Кириенко работает над очищением кармы ВКонтакте после Добродеева.
Социальная сеть при новых владельцах и менеджерах запустила бесплатный определитель номеров для защиты от нежелательных звонков. Функция работает в фоновом режиме без интернета на iOS и Android.
К нежелательным звонкам алгоритм относит вызовы от мошенников, коллекторов, подозрительных организаций и «немые» звонки. Включить сервис можно в настройках приложения.
Такие входящие алгоритм будет помечать как спам и показывать сферу деятельности компании.
@NeKaspersky
Социальная сеть при новых владельцах и менеджерах запустила бесплатный определитель номеров для защиты от нежелательных звонков. Функция работает в фоновом режиме без интернета на iOS и Android.
К нежелательным звонкам алгоритм относит вызовы от мошенников, коллекторов, подозрительных организаций и «немые» звонки. Включить сервис можно в настройках приложения.
Такие входящие алгоритм будет помечать как спам и показывать сферу деятельности компании.
@NeKaspersky
💩5
Никогда такого не было, и вот опять: очередной банкер распространяется через Play Store
На текущий момент вредонос находится в активной разработке, но уже может похвастаться 50к установок в Play Store, сообщают исследователи из ThreatFabric. Xenomorph (название трояна) нацелен на кражу средств из по меньшей мере 56 различных банков в Испании, Португалии, Италии и Бельгии. Он так же способен перехватывать уведомления и SMS, из которых можно собрать коды подтверждения для различных банковских операций.
По словам ThreatFabric, код Xenomorph-а местами напоминает таковой другого банкера, получившего имя «Alien». Этот факт, вероятно, указывает на то, что либо оба вредоноса разработаны одним человеком/группой, либо Ксеноморф является улучшенной версией Чужого.
В Play Store малварь распространяется под видом классических приложений для улучшения производительности девайсов, например, «Fast Cleaner» (именно он набрал 50,000 установок). Чтобы пройти проверку на безопасность, такие приложения тащат полезную нагрузку по сети уже после установки: таким образом приложение не имеет явно вредоносного функционала в момент публикации.
@NeKaspersky
На текущий момент вредонос находится в активной разработке, но уже может похвастаться 50к установок в Play Store, сообщают исследователи из ThreatFabric. Xenomorph (название трояна) нацелен на кражу средств из по меньшей мере 56 различных банков в Испании, Португалии, Италии и Бельгии. Он так же способен перехватывать уведомления и SMS, из которых можно собрать коды подтверждения для различных банковских операций.
По словам ThreatFabric, код Xenomorph-а местами напоминает таковой другого банкера, получившего имя «Alien». Этот факт, вероятно, указывает на то, что либо оба вредоноса разработаны одним человеком/группой, либо Ксеноморф является улучшенной версией Чужого.
В Play Store малварь распространяется под видом классических приложений для улучшения производительности девайсов, например, «Fast Cleaner» (именно он набрал 50,000 установок). Чтобы пройти проверку на безопасность, такие приложения тащат полезную нагрузку по сети уже после установки: таким образом приложение не имеет явно вредоносного функционала в момент публикации.
@NeKaspersky
BleepingComputer
New Xenomorph Android malware targets customers of 56 banks
A new malware called Xenomorph distributed through Google Play Store has infected more than 50,000 Android devices to steal banking information.
«Клон» AirTag позволяет следить за людьми и успешно обходит ограничения, введенные Apple
Девайс, созданный Фабианом Браунляйн, исследователем из Positive Security, построен на базе Esp32 — достаточно дешевый популярный микроконтроллер с wifi и bluetooth — и OpenHaystack — открытого фреймворка для работы с яблочным Find My.
Данный «клон» не имеет привязки к Apple ID, уникального для AirTag-ов серийного номера и пищалки. Более того, он обходит и другой механизм защиты от слежки: чтобы сделать девайсы, использующие Find My, внешне неотличимыми друг от друга, но при этом иметь возможность самой определять, «кто есть кто», Apple заставляет упомянутые девайсы бродкастить сообщения с их публичным ключом. Так вот, вместо того, чтобы сообщать окружающим данные одного ключа, «клон» делает то же самое, но для 2000 предварительно сгенерированных ключей, так что для всех остальных такой девайс выглядит как обычный «мимо крокодил».
