Злоумышленники обобрали владельцев карт «Кукуруза»



Атаки с подстановкой учетных данных и уязвимость в приложении позволили киберпреступникам похитить средства с карт «Кукуруза». Со 2 мая на сайте Banki.ru начали появляться жалобы держателей карт «Кукуруза» на пропажу денежных средств. Как сообщает «КоммерсантЪ», пользователи стали жертвами киберпреступников, воспользовавшихся ранее утекшими учетными данными (так называемая атака с подстановкой учетных данных или credential stuffing). По данным источника издания, злоумышленники взломали другой сервис, в котором хранилась информация держателей карт «Кукуруза». Как сообщают пострадавшие, им пришло неожиданное SMS-сообщение о подключении карты к Apple Pay, после чего хранящиеся на ней деньги были выведены на номер Теле2. При этом какого-либо уведомления с кодом подтверждения для подключения Apple Pay они не получали. По словам жертв, причиной инцидентов является не только утечка учетных данных, но и возможность подключения услуги Apple Pay в мобильном приложении «Кукуруза» без подтверждения операции. Ущерб от атак может достигать миллионов рублей, сообщил источник. Как отмечают в компании «Связной/Евросеть», от действий злоумышленников пострадали 80 человек. РНКО «Платежный центр» уверяет, что ни его системы, ни системы партнеров взломаны не были, а киберпреступники атаковали не связанный с организацией социальный сервис. Название сервиса пока не раскрывается. Карта «Кукуруза» – многофункциональная бонусная платежная карта от компании «Связной/Евросеть». Карта работает в платежной системе Mastercard, а ее эмитентом является РНКО «Платежный центр».

Европол обезвредил операторов банковского трояна GozNym



С помощью трояна злоумышленники пытались похитить порядка $100 млн у более чем 40 тыс. компаний по всему миру. В ходе международной операции Европол при содействии правоохранительных органов Болгарии, Германии, Украины, Молдовы и других стран ликвидировал крупную киберпреступную группировку, стоящую за распространением банковского трояна GozNym, с помощью которого злоумышленники пытались похитить порядка $100 млн у более чем 40 тыс. компаний по всему миру. Вредоносное ПО GozNym разработано на основе банковскго трояна Gozi ISFB, впервые замеченного в 2012 году, и загрузчика Nymaim, который также может функционировать как программа-вымогатель. Согласно сообщению полицейского ведомства, власти США предъявили обвинения десятерым участникам преступной сети, пять из них были арестованы в Болгарии, Грузии, Украине и Молдове. Еще пятеро членов группировки, являющиеся гражданами РФ, находятся в бегах, в том числе создатель GozNym, который занимался разработкой, управлением и сдачей трояна в аренду. По данным ФБР, в настоящее время подозреваемые находятся в России. По информации ведомства, участники группировки заражали компьютеры жертв трояном и с его помощью похищали банковские учетные данные, крали денежные средства и отмывали их, используя счета в американских и иностранных банках. Группировка рекламировала свои услуги на различных русскоязычных хакерских форумах, именно на них руководитель группировки, под контролем которого находилось более чем 41 тыс. зараженных компьютеров, вербовал «сотрудников». Лидеру группы и его помощнику предъявлены обвинения в Грузии.

В РФ появится ресурс для жалоб на киберпреступления



Прототип платформы будет представлен к концу 2020 года. В России появится интернет-портал, где граждане смогут подавать жалобы на киберпреступления. Соответствующая концепция была одобрена АНО «Цифровая экономика», сообщили изданию «РБК» представители организации и рабочей группы при ней. Предполагается, что ресурс позволит гражданам, юридическим лицам и государственным органам сообщать о киберинцидентах, и эти данные будут вноситься в единую систему. Заявить об инциденте можно будет по телефону, электронной почте, с помощью мессенджера или соцсети, а также в SMS-сообщении. Ресурс будет непрерывно в автоматическом режиме собирать сведения об угрозах, классифицировать и приоритезировать их. Его база данных также синхронизируется с такими государственными системами, как Единая биометрическая система, портал Госуслуг, Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (ФинЦЕРТ) и Государственна система обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Ознакомиться с собранной ресурсом информацией об угрозах смогут зарегистрированные пользователи (физические и юридические лица, сотрудники госорганов). Тем не менее, уровень доступа к платформе у них будет разным: уполномоченный госслужащий – для сотрудников ведомств, доверенный партнер – для партнеров проекта, подписчик, активный гражданин. Пользователи ресурса должны будут проходить обязательную идентификацию через Единую биометрическую систему. Создание ресурса для приема сообщений о киберинцидентах указано в плане мероприятий федерального проекта «Информационная безопасность» программы «Цифровая экономика». Правительство должно утвердить концепцию уже к следующему месяцу, а прототип ресурса будет представлен до конца 2020 года. АНО «Цифровая экономика» - автономная некоммерческая организация, целью которой является предоставления услуг в сфере развития цифровой экономики в РФ. Организация занимается поддержкой общественно значимых проектов и инициатив в сфере цифровой экономики, а также координации взаимодействия между бизнес-сообществом, научно-образовательными организациями, иными сообществами и органами государственной власти.

Злоумышленники выдают ботов за людей с помощью нового трюка



Киберпреступники научились выдавать вредоносный трафик за легитимный путем изменения сообщений ClientHello. Как сообщают специалисты компании Akamai, операторы вредоносного ПО взяли на вооружение новую технику обхода обнаружения. Метод получил название «трюк с шифрованием» (Cipher Stunting) и позволяет выдавать трафик, генерируемый ботами, за трафик, генерируемый живыми людьми Техника заключается в изменении отправляемых ботами сообщений ClientHello. ClientHello представляет собой первый пакет с данными о параметрах коммуникации (нужной версии TLS, используемых методах шифрования и поддерживаемых методах сжатия), передаваемый серверу в процессе рукопожатия. Эти данные не шифруются, благодаря чему механизмы безопасности могут анализировать цифровые отпечатки клиентов и определять по ним легитимный и вредоносный трафик. При помощи «трюка с шифрованием» злоумышленники могут обманывать инструменты для снятия цифровых отпечатков клиента и выдавать вредоносный трафик за легитимный. Как пояснили специалисты Akamai, чаще всего передача данных web-сайтов осуществляется по протоколу HTTPS (HTTP over SSL/TLS). Данные о клиенте сервер получает во время TLS-рукопожатия и с их помощью отличает легитимный трафик от вредоносного. Тем не менее, злоумышленники научились модифицировать подписи TLS и обманывать механизмы безопасности сайтов. Как правило, киберпреступники обходят механизмы безопасности путем рандомизации подписи SSL/TLS. Однако «трюк с шифрованием» существенно отличается от подобного подхода, поскольку для изменения TLS-отпечатка рандомизируется само шифрование. По данным Akamai, к концу февраля 2019 года было зафиксировано более 1,3 млрд случаев модифицирования подписи TLS – на 20% больше, чем в октябре

В России впервые была украдена квартира с помощью чужой электронной подписи



Мошенники подделали электронную подпись москвича и переписали на себя его квартиру. В России мошенники впервые смогли украсть квартиру, использовав чужую электронную подпись. Как сообщает «КоммерсантЪ», сделка о передаче жилплощади мошенникам была осуществлена через интернет-портал Росреестра. Жертвой преступников стал житель Москвы по имени Роман. Без его ведома мошенники переписали на себя доставшуюся ему по наследству квартиру, а о случившемся Роман узнал постфактум, когда пришла квитанция по квартплате. В платежке значился не Роман, а некто Машков, и, думая, будто произошла ошибка, москвич обратился в Многофункциональный центр (МФЦ). В МФЦ Роману сообщили, что никакой ошибки нет, и владельцем квартиры действительно является Машков. Как пояснили в Росреестре, квартира была якобы подарена Машкову самим Романом. Сотрудники ведомства не смогли назвать заверившего сделку нотариуса, сославшись на недостаток данных. По их словам, даритель поставил на дарственной электронную подпись. Москвич оказался в недоумении, ведь все документы на квартиру у него на руках, а электронной подписи у него никогда не было. Как пояснила представитель московского управления Росреестра Ирина Березенко, с юридической стороны процедура передачи недвижимости была полностью соблюдена. Осенью прошлого года был совершен переход права на квартиру на основании договора дарения, составленного в простой письменной форме, сообщила Березенко. Даритель и получатель якобы в электронном виде подали документы, удостоверенные электронными подписями. По мнению экспертов, Роман стал жертвой мошенников, зарегистрировавших от его имени электронную подпись. Для подтверждения подлинности подписи гражданин должен лично явиться с паспортом в один из удостоверяющих центров. В случае если у гражданина нет возможности присутствовать лично, он может оформить доверенность на другое лицо. Судя по всему, в описанной выше ситуации произошло именно так. Осенью прошлого года Роман получил уведомление о попытке третьих лиц получить доступ к его учетной записи на портале Госуслуг. Хотя сотрудники техподдержки ресурса уверили москвича в том, что все в порядке, по мнению юристов, похищенные данные могли помочь преступникам провернуть фиктивную сделку.

Китайские кибершпионы атаковали производителя TeamViewer



В атаках использовалось вредоносное ПО Winnti, связываемое ИБ-специалистами с китайской разведкой. Производитель утилиты TeamViewer, предоставляющей удаленный доступ к рабочему столу, в 2016 году подвергся кибератаке со стороны китайской кибергруппировки. Об этом сообщило издание Der Spiegel. В атаках использовалось вредоносное ПО Winnti, связываемое ИБ-специалистами с китайской разведкой. Группировка Winnti, активная по меньшей мере с 2010 года, известна по своим атакам на производителей программного обеспечения и компьютерных игр, расположенных в основном в США, Японии и Южной Корее. Как правило, злоумышленники осуществляют атаки на уровне цепочки поставок, заражая трояном официальное ПО или серверы. Попав на систему, троян Winnti загружает бэкдор, предоставляющий злоумышленникам возможность не привлекая внимания удаленно управлять компьютером жертвы. Представители компании подтвердили факт атаки и подчеркнули, что она была «вовремя» обнаружена и пресечена и не повлекла за собой масштабный ущерб. «Осенью 2016 года TeamViewer подверглась кибератаке. Наши системы вовремя засекли подозрительную активность и […] остановили атаку […]. Мы не нашли свидетельств хищения данных наших клиентов и прочей конфиденциальной информации или того, что компьютеры пользователей были заражены или исходный код TeamViewer был украден, изменен или им злоупотребили каким-либо способом», - указывается в заявлении компании. Производитель также подчеркнул, что данная кибератака никак не связана с инцидентом в мае 2016 года, когда некоторые пользователи TeamViewer лишились средств на банковских счетах из-за уязвимости в утилите

Хакерский форум OGusers стал жертвой взлома



В руках злоумышленников оказалась информация о более 113 тыс. пользователей форума, включая адреса электронной почты и хэши паролей. Популярный форум Ogusers[.]com, на котором предлагаются взломанные учетные записи в различных сервисах, в том числе Instagram, Twitter, Snapchat, Minecraft, Fortnite, Skype и Steam сам стал жертвой взлома. Согласно сообщению администрации площадки, атакующим удалось скомпрометировать сервер через кастомный плагин и получить доступ к резервной базе данных форума за декабрь 2018 года. По данным журналиста Брайана Кребса, в руках злоумышленников оказалась информация о более 113 тыс. пользователей форума, включая адреса электронной почты, хэши паролей, IP-адреса, частные сообщения и данные о дате регистрации на форуме. 16 мая некто под псевдонимом Omnipotent, который по всей видимости является администратором конкурирующей площадки RaidForums, заявил о том, что разместил украденную базу, а также исходные файлы web-сайта OGusers на форуме в открытом доступе. Публикация базы данных вызвала переполох многих участников сообщества OGusers, популярного среди лиц, которые с помощью перехваченного номера мобильного телефона (SIM Swapping) компрометируют учетные записи пользователей соцсетей и прочих сервисов и продают доступ к ним за сотни и тысячи долларов, отмечает Кребс. Некоторые участники уже пожаловались на форуме на то, что подвергаются фишинговым атакам, направленным на их учетные записи на OGusers и электронную почту. Более того, многие пользователи покидают OGusers из опасений, что доступ к их данным могли получить правоохранительные органы, или кто-то может воспользоваться украденной информацией для взлома их аккаунтов. «Некоторые люди использовали частные сообщения на OGU как единственный метод связи, так что если агенты ФБР ознакомятся с ними, то найдут много интересного», - отметил один из участников сообщества.

