⚠️ Sticky Werewolf снова в деле

Злоумышленники группировки используют новый способ доставки ВПО, копируя начальные стадии у другой группировки — TA558. Для загрузки вредоносных экземпляров ВПО используются Github и Bitbucket.

⏺Основные моменты расследования:
Аналитики центра мониторинга фиксируют фишинговую рассылку под видом документов формата PDF, но с двойным расширением. Исследуемые экземпляры ВПО относятся к многофазным.

Многофазный процесс атаки:
Этап 1 — доставка полезной нагрузки:
Использование загрузчика GuLoader, который не сохраняет копии на диске и загружает вредоносное ПО непосредственно в память рабочей станции.
Этап 2 — установка RAT:
В текущих атаках применяется DarkTrack RAT, ранее использовались AgentTesla и Remcos.

Злоумышленники загружают вредоносные файлы в виде строк base64, ограниченных тегами <<BASE64_START>> и <<BASE64_END>>.
Данные строки декодируются в .NET сборку, которая выгружается процессом powershell в память устройства через метод Assembly::Load.

Скачанное вредоносное ПО регистрируется через утилиту RegAsm.exe и выгружается в память процесса cmd.exe.
Примечательно, что репозитории, используемые для загрузки стадий, содержат и другие экземпляры ВПО, среди которых Lumma, Stealc, Doubleback. На момент анализа доступны следующие репозитории:
• https://bitbucket.org/rulmerurk/ertertqw/downloads/
• https://github.com/santomalo/audit
• https://github.com/santomalo/dowload

⚙️ Индикаторы компрометации

IoC's:
SHA256: 8eadd27519eb9a97959c7417696f906ce4de01e49e1321a466a2748e888db2a5 
SHA256: f75d1d3c22ad03094098e20f73b01ea1d112b76ca52c3d0946f24d5c5d272951 (Договор АО-НПФ-МИКРАН-№-12904ДО.pdf.exe)
SHA256: 998b564aea4c6a60da1df9b66e05a7d15fa12421433f9fa712f3d65ace4cee6a (Morti.exe)
SHA256: a195b64eaae8353c3de14d8e02849a0f30593859bdc2fb443ad5f9db9a803168 (testpowershell)
SHA256: c6ab3f142b6c70146102748002eaad2b5b8279588f61a19c153cb48a5266769d (se16.txt)
SHA256: 02be347bd34ba0a7ad2c5e50d1f74e88e0222eaa96ae3255c2eaa7e162c48d88 (img_test.jpg?14441723)
SHA256: d56692b1b665f5bbda97a2b6545abbc3b1a58859bd4fb545227ba0cd7012d2e5 (img_test.jpg?11811735)
SHA256: 1f5e2e15e2d09dd85380f2bd361d27f6dbd4c8c7f6fe270a54df1bfe3ba853c3 (Elsa.exe)
SHA256: 30ff2c0ee3eb088c9a1152b1f69c24b03837a11b9bbd8c1b65c6b2ad2162fea0
Ключи реестра: CurrentVersion\\Run\\*.vbs
Ключи реестра: CurrentVersion\\RunOnce\\*.vbs
Email-sender: dir@mikron-rzn[.]ru
Email-sender: info@varmenii[.]ru

#КиберХроника

🛡️ Антивирус: как работает и какой выбрать

Сегодня невозможно представить безопасную работу в интернете без антивирусной программы. Давайте разберемся, что такое антивирус, как он работает и почему без него не обойтись?

Что такое антивирус?
Антивирус — программа, предназначенная для защиты устройства от вредоносных программ.
Его основная задача — предотвратить попадание вирусов на устройство и устранить уже существующие угрозы.

Вредоносные программы могут попасть на компьютер или смартфон через скачанные файлы, подозрительные ссылки или зараженные носители. Они могут:

⏺нарушить работу устройства;
⏺украсть или повредить данные;
⏺следить за пользователем через камеру или микрофон;
⏺заблокировать файлы и требовать выкуп за их разблокировку.

Как работает антивирус?
Антивирусная программа защищает устройство двумя основными способами:

1. Обнаружение угроз
Антивирус сканирует файлы, программы и интернет-трафик. Это происходит либо автоматически, либо вручную, когда пользователь запускает проверку. При обнаружении угрозы программа немедленно предупреждает об этом.

2. Обезвреживание вирусов
В зависимости от типа угрозы, антивирус может:

⏺«Вылечить» зараженный файл, удалив из него вредоносный код;
⏺Поместить файл в карантин для его последующего анализа и «лечения»;
⏺Удалить файл, если его восстановление невозможно;
⏺Добавить файл в список исключений, если он ошибочно определен как угроза (по запросу пользователя).