Самые внимательные уже задаются вопросом, каким же образом можно отслеживать такой девайс, если он не привязан к Apple ID? Для этого используется приложение для MacOs от тех же OpenHaystack. Приложение и другие интересности можно найти на гитхабе проекта.
@NeKaspersky
Девайс, созданный Фабианом Браунляйн, исследователем из Positive Security, построен на базе Esp32 — достаточно дешевый популярный микроконтроллер с wifi и bluetooth — и OpenHaystack — открытого фреймворка для работы с яблочным Find My.
Данный «клон» не имеет привязки к Apple ID, уникального для AirTag-ов серийного номера и пищалки. Более того, он обходит и другой механизм защиты от слежки: чтобы сделать девайсы, использующие Find My, внешне неотличимыми друг от друга, но при этом иметь возможность самой определять, «кто есть кто», Apple заставляет упомянутые девайсы бродкастить сообщения с их публичным ключом. Так вот, вместо того, чтобы сообщать окружающим данные одного ключа, «клон» делает то же самое, но для 2000 предварительно сгенерированных ключей, так что для всех остальных такой девайс выглядит как обычный «мимо крокодил».
Самые внимательные уже задаются вопросом, каким же образом можно отслеживать такой девайс, если он не привязан к Apple ID? Для этого используется приложение для MacOs от тех же OpenHaystack. Приложение и другие интересности можно найти на гитхабе проекта.
@NeKaspersky
👍5
Media is too big
VIEW IN TELEGRAM
Лаборатория Касперского сняла ролик ко дню защитника отечества. Получилось как-то очень кринжово и с жирной нотой сексизма. Как вам?
💩13👍11🤮8
Да-да, речь о том самом черве-шифровальщике, имя которого звучало из каждого утюга в далеком 2017 ом. Согласно отчету исследователей из Bitdefender, WannaCry стал наиболее часто детектируемой рансомварью в январе этого года: на него пришлось аж 43% срабатываний. Сразу за ним расположился не менее древний GandCrab 2019 года рождения c 13% детектов.
Как поясняют сами исследователи, фактически в этом нет ничего необычного: эта активность связана с кампаниями по автоматической рассылке вредоносов, которые никогда не прекращались. Также стоит иметь в виду, что речь идет о детектах, а не заражениях.
Еще Bitdefender представили список стран, где детекты происходят чаще всего. Подобно многим людям, рансомварь тоже пытается иммигрировать в США, на счету которых 24% всех детектов; второй по спросу страной стала Канада с 15%. Что интересно, чаще всего «устроиться на работу» вредоносы хотят в правительственные учреждения (26%), телеком (24%) и образовательные/исследовательские учреждения (24%).
@NeKaspersky
Как поясняют сами исследователи, фактически в этом нет ничего необычного: эта активность связана с кампаниями по автоматической рассылке вредоносов, которые никогда не прекращались. Также стоит иметь в виду, что речь идет о детектах, а не заражениях.
Еще Bitdefender представили список стран, где детекты происходят чаще всего. Подобно многим людям, рансомварь тоже пытается иммигрировать в США, на счету которых 24% всех детектов; второй по спросу страной стала Канада с 15%. Что интересно, чаще всего «устроиться на работу» вредоносы хотят в правительственные учреждения (26%), телеком (24%) и образовательные/исследовательские учреждения (24%).
@NeKaspersky
😁3👍2
MS SQL под атакой Cobalt Strike.
Аналитики угроз из AhnLab обнаружили новую волну атак, в ходе которой на устройства потенциальных жертв устанавливаются маячки Cobalt Strike. Всё это приводит к проникновению в сеть жертвы с последующим заражением вредоносным ПО.
MS-SQL — написанная на C, С++, C# система управления реляционными базами данных, разработанная корпорацией Microsoft. Использует язык Transact-SQL, который является реализацией стандарта ANSI/ISO по структурированному языку запросов (SQL) с расширениями. Используется для работы с базами данных размером от персональных до крупных баз данных масштаба предприятия; конкурирует с другими СУБД в этом сегменте рынка.