Группировка MuddyWater обновила арсенал новыми техниками антиобнаружения



Для сохранения присутствия на системе группировка использует команды PowerShell и обфусцированный VBA макрос. Специализирующаяся на кибершпионаже группировка MuddyWater, также известная как SeedWorm и TEMP.Zagros, включила в свой набор техник, тактик и процедур новые методы, позволяющие удаленно получить доступ к зараженным системам и остаться при этом незамеченной. Впервые о группировке стало известно в 2017 году. Тогда MuddyWater в основном атаковала организации на Ближнем Востоке, однако позже включила в сферу интересов правительственные и оборонные компании в Центральной и Юго-Восточной Азии, а также предприятия в Европе и Северной Америке. Специалисты команды Cisco Talos проанализировали недавнюю кампанию MuddyWater, получившую название BlackWater, и заметили несколько новых тактик, применяемых группировкой для сокрытия своей деятельности. В частности, злоумышленники использовали обфусцированный VBA макрос, позволявший вредоносному ПО сохранить присутствие на скомпрометированных Windows-машинах, добавляя ключ реестра Run. Вредонос доставлялся на компьютеры жертв через фишинговые письма, для просмотра которых требовалось включить вредоносный макрос, блокировавший возможность просмотра его исходного кода. Между февралем и мартом 2019 года группировка добавила во вредоносные вложения команды PowerShell для сохранения персистентности на системе и сбора данных об инфицированном компьютере, которые затем отправлялись на подконтрольный злоумышленникам сервер. Злоумышленники использовали скрипт PowerShell для загрузки трояна с C&C-сервера, частично построенного на открытом фреймворке FruityC2. Собранная информация включалась в URL, что позволяло усложнить обнаружение, а также проводить мониторинг web-логов и определять, когда кто-либо, не связанный с кампанией BlackWater, отправлял запрос на сервер в целях изучить подозрительную активность.

Киберпреступники смогли подделать удостоверение личности эстонцев



Эстонские пользователи систем Smart-ID и Mobile-ID стали жертвами фишеров. В Эстонии уязвимость в электронных системах удостоверения личности Smart-ID и Mobile-ID привела к утечке персональных и финансовых данных граждан. Как сообщает издание Postimees, инцидент имел место в феврале нынешнего года. Smart-ID используется гражданами Эстонии для доступа к банковским счетам, а через них – к общественным электронным сервисам. У электронной системы уплаты налогов e-Tax Board есть даже функция быстрого доступа к приложению. Для Smart-ID не требуется особая SIM-карта, а сам сервис не использует SMS-протоколы, поэтому им можно пользоваться в роуминге. Приложение разработано и продается в Эстонии и за рубежом компанией SK ID Solutions, которая также разрабатывает конкурирующее приложение Mobile-ID для Управления полиции и пограничной охраны и отвечает за создание цифровых сертификатов для ID-карт. Февральские атаки базировались на привычке эстонцев использовать Mobile-ID для доступа к услугам, не проверяя, кто запрашивает их PIN1 или PIN2, а также совпадают ли проверочные коды в электронном сервисе и на экране их устройств. В данном случае злоумышленники разослали жертвам SMS-сообщения якобы от одного из эстонских банков с просьбой обновить свою информацию. В сообщении содержалась ссылка на фишинговый сайт, дизайн которого был полностью скопирован с официального сайта банка. Фишинговый сайт запрашивал авторизацию с помощью Mobile-ID, в результате чего у злоумышленников в руках оказались PIN1 и PIN2, а также личные идентификационные коды жертв. С помощью кодов преступники смогли от имени жертв создать поддельные учетные записи Smart-ID.

ФБР назвало россиян причастными к крупной преступной кибергруппировке



Европол заявил о разоблачении деятельности преступной группировки, похитившей порядка $100 млн у компаний из Европы и США. В числе подозреваемых оказались пять граждан России, которые, по данным следствия, находятся в бегах. США и их европейским партнерам удалось нейтрализовать кибергруппировку, использовавшую вирус GozNym, чтобы похитить порядка $100 млн у более чем 41 тыс. организаций и физических лиц в Штатах и странах Европы. Об этом сообщается в пресс-релизе Европола. Так называемая группировка GozNym набирала участников на подпольных русскоязычных интернет-форумах, отмечается в документе. Как предполагает следствие, к преступлениям причастны по крайней мере 10 граждан из нескольких стран, в том числе Грузии, России, Молдавии и Украины. Лидер группировки, который осуществлял свою активность из Тбилиси, сейчас находится в Грузии и там ему предъявлены обвинения Генеральная прокуратура Грузии задержала не только лидера группировки, известного по прозвищу None, но и его главного ассистента по кличке Phantom, говорится в сообщении ведомства. В ходе расследования обвинения также предъявлены пяти россиянам, которые находятся в бегах, сообщает Европол. Среди подозреваемых — предполагаемый создатель вируса GozNym из Оренбурга, а также возможные участники схем по отмыванию похищенных хакерами денег, говорится в пресс-релизе. Один из россиян действовал из Москвы, рассылая спам, содержащий вирус GozNym. В ходе прошедшей 16 мая в Гааге пресс-конференции, посвященной итогам расследования, спецагент ФБР Роберт Аллен Джонс назвал имена подозреваемых россиян. Ими оказались Виктор Владимирович Еременко, Владимир Горин, Фархад Рауф Оглы Манохин, Константин Волчков и Руслан Владимирович Катиркин. Джонс указал, что в настоящее время подозреваемые находятся в России. Имена, онлайн-псевдонимы и фотографии предполагаемых хакеров опубликованы на сайте ФБР. Окружной суд Западного округа Пенсильвания выдал ордер на их арест на территории США. «Мы начали это расследование [...] и неутомимо преследовали преступников в Восточной Европе», — сказал Джонс. По данным обвинения, киберпреступники совершали следующие противозаконные действия:заражали компьютеры жертв вирусом GozNym, чтобы получить доступ к данным их онлайн-счетов в банках, выводили средства с этих счетов и отмывали деньги через контролируемые ими счета в банках в США и других странах.

Как проводилось расследование

Расследование в отношении хакеров началось в 2016 году после инициированной Германией операции против хакерской группировки Avalanche со штаб-квартирой на Украине. Эта группировка оказывала поддержку более 200 хакерам, в том числе тем, кто распространял вирус GozNym. После разгрома Avalanche правоохранительные органы в США и европейских стран активизировали расследования в отношении использовавших GozNym хакеров — одной из самых опасных группировок, связанной с Avalanche. В поимке киберпреступников участвовали правоохранительные органы США, Германии, Болгарии, Грузии, Молдавии и Украины при поддержке Европола. Прокурор Скотт Брэди назвал усилия правоохранительных органов беспрецедентными и поблагодарил европейские страны, которые помогли в расследовании. Как указал Брэди в ходе пресс-конференции, разбирательства в отношении GozNym были начаты в четырех странах. «Это [координация между странами при расследовании] представляет собой образец, как мы должны бороться с киберпреступностью», — заявил он.

Хакеры похищают деньги россиян через смартфоны



Количество троянских атак в 2019 году выросло в полтора раза. Лаборатория Касперского проанализировала показатели киберпреступности в первом квартале 2019 года, сообщает журнал "Плюс". Как выяснилось, многие хакеры стали запускать вирусные программы через смартфоны. Количество выявленных банковских троянов, которые пытались получить доступ к банковским счетам и электронным кошелькам жертвы через мобильный телефон, выросло более чем в полтора раза. Если в 2018 году их было почти 19 тысяч, то в 2019-м – около 30 тысяч. Вероятно, это связано с тем, что все больше людей пользуются электронными финансами, а похищение логинов и паролей может дать к ним доступ.

Хакеры взломали системы госорганов в Балтиморе технологией АНБ



Хакеры совершили атаку на государственные структуры города Балтимора, штат Мэриленд, при помощи программы EternalBlue. Ее разработало Агентство национальной безопасности США (АНБ). Об этом написала газета The New York Times в субботу, 25 мая. Вымогатели начали действовать 7 мая. Они заблокировали тысячи служебных компьютеров, электронные почтовые ящики, а также подорвали процессы продажи недвижимости и оплаты счетов за воду. Злоумышленники вывели на экраны пораженных вирусом устройств требование выплатить $100 тыс. в биткоинах. Городские власти выплачивать эту сумму отказались. Отмечается, что атакам также подверглись государственные структуры от Пенсильвании до Техаса. EternalBlue была разработана АНБ для работы с уязвимостями в операционной системе Windows. Данные о программе были слиты в Сеть хакерской группой ShadowBrokers в апреле 2017 года. Технология АНБ применялась во время атак вирусов Wannacry и NotPetya в мае и июне 2017 года. В результате первой заражены оказались компьютеры пользователей из России, Украины, Индии и Тайваня. По подсчетам экспертов, ущерб составил более $1 млрд. Wannacry парализовал структуры российских и украинских компаний и банков, а также устройств в еще 150 странах. Великобритании заявила о причастности России к атаке NotPetya, США в свою очередь возложили ответственность за атаку на КНДР.

Киберпреступники похитили деньги клуба «Пари Сен-Жермен» за Леандро Паредеса



Французский клуб сделал первый платеж за подготовку Леандро Паредеса, однако до «Бока Хунироса» деньги так и не дошли. Передача полузащитника петербургского «Зенита» Леандро Паредеса футбольному клубу «Пари Сен-Жермен» должна была стать для аргентинского клуба «Бока Хунирос» замечательным событием, однако этому помешали киберпреступники. Как сообщает аргентинская газета Clarín, за подготовку Паредеса «Бока Хунирос» должен был получить от французского клуба €1,3 млн. Первый транш составил €520 тыс., однако аргентинцы так его и не получили. Поначалу в «Бока Хунирос» считали, что французы попросту оттягивают платеж, однако «Пари Сен-Жермен» предоставил документацию, подтверждающую факт перевода средств. Пока велись переговоры между юристами обоих клубов, пропавшая сумма была обнаружена на счете мексиканской подставой компании. Каким образом были похищены деньги, пока неизвестно. Согласно одной из версий, в мошенничестве могут быть замешаны сотрудники одного или другого клуба. Эксперты также не исключают хакерскую атаку. Вполне вероятно, киберпреступники осуществили спуфинг электронной почты и подменили банковские реквизиты, в результате чего средства были переведены на счет подставной компании. В настоящее время ведется следствие.

