🟡 Принтер как точка взлома

Вы вряд ли думаете о принтере как об инструменте хакеров. А зря.

Исследователи Rapid7 обнаружили, что уязвимости в Xerox VersaLink C7025 позволяют злоумышленникам перехватывать пароли сотрудников.

Как это работает?
⏺Первый метод атаки (CVE-2024-12510, CVSS 6.7) — хакер изменяет настройки принтера так, что учетные данные пользователей пересылаются на его сервер через протокол LDAP. В итоге он получает логины и пароли сотрудников.
⏺Второй метод атаки (CVE-2024-12511, CVSS 7.6) — злоумышленник подменяет адрес сервера SMB или FTP, на который отправляются отсканированные документы. Когда сотрудник использует сканирование, его учетные данные оказываются в руках хакера.

Все, что нужно атакующему — доступ к веб-интерфейсу принтера или физический контакт с устройством.

Что делать?
⏺Установить обновление (Service Pack 57.75.53).
⏺Использовать сложный пароль администратора, чтобы ограничить доступ к настройкам принтера.
⏺Запретить веб-доступ для неаутентифицированных пользователей.
⏺Не использовать учетные записи Windows с повышенными привилегиями.

Мы привыкли защищать компьютеры и серверы, но забываем, что даже принтер может иметь уязвимости. Пока вы читаете этот пост, офисная техника может уже работать на злоумышленников.

#Новости

[АРХИВНАЯ ЗАПИСЬ: ДЕЛО YAHOO]
КЛАССИФИКАЦИЯ: крупнейшая утечка в истории
ДАТА РАСКРЫТИЯ ИНЦИДЕНТА: 2017
ПРЕДПОЛАГАЕМАЯ ДАТА АТАКИ: 2012-2014
ЧИСЛО ПОСТРАДАВШИХ: 3 000 000 000

🗂 ВЫПИСКА ИЗ ОТЧЕТА
Первая аномальная активность была зафиксирована в сети Yahoo в 2013 году, но сама компания не предпринимала никаких мер. Взлом начался с обычного фишингового письма. Один сотрудник кликнул по ссылке — и этого оказалось достаточно, чтобы злоумышленники получили доступ к сети корпорации.

Латвийско-российский хакер Алексей Белан проник в базы данных Yahoo и обнаружил инструмент управления учетными записями. Он не торопился и методично изучал систему, скрывая следы и подготавливая почву для будущего вторжения.
Вскоре Белан нашел резервную копию базы пользователей Yahoo. Он скопировал ее, сохранив на локальном диске.

Эта база содержала:
⏺Имена пользователей
⏺Email-адреса
⏺Даты рождения
⏺Контрольные вопросы и ответы
⏺Номера телефонов
⏺Уникальные криптографические ключи

Криптографические ключи стали главным оружием хакеров. Они позволили им генерировать cookie-файлы, с помощью которых можно было войти в любой аккаунт Yahoo без ввода пароля. Доступ к учетным записям сохранялся годами. Первый взлом произошел в 2015 году, но его масштаб оставался неизвестен.

ЦЕЛИ АТАКИ
Из 500 миллионов потенциально уязвимых аккаунтов активно использовались около 6,5 тысячи. Среди жертв были:
⏺Госслужащие разных стран
⏺Российские журналисты
⏺Финансовые организации
⏺Криптовалютные сервисы
⏺Сотрудники американской авиакомпании

ХРОНОЛОГИЯ АТАКИ
⏺2014 — Yahoo замечает подозрительную активность, но считает, что целью были всего 26 учетных записей.
⏺2016 — В августе масштабы утечки становятся очевидными, Yahoo передает данные в ФБР.
⏺Декабрь 2016 — Первые официальные заявления о взломе (500 млн аккаунтов).
⏺Октябрь 2017 — Раскрыто реальное число пострадавших: 3 миллиарда пользователей.