Атака начинается с того, что злоумышленники сканируют сервера с открытым TCP-портом 1433, которые, скорее всего, являются публичными серверами MS-SQL. Затем злоумышленник проводит перебор и атаку по словарю для взлома пароля. Чтобы атака сработала при любом из этих методов, целевой пароль должен быть слабым. Исследователи ASEC заметили, что при получении злоумышленником доступа к учетной записи админа и входа на сервер, он запускает разнообразные майнеры, такие как Lemon Duck, KingMiner и Vollgar. А для большей устойчивости, на сервер устанавливается бэкдор с помощью Cobalt Strike (фреймворк для эксплуатации и постэксплуатации. То есть с его помощью можно как сформировать полезные нагрузки, так и использовать его для развития атаки, укрепления и контроля над целевой сетью).
В свою очередь, сами маяки Cobalt Strike загружаются за счет командной оболочки cmd.exe и powershell.exe на скомпрометированный MS-SQL и выполняются в MSBuild.exe, чтобы избежать обнаружения. После выполнения маяк внедряется уже в сам легитимный процесс Windows wwanmm.dll и ожидает команд злоумышленника, оставаясь скрытым в файле системной библиотеки.
Прелесть маяка в том, что вредоносное поведение команды злоумышленника не является подозрительным в области памяти, а работает в обычном модуле wwanmm.dll, он может обойти обнаружение на основе памяти. Данный инструмент стоит около 3500 “зелени”, но, благодаря очередному сливу взломанных версий, его использование субъектами угроз вышло из-под контроля. На данный момент его используют Squirrelwaffle, Emotet, операторы вредоносных программ, оппортунистические атаки, группы, нацеленные на Linux, сложные противники и, как правило, банды, занимающиеся вымогательством при проведении атак.
Чем же так хорош Cobalt Strike? А все дело в обширном функционале. В его состав входит: выполнение команды, кейлогер, выполнение файловых операций, SOCKS-проксирование, повышение привелегий, кража учетных данных и сканирование портов. Также маяк Cobalt Strike представляет собой безфайловый шеллкод, благодаря чему шансы его обнаружения средствами безопасности минимальны.
Как заявляют AhnLab, все URL-адреса загрузки и URL-адреса серверов C2 указывают на одного и того же злоумышленника.
@NeKaspersky
Аналитики угроз из AhnLab обнаружили новую волну атак, в ходе которой на устройства потенциальных жертв устанавливаются маячки Cobalt Strike. Всё это приводит к проникновению в сеть жертвы с последующим заражением вредоносным ПО.
MS-SQL — написанная на C, С++, C# система управления реляционными базами данных, разработанная корпорацией Microsoft. Использует язык Transact-SQL, который является реализацией стандарта ANSI/ISO по структурированному языку запросов (SQL) с расширениями. Используется для работы с базами данных размером от персональных до крупных баз данных масштаба предприятия; конкурирует с другими СУБД в этом сегменте рынка.
Атака начинается с того, что злоумышленники сканируют сервера с открытым TCP-портом 1433, которые, скорее всего, являются публичными серверами MS-SQL. Затем злоумышленник проводит перебор и атаку по словарю для взлома пароля. Чтобы атака сработала при любом из этих методов, целевой пароль должен быть слабым. Исследователи ASEC заметили, что при получении злоумышленником доступа к учетной записи админа и входа на сервер, он запускает разнообразные майнеры, такие как Lemon Duck, KingMiner и Vollgar. А для большей устойчивости, на сервер устанавливается бэкдор с помощью Cobalt Strike (фреймворк для эксплуатации и постэксплуатации. То есть с его помощью можно как сформировать полезные нагрузки, так и использовать его для развития атаки, укрепления и контроля над целевой сетью).
В свою очередь, сами маяки Cobalt Strike загружаются за счет командной оболочки cmd.exe и powershell.exe на скомпрометированный MS-SQL и выполняются в MSBuild.exe, чтобы избежать обнаружения. После выполнения маяк внедряется уже в сам легитимный процесс Windows wwanmm.dll и ожидает команд злоумышленника, оставаясь скрытым в файле системной библиотеки.