Вымогательское ПО с эксплоитом EternalBlue вызвало хаос в США



Вымогательское ПО, компонентом которого является разработанный АНБ эксплоит, атакует органы местной власти в США. В течение трех недель жители города Балтимор (США) страдают от атак кибервымогателей. В результате атак компьютеры жертв оказались полностью заблокированными без возможности пользоваться электронной почтой и другими сервисами. У риелторов застопорились сделки по продаже недвижимости, коммунальные предприятия не могут получать оплату за услуги и т.д. Как сообщает The New York Times, ключевым компонентом вредоносного ПО, вызвавшего хаос в Балтиморе, является нашумевший эксплоит EternalBlue для уязвимости в Windows. Эксплоит был разработан на деньги американских налогоплательщиков специалистами Агентства национальной безопасности США для использования в кибероперациях. В 2017 году EternalBlue был похищен группировкой The Shadow Brockers, и с тех пор пополнил арсенал киберпреступников со всего мира. По словам экспертов, от вымогательского ПО пострадал не только Балтимор. Вредонос бушует в самых разных городах США, от Пенсильвании до Техаса, парализуя работу местных органов власти и способствуя росту цен. С точки зрения кибербезопасности, местные правительства являются «слабым звеном». Используемая ими компьютерная инфраструктура устарела и уязвима к кибератакам, а ресурсов на их отражение недостаточно. Массовые атаки вымогательского ПО на Балтимор начались 7 мая нынешнего года и представляют собой классический случай вымогательства – за восстановление работы компьютеров злоумышленники требуют у жертв выкуп в размере $100 (в биткойнах). Местные правительственные организации отказались платить, и по состоянию на 25 мая с помощью обходных путей им удалось восстановить работу только некоторых сервисов. Как отметили эксперты, без EternalBlue ущерб от вредоноса был бы не таким большим – именно благодаря эксплоиту АНБ он смог молниеносно распространиться по системам. Восстановление от атак влетит местным властям в копеечку. К примеру, подобная атака, имевшая место в Аллентауне в феврале 2018 года, на несколько недель вывела из строя муниципальные сервисы и причинила ущерб на $1 млн. Кроме того, властям теперь приходится тратить дополнительные $420 тыс. в год на усиление кибербезопасности.

Интернет-мошенники нацелились на мальчиков-подростков



Ребенок заводит «подругу» в соцсети, а затем с его счета начинают пропадать деньги. Интернет-мошенники взяли на вооружение новый способ «развода» на деньги. Как сообщают «Известия», новая схема направлена на подростков, знакомящихся в социальных сетях. У ребенка появляется «друг», с которым завязывается тесное общение, а через некоторое время с его телефона и банковской карточки начинают пропадать деньги. Среди прочих, от действий мошенников пострадал 14-летний сын сотрудника одного из российских банков. Злоумышленники перевели средства с мобильного счета МТС подростка на номер другого оператора. Затем они активировали услугу автоплатежа, и деньги списывались уже с банковской карты. Таким образом мошенникам удалось похитить 1,5 тыс. руб. 7 тыс. руб. лишился 17-летний сын читательницы «Известий». Поскольку списания средств осуществлялось небольшими «порциями», поначалу подросток даже не замечал хищений. В описанных выше случаях фигурировала карта Альфа-банка. По словам представителей финорганизации, подростки, похоже, стали жертвами социальной инженерии. Как сообщили в Альфа-банке, в последнее время подобные случаи не редкость. Под видом другого лица (например, девочки-подростка) мошенник знакомится с ребенком и начинается общение. Через некоторое время «девочка» сообщает, что хочет зарегистрироваться на игровом ресурсе, но у нее сломался телефон. В связи с этим она просит жертву сообщить ей номер телефона и код, который придет в SMS-сообщении. Ребенок получает SMS-сообщение с кодом подтверждения и сообщает его мошеннику. При этом злоумышленник заходит в личный кабинет в сервисе переводов и переводит все находящиеся на балансе средства на свой номер. В случае если на номере жертвы включена функция автоплатежа, баланс автоматически пополняется с банковской карты. Небольшими траншами преступники выуживают деньги, пока счет не опустеет или не будет заблокирован.

Стажеры представляют серьезную угрозу безопасности предприятий



Молодые люди привыкли абсолютно все выкладывать в соцсети, что делает их привлекательной целью для киберпреступников. «Слабым звеном» в кибербезопасности компаний по-прежнему являются их сотрудники. Очередное подтверждение этому представила специалист команды X-Force Red в IBM Security Стефани Каррутерс (Stephanie Carruthers). Каррутерс занимается тестированием на проникновение в организации и поиском скрытых возможностей, которыми могут воспользоваться киберпреступники с целью похищения конфиденциальной информации. В частности она собирает данные, случайно оставленные сотрудниками компаний в открытом доступе, а также с помощью социальной инженерии выуживает у них все сведения, необходимые для подделки пропуска и беспрепятственного проникновения в организацию. По словам исследовательницы, за годы практики она выяснила целый ряд мест, где лучше всего собирать информацию, и настоящей «золотой жилой» здесь являются социальные сети. В 75% случаев, работая с соцсетью, Каррутерс всего за несколько часов получает все нужные ей данные, и чаще всего самым «слабым звеном» оказываются новые сотрудники и стажеры в крупных компаниях. Как пояснила исследовательница, представители поколения Z привыкли делиться в интернете абсолютно всем, а элементарных знаний по кибергигиене им не хватает. Кроме того, при поступлении на стажировку соответствующие тренинги по кибербезопасности с ними не проводятся, а исполнение политик безопасности (блокировка компьютера при покидании рабочего места, запрет на использование соцсетей во время работы и пр.) не требуется. В результате в соцсеть попадает все – начиная от фото пропусков и заканчивая видеоблогами на тему «день в офисе», дающими отличное представление о привычках сотрудников офиса. По тегам #WorkLife, #WorkFlow, #Intern и #FirstDayofWork в Instagram можно найти фотографии, на которых видны рабочие столы компьютеров с открытыми приложениями (в том числе антивирусными ПО), файлами, календарями и электронной почтой – весьма неплохой улов для киберпреступников. Помимо стажеров и новых сотрудников, угрозу также представляют специалисты, ведущие странички компании в соцсетях. В своем стремлении показать, как же здорово работать в компании, они выкладывают множество фотографий, раскрывающей конфиденциальную информацию.

МВД поручат создать портал для жалоб на хакеров от населения



Эксперты опасаются, что сайт будет взломан, а данные с него — использованы злоумышленникам К концу 2020 года будет разработан спецресурс, через который граждане смогут пожаловаться на хакеров. Система позволит раскрывать преступления, которые сейчас не расследуют, но может сама стать источником угрозы, считают эксперты. Эксперты АНО «Цифровая экономика» (в том числе отвечает за реализацию одноименной национальной программы) одобрили концепцию единого портала, на котором граждане смогут заявить о киберпреступлении. Об этом РБК рассказали два представителя рабочей группы при АНО и подтвердил представитель последней. Создание такого ресурса указано в плане мероприятий федерального проекта «Информационная безопасность» программы «Цифровая экономика». По словам представителя АНО, планируется, что к июню этого года концепцию утвердит правительство, а прототип платформы будет создан до конца 2020 года.

Суть проекта

Как следует из концепции (копия есть у РБК, ее подлинность подтвердил источник, близкий к рабочей группе), речь идет о ресурсе, который мог бы собирать информацию о киберинцидентах от граждан, юрлиц, госорганов и аккумулировать эти данные в единой системе. Ресурс будет собирать информацию об угрозах непрерывно и автоматически, он также должен будет классифицировать и приоритезировать данные. Сообщить о кибератаке можно будет по телефону, электронной почте, через мессенджер, СМС, социальные сети. Также база данных ресурса должна пополняться за счет синхронизации с существующими госсистемами: Единой биометрической системой, порталом Госуслуг, Центром мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (ФинЦЕРТ), Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Использовать информацию об угрозах смогут зарегистрированные на ресурсе граждане, госорганы и юрлица. Для первых двух категорий доступ к данным будет бесплатным, для юрлиц возможно введение подписки (ее размер в концепции не указан). У спецресурса будет несколько уровней доступа: уполномоченный госслужащий (для сотрудников ведомств), доверенный партнер (для компаний — партнеров проекта), подписчик, активный гражданин. Все пользователи должны пройти верификацию, для граждан — через Единую биометрическую систему. При этом авторы концепции признают, что ресурс, предполагающий публичный доступ, будет подвергаться постоянному воздействию злоумышленников. «Поэтому техническое задание должно включать требование обеспечения безопасности самого ресурса и обрабатываемой в нем информации», — написано в документе. Как отмечают авторы документа, сейчас в России нет единой точки сбора информации о киберпреступлениях, доступ к которой могли бы иметь все заинтересованные граждане. ГосСОПКА отвечает за критическую информационную инфраструктуру, ФинЦЕРТ осуществляет мониторинг ситуации в кредитно-финансовой сфере, коммерческие центры мониторинга компьютерных атак обобщают информацию по атакам корпоративного сегмента. В различные контролирующие и общественные организации (Роскомнадзор, РОЦИТ, Лига безопасного интернета и пр.) граждане имеют возможность обратиться в случае обнаружения в интернете информации, связанной с распространением детской порнографии, наркотиков, экстремистского и террористического контента и т.д. Но структуры, «которая была бы способна принимать информацию об инцидентах от широких слоев населения, в том числе от многочисленных граждан, не обладающих навыками обращения с современными информационными технологиями (интернетом)» до сих пор не существовало. При этом информация о киберпреступлении, которая имеется в распоряжении каждого пострадавшего гражданина, фрагментарна, и ее недостаточно для начала расследования. В итоге обращения от граждан, как правило, не имеют судебных перспектив. «Более того, существуют противоправные действия, которые совершаются с помощью информационно-коммуникационных технологий, но квалифицировать которые как преступление по конкретной статье Уголовного кодекса России крайне сложно, несмотря на то что они наносят реальный ущерб государству, бизнесу, гражданам», — говорится в концепции. Спецресурс должен решить эту проблему: граждане и юрлица будут получать оперативную помощь. В концепции отмечается, что злоумышленники периодически заражают абонентов мобильной связи вредоносным программным обеспечением, но сотовые операторы сегодня не имеют законных оснований ни для блокировки адресов центров управления такими кампаниями, ни для передачи информации о номерах абонентов, причастных к осуществлению кибератаки, остальным участникам информационного обмена. Внедрение спецресурса должно пресечь подобные действия. Потери России от кибератак в 2017 году составили около 600 млрд руб., сообщил премьер-министр Дмитрий Медведев, выступая на международном форуме «Открытые инновации-2018» в Москве.