⚙️ Антивирусная программа — это неотъемлемая часть современной цифровой безопасности. Независимо от того, работаете ли вы в интернете, совершаете покупки онлайн или просто просматриваете сайты, антивирус поможет сохранить ваши данные и устройство в безопасности.

#СловарьИБ

⚙️ Максимум защиты: новая версия RT Protect TI

Встречайте новую версию RT Protect TI — мощное обновление, которое делает ваши инструменты еще более гибкими и надежными.

Что ждет вас в обновлении?
⏺Настройка формата данных для распространяемой аналитики: JSON, CSV, PlainTXT. Поддержка добавления в ZIP, GZIP;
⏺Добавлено время актуальности заключения аналитика для артефакта — 1 год;
⏺Добавлено дополнительное логирование действий в комментариях Артефакта при работе с тегами и графом артефакта;
⏺Переработан механизм синхронизации Yara-наборов, добавлена дополнительная проверка на корректность компиляции yara-правил;
⏺Массовые операции с заключением аналитика на странице отчета по списку артефактов;
⏺Актуализированы разделы аналитики EDR в соответствии с актуальной версией RT Protect EDR.

Не ждите — обновляйтесь и держите киберугрозы под полным контролем!

#RT_Protect_TI

⏰ Время обновляться!

Мы рады сообщить о релизе свежей версии RT Protect EDR — наш инструмент стал еще мощнее и умнее! Защита ваших устройств и данных вышла на новый уровень!

Основные нововведения версии 2.0.173.2673:
Агент для Windows:
⏺Укреплена самозащита агента (сетевое взаимодействие, внедрение кода и работа с процессами).
⏺Модернизирован источник событий "Вызовы: RPC"— добавлены расшифровки известных вызываемых процедур и интерфейсов.
⏺Новый индикатор атак: "Файлы: Подключение к именованному каналу".
⏺Универсальные исключения для индикаторов атак с поддержкой символов wildcard (* и ?).
⏺Реализована отправка события "Доступ к файлу" для файлов с потенциально активным содержимым, добавлены поля с информацией о файле для выявления вредоносных индикаторов компрометации.
⏺Поддержка протокола ICMP — события, исключения и другие сценарии.

Сервер:
⏺Теперь можно назначать агенту несколько однотипных наборов.
⏺Появилась возможность просматривать содержимое внешних наборов от TI-платформ.
⏺Экран отчета TI-платформы обновлен.
⏺Добавлен новый раздел "Конфигурации".
⏺Возможность скачивания файлов с агентов через web-интерфейс.

Переходите на новую версию и будьте уверены в своей безопасности с RT Protect EDR!

#RT_Protect_EDR

🍪 Что стоит знать о куки?

Замечали ли вы, как после поиска в интернете вам вдруг показывают рекламу тех же товаров? Или как сайты запоминают ваши логины и корзину покупок? В этом «волшебстве» замешаны куки — файлы, которые отслеживают вашу активность в сети.

Что такое куки?
Cookie — это небольшие текстовые файлы, которые сохраняются на вашем устройстве при посещении сайтов. Они запоминают ваши логины, настройки, предпочтения, а также историю просмотров. Куки бывают двух типов:

⏺Временные (сессионные) — исчезают при закрытии браузера.
⏺Постоянные — остаются на устройстве до их удаления вручную или до истечения срока.

Вредны ли куки?
Сами по себе куки не опасны. Они не могут нанести вред вашему устройству. Но, если ваши данные, хранящиеся в куки, попадут в руки злоумышленников, это может создать проблемы.

Как защитить свои данные?
Чтобы куки приносили пользу, а не вред, важно правильно их контролировать. Вот несколько простых шагов:

🗣Регулярно очищайте куки
Удаляйте файлы куки и историю браузера вручную или с помощью специальных программ.

🗣Настройте параметры приватности
В браузерах, таких как Firefox или Safari, есть возможность тонко настроить контроль над куки. Это поможет отслеживать, какие данные сохраняются.

🗣Используйте расширения для браузеров
Установите расширения, которые помогают управлять куки. Они позволяют блокировать нежелательные файлы и давать доступ только тем, которым доверяете.

⚙️ Настраивайте приватность, следите за своими данными, и Интернет станет для вас не только удобнее, но и безопаснее.

#СекретыМаскировки

🔄 Обновляйся!

Зачем обновлять программы, если всё и так работает?

Потому что за видимой стабильностью могут скрываться риски. Обновления — это не просто капризы разработчиков, а защита от угроз, которые появляются каждый день.