РЕКОМЕНДАЦИИ
⏺Старайтесь блокировать и (или) удалять учетные записи на ресурсах, которыми давно не пользуетесь.
⏺ Регулярно меняйте пароли, не забывая про их сложность.
⏺Старайтесь использовать двухфакторную аутентификацию: она может спасти при компрометации пароля.

Документ закрыт. Доступ ограничен.

Новый вирус маскируется под письма от МВД

🟡 Январь 2025 года. Российские компании вновь оказались под ударом киберпреступников. Группа ReaverBits, известная атаками на ключевые секторы экономики, активизировалась, используя новую тактику — рассылку поддельных писем от имени Министерства внутренних дел РФ.

Что произошло?
⏺Сотрудники компаний получили письма с «официальными» документами МВД.
⏺При переходе по ссылке загружался файл «Повестка» — в реальности заражённый загрузчик.
⏺Если у пользователя в браузере был установлен русский язык, система перенаправляла его на вредоносный ресурс, иначе — на официальный сайт МВД.

Что скрывалось за атакой?
⏺Meduza Stealer — вирус для кражи данных.
⏺ReaverDoor — новый бэкдор для удалённого доступа.
⏺Шифрование по сложной схеме (AES-256, PBKDF2, XOR, Base64), что делает обнаружение затруднительным.
⏺Использование легитимных open-source инструментов (например, NBTExplorer), в которые внедрён вредоносный код.

Кто в зоне риска?
ReaverBits нацелена на российские компании в сфере биотехнологий, розничной торговли, агропромышленного комплекса, телекоммуникаций и финансового сектора.

Как защититься?
⏺Не открывайте подозрительные письма — МВД не рассылает повестки по электронной почте!
⏺Проверяйте отправителя и домен письма.
⏺Используйте антивирус и мониторьте системные процессы.
⏺Включите двухфакторную аутентификацию для своих аккаунтов.

Атаки становятся всё сложнее, но ваша бдительность — лучшая защита.

#Новости

Ваши файлы в заложниках

Обычный день: вы открываете письмо, скачиваете вложение, запускаете файл. Через несколько минут все документы зашифрованы, доступ заблокирован, а на экране сообщение: «Ваши данные зашифрованы. Переведите выкуп, иначе они будут удалены».

Как работает атака?
⏺Фишинговое письмо маскируется под официальное уведомление.
⏺Вложенный файл содержит вредоносный код, который активируется при запуске.
⏺Вирус быстро распространяется по системе, шифруя файлы.
⏺Требуется выкуп — без него данные остаются недоступными.

Без защиты остановить процесс практически невозможно.

Как RT Protect Антишифр предотвращает заражение?
⏺Мгновенное прекращение атаки — вредоносный процесс завершается автоматически, даже если он маскируется под системные программы или работает в связке с другими приложениями.
⏺Блокировка в реальном времени — подозрительные операции останавливаются сразу в момент их выполнения, а не после шифрования данных.
⏺Защита файлов — важные данные копируются в безопасное хранилище, а их восстановление происходит мгновенно, без необходимости разбирать алгоритмы шифрования.

Что говорят эксперты?
🗣Артем Сычев, первый заместитель генерального директора РТ-Информационная безопасность:

«Сегодня программы-вымогатели — это оружие киберпреступников, и без превентивной защиты компании рискуют всем. RT Protect Антишифр — это не просто защита, а гарантия, что атака не случится вовсе».

Тестируйте RT Protect Антишифр уже сейчас и обеспечьте 100% защиту!

#Антишифр

Dark Caracal и новый бэкдор Poco RAT: 483 атаки за полгода

Наши коллеги, исследователи Positive Technologies, выявили, что кибергруппировка Dark Caracal, действующая с 2012 года, сменила тактику атак. Если раньше злоумышленники использовали RAT Bandook, то теперь они массово применяют новый бэкдор Poco RAT.
За последние шесть месяцев зафиксировано 483 случая атак с его использованием. Вредоносное ПО распространяется через фишинговые письма, которые содержат файлы-приманки. После их открытия на устройство загружается скрытая программа, обеспечивающая хакерам удалённый доступ.