Участники проекта

Согласно программе «Цифровая экономика», за реализацию проекта отвечают МВД, ФСБ, Роскомнадзор и Центробанк. В концепции прописано, что МВД должно организовать свой ситуационный центр по кибербезопасности, который будет собирать обращения и мониторить инциденты. При этом в концепции указано, что сбор информации, ликвидация последствий инцидентов и их предотвращение могут быть реализованы в формате государственно-частного партнерства. Кто может выступить партнерами, в документе не указано.В июле 2018 года источники РБК рассказывали, что ресурс противодействия киберпреступности, на котором граждане, организации и правоохранительные органы смогут оперативно обмениваться информацией, может быть создан на базе запущенной ранее ассоциацией банков «Россия» платформе. Ее разрабатывала компания Bi.Zone («дочка» Сбербанка), предполагалось, что именно эта компания станет оператором ресурса. Представитель Сбербанка не предоставил комментарий по поводу одобренной концепции. Представитель МВД уже после выхода материала подтвердил, что вопрос о создании специализированного ресурса сейчас обсуждается. Но комментировать детали отказался. По словам GR-директора Group-IB Дмитрия Буянова, знакомого с концепцией спецресурса, в сотрудничестве с МВД для пополнения базы данных ресурса заинтересованы несколько крупных компаний из сферы кибербезопасности, и в том числе Group-IB. Представители Infowatch, Positive Technologies и «Ростелекома» (входят в рабочую группу при АНО) отказались отвечать на вопрос, намерены ли они участвовать в проекте.

Перспективы

«Если проект будет реализован министерством [МВД], то любой следователь получит эффективный инструмент для раскрытия преступлений», — уверен Буянов. По его словам, подобные ресурсы есть в США, Великобритании, Германии. Особенно полезным инструмент будет для обычных граждан, считает Буянов. «Когда хакеры атакуют компанию, то последняя, как правило, имеет необходимые инструменты, чтобы защитить себя. Но когда речь заходит о бабушке, у которой со счета телефона украли 100 руб., — механизма защиты нет. В итоге у граждан нет понятного и доступного механизма, чтобы сообщать о таких инцидентах, и преступники остаются безнаказанными», — пояснил он. Буянов уверен, что спрос на ресурс со стороны населения будет, если его начнут активно популяризировать. Однако сотрудник одной из компаний, которая работает в сфере кибербезопасности, считает, что эффективность этого проекта вызывает большие сомнения, так как данные с портала общего пользования очень скоро окажутся в руках злоумышленников и лишь помогут им своевременно модифицировать атаку, чтобы оставаться незамеченными. «Не зря любой информационный обмен в области информационной безопасности подразумевает доверие контрагенту и его верификацию — иначе вся система будет в лучшем случае бесполезной, а в худшем — работать на киберпреступников», — отметил собеседник РБК.

Неизвестные активно сканируют сеть в поисках машин, уязвимых перед проблемой BlueKeep



Опасной RDP-уязвимостью CVE-2019-0708 (она же BlueKeep) уже интересуются преступники: исследователи обнаружили массовые сканирования сети. Напомню, что проблему, связанную с работой Remote Desktop Services (RDS) и RDP, исправили в рамках майского «вторника обновлений», и тогда же о ней стало известно широкой публике. С помощью этого бага атакующие могут выполнять произвольный код без авторизации и распространять свою малварь подобно червю, как, например, было с известными вредоносами WannaCry и NotPetya. Уязвимость представляет опасность для Windows Server 2008, Windows 7, Windows 2003 и Windows XP. Как мы уже писали ранее, PoC-эксплоиты для этой проблемы уже создали специалисты сразу нескольких ИБ-компаний (включая McAfee, Check Point и «Лабораторию Касперского») и независимые исследователи; специалисты NCC Group представили специальный защитный микропатч; а аналитики RiskSense разработали специальный инструмент, с помощью которого можно проверить на уязвимость перед BlueKeep весь парк корпоративных машин. Из-за высокой опасности CVE-2019-0708 эксплоиты экспертов не были опубликованы в открытом доступе, но исследователи высказывали опасения, что хакеры явно тоже не заставят себя ждать, и вскоре можно будет ожидать новостей об эксплуатации свежей проблемы в реальных атаках. Теперь специалисты компании GreyNoise предупредили, что неизвестные злоумышленники уже начали сканировать интернет в поисках уязвимых перед BlueKeep систем. Исследователи сообщили изданию ZDNet, что атакующие, похоже, используют для сканов модуль Metasploit, разработанный экспертами RiskSense. Пока активность атакующих исходит исключительно с выходных нод Tor и, похоже, всё это активность одной хакерской группы. Пока эксперты не обнаружили попыток эксплуатации
уязвимости: хакеры лишь определяют уязвимые системы, но не пытаются их ломать. По мнению экспертов GreyNoise, это определенно подготовительный этап перед последующими атаками, и ситуация ухудшается.

Мошенник из Саратова отплачивал покупки в интернете со взломанных аккаунтов



Мошенник взламывал учетные записи в соцсетях и за счет подключенных к ним банковских карт покупал товары в интернет-магазинах. Сотрудники полиции при поддержке бойцов Росгвардии задержали в Энгельсе 23-летнего молодого человека, подозреваемого в мошенничестве. По информации правоохранителей, саратовец с помощью вредоносных программ взламывал учетные записи граждан в социальных сетях, к которым были подключены банковские карты, и за их счет оплачивал покупки в интернет-магазинах. Кроме того, он присвоил заказанное одним из пострадавших мобильное и устройство, а также от имени 30-летнего жителя Москвы подал заявку на получение кредита на 9,5 тыс. рублей. Сумма ущерба от действий злоумышленника оценивается в 29,5 тыс. рублей. В отношении мошенника возбуждены уголовные дела по статьям 159.6 УК РФ (мошенничество в сфере компьютерной информации) и 158 УК РФ (кража).

Злоумышленники атакуют серверы Windows MS-SQL и PHPMyAdmin по всему миру



Более 50 тыс. серверов Windows MS-SQL и PHPMyAdmin оказались заражены вредоносным ПО для майнинга криптовалюты. Специалисты компании Guardicore Labs опубликовали подробный отчет о масштабной вредоносной кампании по добыче криптовалюты, в рамках которой китайская APT-группировка внедряет криптомайнеры и руткиты в серверы Windows MS-SQL и PHPMyAdmin по всему миру. По данным исследователей, злоумышленникам уже удалось скомпрометировать более 50 тыс. серверов, принадлежащих организациям в области здравоохранения, телекоммуникационной и IT-сферах. Вредоносная кампания, получившая название Nansh0u, проводилась с конца февраля нынешнего года, однако эксперты заметили ее только в начале апреля. Злоумышленники находили доступные в интернете серверы Windows MS-SQL и PHPMyAdmin, взламывали их с помощью брутфорса, а затем заражали вредоносным ПО. Специалисты обнаружили 20 различных версий вредоносных модулей. После успешной авторизации с правами администратора атакующие выполняли серию команд MS-SQL на скомпрометированной системе и загружали с удаленного сервера вредоносную полезную нагрузку, которая запускалась с привилегиями SYSTEM (для этого эксплуатировалась известная уязвимость CVE-2014-4113 в драйвере win32k.sys). Далее вредоносный модуль загружал программу для добычи криптовалюты TurtleCoin, а чтобы предотвратить завершение процесса, использовался просроченный цифровой сертификат, выданный удостоверяющим центром Verisign. В сертификате было указано название фиктивной китайской компании Hangzhou Hootian Network Technology. В основном под угрозой находятся серверы с ненадежными учетными данными, в этой связи всем администраторам рекомендуется установить более сложные комбинации логинов и паролей. Эксперты также предоставили бесплатный скрипт, позволяющий проверить системы на предмет наличия вредоносного ПО.

Новая атака «Tap 'n Ghost» угрожает безопасности современных Android-смартфонов



Злоумышленник сможет «заставить» жертву подключиться к вредоносной сети, одобрить опасные разрешения и пр. Исследователи из Университета Васэда (Япония) разработали новый метод эксплуатации NFC (Near Field Communications) модуля, встроенного в большинство современных моделей смартфонов на базе Android, для генерации фальшивых «призрачных» нажатий на экран незаметно для владельца устройства. Для атаки специалисты разработали устройство, включающее 5-мм медную пластину, подключенную к генератору сигналов DDS, компьютер Raspberry Pi, высоковольтный трансформатор, NFC ридер для чтения и записи NFC меток, а также батарею. По словам ученых, систему можно встроить в кофейный столик или другую поверхность, на которую люди кладут смартфоны. Сама атака предельно проста: жертва кладет телефон на поверхность, в которую встроено устройство, на смартфоне отображается окно с запросом на подключение к Wi-Fi сети и даже если пользователь нажмет на отмену, система перенаправит сигнал от кнопки «Нет» к кнопке «Да» и подключит устройство к сети. Таким образом злоумышленник сможет «заставить» жертву подключиться к вредоносной сети, одобрить опасные разрешения или инициировать сопряжение с вредоносным Bluetooth-устройством. Для успешной атаки требуется, чтобы смартфон и устройство взлома находились на расстоянии 4-10 см (радиус действия NFC) друг от друга. Кроме того, конфигурация устройства должна соответствовать техническим спецификациям целевого смартфона. Исследователи протестировали свой метод на нескольких различных моделях телефонов. Как отмечается, атака не сработала в случае смартфонов Samsung и Fujitsu. Также нужно отметить, что метод «Tap 'n Ghost» эффективен не только против смартфонов с поддержкой NFC, но любых других устройств с сенсорным экраном, в том числе банкоматов, машин для электронного голосования и пр. Исследователи уже уведомили о проблеме производителей уязвимых устройств.