Почему это важно?
⏺Повышение уровня безопасности
Обновления программного обеспечения устраняют выявленные уязвимости и бреши, через которые злоумышленники могут получить доступ к вашим данным. Своевременное обновление помогает защитить устройства от вирусов, хакерских атак и других киберугроз.
⏺Исправление багов
В процессе эксплуатации программ могут проявляться ошибки или сбои. Разработчики выпускают обновления, чтобы исправить их, улучшив стабильность и производительность приложений и систем.
⏺Новые функции
Обновления — это не только про безопасность, но и про улучшение функционала. Вы получаете новые возможности, интерфейс становится удобнее, программы работают быстрее, а иногда открываются совершенно новые горизонты для использования привычного софта.
⏺Совместимость и стабильность
Важно, чтобы программы корректно работали с новыми устройствами и технологиями. Обновления помогают поддерживать совместимость программного обеспечения с различными аппаратными средствами и операционными системами.

Что особенно важно обновлять?
1. Операционные системы
Это основа основ. Неважно, используете ли вы Windows, macOS или Linux — их обновления критичны. В них закрываются бреши в безопасности, исправляются ошибки, а ещё добавляются полезные фичи.
2. Браузеры
Мы проводим много времени в интернете, и браузеры — это наши главные “проводники”. Чем они новее, тем меньше шансов подхватить вирус или нарваться на фишинговую атаку.
3. Антивирусы
Вирусы не стоят на месте, они эволюционируют. Чтобы ваш антивирус справлялся с новыми угрозами, его база и функционал должны быть актуальны. Однократная установка антивируса — это не решение, важны именно регулярные обновления.

Пара кликов на обновление — это не просто удобство, а реальная защита от киберугроз!

#Советы

🔥 КИБЕРТЕХ 2024: инсайты от экспертов

Сегодня делимся самым сочным эксклюзивом с форума КИБЕРТЕХ 2024!

В центре внимания — дискуссия Артема Сычева, первого заместителя генерального директора АО «РТ-Информационная безопасность», и Рустэма Хайретдинова, заместителя генерального директора группы компаний «Гарда». Читаем, запоминаем, готовимся!

О чем говорили?
На форуме эксперты обсудили импортозамещение, экспертизу, тенденции при выборе решений и производителей, коллаборации и экосистемы, а также дали ответы на ключевые вопросы.

🗣 «Мы наращиваем ИТ-экспертизу именно в обработке больших данных, как все эти данные лучше хранить, и потом этой экспертизой готовы делиться с нашими заказчиками».
🗣 «Мы выделяем тестовый сегмент, часто делаем на минимальных тестовых стендах, потому что построить вторую продуктивную структуру нереально».
🗣 «Тенденция к импортозамещению родила новое направление — это тестирование средств защиты».
🗣 «На рынке продают люди чаще всего, и ты идешь на это доверие».
🗣 «Сейчас стало слишком много импортозамещения, а также экосистем, и это порождает небывалую конкуренцию и коллаборации».

Подводя итоги
Будущее информационной безопасности строится здесь и сейчас. Тестирование, новые технологии и компетенции — ключ к тому, чтобы оставаться в игре и быть на шаг впереди киберугроз.

👉🏻 Не упустите возможность узнать больше — по ссылке.

📖 Сетевой этикет

Как сделать так, чтобы друзья и знакомые не жали “Заблокировать” при каждом вашем сообщении? Вот 4 правила сетевого этикета, которые стоит запомнить:

1. Уважайте чужое мнение
Интернет — не место для боёв без правил. Ваш собеседник может быть убеждён, что Земля плоская, но… лучше всего будет просто улыбнуться и не ввязываться в бесконечные дебаты.

2. Капслок — враг спокойствия
Возможно, у Вас горячий темперамент, но текст, написанный КАПСОМ, не делает Вас правым, а собеседников — более понимающими.

3. Личная информация — не для всех
Адрес, номер телефона и прочие личные данные — не те сведения, которые стоит выкладывать на всеобщее обозрение. Никогда не делитесь лишним, а тем более чужой информацией.

4. Подумайте дважды, отправьте один раз
Один необдуманный пост — и уже на следующий день Ваше сообщение расходится по Сети. Так что перед тем, как нажать “отправить”, подумайте, хочется ли Вам потом это перечитывать.

Что будет, если не соблюдать этикет?
⏺Потеря доверия со стороны друзей и подписчиков,
⏺Блокировка аккаунтов и ограничение доступа к важным ресурсам,
⏺Юридические последствия при распространении личной информации.

Помните: интернет — это всего лишь платформа, но именно вы решаете, какой будет атмосфера вокруг вас.

#СловарьИБ