Как проходит атака?
⏺Жертве приходит письмо, содержащее якобы важный финансовый документ — например, счёт на оплату.
⏺Вложение выглядит правдоподобно, что повышает вероятность его открытия.
⏺После открытия документа автоматически загружается архив в формате .rev с дроппером.
⏺Дроппер устанавливает Poco RAT, не оставляя следов на жестком диске.
⏺Хакеры получают полный контроль над устройством, могут похищать данные, устанавливать другие программы и даже управлять компьютером жертвы.

Кто в зоне риска?
Исследователи отмечают, что атаки ориентированы на испаноязычных пользователей. Большинство случаев заражения зафиксировано в Венесуэле, Чили, Доминиканской Республике и Колумбии.
Однако методы атак, используемые Dark Caracal, могут быть легко адаптированы для других регионов и аудиторий, поэтому риск заражения существует и за пределами этих стран.

Почему это опасно?
⏺Dark Caracal — это не просто хакеры, а группировка, работающая по заказу. Они атакуют правительственные учреждения, журналистов, военные структуры, коммерческие организации и отдельных пользователей.
⏺Количество атак растёт — если с Bandook зафиксировали 355 атак за полтора года, то Poco RAT был использован 483 раза всего за шесть месяцев. Это говорит о переходе на массовые фишинговые кампании.

Как защититься?
⏺Не открывайте подозрительные вложения — даже если документ выглядит легитимно, лучше перепроверить его перед скачиванием.
⏺Используйте двухфакторную аутентификацию — это усложнит злоумышленникам доступ к вашим данным.
⏺Обновляйте антивирус и операционную систему — новые обновления помогают обнаруживать и блокировать такие угрозы.

Расскажите об этом своим друзьям и коллегам — киберугрозы касаются каждого.

#Новости

🗣QR-коды: удобство или ловушка?

QR-коды давно стали частью повседневной жизни. Их используют магазины, кафе, транспортные компании и даже госучреждения. Они помогают быстро перейти на нужный сайт или оплатить покупку. Но за этим удобством скрывается серьезная опасность.

Что не так с QR-кодами?
Обычную ссылку можно изучить: посмотреть адрес, проверить, нет ли подозрительных символов или лишних знаков. QR-код же скрывает эту информацию. Вы просто сканируете его и попадаете на сайт, не зная заранее, безопасен ли он. Этим пользуются мошенники.

Реальная история: мошенничество в подъездах
В Рязани мошенники расклеили в подъездах объявления о «замене домофона». Жителям предлагалось отсканировать QR-код, чтобы оставить заявку на новый ключ.
После сканирования человек попадал на сайт, где нужно было ввести данные банковской карты для «подтверждения личности». Жильцы верили, вводили информацию — и лишались денег. Вернуть их не удавалось, потому что перевод совершался добровольно.

Как работают мошенники?
QR-код сам по себе — это просто инструмент. Но в руках преступников он превращается в мощное оружие. Основные схемы мошенничества:
⏺Фишинг. QR-код ведет на поддельный сайт, который выглядит как настоящий. Человек вводит там логин, пароль или данные карты, думая, что это безопасный сервис.
⏺Вредоносные приложения. Ссылка в QR-коде предлагает установить приложение, которое заражает телефон вирусами.

Как защититься?
⏺Проверяйте источник. Если QR-код наклеен на стену или столб, будьте осторожны. В общественных местах мошенники могут заменить оригинальный код своим.
⏺Используйте предпросмотр ссылок. Многие современные телефоны показывают адрес перед переходом. Если ссылка выглядит странно, не открывайте ее.
⏺Не устанавливайте приложения по QR-коду. Скачивайте программы только через официальные магазины — Google Play или App Store.
⏺Не вводите личные данные. Если после сканирования вас просят указать пароль, номер карты или другую чувствительную информацию — это повод насторожиться.
⏺Используйте антивирус. Современные мобильные антивирусы могут блокировать вредоносные ссылки и приложения.