Зараженные криптомайнерами хосты Docker ищут новых жертв с помощью Shodan



Злоумышленники ищут уязвимые хосты с открытым портом 2375, взламывают их с помощью брутфорса, а затем устанавливают вредоносные контейнеры. Злоумышленники сканируют интернет на предмет установок Docker с открытыми API и с их помощью распространяют вредоносные образы Docker, зараженные программами для майнинга криптовалюты Monero и скриптами, использующими систему Shodan для поиска новых жертв. Новую кампанию заметили исследователи Trend Micro после того, как вредоносный образ с криптомайнером был загружен на одну из их установок-ловушек. По словам экспертов, злоумышленники с помощью скрипта ищут уязвимые хосты с открытым портом 2375, взламывают их, используя брутфорс, а затем устанавливают вредоносные контейнеры



Как пояснили специалисты команды безопасности Alibaba Cloud, также зафиксировавшие атаки, некорректно сконфигурированный Docker Remote API может использоваться для неавторизованного доступа к данным Docker, кражи или изменения важной информации или перехвата контроля над сервером. Атакующие используют открытые API для выполнения команд на хосте Docker, позволяющих управлять контейнерами или создавать новые с помощью образов из подконтрольного им репозитория на Docker Hub. Специалистам Trend Micro удалось отследить один из таких репозиториев. Его владельцем числился некто под псевдонимом zoolu2, а сам репозиторий содержал девять образов, включающих кастомные шелл-оболочки, Python-скрипты, конфигурационные файлы, а также скрипты Shodan и ПО для майнинга криптовалюты. Вредоносные образы Docker распространяются автоматически с помощью скрипта, который проверяет «хосты на предмет публично доступных API» и использует команды Docker (POST /containers/create) для удаленного создания вредоносного контейнера. Этот же скрипт запускает SSH демон для удаленной связи с атакующими. Далее одновременно запускаются криптомайнер и процесс сканирования для поиска новых уязвимых хостов. Список IP-адресов жертв содержится в файле iplist.txt, который проверяется на наличие дубликатов, а затем отправляется на C&C-сервер злоумышленников. Хотя команда Docker уже удалила «вредоносный» репозиторий, эксперты говорят, что на Docker Hub существуют и другие подобные аккаунты, а в случае их удаления злоумышленники переходят на другие

В Сети опубликован инструмент для взлома Microsoft Exchange из арсенала APT34



В Сети в открытом доступе оказался инструмент для взлома учетных записей пользователей Microsoft Exchange, которым предположительно пользуется киберпреступная группировка OilRig (другие названия APT34 и HelixKitten). Инструмент под названием Jason не детектируется антивирусными решениями на VirusTotal. Jason появился на Telegram-канале в понедельник, 3 июня. По словам владельца канала, инструментом пользуется правительство Ирана для «взлома электронной почты и кражи информации». По своей сути Jason является инструментом для брутфорса – программа подбирает пароли к учетной записи до тех пор, пока не найдет нужный. Jason подбирает пароли из прилагающегося к нему списка образцов и четырех текстовых файлов с числовыми шаблонами. Как отметил вице-президент компании Minerva Labs Омри Сегев Мойал (Omri Segev Moyal), проанализировавший программу, Jason представляет собой «сравнительно простой инструмент для брутфорс-атак на online-сервисы обмена данными». По данным VirusTotal, утилита была скомпилирована в 2015 году, однако на момент утечки Jason не детектировался ни одним решением безопасности. Инструмент был выложен в Сеть кем-то под псевдонимом Lab Dookhtegan, начавшим публиковать инструменты из арсенала группировки OilRig 26 марта текущего года. Исследователи безопасности, изучившие выложенные ранее инструменты, подтвердили, что они являются подлинными и действительно использовались в операциях OilRig.

Киберпреступники «собрали» операцию Frankenstein из разрозненных компонентов



Киберпреступная группировка, стоящая за серией таргетированных атак в январе-апреле 2019 года, использует для похищения учетных данных вредоносные инструменты, собранные из доступных, бесплатных компонентов. Исследователи из Cisco Talos назвали вредоносную кампанию Frankenstein, поскольку группировка умело собирает воедино не связанные между собой компоненты и в ходе операции использовала четыре разных техники. В ходе вредоносных операций киберпреступники использовали следующие компоненты с открытым исходным кодом:

• Элемент article для определения, запущен ли образец на виртуальной машине;

• GitHub-проект, использующий MSbuild , для выполнения команд PowerShell;

• Компонент GitHub-проекта под названием Fruityc2 для создания стейджера;

• GitHub-проект под названием PowerShell Empire для агентов.

Для обхода обнаружения киберпреступники проверяют, запущены ли на атакуемой системе программы наподобие Process Explorer, а также не является ли зараженный компьютер виртуальной машиной. Помимо прочего, группировка предприняла ряд дополнительных шагов для того, чтобы отвечать только на GET-запросы, содержащие предопределенные поля, такие как cookie-файлы сеанса, определенная директория домена и пр. Передаваемые данные защищены шифрованием. Заражение системы происходит по двум векторам. Первый предполагает использование вредоносного документа Word для загрузки удаленного шаблона, эксплуатирующего уязвимость повреждения памяти в Microsoft Office (CVE-2017-11882) для выполнения кода. Второй вектор атаки также предполагает использование вредоносного документа Word. Когда жертва открывает документ, от нее требуется активировать макросы, после чего запускается скрипт Visual Basic. Этот скрипт сканирует систему на наличие инструментов для анализа вредоносного ПО и в случае обнаружения признаков виртуальной машины прекращает работу вредоноса.

Украинские мошенники крали деньги из банкоматов в Бангладеш с помощью мобильных телефонов



Мошенники разрывали связь между банкоматами и центральным сервером, а затем опустошали банкоматы. Полиция Бангладеш задержала группу граждан Украины, подозреваемых в кражах средств из банкоматов. Мошенники с помощью мобильных телефонов разрывали связь между банкоматами и центральным сервером, а затем опустошали банкоматы, не оставляя при этом следов. По информации местного издания BD News 24, вечером 31 мая злоумышленники несколько раз осуществили незаконный вывод средств из банкомата банка Dutch-Bangla Bank в Дакке. Позже полиция задержала одного из членов группировки, что позволило выйти на след пятерых его сообщников. 3 июня суд арестовал шестерых украинцев на трое суток. Как показала запись с камеры видеонаблюдения, двое подозреваемых несколько раз снимали деньги, используя банковские карты. При этом каждый раз они совершали телефонные звонки. По словам помощника комиссара следственного департамента полиции Абдула Батена, подозреваемые пользовались украинскими телефонными номерами в режиме роуминга и перед каждым снятием средств связывались по телефону с абонентом из Украины. Что интересно, со счетов клиентов банка деньги не снимались, а на центральном сервере нет записей о проведенных транзакциях. Однако расследование показало, что мошенники сняли 300 тыс. така (примерно 230 тыс. рублей). По данным полиции, украинцы планировали отправиться из Бангладеш в Индию, где так же намеревались грабить банкоматы. Сейчас полиция выясняет, были ли у мошенников сообщники среди местного населения.

Кибершпионы Platinum маскируют коммуникации с C&C-сервером с помощью стеганографии



Группировка продолжает совершенствовать свой инструментарий для маскировки атак. Специалисты «Лаборатории Касперского» опубликовали новые подробности о деятельности специализирующейся на кибершпионаже группировке Platinum, в июне 2018 года атаковавшей дипломатические, государственные и военные структуры в странах Южной и Юго-Восточной Азии. Хотя впервые атаки были зафиксированы летом прошлого года, эксперты считают, что кампания, получившая название EasternRoppels, активна по меньшей мере с 2012 года. В ходе не относящегося к Platinum расследования эксперты обнаружили бэкдор, который, по их мнению, связан со вторым этапом кампании группировки. Бэкдор представляет собой DLL-библиотеку, работающую как WinSock NSP для сохранения присутствия на системе. Основная задача вредоноса - получить данные о системе. Он способен загружать файлы, запускать скрипт PowerShell, а также скрывать коммуникации с управляющим сервером, используя стеганографию. Для установки бэкдора используется специальный дроппер. Вредоносная программа создает папки, в которых сохраняет непосредственно бэкдор и его конфигурационный файл. Далее программа запускает бэкдор, обеспечивает персистентность на системе и самоуничтожается. После установки бэкдор подключается к управляющему серверу и загружает HTML страницу, содержащую зашифрованные команды, а также ключ шифрования. Встроенные данные закодированы с использованием двух техник стеганографии и помещены в тег <--1234567890>. «Первая техника основана на принципе, что HTML не обращает внимание на порядок атрибутов в тегах […] Бэкдор декодирует строку за строкой и сохраняет ключ шифрования, который также закодирован, но уже с помощью другой техники стеганографии», - пояснили исследователи. Бэкдор поддерживает команды на загрузку, выгрузку и исполнение файлов, может обрабатывать запросы на списки процессов и папок, обновлять и деинсталлировать себя, а также изменять свой конфигурационный файл. Кроме того, исследователи обнаружили исполняемый файл для создания конфигурационных и командных файлов для бэкдоров (поддерживает конфигурацию более 150 опций), а также P2P бэкдор, обладающий теми же характеристиками, что и вышеописанные угрозы, но способный взаимодействовать с другими зараженными устройствами и объединять их в сеть. Судя по находкам, группировка Platinum все еще активна и продолжает совершенствовать свой инструментарий, заключили специалисты

APT-группа MuddyWater использует новые векторы атак



Для эксплуатации уязвимости CVE-2017-0199 группировка использует два вида вредоносных документов. Иранская APT-группировка MuddyWater начала использовать новые векторы атак на телекоммуникационные и правительственные организации. Как сообщают специалисты ИБ-компании Clearsky Security, MuddyWater пополнила свои тактики, техники и процедуры (TTP) новыми документами Microsoft Word, загружающими вредоносные файлы через скомпрометированные серверы, а также документами, экплуатирующими уязвимость CVE-2017-0199. Документы с макросами VBA загружают замаскированное под JPG вредоносное ПО на атакуемый компьютер с сервера, находящегося в одной стране с жертвой. Данное ПО эксплуатирует уязвимость Microsoft Office/WordPad Remote Code Execution Vulnerability w/Windows API (CVE-2017-0199) и детектируется только тремя решениями безопасности. Для сравнения, используемое в прошлых атаках ПО детектировалось 32 антивирусами. После компрометации компьютера вредонос пытается подключиться к подконтрольному злоумышленникам C&C-серверу и в случае неудачи пользователь перенаправляется на «Википедию». Для эксплуатации упомянутой выше уязвимости группировка использует два вида вредоносных документов. Первый документ использует сообщения об ошибках, а второй эксплуатирует уязвимость непосредственно после его открытия жертвой. Первый документ поочередно загружает с C&C-сервера на атакуемую систему вредоносное ПО первого и второго этапа. Некоторые документы используют оба вектора атак.

Новый ботнет атакует Windows-системы с активным подключением по RDP



В настоящее время в списке целей GoldBrute насчитывается более 1,5 млн систем. Специалисты Morphus Labs обнаружили новый ботнет, активно сканирующий Сеть на предмет плохо защищенных Windows-систем с активным подключением по RDP. В настоящее время в списке целей ботнета, получившего название GoldBrute, числится более 1,5 млн систем, к которым он периодически пытается получить доступ с помощью брутфорса или атак с подстановкой учетных данных (credential stuffing). По информации исследователей, наибольшее число атакованных систем приходится на Южную Корею, Китай, Тайвань, США и Великобританию. Получив доступ к целевой системе, ботнет загружает ZIP-архив с вредоносным ПО GoldBrute, а затем проводит сканирование интернета на предмет новых уязвимых компьютеров с подключением по RDP. Собрав список из 80 потенциальных объектов, GoldBrute отправляет данные об их IP-адресах на управляющий сервер, откуда на инфицированный ПК отправляется список IP-адресов, которые нужно атаковать. Примечательно, что для каждого IP-адреса предусмотрена только одна комбинация логин/пароль, причем для каждой цели используются разные учетные данные. Как полагают исследователи, таким образом операторы ботнета стараются скрыть свою деятельность от пользователей, которые наверняка заметят многочисленные попытки авторизации. На завершающем этапе бот проводит брутфорс-атаку и отправляет результаты C&C-серверу. Пока эксперты не могут сказать, какую цель преследуют злоумышленники. Они полагают, что операторы GoldBrute собирают ботнет для дальнейшей продажи доступа к нему на различных подпольных форумах

Ресурсы Рособрнадзора подверглись DDoS-атакам



Рособрнадзор передал в правоохранительные органы материалы по произошедшим 31 мая и 1 июня хакерским атакам на ресурсы ведомства. Об этом информирует пресс-служба ведомства. «Интернет-ресурсы Федеральной службы по надзору в сфере образования и науки и подведомственных службе организаций в пятницу и субботу подверглись DDoS-атакам», — цитирует сообщение РИА Новости. Указывается, что атака не помешала обработке результатов ЕГЭ. «Были задействованы средства противодействия атаке, что позволило сохранить работоспособность серверов и их доступность для специалистов Рособрнадзора и пользователей», — заявили в пресс-службе. По словам главы Рособрнадзора Сергея Кравцова, ведомство передало подробные материалы об атаке в правоохранительные органы для последующей работы.

