Кстати, это материал от нашей команды. Для разнообразия, поделюсь ссылкой на него из другого канала.

Разбираем атаки на Kerberos с помощью Rubeus. Часть 2
https://habr.com/ru/post/509290/?utm_campaign=509290&utm_source=habrahabr&utm_medium=rss

А впрочем, ничего нового

Eще про один DDoS

Тема DDoS меня не отпускает, потому что такую новость нельзя обойти стороной. Что-то новое в старом добром ддосе — всегда интересно.

В конце июня один из европейских банков (название в отчёте не указано) подвергся рекордной DDoS-атаке в 809 миллионов пакетов в секунду (PPS).

Злоумышленники не стоят на месте и разрабатывают новые и новые механизмы. В этот раз, по мнению экспертов, был задействован ранее неизвестный, то есть новый, ботнет — слишком большое количество ip-адресов источников атаки были замечены впервые.

Ддосить, на самом деле, можно по-разному, создавая высокую нагрузку на канал (биты в секунду), серверы веб-приложений (запросы в секунду) и сетевые устройства, облачные приложения, дата-центры (пакеты в секунду).

В данном случае, злоумышленники явно пошли по третьему пути, поскольку в жертву полетело рекордное количество пакетов со всего 1 байтом данных. Таким образом, забивался не канал, а мощности сетевого оборудования.

Разумеется, 809 PPS было достигнуто только на пике атаки, которая длилась всего около 10 минут. Однако, без грамотной защиты, такой мощи было бы вполне достаточно для успеха злоумышленника.

Что ж, в завершение добавлю только, что жертвами "рекордных" DDoS-атак в последнее время становятся финансовые и телекоммуникационные компании. Вопрос только в том, почему: такие ли доступные эти предприятия, или промышленность просто постепенно перестает попадать в сферу экономических интересов злоумышленников.

В контексте новости вспомнилось:

"Ты можешь быстрее. Не думай, что ты быстр — знай, что ты быстр." ц Матрица

Сегодня поговорим об одной любопытной статье, в которой подводится итог годового исследования на тему "Какие мессенджеры пользуются наибольшей популярностью у киберпреступников". Так сказать, актуалочка в свете свободы телеграма.

Если не злорадствовать, то вопрос действительно довольно интересный, поскольку без средств коммуникаций ни одна отрасль, даже даркнет, не сможет существовать.

В силу того, что злоумышленники предпочитают обсуждать разработки, обговаривать планы и, главное, вести торговлю в максимально защищённых местах, исследование проводилось по подсчёту упоминаний того или иного мессенджера в индикаторах компрометации и на форумах даркнета.

Так, первое место уверенно занял любимый нами Telegram. У него 56 800 инвайт-ссылок и 223 000 упоминаний на форумах с января 2019 по январь 2020 года.

На втором месте оказался любимец геймеров — Discord. Платформа активно набирает свою аудиторию не только у простых пользователей, но и у любителей пошкодничать (или помошенничать).

Замыкает тройку лидеров известная абсолютно всем и каждому Аська! С появлением в этом мессенджере групповых чатов, ICQ получила второе дыхание, обойдя WhatsApp, Skype, IRC и Signal, которые, впрочем, так же входят в число любимчиков даркнета.

Отдельно упомянут Jabber (XMPP), мессенджер, который позволяет создавать собственную защищённую сеть и управлять ею. Но данные о массовости его применения не приведены.

В общем и целом, скорость и безопасность в современном мире важны даже для тех, от кого, собственно, и приходится защищаться.

Мораль всего этого исследования состоит в том, что безопасность не может быть статичной. Если ты хочешь по-настоящему защитить себя и свою компанию, нужно помнить о том, что даркнет становится всё более и более динамичным, поэтому и ты должен знать об изменениях и тенденциях в поведении субъектов угроз.

Кстати, что касается Телеграма. Ранее у нас уже был обзор статьи, в которой рассказан метод получения номера телефона у зазевавшегося мошенника.

Клин клином

В последнее время понял, что одним постом по новостям у меня не обходится. Так что "никогда такого не было и вот опять". Сегодня мне есть что добавить про способы коммуникации злоумышленников. Но на этот раз, сухим отчётом дело не обойдётся.

Мессенджер EncroChat известен с 2016 года. До недавнего времени — это широко используемый в тёмных целях канал общения. Штука в том, что EncroChat - это целый комплекс "услуг". Сюда входили программное обеспечение, специальный мобильник на Android`е с обрезанными геолокацией, камерой, микрофоном, а также целый нидерландский провайдер.

Кроме того, выдаваемый пользователю телефон поддерживал работу сразу двух операционных систем, что позволяло маскировать его под стандартный гаджет на Android.

