выявление уязвимостей и соревнований по поиску недостатков в системе безопасности, что стимулирует научные исследования в этой области.

Кроме того, разработчики популярного ПО, операционных систем и языков программирования внедряют все более эффективные механизмы защиты и мониторинга, что также приводит к частому обнаружению уязвимостей. Наконец, с увеличением сложности и количества программных продуктов возрастает и вероятность появления новых уязвимостей.

В 2023 году было зарегистрировано рекордное количество критических уязвимостей. Например, доля критических уязвимостей в первом квартале 2024 года остаётся высокой, что указывает на необходимость усиления защитных мер и внедрения менеджмента исправлений.

Отчёт также выделяет важность эксплойтов — программ, позволяющих использовать уязвимости для вредоносных целей. Статистика показывает, что наибольший интерес среди злоумышленников вызывают уязвимости, которые позволяют получить контроль над системой.

Дополнительно приводится анализ эксплуатации уязвимостей в рамках APT-атак, которые нацелены на инфраструктуры организаций. В 2023 году особенно активно эксплуатировались уязвимости в сервисах удалённого доступа и механизмах разграничения доступа.

В первом квартале 2024 года наблюдалось значительное количество эксплойтов, направленных на серверы Microsoft Exchange. Кроме того, многие эксплойты затрагивали различные программные продукты, используемые в бизнес-системах для решения разнообразных задач, что связано с широким спектром ПО, которое может быть интегрировано в корпоративные сети.

Минцифры расширило список данных, который организаторы хранения информации хранят и передают по запросу силовым ведомствам: теперь в него входит не только IP-адрес пользователя, но и его сетевой порт.

Сетевые порты — это виртуальные конечные точки, которые соединяют передачу данных между несколькими приложениями, службами или устройствами в сети.

Специалисты утверждают, что иногда очень сложно определить пользователей, размещающих незаконную информацию в интернете, поэтому данные изменения позволят увеличить эффективность работы силовиков.

Документ был опубликован на официальном портале проектов правовых актов.

По закону к организаторам хранения информации относится любое физическое или юридическое лицо, владеющее сайтом с функцией коммуникации между пользователями.

А это соцсети, мессенджеры, файловые хранилища, онлайн-магазины, площадки объявлений и другие.

В рамках закона о «суверенном Рунете» данные об IP-адресах сайтов и пользователей уже сохраняются.

Согласно пояснительной записке, сложность заключается в определении, кому из абонентов принадлежит IP-адрес. Ведь организаторы хранения информации используют разные методы оптимизации нагрузки и защиты от DDoS-атак, а также перенаправляют запросы пользователей и не протоколируют их порты. А некоторые абоненты и вовсе могут задействовать виртуальные частные сети и прокси-серверы.

Уже осенью Роскомнадзор планирует начать собирать с операторов связи географические координаты всех используемых ими IP-адресов. По мнению специалистов, данная стратегия позволит увеличить эффективность борьбы с DDoS-атаками и позволит точечно блокировать ресурсы, размещающие незаконную информацию, в отдельно взятых регионах.

Microsoft развертывает GPT-4 в изолированной от интернета облачной среде Azure Government Top Secret, предназначенной для использования армией США. О решении стало известно по итогам интервью с Уильямом Шаппелем, главным техническим директором по стратегическим миссиям и технологиям.

Новая система предназначена для обработки огромных объемов секретной информации в интересах американских разведывательных служб. Это первый случай, когда LLM-модель функционирует в полной изоляции от Всемирной паутины и работает по принципу Air Gap. Такой подход позволяет предотвратить утечку или преднамеренный взлом данных.

Как только технология получит необходимые аккредитации, Пентагон сможет использовать GPT-4 в защищенной среде.

Microsoft, являющаяся крупным инвестором OpenAI, гарантирует, что Пентагон сможет использовать возможности генеративного ИИ в безопасной среде без риска разглашения секретной информации. По словам Шаппелла, благодаря возможностям GPT-4, которые Microsoft развернула через Azure OpenAI Service в Azure Government Top Secret, Пентагон сможет адаптировать технологию под свои нужды, настраивать ее и добавлять собственные данные.

Работа над системой длилась 18 месяцев, в том числе капитальный ремонт существующего ИИ-суперкомпьютера в Айове. Модель, размещенная в облаке, является статической, то есть она может читать файлы, но не учиться на их основе или в открытом Интернете. По словам Шаппелла, правительство может сохранить свою модель «чистой» и предотвратить попадание конфиденциальной информации на платформу. По его словам, около 10 000 человек теоретически смогут получить доступ к ИИ.