Древнее вредоносное ПО ICEFOG снова вернулось в строй



Изначально ICEFOG использовался одноименной китайской APT-группой, деятельность которой специалисты «Лаборатории Касперского» описали еще в 2013 году. После публикации отчета ЛК группировка свернула свои операции, и ICEFOG исчез с киберпреступной арены. Однако, как оказалось, работа над вредоносом не прекращалась. На конференции по ИБ, состоявшейся в Польше на прошлой неделе, исследовательница компании FireEye Чи-Энь Шэнь сообщила об обнаружении обновленных версий ICEFOG. Главные из них, ICEFOG-P и ICEFOG-M, использовались в атаках с 2014-го и 2018-го года соответственно. Обе версии являются прямыми «потомками» оригинального ICEFOG, а значит, на самом деле работа над вредоносом не прекращалась. Более того, Шэнь обнаружила ранее неизвестную версию ICEFOG для Mac. Примечательно, что группировки, использующие новые версии ICEFOG, никак не связаны с одноименной APT-группой. Вредонос был обнаружен во множествах операций, проводимых разными группировками. «Операции, проводимые в 2011-2014 годах, отличались последовательностью, что указывало на эксклюзивное использование вредоносного ПО одной группой. Новые варианты стали использоваться разными группами уже после кампании 2013 года. Я сравнила инфраструктуру, использовавшуюся в кампании 2013 года, с кампаниями после 2014 года и не смогла обнаружить связь», - сообщила исследовательница изданию ZDNet. Каким образом вредонос оказался в арсенале множества группировок, Шэнь затрудняется сказать. Тем не менее, ранее ИБ-эксперты уже сталкивались с использованием одних и тех же инструментов разными китайскими группировками. Новые варианты ICEFOG были обнаружены в атаках на европейскую сельско-хозяйственную компанию, правительственные и финансовые организации, а также СМИ в России и Монголии (операция TOPNEWS), правительственные учреждения пост-советских стран (Roaming Tiger), казахских должностных лиц (APPER) и пр. В 2018-2019 годах вредонос использовался в атаках на турецкие и казахские организации (операция SKYLINE).

Правительство сообщило о взломе Twitter-аккаунта Медведева



Неизвестные взломали твиттер-аккаунт премьер-министра России Дмитрия Медведева, сообщили журналистам в пресс-службе Кабмина. В настоящее время контроль над аккаунтом восстановлен. Речь идет об английском варианте аккаунта @MedvedevRussiaE. Записи были размещены на англоязычной странице премьер-министра в ответ на публикацию посла республики Ирак в России Хайдара Мансур Хади, касающуюся приема по случаю Дня России в Кремле. Из комментариев Медведева удалось разобрать лишь слово «огурец» на английском языке, а также «очень» и пожелание удачи. Позже сообщения были удалены. Это уже не первый случай атаки на аккаунты Медведева. В 2013 году хакеры временно завладели его учетной записью в соцсети «ВКонтакте», а спустя год взлому подвергся аккаунт премьера в Twitter. В обоих случаях контроль над учетными записями был оперативно восстановлен, а появившиеся сообщения удалены.

DDoS-атака лишила сотни тысяч пользователей доступа к Telegram



В среду, 12 июня, популярный мессенджер Telegram на короткое время стал недоступен для сотен тысяч пользователей по всему миру. Причиной послужила мощная DDoS-атака на его серверы. По словам основателя Telegram Павла Дурова, большинство IP-адресов, с которых осуществлялась атака, были китайскими, что указывает на возможную причастность к ней правительства КНР. В пользу этой теории говорят сразу несколько фактов, отметил Дуров. Во-первых, инцидент совпал с протестами в Гонконге. Во-вторых, как правило, мощность финансируемых китайским правительством DDoS-атак на Telegram составляет 200-400 Гб/с, и нынешний случай не стал исключением. Начиная с прошлой недели, в Гонконге проходят массовые акции протеста против поправок в закон об экстрадиции, разрешающих экстрадировать арестованных в Гонконге граждан на материковый Китай и другие страны. Многие видят в поправках угрозу гражданским свободам и верховенству закона в Гонконге. С помощью зашифрованного мессенджера Telegram протестующие координировали свои действия и обменивались информацией о происходящем, не боясь перехвата сообщений. 12 июня протестующие пытались выстроить в центре Гонконга баррикады и заблокировать движение транспорта, однако правоохранители прибегли к слезоточивому газу и резиновым пулям. В связи с этим на следующий день все правительственные учреждения в центре города были закрыты.

Группа Radiohead опубликовала 18 часов неизданных записей из-за кибератаки



Неизвестные похитили архив с аудиоматериалами времен альбома «OK Computer» и потребовала выкуп. Из-за кибератаки британская музыкальная группа Radiohead была вынуждена выложить в открытый доступ 18 часов записанного аудиоматериала. Как сообщает участник группы Джонни Гринвуд, неизвестные взломали и похитили у лидера Radiohead Тома Йорка архив с аудиоматериалами времен альбома «OK Computer» (вышел в 1997 году) и потребовали выкуп в размере $150 тыс., пригрозив в противном случае опубликовать его. Записи не предназначались для публикации, хотя некоторые отрывки все же вошли в переиздание «OK Computer». «Вместо того чтобы жаловаться или игнорировать, мы публикуем все 18 часов записи на Bandcamp в пользу Extinction Rebellion. Только на 18 дней. За 18 фунтов вы сможете сами оценить, стоит ли нам платить выкуп», - сообщил Гринвуд в Twitter. Любой желающий может бесплатно прослушать сборник записей «Minidiscs [Hacked]» в сервисе Bandcamp. Скачать этот импровизированный альбом можно за 18 фунтов стерлингов. Все полученные средства будут переданы экологическому движению Extinction Rebellion.

Во взломе криптобиржи Coincheck заподозрили связанную с РФ кибергруппировку



На компьютерах Coincheck были обнаружены вредоносы Mokes и Netwire, ранее замеченные в атаках русскоязычных хакеров. Персональные компьютеры сотрудников одной из крупнейших криптовалютных бирж Coincheck, ставшей жертвой взлома минувшей зимой, могли быть заражены вредоносным ПО, управляемым киберпреступной группой российского происхождения. Об этом сообщила японская газета «Асахи Симбун». Напомним, речь идет о взломе в конце января 2018 года, когда криптовалютная биржа лишилась в общей сложности 58 млрд иен ($533 млн) в криповалюте NEM (XEM). Ранее предполагалось, что к краже причастны хакеры, связанные с Северной Кореей. По данным издания, на компьютерах Coincheck были обнаружены два вредоноса - Mokes и Netwire. Первый появился на российском хакерском форуме в июне 2011 года, а о втором стало известно еще 12 лет назад. Обе программы позволяют удаленно управлять зараженным компьютером. Mokes и Netwire ранее были замечены в атаках, связываемых с русскоязычными киберпреступниками. В случае с Coincheck заражение предположительно произошло через вредоносные электронные письма.

США внедрили в российские электросети опасное вредоносное ПО



До недавнего времени американцы только искали уязвимости в электросетях, но теперь их действия стали более агрессивными. Администрация Дональда Трампа использует новые полномочия для более агрессивного развертывания киберинструментов и активизации кибератак на российские электросети. Об этом изданию The New York Times сообщили бывшие и настоящие правительственные чиновники США. В течение трех месяцев журналисты The New York Times опрашивали сотрудников американского правительства и узнали от них о внедрении в российские электросети агрессивного вредоносного кода. Операция по внедрению вредоносного ПО, о которой ранее не сообщалось широкой общественности, проводилась в рамках известной кампании против предполагаемых попыток Москвы повлиять на результаты промежуточных выборов в Конгресс в 2018 году. В прошлом году администрация президента и Конгресс расширили полномочия Киберкомандования США. Тем не менее, какие именно шаги были предприняты в рамках новых полномочий, Белый дом не раскрывает. В течение долгих лет электросети оставались полем битвы низкой интенсивности, то есть, разворачивающиеся в них «военные действия» были вялотекущими. Как минимум с 2012 года США занимаются поиском потенциальных уязвимостей в российских электросетях, но до недавнего времени дальше этого дело не шло. Однако теперь стратегия американцев сместилась в сторону нападения, сообщили источники The New York Times. По их словам, в российские электросети было внедрено вредоносное ПО, способное причинить реальный ущерб. Как сообщают некоторые источники издания, Дональд Трамп мог не знать об операции и наверняка не санкционировал ее. Сам же президент США назвал публикацию в The New York Times ложью и предательством. «Представляете, Failing New York Times только что опубликовало статью, утверждающую, будто США существенно усилили кибератаки на Россию. Это фактически акт Предательства со стороны некогда отличной газеты, отчаянно жаждущей напечатать историю, любую историю, пусть даже во вред своей Стране», – написал Трамп в Twitter. «Обвинять прессу в предательстве очень опасно. Мы описали статью правительству перед публикацией. Как сказано в нашей статье, сотрудники национальной безопасности при администрации самого же Трампа сообщили, что статья не представляет угрозу нацбезопосности США», – заявили журналисты в ответ на твит Трампа. Киберкомандование США – единое боевое командование Вооруженных сил США. Занимается планированием, координированием, объединением, синхронизацией операций по защите компьютерных сетей Министерства обороны. Киберкомандование также готовит и осуществляет полный спектр военных операций в киберпространстве, обеспечивает свободу действий США и их союзников в киберпространстве и препятствует аналогичным действиям противника.