Сообщения, отправляемые в EncroChat шифровались до отправки, что делало бессмысленной прослушку каналов связи. Охват EncroChat был довольно внушительным — более 60 000 пользователей по всему миру. Mессенджером пользовались не только взломщики банковских счетов, но и наркоторговцы и киллеры. Сами преступники дополнительно шифровались, подменяя ключевые слова заранее обговорёнными.

Естественно, такая активность не могла остаться незамеченной. В итоге, мессенджер "валили" спецслужбы половины стран Европы.

Казалось бы, what's new?

Прорывом в борьбе с EncroChat стало успешное внедрение в сеть "зловреда", который копировал сообщения с устройств перед шифрованием. Шпионская программка также собирала пароли блокировки экранов мобильников и отключала функцию экстренного удаления информации.

Ну вы поняли, да, иронию? Клин клином вышибают, добро с кулаками, против даркнета со зловредом и другие замечательные примеры народного творчества сюда подходят.

К моменту, когда разработчики EncroChat заметили слежку, было уже слишком поздно. Спецслужбы накопили огромный объём компромата, который лёг в основу задержания более 750 человек, ликвидации 20 лабораторий по производству наркотиков, нескольких тонн самих запрещённых веществ и т.д.

Несмотря на то, что EncroChat заявили о том, что они — законопослушный провайдер, который был скомпрометирован пользователями, на данный момент их деятельность остановлена.

Эта история лишний раз показывает, что инструменты защиты и взлома — это всего лишь инструменты. Важно то, в чьи руки они попадают. Так надёжная криптосистема может стать оружием наркоторговцев и убийц, а шпионская малварь — защитой от злоумышленников.

Достойное серебро. Коротко о том, почему анализировать защищённость своих ресурсов надо всем

​Россия заняла 2-е место в мире по количеству утечек данных

Согласно отчёту InfoWatch, в прошлом году в России было зафиксировано 395 случаев утечки данных — это почти в полтора раза больше, чем годом ранее. Тем не менее, этого оказалось маловато, чтобы сместить США с первого места. Там за 2019 год зафиксировано более 1000 утечек.

Оказалось, что чаще всего всего виновны в утечках не хакеры, а рядовые сотрудники. А за слив больше половины всех данных ответственна всего одна компания — ОФД «Дримкас». По их вине в сеть утекло больше 90 млн записей.

Хорошо, что хоть здесь не на первом месте.

Источник: Отчёт InfoWatch

Это, конечно, не про безопасность (хотя, who knows), но по-моему, абсолютно чудесно. Больше всего это напоминает не "максимальное приближение к оффлайну", а влажную мечту школьников и студентов-выпускников, которые в этом году сдавались онлайн. Смотри, куда хочешь, сиди, хоть с видеосуфлером, все равно все будет в лучшем виде

В Microsoft Teams (это их Zoom примерно) добавили крайне забавную фишку. Теперь в групповых звонках можно рассадить всех кроме спикера за виртуальные парты или виртуальный стадион. Выглядит отлично, фон у слушателей отделяется и показывается только сидящая за партой верхняя часть туловища.

В сочетании с отслеживанием и автоматическим исправлением глаз (чтобы казалось что они всегда смотрят в камеру) получается идеальный видеохостинг сильно приближающий впечатления к оффлайну и онлайну :) https://www.axios.com/microsoft-video-chat-eee1ada2-a0fe-4a54-8df1-2c08f2985faa.html

Кажется, меня не остановить. В продолжение продолжения темы, так сказать

​​Не грози Южному Централу попивая сок у себя в квартале!

Разработчики мессенджера Signal забыли эту великую мудрость, когда начали тролить Telegram, заявляя, что у них, в отличие от детища Дурова, данные пользователей не хранятся. О чем им сразу и напомнили.

Напомнил ни кто иной как Thaddeus Grugq, ранее известный как торговец 0-day эксплойтами.

Grugq указал, что Signal вводит новый функционал своего PIN-кода, который будет позволять переносить мессенджер с устройства на устройство и, в перспективе, позволит отвязать аккаунт от телефонного номера. При этом пользовательские данные, которые раньше просто не хранились, теперь будут находиться на серверах мессенджера.

Пора возвращаться к голубиной почте...

Удаленка под контролем

На ночь глядя, Том Хантер познавательный.

Недавно я рассказывал о рекордной DDoS-атаке. Сегодня будет история по-скромнее, однако, интересная.

Пожалуй, ни для кого уже не секрет, что COVID сказывается и на вопросах информационной безопасности. В своём стремлении отправить персонал по домам, но сохранить работоспособность, компании полагаются на технологии удалённого доступа. С одной стороны, это безусловный прогресс. Но с другой...