Прелесть маяка в том, что вредоносное поведение команды злоумышленника не является подозрительным в области памяти, а работает в обычном модуле wwanmm.dll, он может обойти обнаружение на основе памяти. Данный инструмент стоит около 3500 “зелени”, но, благодаря очередному сливу взломанных версий, его использование субъектами угроз вышло из-под контроля. На данный момент его используют Squirrelwaffle, Emotet, операторы вредоносных программ, оппортунистические атаки, группы, нацеленные на Linux, сложные противники и, как правило, банды, занимающиеся вымогательством при проведении атак.
Чем же так хорош Cobalt Strike? А все дело в обширном функционале. В его состав входит: выполнение команды, кейлогер, выполнение файловых операций, SOCKS-проксирование, повышение привелегий, кража учетных данных и сканирование портов. Также маяк Cobalt Strike представляет собой безфайловый шеллкод, благодаря чему шансы его обнаружения средствами безопасности минимальны.
Как заявляют AhnLab, все URL-адреса загрузки и URL-адреса серверов C2 указывают на одного и того же злоумышленника.
@NeKaspersky
👍5
Глобальный опрос, в котором изучался опыт жертв рансомвари, подчеркивает: в большинстве случаев после выплаты выкупа вымогательство продолжается.
Опрос был проведен специалистами из Venafi, и наиболее важными выводами стали:
• в 18% случаев данные жертв, заплативших выкуп, все равно размещались в сети;
• в 8% случаев, когда жертвы отказывались платить выкуп, злоумышленники пытались вымогать деньги у их клиентов;
• 35% жертв, заплативших выкуп, не смогли вернуть доступ к своим данным.
Что касается тактики злоумышленников, она сводится к следующему:
• 83% успешных атак сопровождались двойным*⃰ и тройным*⃰*⃰ вымогательством;
• 38% атак угрожали использовать украденные данные для вымогательства у клиентов;
• 32% атак угрожали прямым информированием клиентов жертвы об инциденте с утечкой данных.
Отсутствие доверия к вымогателям обусловлено тем, что большинство операций Ransomware-as-a-Service (рансомварь как услуга, RaaS) недолговечны, поэтому операторы банально стремятся максимизировать прибыль в единицу времени и не заботятся о репутации. Как следствие, многие операторы не следуют правилам, установленным провайдерами RaaS. Более того, даже если данных не сливают сразу, чаще всего они не удаляются и рано или поздно попадают в руки других киберпреступников.
Однако, многие компании все равно решают платить злоумышленникам, т.к. такой шаг является экономически выгодным уже с их стороны: стоимость выкупа обычно существенно ниже, чем потери, которые фирма понесет, если остановит операции на неопределенный срок для восстановления из бекапов. Более того, если освещена в сети, подобная компрометация также будет означать репутационные издержки. Иногда, впрочем, платит не сама компания: в штатах есть страхование, которое покрывает именно такие кейсы (в таком случае платят даже чаще, поскольку страховщики не смотрят на таблички «Не кормите рансомварщиков!»).
*⃰двойное вымогательство (double extortion) сводится к скачиванию данных перед шифровкой и последующими угрозами слить их в сеть/продать.
*⃰*⃰тройное вымогательство (triple extortion) - предыдущий шаг + сообщение об атаке в сми/партнерам по бизнесу/клиентам.
@NeKaspersky
Опрос был проведен специалистами из Venafi, и наиболее важными выводами стали:
• в 18% случаев данные жертв, заплативших выкуп, все равно размещались в сети;
• в 8% случаев, когда жертвы отказывались платить выкуп, злоумышленники пытались вымогать деньги у их клиентов;
• 35% жертв, заплативших выкуп, не смогли вернуть доступ к своим данным.
Что касается тактики злоумышленников, она сводится к следующему:
• 83% успешных атак сопровождались двойным*⃰ и тройным*⃰*⃰ вымогательством;
• 38% атак угрожали использовать украденные данные для вымогательства у клиентов;
• 32% атак угрожали прямым информированием клиентов жертвы об инциденте с утечкой данных.
