Страницы

понедельник, 10 сентября 2018 г.

Актуальные киберугрозы: II квартал 2018 года

Компания Positive Technologies продолжает рассказывать об актуальных угрозах информационной безопасности, основываясь на собственной экспертизе, результатах многочисленных расследований, а также данных авторитетных источников.

Подводя итоги II квартала 2018 года, мы отмечаем следующие тенденции: 


  • Количество уникальных киберинцидентов продолжило расти и на 47% превысило показатели аналогичного периода в 2017 году.
  • Преобладали целенаправленные атаки — на конкретные организации и их клиентов, на криптовалютные биржи. В ходе этих атак злоумышленники были довольно изобретательны. Они не только использовали вредоносное ПО, но и искали уязвимости нулевого дня, узнавали пароли администраторов с помощью социальной инженерии, получали доступ к ресурсам контрагентов.
  • Во второй половине квартала произошло большое количество (в два раза больше, чем за I квартал) атак на криптовалютные площадки, в результате которых злоумышленники похитили более 100 млн долл. США.
  • Продолжила расти доля кибератак, выполненных с целью получения информации. Причем злоумышленники больше всего были заинтересованы в персональных и учетных данных, а также в данных банковских карт. Их похищали в основном посредством компрометации различных онлайн-площадок — интернет-магазинов, сервисов для продажи билетов, бронирования отелей и т. п.
  • Частные лица страдали от различного вредоносного ПО: большую его часть они устанавливали сами по невнимательности или незнанию, однако встречались и такие методы атак, когда, например, новые смартфоны продавались в магазине с уже установленным в прошивку ВПО.

Если говорить о прогнозах, то, вероятно, сохранится тенденция к увеличению доли атак, направленных на хищение данных. Многие компании уделяют недостаточно внимания защите обрабатываемой информации (особенно персональных и медицинских данных), что делает ее легкой добычей даже для низкоквалифицированных хакеров (которых с каждым днем становится все больше). Полученная информация затем продается на теневом рынке и используется для других кибератак.

пятница, 10 августа 2018 г.

Низкоуровневый взлом банкоматов NCR


Изображение: Sascha Kohlmann, CC BY-SA 2.0

Существуют системы, доступа к которым у простых смертных нет по умолчанию. И разработчики таких систем наивно полагают, что они защищены от проникновения и зорких глаз исследователей.

Взять хотя бы банкоматы (АТМ). Нередки случаи, когда к АТМ подходят неизвестные, подключают ноутбук, забирают деньги и уходят, не оставляя каких-либо логов в системе. А недавние истории с «котлетами» (вредоносное ПО под названием Cutlet Maker) и подавно подтверждают, что неуязвимых систем нет — есть недоисследованные.

понедельник, 30 июля 2018 г.

Анализ поведения трояна Pegasus в сети

Недавно был опубликован исходный код банковского трояна Pegasus. Несмотря на упоминание группы Carbanak в названии архива, исследователи из компании Minerva Labs опровергли причастность этой группы к трояну и доказали его связь с группой Buhtrap (Ratopak). Внутри архива находится краткое описание работы трояна, его исходный код, информация о системе банковских платежей и данные сотрудников многих российских банков.

Архитектура исходного кода Pegasus довольно интересна. Функциональность поделена на модули, собираемые в единый binpack на этапе компиляции. Процесс компиляции также включает в себя подпись исполняемых файлов сертификатом из файла tric.pfx, который отсутствует в архиве.

Не менее любопытна и сетевая активность трояна: после заражения он пытается распространиться внутри домена, умеет проксировать данные между машинами, используя пайпы и транспорт Mailslot. Мы сфокусировались на изучении особенностей сетевой активности трояна и оперативно добавили детекты для Pegasus в продукт PT Network Attack Discovery. Это позволит всем пользователям PT NAD своевременно обнаружить активность этого трояна и его модификаций в своей сети. В статье я дам подробное описание механизмов распространения по сети и взаимодействия между копиями Pegasus.

среда, 18 июля 2018 г.

Intel выпустила исправления новых уязвимостей прошивки ME


В начале июля компания Intel выпустила два security advisory (SA-00112 и SA-00118), в которых описала исправления в прошивке Intel Management Engine. Оба бюллетеня безопасности описывают ошибки, позволяющие атакующему произвольное выполнение кода на внутреннем процессоре PCH (Minute IA).

Эти ошибки аналогичны тем, которые специалисты по безопасности компании Positive Technologies обнаружили в ноябре прошлого года (SA-00086). Однако история на этом не закончилась, и теперь Intel выпустила новые исправления уязвимостей в ME.

четверг, 14 июня 2018 г.

В компьютерах Apple закрыта уязвимость прошивки, найденная экспертами Positive Technologies

Исправленная уязвимость позволяла эксплуатировать опасную ошибку в подсистеме Intel Management Engine и по-прежнему может присутствовать в устройствах других вендоров, использующих процессоры Intel.

Компания Apple выпустила обновление для macOS High Sierra 10.13.4, которое устраняет уязвимость в прошивке персональных компьютеров (CVE-2018-4251), обнаруженную экспертами Positive Technologies Максимом Горячим и Марком Ермоловым. Подробная информация об этом представлена на сайте технической поддержки Apple.