Шаппелл отметил, что в коммерческом использовании уже применяются аналогичные приложения, и теперь правительство сможет разрабатывать подобные решения для своих задач. Однако Шаппелл отказался прогнозировать точную дату аккредитации GPT-4 для работы с секретными данными, подчеркнув, что процесс аккредитации находится под контролем правительства.

Исследователи кибербезопасности из Citizen Lab уже не первый год отслеживают деятельность израильской компании NSO Group, разработчика шпионского ПО Pegasus. В 2019 году специалисты выявили, что данное программное обеспечение использовалось для взлома телефонов журналистов и защитников прав человека через уязвимость в WhatsApp.

Несмотря на благие намерения исследователей, компания NSO, находящаяся в чёрном списке правительства США, активно судится с Citizen Lab, пытаясь выведать методы, которыми компания проводила свой анализ. Суд, впрочем, последовательно отклоняет попытки NSO получить доступ к документации Citizen Lab, однако обстановка продолжает постепенно накаляться.

Судебное разбирательство против NSO началось ещё в 2019 году, когда WhatsApp и Meta подали в суд на производителя шпионского софта, обвиняя его в отправке вредоносных программ на около 1400 устройств по всему миру.

В последнее время NSO активно пытается пересмотреть свой медийный образ, особенно после включения в черный список в 2021 году. Так, в ноябре прошлого года после атак ХАМАС 7 октября компания обратилась в Госдепартамент с предложением обсудить использование Pegasus как «критически важного инструмента в борьбе с терроризмом».

Судебные иски против NSO включают не только дело WhatsApp, но и другие иски, в том числе от журналистов из Сальвадора, компании Apple и вдовы убитого журналиста Джамаля Хашогги. Все эти иски в той или иной степени опираются на исследования Citizen Lab. В связи с чем, как было сказано выше, NSO уже дважды пыталась добиться предоставления дополнительной информации от Citizen Lab по поводу методов их расследования.

Первая попытка была отклонена в марте, а вторая в апреле этого года. Судья Гамильтон осудила требования NSO как «явно чрезмерные». Однако она оставила компании шанс попробовать ещё раз, если NSO сможет предоставить доказательства того, что лица, отнесённые Citizen Lab к категории целей из гражданского общества, фактически занимались «криминальной/террористической деятельностью».

В сети распространяется мошенническая схема по угону Telegram-аккаунтов. Разводилы пользуются пробелами в знаниях пользователей, чтобы заставить их самостоятельно отдать всё.

Мошенники пишут жертве в Telegram под видом техподдержки мессенджера. Они утверждают, что получили заявку на полное удаление аккаунта, и спрашивают подтверждения. Когда человек говорит, что никаких заявок не оставлял, разводилы присылают ссылку, по которой якобы нужно подтвердить свой отказ от удаления.

Разумеется, сайт стилизован под официальный, а после перехода нужно ввести данные аккаунта, в том числе одноразовый код и облачный пароль. Получив всё это, разводилы мигом меняют пароль и используют учетную запись для фишинга от имени её прежнего владельца.

Чтобы избежать обмана, Роскачество призывает пользователей использовать сложные пароли, подключать двойную аутентификацию и быть осторожными при переходе по подозрительным ссылкам в Telegram.

Исследователями издания TechCrunch было выявлено около четырёх десятков рекламных ссылок с доменом «gov.in», принадлежащих правительствам различных штатов Индии, таких как Бихар, Гоа, Карнатака, Керала, Мизорам и Телангана. Ссылки вели на платформы, которые позиционируются как «самая популярная в Азии платформа онлайн-ставок» и «ведущее приложение для ставок на крикет в Индии».

Как именно мошенники смогли разместить эти рекламные объявления на сайтах правительства и как долго действовали перенаправляющие ссылки, до сих пор не установлено. Некоторые из затронутых веб-страниц принадлежат таким серьёзным организациям, как департамент полиции и отдел по налогообложению имущества.

Обнаружив проблему в начале недели, представители издания немедленно сообщили о ней в Индийскую службу компьютерных чрезвычайных ситуаций (CERT-In), предоставив примеры затронутых сайтов.

Через некоторое время агентство CERT-In подтвердило получение информации и сообщило о начале расследования.

На текущий момент неизвестно, была ли устранена уязвимость, которая позволила несанкционированный доступ к сайтам, однако работа по этому киберфронту ведётся максимально активно.

В июне прошлого года журналисты TechCrunch уже сообщали о подобных случаях мошенничества, когда через уязвимости в CMS-системе на американских государственных сайтах публиковались объявления о предоставлении услуг по взлому Instagram.