#ИнсайдДня

Cybersecurity Meetup #5 – РТ-Информационная безопасность в гостях у BI.ZONE

26 февраля команда РТ-Информационная безопасность отправилась на митап к друзьям из BI.ZONE, чтобы обсудить, как автоматизация и искусственный интеллект меняют работу SOC-аналитиков.

Артём Сычев, первый заместитель генерального директора РТ-Информационная безопасность, и Дмитрий Невструев, руководитель направления развития сервисов SOC, представили доклад:
🗣«От скриптов к искусственному интеллекту: эволюция автоматизации RT Protect SOC»

Обсудили три главных вопроса:
⏺Как уйти от рутины и ускорить обработку инцидентов?
⏺Как обуздать поток алертов и сосредоточиться на главном?
⏺Как заставить ИИ работать на аналитиков, а не наоборот?

Технологии не стоят на месте – а вы?
Если пропустили митап, самое время разобраться в теме! Будущее SOC уже здесь.

🟡Eleven11bot: киберзахватчик IoT-устройств

Исследователи в области кибербезопасности сообщили о распространении нового ботнета Eleven11bot, который уже заразил более 86 000 устройств по всему миру. В основном это IP-камеры и сетевые видеорегистраторы (NVR), которые после заражения используются для масштабных DDoS-атак.

Как действует Eleven11bot?
Анализ трафика выявил, что атаки ботнета могут достигать сотен миллионов пакетов в секунду и продолжаться в течение нескольких суток.
Эксперты предполагают, что ботнет связан с хакерами из Ирана. Наибольшее число заражённых устройств обнаружено в США, Великобритании, Мексике, Канаде и Австралии.
Всего зафиксировано более 1400 вредоносных IP-адресов, большинство из которых принадлежит реальным устройствам.

Как происходит заражение?
Распространение Eleven11bot происходит через:
⏺Подбор слабых паролей.
⏺Использование стандартных учётных данных.
⏺Сканирование сетей на открытые порты Telnet и SSH.

Эксперты РТ-Информационная безопасность рекомендуют:
⏺Использовать сложные пароли: не менее 12-16 символов с применение заглавных и строчных букв, цифр и специальных символов.
⏺Регулярно обновлять прошивки IoT-устройств.
⏺Проверить список заражённых IP-адресов и заблокировать их в настройках сети.

#Новости

KillChain: начало

Представьте: в сети компании появился злоумышленник. Он действует скрытно, шаг за шагом приближаясь к своей цели — компрометация контроллера домена. Но есть одно «но» — RT Protect EDR наблюдает за каждым его движением.

🗣Привет, я Андрей Федоров, аналитик направления мониторинга и реагирования RT Protect SOC. Мы начинаем серию постов с разбором атаки в реальном времени: проследим за действиями хакера и посмотрим, как RT Protect EDR реагирует на угрозу.

Две стороны одной атаки
⏺Как мыслит злоумышленник? Какие инструменты он использует? Как он обходит защиту?
⏺Что видит RT Protect EDR? Какие действия хакера фиксирует? В какой момент атака становится очевидной?

Этапы атаки:
Этап 0 — Получение информации и подготовка к атаке
Этап 1 — Получение первоначального доступа
Этап 2 — Закрепление и отключение средств защиты
Этап 3 — Получение учетных данных пользователя
Этап 4 — Получение информации об инфраструктуре
Этап 5 — Повышение привилегий и последующее перемещение
Этап 6 — Нанесение ущерба

Для чистоты эксперимента EDR будет работать в режиме «только детектирование» — система будет фиксировать угрозу, но не блокировать ее.

Сможет ли злоумышленник пройти все этапы атаки и достичь своей цели, оставаясь незамеченным? Или система защиты выявит и остановит его раньше?