Отсутствие доверия к вымогателям обусловлено тем, что большинство операций Ransomware-as-a-Service (рансомварь как услуга, RaaS) недолговечны, поэтому операторы банально стремятся максимизировать прибыль в единицу времени и не заботятся о репутации. Как следствие, многие операторы не следуют правилам, установленным провайдерами RaaS. Более того, даже если данных не сливают сразу, чаще всего они не удаляются и рано или поздно попадают в руки других киберпреступников.
Однако, многие компании все равно решают платить злоумышленникам, т.к. такой шаг является экономически выгодным уже с их стороны: стоимость выкупа обычно существенно ниже, чем потери, которые фирма понесет, если остановит операции на неопределенный срок для восстановления из бекапов. Более того, если освещена в сети, подобная компрометация также будет означать репутационные издержки. Иногда, впрочем, платит не сама компания: в штатах есть страхование, которое покрывает именно такие кейсы (в таком случае платят даже чаще, поскольку страховщики не смотрят на таблички «Не кормите рансомварщиков!»).
*⃰двойное вымогательство (double extortion) сводится к скачиванию данных перед шифровкой и последующими угрозами слить их в сеть/продать.
*⃰*⃰тройное вымогательство (triple extortion) - предыдущий шаг + сообщение об атаке в сми/партнерам по бизнесу/клиентам.
@NeKaspersky
👍2
❗️Упали сайты Президента РФ, Правительства РФ и Госдумы РФ. Источники Baza говорят, что идёт мощная ddos-атака.
UPD* работают с перебоями
UPD* работают с перебоями
А вот это уже похоже на дискриминацию русских.
Блокировка доступа к open source тулам по ИБ для тех, у кого «русские» часовые пояса и «русскоязычные» настройки — норма? Гибридная война в самом разгаре.
Блокировка доступа к open source тулам по ИБ для тех, у кого «русские» часовые пояса и «русскоязычные» настройки — норма? Гибридная война в самом разгаре.
Twitter
Florian Roth ⚡️
I consider disabling my free tools on systems with certain language and time zone settings e.g. "Russian" language + timezone somewhere within "Russia" > "sorry, I can't run here" Opinions?
💩16👎8👍3😁1
Путин сегодня провёл встречу с бизнесменами. От IT были Худавердян и Кириенко(Яндекс и VK), и если для большинства посыл можно сформулировать, как «яхты теперь будут меньше», то для представителей отечественной IT-индустрии, в связи с возможными блокировками зарубежных сервисов и импортозамещением ПО — яхты побольше.
😁14👍7🤮5👎1😱1
Будете пользоваться отечественным ПО и соц.сетями?
Anonymous Poll
20%
Уже пользуюсь
14%
Придётся
41%
Буду обходить блокировки
25%
Я за ответами
Вот некоторые полезные рекомендации того, что делать, если зарубежные сайты не захотят видеть пользователей с российским IP. Рекомендации к Tor актуальны, когда мосты работают.
@NeKaspersky
@NeKaspersky
🔥4
⚡️Меры США по экспортному контролю в отношении РФ коснутся полупроводников, компьютеров, лазеров, сенсоров — Минторг США
💩4👍3👎2
За 24 февраля индекс Мосбиржи упал на 33,3%. Это падение занимает 5 место в истории обвалов.
Но падение совсем не касается акций зарубежных компаний из сферы кибербезопасности. На фоне хакерских атаках их акции выросли.
К примеру, акции Telos выросли на 14%, Palo Alto Networks — на 10%, CrowdStrike — на 8%, Mandiant — 6%.
Эксперт Дэн Ивс считает, что паника из-за кибератак может прибавить до 300 базовых пунктов к росту индустрии. В 2022 году рынок может вырасти на 20%. Из-за этого в краткосрочной перспективе может ускориться рост всего сегмента инфобеза.
@NeKaspersky
Но падение совсем не касается акций зарубежных компаний из сферы кибербезопасности. На фоне хакерских атаках их акции выросли.
К примеру, акции Telos выросли на 14%, Palo Alto Networks — на 10%, CrowdStrike — на 8%, Mandiant — 6%.