Киберпреступники используют устаревшие версии Cobalt Strike для маскировки



Злоумышленники предпочитают использовать устаревшие версии инструмента, если другие хакерские группировки еще не перешли на новые релизы Cobalt Strike. Хотя разработчики фреймворка Cobalt Strike выпустили обновления в январе и мае нынешнего года (3.13 и 3.14 соответственно), десятки серверов все еще работают на устаревших выпусках платформы, причем некоторые из них используют пиратские, взломанные или незарегистрированные версии Cobalt Strike. Cobalt Strike представляет собой фреймворк для проведения тестов на проникновение, позволяющий доставить на атакуемый компьютер полезную нагрузку и управлять ею. Другими словами, инструмент предназначен исключительно для законного использования. Помимо внушительной стоимости лицензии ($3,5 тыс.), разработчики позаботились о мерах, исключающих попадание инструмента в руки злоумышленников, в их числе проверка клиентов, контролируемый экспорт и ограниченное предложение за пределами США и Канады. Тем не менее, киберпреступники находят способы получить лицензионную копию инструмента, некоторые даже готовы заплатить за это $25 тыс. В интернете доступны взломанные версии Cobalt Strike, однако зачастую они содержат бэкдоры или не имеют всех функций оригинала. К тому же, такое ПО нельзя обновить. Существует несколько признаков, позволяющих идентифицировать уязвимые серверы Cobalt Strike: использование установленного по умолчанию TLS сертификата разработчика; в активном режиме DNS-сервер в Cobalt Strike отвечает на все DNS-запросы фальшивым IP-адресом; наличие порта 50050/TCP; HTTP ответ «404 Not Found» характерен для NanoHTTPD web-серверов; лишние пробелы в HTTP-ответах сервера (данная уязвимость была исправлена в Cobalt Strike 3.13). Комбинируя несколько методов, специалисты Recorded Future смогли выявить 104 сервера, использующих фреймворк. Для того чтобы не привлекать внимания, киберпреступники предпочитают использовать устаревшие версии инструмента, если другие хакерские группировки еще не перешли на новые версии Cobalt Strike. Еще одна причина может заключаться в том, что при обновлении до свежей сборки могут быть потеряны реализованные изменения, полагают эксперты. «Использование взломанных версий Cobalt Strike или развертывание стандартных экземпляров Cobalt Strike позволяет замаскировать угрозы и усложнить идентификацию. Кроме того, применяя взломанные версии, злоумышленники могут «смешаться» с устаревшими релизами Cobalt Strike», - пояснили исследователи.

Вымогательское ПО распространяется через взломанных провайдеров управляемых услуг



ператоры Sodinokibi взломали провайдеров управляемых услуг и через Webroot SecureAnywhere заражают системы их клиентов. Операторы вредоносного ПО взломали инфраструктуру как минимум трех провайдеров управляемых услуг (MSP) и использовали их инструменты удаленного управления (в частности консоль Webroot SecureAnywhere) для заражения компьютеров их клиентов вымогательским ПО. Первые сообщения о заражении появились в четверг, 20 июня, на форуме Reddit в разделе, посвященном MSP. Глава компании Huntress Lab Кайл Ханслован (Kyle Hanslovan) в режиме online помог некоторым провайдерам в расследовании инцидента. Как пояснил Ханслован, злоумышленники взломали системы провайдеров через скомпрометированный удаленный рабочий стол (RDP), повысили свои привилегии и вручную деинсталлировали антивирусные продукты наподобие ESET и Webroot. На второй стадии атаки злоумышленники искали учетные записи Webroot SecureAnywhere, консоли, используемой провайдерами для управления удаленными рабочими станциями в сетях их клиентов. С ее помощью злоумышленники выполнили на удаленных рабочих станциях скрипт Powershell для загрузки и выполнения вымогательского ПО Sodinokibi. Sodinokibi является сравнительно новым вредоносом, впервые обнаруженным в конце апреля нынешнего года. В то время злоумышленники распространяли его через уязвимость в Oracle WebLogic. В тот же день, когда появились первые сообщения об атаках, компания Webroot начала в принудительном порядке включать двухфакторную аутентификацию для учетных записей SecureAnywhere. Дело в том, что в консоли предусмотрен механизм двухфакторной аутентификации, но он отключен по умолчанию.

За прошедшие 18 месяцев Turla атаковала 13 организаций в 10 различных странах мира. Русскоязычная киберпреступная группировка Turla взломала инфраструктуру своих конкурентов из OilRig для проникновения в сеть организации, представляющей интерес для обеих групп. Turla (также известна под названиями Waterbug, Snake, WhiteBear, VENOMOUS BEAR и Kypton) специализируется на кибершпионаже, список ее жертв включает различные организации - от военных и правительственных структур до компаний в сфере образования и научных исследований. OilRig (Crambus, APT34, HelixKitten), которую ИБ-эксперты связывают с иранским правительством, также занимается кибершпионажем и в основном атакует правительственные организации и предприятия в странах Ближнего Востока. За прошедшие 18 месяцев специалисты Symantec зафиксировали три кампании, организованные Turla. В общей сложности группировка атаковала 13 организаций в 10 различных странах мира (министерства в Европе, странах Латинской Америки и Ближнего Востока, а также компании в сфере IT и образования). В ходе одной из таких кампаний группировка взломала инфраструктуру OilRig для компрометации компьютера в сети одной из целевых организаций. Что интересно, другие компьютеры в сети Turla атаковала, используя собственную инфраструктуру. Хотя исследователи допускают возможность сотрудничества между двумя группировками, им не удалось найти доказательства в поддержку данной теории. Одним из свидетельств взлома может служить использование модифицированного варианта Mimikatz (инструмент для сбора учетных данных), ранее замеченного только в атаках Turla. Кроме того, утилита IntelliAdmin, используемая группировкой OilRig в своих операциях, загружалась на компьютер жертвы с помощью созданного Turla бэкдора. По словам экспертов, OilRig первой скомпрометировала целевую сеть в ноябре 2017 года, а признаки активности Turla в той же сети были замечены в январе 2018 года. При этом часть компьютеров была взломана Turla, а часть - OilRig. Исследователи высказали несколько предположений о мотивах подобного поведения Turla. В частности, группировка могла использовать такой ход, чтобы запутать ИБ-экспертов, или просто воспользовалась возможностью с целью получить доступ к жертве.

Иран усилил кибератаки на США



За последние несколько недель киберпреступники засыпали госучреждения и нефтегазовые компании в США фишинговыми письмами. В последнее время Иран существенно усилил кибератаки на правительственные учреждения и объекты критической инфраструктуры США. По данным специалистов компаний CrowdStrike и FireEye, за последние несколько недель киберпреступные группировки, предположительно работающие в интересах иранского правительства, засыпали американские госучреждения и нефтегазовые компании фишинговыми письмами. Всплеск атак был зафиксирован после введения в этом месяце администрацией Дональда Трампа санкций в отношении иранских нефтехимических компаний, пишет The Washington Post. Фишинговые письма были замаскированы под легитимные, но содержали вредоносное ПО. Одни из них выдавались за приглашения от Исполнительного офиса президента на должность экономического советника. Другие же носили более общий характер и маскировались под уведомления от Microsoft Outlook об обновлении адресной книги. Оказалась ли хотя бы одна попытка кибератаки успешной, не сообщается. Исследователи из CrowdStrike назвали группировку, стоящую за атаками, Refined Kitten. Уже не первый год она атакует энергетический и оборонный секторы США, а также их союзников Саудовской Аравии и ОАЭ. «Это больше не война на расстоянии. Теперь иранцы, так сказать, могут принести войну в американские дома», - сообщил вице-президент ИБ-компании Dragos Серджио Калтаджироне (Sergio Caltagirone). Как ранее сообщал SecurityLab, на прошлой неделе Минобороны США осуществило кибератаку на иранские системы запуска ракет.

Двое израильтян арестованы по подозрению во взломе криптобиржи Bitfinex



Сотрудники правоохранительных органов Израиля арестовали двух братьев, подозреваемых во взломе криптовалютной биржи Bitfinex и проведении фишинговых атак. Братья Эли и Ассаф Гиги подозреваются в длительном систематическим хищении криптовалюты, доступ к которой они получали, взламывая учетные записи пользователей. Как утверждают в полиции, злоумышленникам удалось похитить десятки миллионов долларов. В частности, подозреваемые создавали клоны web-сайтов крупных криптовалютных бирж и кошельков и размещали ссылки на них в сервисе Telegram и в других криптосообществах. Кроме того, по данным полиции, они принимали участие во взломе криптовалютной биржи Bitfinex в 2016 году. В основном от действий злоумышленников пострадали жители ЕС и США. В этой связи розыском преступников занимались правоохранительными органами сразу нескольких стран. Интересно, что после ареста полиция смогла обнаружить криптовалютный кошелек, в котором содержалось значительно меньше средств, чем предположительно украли братья.

Поймать киберпреступника полиции помог «коктейль Молотова»



Счастливый случай помог бельгийской полиции выйти на участника Cyber Crew и Anonymous Belgium.

В ходе расследования дела о поджоге местного банка бельгийская полиция выявила киберпреступника, промышлявшего DDoS-атаками и вымогательством. 35-летний житель города Руселаре (Бельгия) был арестован в 2014 году за попытку поджога офиса банка Crelan Bank с помощью «коктейля Молотова». Бросая бутылку с зажигательной смесью, мужчина выронил USB-флешку, которая помогла полиции установить его личность. После обыска в доме подозреваемого, указанного в материалах суда как Брехт С. (Brecht S.), и анализа его компьютерных устройств оказалось, что он является членом киберпреступной группировки Cyber Crew и участвует в движении Anonymous Belgium. Брехт С. не только пытался поджечь офис Crelan Bank, но также неоднократно осуществлял DDoS-атаки на его сервис online-банкинга. В некоторых случаях портал оставался недоступным в течение нескольких часов. По словам обвиняемого, его действия являются актом мести банку. После развода его родителей со счета матери пропали €300 тыс., однако представители банка якобы отказались встретиться и помочь Брехту С. разобраться в случившемся. Как бы то ни было, бельгиец не ограничивался DDoS-атаками лишь на Crelan Bank. Будучи участником Cyber Crew и Anonymous Belgium, он осуществлял атаки на Международную федерацию футбола (FIFA) и занимался вымогательством. По данным следствия, он осуществлял DDoS-атаки на неназванную пиццерию и требовал выкуп за их прекращение. За совершенные киберпреступления Брехт С. был приговорен к 18 месяцам лишения свободы и должен выплатить пострадавшему банку €3 тыс. в качестве компенсации за выведение из строя сервиса online-банкинга. Еще три года тюрьмы преступник получил за поджог.

Кибершпионская кампания ViceLeaker атакует пользователей Android-устройств



Злоумышленники внедряют вредоносный код в легитимные приложения для Android. Специалисты в области информационной безопасности предупреждают о кампании по кибершпионажу, направленной на пользователей Android-устройств в Израиле и некоторых странах Ближнего Востока. Кампания под названием ViceLeaker активна с 2016 года и продолжается по сей день. В ходе атак злоумышленники распространяют мощное вредоносное ПО Triout, способное незаметно для владельца красть практически всю информацию на мобильном устройстве, включая записи звонков, текстовые сообщения, фотографии, видео, данные о местоположении и пр. Triout может использоваться в качестве фреймворка для внедрения вредоносного кода в легитимные приложения. Согласно новому отчету «Лаборатории Касперского», операторы ViceLeaker применяют инструмент Baksmali для внедрения своего кода в официальные приложения для Android (техника, известная как Smali injection). В частности, исследователи обнаружили модифицированую версию приложения «Conversations». Для каких именно целей использовался данный вариант, специалистам выяснить не удалось. По одной из теорий, организаторы ViceLeaker могут использовать модифицированную версию «Conversations» для общения между собой. По данным экспертов, в основном распространение вредоносных приложений осуществляется через мессенджеры Telegram и WhatsApp. Кампания ViceLeaker все еще продолжается и, учитывая, что преступники могут распространять вредоносные версии легитимных программ через сторонние магазины приложений, мессенджеры или подконтрольные им интернет-страницы, владельцам Android-устройств настоятельно рекомендуется загружать приложения только от проверенных разработчиков и из доверенных источников.