Исследовательская группа Cybernews обнаружила в Интернете колоссальный набор данных, содержащий личную информацию исключительно граждан Китая. Количество данных уже превысило 1,2 миллиарда записей и продолжает расти.

Первая запись в этот архив была добавлена 29 апреля, а всего за неделю количество данных увеличилось до 1 230 703 487 записей. Утечка занимает около 100 гигабайт и содержит в основном номера телефонов, но зачастую и другие чувствительные данные, такие как домашние адреса и номера удостоверений личности.

Большая часть данных собрана из ранее утекших публичных баз, но также присутствуют уникальные и ранее не виданные наборы данных. Исследователи предполагают, что за сбором данных стоит некая организованная группа с потенциально недобрыми намерениями.

Что входит в утечку:

- 668 304 162 записей, включающих номера учётных записей QQ и телефонные номера. QQ — чрезвычайно популярное приложение для социальных сетей в Китае, похожее на WhatsApp.
- 502 852 106 записей, содержащих идентификаторы учётных записей Weibo и номера телефонов. Weibo — китайская платформа микроблогов, похожая на гибрид Twitter и Facebook.
- 50 557 417 записей из базы данных ShunFeng, включающей номера телефонов, имена и адреса. ShunFeng предоставляет логистические/курьерские услуги в Китае.
- 8 064 215 записей в наборе данных Siyaosu, раскрывающих имена, номера телефонов, адреса и номера удостоверений личности.
- 746 310 записей Chezhu, включающих имена, номера телефона, адреса электронной почты, домашние адреса и номера удостоверения личности.
- 100 790 записей Pingan, содержащие имена, номера телефонов, адреса электронной почты, домашние адреса, заказанные услуги, номера карт и выплаченную сумму по страховке. Pingan — страховая компания в Китае.
- 78 487 записей в поддиапазоне Jiedai, включающих имена, телефонные номера, домашние адреса, номера удостоверений личности, места работы, данные об образовании, имена партнеров и их телефонные номера.

CISA и ФБР заявили, что в период с апреля 2022 года по май 2024 года операторы вымогателя Black Basta успешно атаковали более 500 организаций.

Совместный отчет, опубликованный в сотрудничестве с Министерством здравоохранения и социальных служб, а также Межштатным центром по обмену информацией и анализу, гласит, что группировка зашифровала и похитила данные у организаций в 12 из 16 секторов критической инфраструктуры.

Хотя не сообщается, что именно послужило поводом для публикации этого предупреждения, на прошлой неделе вымогателя Black Basta связывали с масштабной атакой на системы медицинского гиганта Ascension, в результате которой медики оказались вынуждены перенаправлять машины скорой помощи в незатронутые учреждения.

После взлома Ascension Министерство здравоохранения США тоже выпустило собственный бюллетень безопасности с предупреждением о том, что Black Basta «в последнее время увеличила количество атак на сектор здравоохранения».

ИБ-специалисты полагают, Black Basta является ребрендингом известной хак-группы Conti, так как на это указывают сходства используемых техник хакеров и стилей ведения переговоров.

Подоспели майские апдейты от Microsoft, в этот раз включающие патчи для 61 уязвимости, две из которых активно используются в реальных кибератаках. Ещё для одной в сети лежит готовый эксплойт.

Статус критической достался лишь одной бреши из набора — возможности удалённого выполнения кода в Microsoft SharePoint Server. По категориям проблемы в этот раз распределились следующим образом: 17 багов повышения прав; 2 проблемы обхода защитных функций; 27 уязвимостей удалённого выполнения кода; 7 дыр, приводящих к раскрытию информации; 3 возможности провести DoS; 4 бага, допускающих спуфинг.

Две уязвимости, закрытые в мае 2024 года, уже фигурируют в атаках киберпреступников, ещё одна имеет готовый общедоступный эксплойт.

CVE-2024-30040 — обход защитных функций в Windows MSHTML. Атакующему придётся обманом заставить жертву загрузить вредоносный документ, при запуске которого злоумышленник сможет выполнить произвольный код в системе.

CVE-2024-30051 — повышение прав, затрагивающее корневую библиотеку Windows DWM. Киберпреступник может получить привилегии уровня SYSTEM с помощью соответствующего эксплойта. Специалисты «Лаборатории Касперского» утверждают, что именно эта брешь используется в атаках Qakbot.

CVE-2024-30046 — проблема отказа в обслуживании, затрагивающая Microsoft Visual Studio. Готовый эксплойт для этой дыры лежит в сети, хотя в реальных атаках она пока замечена не была.

