🕵️‍♀️ SMS RAT: как злоумышленники обходят детектирование Android-вредоносов

Иван Князев и команда uFactor подготовили подробный разбор актуальной угрозы для Android-устройств — SMS RAT (облегченной версии Mamont RAT). Вредоносы этого типа массово распространяются через спам-рассылки, фишинговые сайты и даже домовые чаты.

В статье на Хабре разбираем, как устроены современные SMS RAT и какие методы обфускации применяют злоумышленники, чтобы обойти антивирусное детектирование.

Что внутри:

➡️ Архитектура SMS RAT

Какие разрешения запрашивает вредонос, как перехватывает SMS-сообщения и отправляет их от имени жертвы, как выполняет USSD-команды.

➡️ Методы обфускации APK

Разбираем ZIP poisoning (модификацию ZIP-заголовков для нарушения работы стандартных инструментов анализа), динамическую загрузку DEX-файлов, шифрование строк через XOR и AES-CTR.

➡️ Сокрытие сетевой инфраструктуры

Как злоумышленники используют GitHub, Firebase Cloud Messaging и другие легитимные веб-сервисы для хранения конфигурации и управления зараженными устройствами.

➡️ Mamont as a Service

Модель монетизации на теневом рынке: роли crypter, coder, team и worker — как устроено распространение RAT по подписке.

➡️ Практические рекомендации

Как обезопасить устройство и распознать заражение.

Читать полный разбор на Хабре

⏰ Ошибки во времени: влияние на доступность и защищенность ИТ-систем. Методы предотвращения инцидентов из «прошлого»

Время — это не просто цифры на часах, а критически важный параметр безопасности. Рассказываем, как рассинхронизация часов может парализовать домен, сделать сертификаты недействительными и нарушить работу систем мониторинга.

В статье разбираем:

🔸как неверное время ломает аутентификацию Kerberos и сетевые протоколы;

🔸почему события в SIEM-системе могут улетать в «прошлое» или «будущее», нарушая корреляцию угроз;

🔸практические методы защиты: от настройки внутренних NTP-серверов до использования шифрования (NTS) для предотвращения replay-атак.

Читайте полную статью на Хабре

🔎 Компьютерная криминалистика: дополнительный поиск ВПО при помощи событий Windows Defender

При расследовании инцидентов многие опираются на журналы событий Event ID 1116 и 1117 Windows Defender. Однако в журнале Microsoft-Windows-WindowsDefender не отображаются события сканирования, если файл не получил статус вредоносного ПО.

Чтобы найти следы таких файлов, в нашей статье предлагаем рассмотреть скрытую историю сканирования Defender.

Внутри публикации:

🔸Как устроены зашифрованные файлы истории в каталогах Scans\History\Results\Resource и Store и как их расшифровать с помощью известного RC4-ключа. В статье также доступен Python-скрипт для автоматизации этого процесса.

🔸Как работать с удаленными артефактами. Файлы истории со временем полностью удаляются системой, но их следы остаются в $MFT. Мы показываем, как извлечь эти данные с помощью утилиты MFTECmd и построить таймлайн событий.

Мы подчеркиваем, что этот способ не заменяет классического форензик-анализа. Но в ситуациях, когда стандартные логи молчат, анализ скрытых артефактов и записей $MFT может дать важные зацепки.

Полный технический разбор, структура файлов и код скриптов — в статье на Хабре.

➡️ Читать статью

🔥 Как распознать дипфейк по движению волос: физика против статистики

Волосы на сгенерированных видео часто двигаются неестественно — единым куском, напоминающим шлем. Это связано с нарушением динамики мягких тел. Почему нейросети спотыкаются о физику, рассказали в новом материале на Хабре.

В реальности волосы — это тысячи независимых нитей, у каждой своя масса, жёсткость и инерция: при повороте головы прядь у виска может запаздывать на долю секунды относительно пряди на затылке. Чтобы сгенерировать причёску, нейросети не решают уравнения движения для каждой нити — они статистически угадывают следующий кадр. Множество независимых деформаций мягкого тела при усреднении вырождаются в движение жесткого объекта — волосы двигаются не по отдельности, а скопом.

В новой статье Светлана Газизова, APO по ИИ в UserGate, разбирает:

🔸почему нарушение динамики мягких тел проявляется не только в неудачном изображении волос, но и в мерцании серег и неестественных складках одежды;

🔸в чём преимущество биомеханического анализа перед анализом пульса по цвету кожи и синхронности звука с движением губ;

🔸как долго будет актуален биомеханический способ распознания дипфейков.

➡️ Читать на Хабре