Подписывайтесь, чтобы не пропустить разбор каждого этапа!

#KillChain

👾 Мы знаем, где находится ваша уязвимость

Кибератаки не начинаются со взлома — они начинаются с разведки.
Хакеры ищут слабые места в цифровой инфраструктуре компаний: забытые поддомены, открытые порты, устаревшие сервисы. Они анализируют, где проще пробить защиту.
Вопрос в том, кто первым заметит брешь: вы или они?

Что делает RT Protect EASM?
1️⃣ Инвентаризирует и отслеживает внешние активы компании
2️⃣ Анализирует уязвимости и предупреждает о рисках 24/7
3️⃣ Обнаруживает фишинговые домены
4️⃣ Находит утечки и упоминания на хакерских форумах

Как это работает?
RT Protect EASM использует:
📎Пассивное и активное сканирование — находит поддомены, IP-адреса, открытые порты, сервисы
📎Анализ веб-сервисов — выявляет уязвимости и устаревшие компоненты
📎Брутфорс — перебор директорий на сайте и dns имён

Теперь не нужно вручную проверять десятки инструментов и мониторить теневые форумы. RT Protect EASM сделает это за вас.

Среднему бизнесу он помогает сократить нагрузку на специалистов ИБ, а крупным компаниям — закрывать уязвимости раньше, чем их найдут злоумышленники.

#Техноразбор #RT_Protect_EASM

Darkside Inc. Преступный бизнес

В августе 2020 года в даркнете появился необычный пресс-релиз. Группа, представившаяся как Darkside Inc., анонсировала запуск своего продукта — Ransomware-as-a-Service (RaaS), платформы для проведения атак с использованием программ-вымогателей.
Уже в октябре они начали предлагать своим «партнерам» воспользоваться их инструментами и получать процент от выкупа. Всё выглядело так, будто речь идет не о киберпреступниках, а о легальном IT-стартапе.

Что делает их опасными?
Darkside работает не хаотично, а продуманно и методично:
📎Выбирают жертву. Они анализируют финансовые отчёты компаний, оценивают платёжеспособность и атакуют тех, кто может заплатить.
📎Избегают атак на больницы, школы и некоммерческие организации. Они позиционируют себя как «этичные» преступники, но это не мешает им требовать многомиллионные выкупы.
📎Предоставляют «службу поддержки» жертвам. Взломанные компании могут обратиться к ним через веб-чат, чтобы «обсудить условия».
📎Удаляют резервные копии. Если у вас есть бэкапы, но они хранятся в той же сети, их просто стирают перед атакой.

Один из «партнёров» RaaS стал виновником атаки на Colonial Pipeline, крупнейшую трубопроводную систему в США, что привело к приостановке работы нефтепровода и введению режима чрезвычайной ситуации. В результате хакеры получили выкуп в размере 4,4 миллиона долларов в криптовалюте.

Как они действуют?
1️⃣ Внедрение
Они проникают в сеть через фишинговые письма, слабые пароли, украденные учетные данные или уязвимости в системах.
2️⃣ Закрепление
Darkside маскирует свои действия:
— Используют клиент RDP, маршрутизированный над TOR, для управления атаками.
— Избегают обнаружения системами защиты, модифицируя записи реестра, останавливая антивирусное ПО и процессы регистрации событий.
— Медленно разворачивают атаку, чтобы не вызвать подозрений.
3️⃣ Шифрование и вымогательство
— Блокируют доступ к данным.
— Стирают резервные копии.
— Оставляют записку с требованием выкупа и контактами.

Почему они избегают российских компаний?
Перед атакой вредоносное ПО проверяет язык системы. Если он русский или принадлежит странам СНГ, вредоносное ПО не запускается.
Возможные причины:
— Связи с русскоязычными хакерскими группами.
— Желание избежать преследования со стороны правоохранительных органов.
— Поиск русскоязычных партнёров.

#ПрофильПреступника