Созданный в Пензенском университете (ПГУ) антивирус использует нейросети и машинное обучение и не требует постоянного подключения к интернету. Разработку планируют завершить в этом году, а в ноябре подать заявку на сертификацию.

Из рассказа руководителя проекта можно понять, что вооруженный ИИ защитный софт способен предугадывать действия пользователя, и его можно подстроить под конкретные условия и задачи. Пока готова только версия для Windows, умеющая распознавать трояны, руткиты и нелегальные майнеры.

Для выявления фактов заражения используются два вида анализа:«нейросетевой» и «нейросигнатурный». В первом случае написанная на Python нейросеть оценивает работу кода, выполняя сравнение с известными ей алгоритмами поведения вредоносов.

Второй компонент определяет угрозы, используя ИИ в комбинации с традиционным сигнатурным анализом. Авторы проекта исходили из того, что написанный с нуля зловред — большая редкость, вирусописатели обычно в той или иной степени используют наработки коллег по цеху.

По замыслу, созданный в стенах ПГУ антивирус можно будет использовать как в корпоративном окружении, так и в индивидуальном порядке. Продукт планируют распространять по подписке.

Заметим, без связи с сетью такой софт сможет детектировать только вредоносные программы с заимствованиями, притом теми, с которыми он уже сталкивался. Впрочем, приведенное репортером описание слишком лаконично и туманно, стоит подождать более конкретных дополнений.

На прошлой неделе США, совместно с Великобританией и Австралией, предъявили обвинения и наложили санкции против Дмитрия Хорошева, которого считают лидером известной вымогательской группировки LockBit.

Настоящий лидер LockBit, известный в сети под псевдонимом «LockBitSupp», быстро прокомментировал заявления правоохранителей, утверждая, что последние ошиблись. Якобы он — никакой не Хорошев, и ему жаль этого парня в связи с возможными проблемами, с которыми он теперь может столкнуться из-за ложных обвинений в связи с LockBit.

Исследователь Брайан Кребс с портала KrebsonSecurity решил собственноручно разобраться, какими фактами оперировали власти сразу трёх стран, когда выносили свои обвинения.

Компания Google анонсировала внушительный набор новых функций безопасности для своей мобильной операционной системы Android. Среди них — инновационная технология обнаружения кражи смартфона, способная распознавать момент, когда устройство выхватывают из рук владельца.

Некоторые из этих нововведений будут реализованы уже в финальном релизе Android 15 грядущей осенью. Однако функция распознавания кражи и ряд других возможностей станут доступны для смартфонов с гораздо более старыми версиями, благодаря чему ими сможет воспользоваться намного больше людей.

Технология «Блокировка при краже» срабатывает, улавливая нехарактерные для владельца резкие движения. Чтобы предотвратить доступ злоумышленника к данным на устройстве, экран моментально блокируется. Система также отслеживает другие сигналы, свидетельствующие о противоправных действиях, и сможет блокировать экран для защиты, если кто-то попытается отключить смартфон от сети, лишив его удаленного доступа.

Кроме того, Google представила удобный способ удаленной блокировки экрана на случай, если гаджет окажется не в тех руках. Зайдя на сайт android(.)com/lock, пользователь может ввести номер своего телефона и пройти аутентификацию — отличный вариант, если под рукой окажется только чужой телефон или ПК. Все эти функции появятся позднее в этом году благодаря обновлению фирменных сервисов Google Play для смартфонов на Android 10 и новее.

В Android 15 также будут реализованы дополнительные средства защиты персональных данных, включая «приватные пространства». Эта опция позволит размещать приложения и конфиденциальную информацию в отдельной изолированной области памяти, блокируемой уникальным PIN-кодом. Google также внедрит защиту на случай принудительного сброса настроек, требующую ввода учетных данных владельца при последующей настройке.

Министерство юстиции США предъявило обвинение двум братьям в манипуляциях с блокчейном Ethereum и хищении криптовалюты на сумму $25 млн. всего за 12 секунд в рамках мошеннической схемы.

Братья манипулировали процессом проверки транзакций в блокчейне Ethereum, получая доступ к ожидающим частным транзакциям, изменяя их, завладевая криптовалютой жертв и отклоняя запросы на возврат украденных средств. Вместо возврата преступники принимали меры для сокрытия незаконных доходов.

Обвинение утверждает, что братья изучали поведение своих жертв на рынке с декабря 2022 года, готовясь к атаке и принимая меры для сокрытия своих личностей и похищенных средств. Они использовали несколько криптовалютных адресов, иностранные биржи и создавали подставные компании. После атаки обвиняемые перемещали украденные активы через серию транзакций, чтобы скрыть их источник и владельца.