Эксперт Дэн Ивс считает, что паника из-за кибератак может прибавить до 300 базовых пунктов к росту индустрии. В 2022 году рынок может вырасти на 20%. Из-за этого в краткосрочной перспективе может ускориться рост всего сегмента инфобеза.
@NeKaspersky
😱2🤮1
Баги в Zenly приводят к раскрытию номера телефона и позволяют завладеть учеткой
Если вы не слышали об этом чудо-приложении, вас остается только поздравить: вы окружены более-менее здравомыслящими людьми. На всякий случай, немного пояснений: речь о социальном приложении, которое позволяет пользователям видеть местоположение друзей/семьи/знакомых/тех, за кем вы сталкерите/т.д. на карте в реальном времени.
Идея, очевидно, идиотская (и это очень мягко сказано), но у приложения есть достаточно большая аудитория пользователей из СНГ, которая даже бросается защищать это творение с аргументами, вроде «достаточно не добавлять рандомных людей в друзья, и все будет ОК». Все бы хорошо, но обсуждаемая тулза для обмена приватности на... [а действительно, на что?], содержит, как ни парадоксально \s, парочку небольших уязвимостей.
Первый косяк — раскрытие номера телефона — по описанию похож на древнюю программерскую мудрость, «не баг, а фича»: при запросе на добавление в друзья, трекер предоставит доступ к номеру телефона жертвы вне зависимости от того, будет ли этот запрос принят. Для запроса нужно как-то получить username искомого пользователя, что в теории могло бы стать каким-никаким препятствием, но Zenly услужливо предоставляет список друзей уже известных пользователей, а дальше в игру вступает, например, OSINT, да и старую добрую теорию «шести рукопожатий» никто не отменял.
Вторая уязвимость может показаться некоторым более веселой: эксплуатация позволит злоумышленнику получить доступ к местоположению пользователя, уведомлениям, разговорам и информации о друзьях точно так же, как это мог бы сделать сам пользователь. Как сообщают Checkmarx — исследователи, ответственные за обнаружение багов — в реализации аутентификации существует баг, связанный с использованием SMS для логина. После отправки SMS, приложение выполняет вызов
@NeKaspersky
Если вы не слышали об этом чудо-приложении, вас остается только поздравить: вы окружены более-менее здравомыслящими людьми. На всякий случай, немного пояснений: речь о социальном приложении, которое позволяет пользователям видеть местоположение друзей/семьи/знакомых/тех, за кем вы сталкерите/т.д. на карте в реальном времени.
Идея, очевидно, идиотская (и это очень мягко сказано), но у приложения есть достаточно большая аудитория пользователей из СНГ, которая даже бросается защищать это творение с аргументами, вроде «достаточно не добавлять рандомных людей в друзья, и все будет ОК». Все бы хорошо, но обсуждаемая тулза для обмена приватности на... [а действительно, на что?], содержит, как ни парадоксально \s, парочку небольших уязвимостей.
Первый косяк — раскрытие номера телефона — по описанию похож на древнюю программерскую мудрость, «не баг, а фича»: при запросе на добавление в друзья, трекер предоставит доступ к номеру телефона жертвы вне зависимости от того, будет ли этот запрос принят. Для запроса нужно как-то получить username искомого пользователя, что в теории могло бы стать каким-никаким препятствием, но Zenly услужливо предоставляет список друзей уже известных пользователей, а дальше в игру вступает, например, OSINT, да и старую добрую теорию «шести рукопожатий» никто не отменял.
Вторая уязвимость может показаться некоторым более веселой: эксплуатация позволит злоумышленнику получить доступ к местоположению пользователя, уведомлениям, разговорам и информации о друзьях точно так же, как это мог бы сделать сам пользователь. Как сообщают Checkmarx — исследователи, ответственные за обнаружение багов — в реализации аутентификации существует баг, связанный с использованием SMS для логина. После отправки SMS, приложение выполняет вызов
/SessionVerify, которому передает токен и код подтверждения из сообщения. Однако, если злоумышленник успеет выполнить /SessionCreate до этого, то как только пользователь введет код из SMS, сеанс станет действительным и для пользователя, и для злоумышленника. Проблема заключается только в том, что эксплуатировать баг достаточно проблематично, но все-таки возможно.@NeKaspersky
👍8