Китайские кибершпионы проникли в сети восьми западных IT-компаний



Хакеры, работающие на Министерство государственной безопасности КНР, проникли в сети восьми крупнейших технологических сервис-провайдеров с целью похищения коммерческих тайн их клиентов. Продолжавшаяся в течение нескольких лет кибершпионская операция получила название Cloud Hopper. Об этом информагентству Reuters сообщили источники, располагающие информацией об инцидентах. В декабре прошлого года Министерство юстиции США предъявило обвинения двум гражданам КНР в похищении интеллектуальной собственности западных компаний в интересах китайской экономики. Тогда сообщалось, что жертвами кибершпионов стали Hewlett Packard Enterprise и IBM. Теперь же Reuters смогло называть еще шесть организаций, чья интеллектуальная собственность утекла в Китай. Помимо Hewlett Packard Enterprise и IBM, жертвами кибершпионов стали Fujitsu, Tata Consultancy Services, NTT Data, Dimension Data, Computer Sciences Corporation и DXC Technology (принадлежит Hewlett Packard Enterprise). От действий злоумышленников также пострадали более десяти клиентов вышеперечисленных компаний, в том числе шведская телекоммуникационная компания Ericsson, американская оборонная кораблестроительная компания Huntington Ingalls Industries и сервис бронирования билетов Sabre. Reuters не удалось установить полный масштаб причиненного ущерба, а многие жертвы не смогли определить, какая информация была похищена. Напомним, работающие на китайское правительство хакеры также проникли в сети десяти крупнейших телекоммуникационных компаний по всему миру с целью слежения за высокопоставленными лицами.

Reuters: Западные спецслужбы пытались взломать «Яндекс» для слежки за пользователями



В «Яндексе» подтвердили попытку атаки, но заверили, что злоумышленники не смогли получить доступ к данным пользователей. В конце 2018 года хакеры, работающие на западные спецслужбы, предприняли попытку взлома российской компании «Яндекс» для слежки за пользователями. Об этом сообщило агентство Reuters со ссылкой на четыре осведомленных источника. В ходе атак злоумышленники использовали редкое вредоносное ПО Regin, которое, как считается, применяет альянс «Пять глаз»(Five Eyes), включающий США, Великобританию, Австралию, Новую Зеландию и Канаду. По словам источников, определить, из какой страны исходила атака, не удалось, а сама попытка взлома была произведена между октябрем и ноябрем 2018 года. Как пояснили собеседники агентства, злоумышленников интересовала техническая информация, которая помогла бы узнать, как «Яндекс» проводит авторизацию пользователей. С помощью этих сведений разведслужба могла бы выдать себя за пользователя «Яндекса» и получить доступ к его частным сообщениям. По данным агентства, целью злоумышленников была группа разработчиков «Яндекса». Представители российской компании подтвердили попытку взлома, отметив, что атака была обнаружена и нейтрализована на начальной стадии, до причинения ущерба. «Можем заверить, что злоумышленники не смогли получить доступ к данным пользователей сервисов Яндекса», - подчеркнули в пресс-службе компании. В «Яндексе» также отметили, что компания постоянно сталкивается с различными видами киберугроз и ее политика не подразумевает распространения подробной информации о таких инцидентах.

Костромич получил 3 года колонии за торговлю вредоносным ПО



Молодой человек администрировал один из Telegram-каналов, где продавал вредоносные программы. Ленинский районный суд Костромы вынес обвинительный приговор в отношении 26-летнего костромича за распространение вредоносных программ. По информации издания Kostroma.Today, молодой человек администрировал один из Telegram-каналов, где продавал вредоносные программы, базы данных и учетные данные в различных сервисах. Однако бизнес просуществовал недолго, мужчина был арестован сотрудниками ФСБ. Как выяснилось в ходе расследования уголовного дела, молодой человек был прежде дважды судим за мошенничество. Он получил условный срок за махинации с кредитами. Учитывая все обстоятельства дела, суд приговорил молодого человека к тюремному заключению сроком на три года.

Facebook годами использовалась для распространения троянов Houdini, Remcos и SpyNote



Социальная сеть Facebook в течение нескольких лет использовалась в качестве площадки для распространения троянов для удаленного доступа, в том числе Houdini, Remcos и SpyNote. По данным специалистов из Check Point, кампания, получившая название «Operation Tripoli», активна с 2014 года, а количество пострадавших исчисляется десятками тысяч. В основном жертвами кампании стали пользователи из Ливии, Европы, США и Китая, переходившие по ссылкам, связанным с сообщениями о беспорядках в Ливии. Для распространения вредоносов организаторы кампании использовали фальшивую страницу главнокомандующего национальной армией Ливии Халифы Хавтара, которая с момента создания в апреле 2019 года успела привлечь более 11 тыс. подписчиков. При переходе по размещенным на странице ссылкам на устройства пользователей загружались вредоносные файлы (VBE и WSF для ПК на Windows и APK для Android-гаджетов), устанавливающие на систему троян для удаленного доступа. Само вредоносное ПО размещалось на публичных серверах, принадлежащих в том числе Google.Диск, Box и Dropbox. Помимо вышеуказанной, специалисты выявили в Facebook более 30 страниц, распространяющих примерно 40 вредоносных ссылок с 2014 года, причем число подписчиков одного из аккаунтов превышало 100 тыс. По мнению экспертов, стоящий за кампанией киберпреступник мог перехватить контроль над рядом самых популярных страниц. Исследователям удалось отследить предполагаемого организатора кампании, им оказался некто под псевдонимом «Dexter Ly», ранее уже засветившийся в кибератаках, направленных на кражу конфиденциальной информации, связанной с Ливией. Команда Check Point проинформировала Facebook о своих находках, и администрация соцсети уже удалила вредоносные страницы.

Иранская APT-группа внедряет вредоносы в правительственные сети через уязвимость в Outlook



Баг позволяет выйти за пределы окружения песочницы Outlook и выполнить вредоносный код на системе. Киберкомандование США (United States Cyber Command) предупредило об эксплуатации киберпреступниками уязвимости в почтовом клиенте Outlook с целью внедрения вредоносного ПО в правительственные сети. Речь идет об уязвимости CVE-2017-11774, обнаруженной в 2017 году и исправленной Microsoft в октябре того же года. Данный баг позволяет выйти за пределы окружения песочницы Outlook и выполнить вредоносный код на системе. В 2018 году уязвимость взяла на вооружение иранская проправительственная группировка APT33 (или Elfin), в основном известная разработкой вредоносной программы Shamoon, стирающей данные с жестких дисков. По данным ИБ-компании FireEye, в атаках в минувшем декабре группировка внедряла бэкдоры на web-серверы и использовала CVE-2017-11774 для заражения систем жертв вредоносным ПО. Атаки APT33 совпали по времени с сообщениями о появлении новых версий Shamoon. Хотя эксперты не нашли связи между двумя этими событиями, по словам эксперта Chronicle Security Брэндона Ливина (Brandon Levene), образцы, загруженные Киберкомандованием США на VirusTotal, имеют отношение к атакам Shamoon в 2017 году. В интервью изданию ZDNet Ливин пояснил, что три из пяти вредоносов представляют собой инструменты для управления скомпрометированными web-серверами, а остальные два - загрузчики, использующие PowerShell для загрузки трояна для удаленного доступа PUPY RAT. По словам эксперта, если атаки с эксплуатацией CVE-2017-11774 и данные вредоносы действительно связаны между собой, это проливает свет на то, как именно APT33/операторы Shamoon компрометируют объекты атак, поскольку ранее информации о векторах заражения было немного. В ноябре минувшего года Кибернетическое командование США запустило проект, в рамках которого публикует на VirusTotal незасекреченные образцы вредоносного ПО, используемого в атаках различных APT-группировок.

Обнаружено первое в мире вредоносное ПО, использующее DoH-запросы



Вредоносное ПО Godlua заражает устаревшие Linux-серверы через уязвимость в Atlassian Confluence Server. Исследователи подразделения Netlab китайской ИБ-компании Qihoo 360 обнаружили первый в мире образец вредоносного ПО, использующий протокол DNS поверх HTTPS (DoH). Вредоносное ПО Godlua написано на языке Lua и на зараженной системе играет роль бэкдора. Злоумышленники используют его для заражения устаревших Linux-серверов через уязвимость в Atlassian Confluence Server (CVE-2019-3396). Загруженные на VirusTotal ранние версии вредоноса были ошибочно классифицированы как майнеры криптовалют, но на самом деле Godlua является DDoS-ботом, уже используемым в реальных атаках. На данный момент исследователи выявили только два образца вредоноса с похожей архитектурой. Обе версии используют DoH-запросы на текстовые записи DNS, содержащие URL-адрес C&C-сервера, к которому Godlua подключается для получения инструкций. Сама по себе техника получения URL-адреса C&C-сервера из текстовой записи DNS далеко не нова. Новое здесь – использование DoH-запросов вместо стандартных DNS-запросов. Как следует из названия протокола, DNS поверх HTTPS отправляет DNS-запросы по HTTPS. DoH-запросы являются зашифрованными и невидимыми для сторонних наблюдателей, в том числе для решений безопасности, использующих пассивный мониторинг DNS для блокировки запросов к известным вредоносным доменам. Эксперты обеспокоены тем, что вскоре операторы других вредоносов возьмут на вооружение данную технику, сделав огромное число ИБ-решений бесполезными.

В Испании арестован крупнейший кибермошенник за всю историю страны



Испанский «Арсен Люпен» зарабатывал до 300 тыс. евро в месяц на мошенничестве. В Мадриде арестован крупнейший в истории Испании кибермошенник по прозвищу Люпен. Как сообщают «РИА Новости», на арест преступника было выдано 25 судебных ордеров. 23-летний испанец обвиняется в создании фиктивных интернет-магазинов, предлагавших покупателям игровые приставки, мобильные устройства и бытовую технику. Мошенник активно рекламировал свои сайты в соцсетях, а спустя несколько дней закрывал их, прикарманив деньги незадачливых покупателей (оплата за «товар» производилась только банковским переводом). По данным правоохранительных органов, за три года незаконной деятельности испанец успел создать до 30 таких сайтов-однодневок. Доход с мошеннических магазинов составлял порядка 300 тыс. евро в месяц. Помимо фиктивных интернет-магазинов доход мошеннику приносили банковские данные жертв, которые он заполучал с помощью методов социальной инженерии. Люпен убеждал покупателей установить приложение, якобы позволяющее отслеживать покупку. На деле же приложение собирало банковские данные жертвы и отправляло их мошеннику. С их помощью преступник переводил деньги со счетов покупателей на другие карты, а затем обналичивал их через банкоматы, наняв для этого «мулов». Вместе с Люпеном полиция арестовала двоих сообщников. У подозреваемых было изъято пятьдесят мобильных устройств и сто SIM-карт, зарегистрированных на подставных лиц.