Компания ESET сообщила, что, начавшие расти с 25 000 в декабре 2019 года атаки на протокол удалённого рабочего стола (RDP) к маю 2020 года доросли до показателя 100 000 в сутки. В основном, злоумышленники пытаются сбрутить слабый пароль у какого-нибудь нерадивого сотрудника, чтобы в дальнейшем запустить шифровальщик в корпоративную сеть жертвы, установить бэкдор или просто украсть/уничтожить данные.

Что рекомендует делать ESET:
— либо отключить выход в Интернет через RDP-подключение, либо минимизировать количество пользователей, имеющих удалённый доступ;
— определить парольной политикой надёжные пароли для учёток, в которые можно зайти по RDP;
— использовать дополнительный уровень аутентификации;
— использовать VPN-туннели;
— на межсетевом экране периметра запретить внешние подключения к локальным машинам через порт 3389 (TCP/UDP) или любой другой порт RDP;
— как можно скорее заменить старое оборудование, к которому может быть получен доступ по RDP.

Вообще, тема удалёнки очень интересна для безопасника. Как минимум, она богата на замечательные истории. Чего только стоит совсем свеженькая публикация про 0-day уязвимость в windows-клиенте zoom.

10 из 10

Сегодня будет короткая, но, по-своему удивительная, история.

Есть такая большая международная корпорация F5, которая занимается решениями в области балансировки нагрузки на сетевые ресурсы, ускорением сайтов, безопасностью веб-приложений и, в частности, защитой от DDoS-атак.

Одним из продуктов компании является программно-аппаратный комплекс BIG-IP, включающий в себя большое количество модулей с самым разнообразным функционалом (балансировка нагрузки, межсетевые экраны, хэширование трафика и т.д.).

Разработки компании F5 настолько надёжны, что из первых 50 самых уважаемых компаний мира (по версии журнала Fortune) 48 пользуются решениями F5.

Надо ли говорить, что обнаруженная специалистами из Positive Technologies уязвимость навела шухеру в профессиональной среде. Был найден баг, который предоставляет злоумышленнику возможность получить фактически административный доступ внутри сети вообще не авторизуясь. Учитывая такую ошеломительную "фишку", простоту реализации, наличие готовых шаблонов, которые очень быстро разошлись по сети Интернет, уязвимости был присвоен рейтинг 10 из 10 по шкале CVSSv3.

На данный момент, F5 уже залатали дыру. Рекомендуется срочно обновить обновить версию BIG-IP.

По итогу, могу сказать, что эта история в очередной раз учит нас, что безопасность — это процесс. Нельзя разработать мощное средство защиты и успокоиться, думая, что оно абсолютно надёжно. Даже монстры рынка ИБ могут оказаться обезоружены смекалкой умелого взломщика.

Об утечке данных постояльцев MGM сегодня не репостнул только ленивый. Ну и я до сего момента.

Что я могу сказать. Хорошо, что в этом году нам не светит оказаться в очередной слитой базе туристов.

Поворот не туда.

Помнишь знаменитые сказочные лестницы из Хогвартса, которые перемещались и вели в разные места? Так вот, в мире IT такое существует наяву.

На днях, специалисты Лаборатории Касперского рассказали о способе мошенничества, который во многом схож с технологией тех самых лестниц.

В чём завязка? Cтарые ссылки вдруг могут начать вести на сайты с вредоносным ПО. Причём, такое может случиться, например, с программкой, которая вдруг начинает вместо обновления скачивать малварь. Ссылка в коде программы остаётся прежней, а вот то, что находится за ней, меняется кардинально.

По факту расследования, оказалось, что такие проблемы случаются именно со старыми ссылками. В случае, если доменное имя перестаёт оплачиваться владельцем, оно уходит на один из доменных аукционов, на котором ждёт, что его выкупят. Само доменное имя, при этом, "паркуется" на DNS-серверах аукциона, которые перенаправляют потенциального покупателя на страничку с объявлением о продаже.

Чтобы поднять прибыль, такие аукционы могут использовать дополнительный рекламный модуль, который периодически будет редиректить покупателя на чужой сайт, заплативший за это.

Самая простая причина появления редиректов на вредоносные сайты — это банальная неразборчивость рекламщиков. В самом деле, какая разница, кто платит тебе за редирект. При этом, злоумышленники получают прекрасную возможность долгое время оставаться незамеченными, поскольку перенаправление происходит не при каждом переходе, а только иногда, и может зависеть от определённых характеристик "жертвы" — геолокации, модели девайса и т.д.

Согласись, идея проста и, при этом, весьма опасна. Ведь даже просто набрав в строке навигации браузера адрес по памяти, ты можешь оказаться совсем не там, где хотел.

В качестве резюме скажу только одно. Информационная безопасность — это не прихоть. Это необходимость. Ты же не будешь покупать гнилую картошку вместо свежей только потому, что не являешься специалистом по картошке? Здесь работает ровно такой же принцип. Смотри, что тебе пытаются продать.