Во время подготовки и выполнения атаки братья, среди прочего, предприняли следующие шаги:

- Создали серию валидаторов Ethereum, скрывая свои личности через подставные компании, промежуточные криптовалютные адреса, иностранные биржи и сеть для повышения приватности;
- Проводили серию тестовых транзакций, так называемых «приманок», чтобы выявить переменные, которые наиболее вероятно привлекут ботов MEV, ставших жертвами эксплуатации;
- Выявили и использовали уязвимость в коде реле MEV-Boost, которая привела к преждевременному раскрытию полного содержания предложенного блока;
- Переставили предложенный блок в свою пользу и опубликовали его в блокчейне Ethereum, что привело к краже у трейдеров криптовалюты на сумму около $25 млн.

В ходе всего процесса братья также искали в интернете информацию о проведении атаки, скрытии своего участия в эксплуатации Ethereum, отмывании криминальных доходов через биржи с низкими требованиями к верификации, нанимали адвокатов с опытом в криптовалюте, изучали процедуры экстрадиции и преступления, описанные в обвинении.

Ботнет Ebury, существующий с 2009 года, заразил почти 400 000 Linux-серверов, и примерно 100 000 из них все еще скомпрометированы, сообщают аналитики ESET.

ESET наблюдает за Ebury уже более десяти лет, и на этой неделе исследователи сообщили, что недавние действия правоохранительных органов позволили им получить представление о деятельности малвари за последние пятнадцать лет.

Так, последнее расследование ESET проводилось в сотрудничестве с голландским Национальным подразделением по борьбе с преступлениями в сфере высоких технологий, которое недавно изъяло backup-сервер, использовавшийся киберпреступниками.

Голландские аналитики отмечают, что операторы Ebury порой используют поддельные или ворованные личности и даже берут псевдонимы других киберпреступников, чтобы ввести в заблуждение правоохранителей.

Судя по последним атакам Ebury, операторы малвари предпочитают взламывать хостинг-провайдеров и осуществлять атаки на цепочки поставок, атакуя клиентов, арендующих виртуальные серверы у взломанных организаций.

Обычно первоначальная компрометация осуществляется с помощью украденных учетных данных, которые хакеры используют для проникновения на серверы. Затем малварь извлекает список входящих/исходящих SSH-соединений из wtmp и файла known_hosts, а также крадет ключи аутентификации SSH, которые в итоге используются для попыток входа в другие системы.

Кроме того, злоумышленники могут использовать известные уязвимости в ПО, работающем на серверах, чтобы получить дополнительный доступ или повысить свои привилегии.

Исследователи пишут, что инфраструктура хостинг-провайдеров, включая OpenVZ или хосты контейнеров, может использоваться для развертывания Ebury в нескольких контейнерах или виртуальных средах.

На следующем этапе атаки операторы малвари перехватывают SSH-трафик на целевых серверах в дата-центрах, используя спуфинг Address Resolution Protocol для перенаправления трафика на подконтрольный им сервер.

Мошенники, освоившие голосовую связь в мессенджерах, придумали новый предлог для получения доступа к аккаунтам ДБО. Они звонят от имени крупных российских банков и предлагают продлить срок действия карты.

О новой уловке телефонных мошенников предупредил ВТБ, подчеркнув, что обслуживание банковских карт в России сейчас продлевается автоматически. В рамках данной схемы обмана в мессенджерах создан ряд поддельных аккаунтов банков, с которых и поступают звонки.

Тем, кого беспокоит истекающий срок карты, присылают внешнюю ссылку на вредоносный файл и просят продиктовать одноразовый код, который в виде СМС придет на смартфон. Получив ключи от личного кабинета в онлайн-банке, злоумышленники смогут вывести деньги со счета или оформить на имя жертвы кредит.

Владельцы iPhone по всему миру жалуются на странный баг в iOS, который приводит к тому, что переключатель «Разрешить приложениям запрашивать отслеживание» в настройках конфиденциальности внезапно перестал работать.

Сам переключатель вдруг стал неактивным, а под ним появилась надпись: «Этот параметр нельзя изменить, потому что профиль ограничивает его или потому, что ваш Apple ID находится под управлением родителя, не соответствует минимальным возрастным требованиям или в нём отсутствует информация о возрасте». Однако пользователи заверяют, что ни одна из этих причин к ним не относится.

Интересно, что проблема наблюдается не только в iOS 17.5, но и в более старых версиях ПО, включая iOS 17.4.1, iOS 17.4 и iOS 16.6. Apple пока не комментирует ситуацию, но вполне вероятно, что это проблема на стороне сервера.