​​Дьявол кроется в деталях

​​Полагаем большинство эту новость уже видело - вчера Министерство юстиции США заочно предъявило обвинение шестерым гражданам России, которых американцы подозревают в проведении кибератак в составе APT Sandworm aka BlackEnergy aka Voodoo Bear по заказу в/ч 74455, она же Главный центр специальных технологий ГРУ.

В числе обвиняемых - Юрий Андриенко, Сергей Детистов, Павел Фролов, Анатолий Ковалев, Артем Очиченко и Петр Плискин.

Обвиняют их в атаках на инфраструктуру Украины в 2015-2016 годах, на французские выборы в 2017 году, в распространении ransomware NotPetya, в атаках на Олимпийские игры в Пченчхане, в атаках на ОЗХО и британскую Лабораторию оборонной науки и технологии в 2018 году и, наконец, в атаках на грузинские ресурсы в 2018 и 2019 годах.

Мы ознакомились с обвинительным заключением и имеем сказать следующее.

На первый взгляд обвинение выглядит правдоподобно. Описание последовательности действий фигурантов при организации той или иной атаки достаточно подробные. Но, честно говоря, эти подробности-то нас и смущают.

Потому что фразы типа "такого-то числа имярек отправил 8 фишинговых писем, а через 2 дня завел фейковый электронный адрес" означают что либо лица, ведущие расследование, полностью распотрошили ресурсы атакующих, откуда взяли все логи, либо в фактаже имеется достаточное количество фантазии.

Разбирать можно долго по каждому пункту обвинений, но скажем только, что дефейс грузинских сайтов, на которые загрузили картинки с изображением Саакашвили и подписью "i'll be back", с нашей точки зрения все-таки мало похоже на операцию спецслужб, о чем мы уже писали.

И, да, в атаках на ОЗХО в апреле 2018 года европейцы еще летом успели обвинить членов APT Sandworm и даже ввели в их отношении санкции. Правда их фамилии - Минин, Моренец, Серебряков и Сотников. У кого-то, похоже, пчелы неправильные.

Давно мы не писали инсайдов по российской инфосек отрасли и вот решили реабилитироваться и дать сразу несколько.

Во-первых, в отраслевых изданиях вчера появилась новость о том, что вице-президент InfoWatch Рустэм Хайретдинов перешел на должность директора по росту в компании BI. ZONE. Вместе с ним InfoWatch покинули еще двое топ-менеджеров - Елена Сучкова и Константин Левин.

Мы можем дополнить следующим. По нашей информации, InfoWatch закрывает все свои иностранные представительства - это раз. А два - уход сразу трех топов, среди которых Хайретдинов, стоявший у истоков проекта Лаборатории Касперского, который в последующем превратился в компанию InfoWatch, свидетельствует, что детище Натальи Ивановны Касперской с большой долей вероятности идет ко дну.

Во-вторых, продолжая тему перемещения топ-менеджеров из-под людей с фамилией Касперские. Летом Лабораторию Касперского покинула Людмила Смирнова, занимавшая должность финансового директора. И вряд ли бы мы обратили на это внимание, если бы не тот факт, что Смирнова ушла не куда-нибудь, а в Вымпелком, который, если быть честным, сам находится на последнем издыхании. То есть один из ведущих топов убегает из "успешной" компании в компанию, находящуюся при смерти. Видимо, у Евгения Валентиновича (tm) далеко не все гладко, несмотря на заявляемые перемоги.

В-третьих, наш любимый Илья Константинович Сачков тоже выкидывает коленца. Как нам пишут, у Ильи осенняя депрессия, усугубляемая потерей ряда ключевых клиентов. В связи с этим он погрузился в созерцание себя и практически забил на бизнес, что, разумеется, не самым хорошим образом сказывается на делах Group-IB. По слухам, если все и дальше пойдет подобным образом, топоменеджеропад ожидает и самого меткого стрелка российского инфосека.

Ну и в-четвертых, мы не могли забыть про Positive Technologies. Поговаривают, что выпуск летом облигаций на Московской бирже (кстати, вроде бы как неплохо котируются) явился первым шагом по формированию "фондовой истории" в долгосрочной стратегии по подготовке к IPO. Причем IPO планируется именно на MOEX, а не где-нибудь в Сингапуре. Что, в общем-то, логично, учитывая близость Positive Technologies к некоторым "номерным" Центрам ФСБ.

Владельцы ransomware идут по проторенной дорожке наркокартелей и начинают примерять на себя маску Робина Гуда.

Напомним, что классический герой отбирал деньги у богатых и раздавал их бедным. До сих пор стоящие за вымогателями хакерские группы преимущественно деньги отбирали. И вот, они начали делать вид, что их раздают.

По данным ZDnet, владельцы вымогателя Darkside пожертвовали по 10 тыс. долларов Children International, некоммерческой организации по оказанию помощи живущим в нищете детям, и The Water Project, организации, борющейся за доступ к чистой воде в странах Африки.

Darkside - это появившееся в августе ransomware, ориентированное на шифрование крупных корпоративных сетей. Как и большинство вымогателей в последнее время имеет собственный сайт, на котором в случае невыплаты жертвой выкупа публикуются украденные данные (DLS - data leak site).

Ранее владелец Darkside сообщал, что группа не шифрует сети больниц, школ, университетов и некоммерческих организаций.

Шутка в том, что Children International и The Water Project не смогут воспользоваться пожертвованиями, поскольку они получены неправомерным путем. Так что средства, скорее всего, будут конфискованы.

Тенденция, тем не менее, достаточно знаковая.

Информационная безопасность, курсы, книги, подборки полезного материала для IT специалистов — https://t.iss.one/Social_engineering

​​Трамп демонстрирует глубокие познания в инфосек.

Американское АНБ опубликовало отчет с описанием 25 основных уязвимостей, которые используются китайскими APT.

Мы, конечно, сомневаемся, что кто-то из наших подписчиков (ну, кроме ребят из трехбуквенных контор и госкомпаний) может стать объектом атаки китайских прогосударственных хакеров. Тем не менее, эти же уязвимости используются коммерческими хакерами для развертывания, например, ransomware. Поэтому обратить внимание на этот материал будет полезно всем причастным к обеспечению информационной безопасности.

Что же мы видим? На первом месте, ожидаемо, CVE-2019-11510 - уязвимость в Pulse VPN. Непропатченный своевременно сервер, судя по всему, является причиной компрометации корпоративных сетей со стороны операторов ransomware чуть ли не в половине случаев.

Дальше - CVE-2020-5902, ошибка в BIG-IP от F5 Networks, допускающая удаленное выполнение кода (RCE) со стороны хакера.

Еще одна любимая уязвимость вымогателей - CVE-2019-19781 в Citrix ADC, также приводящая к RCE.

Среди других уязвимостей и SIGRed, и Zerologon и многие другие.

Рекомендуем рассматривать этот список как набор точек контроля при анализе защищенности внешнего периметра компании.

И только один момент нас печалит - зная манеру работы АНБ можно смело утверждать, что если они открыто предупреждают о наличии тех или иных дырок, значит сами их точно не используют. У них другие 0-day уязвимости в ходу.

Руководитель команды Google Project Zero предупреждает об активном использовании в дикой природе уязвимости CVE-2020-15999 в Chrome.

Ошибка находится в сторонней библиотеке FreeType и приводит к переполнению кучи, что может, если звезды сойдутся, позволить хакеру удаленное выполнение кода.

Тем не менее, пока что мы можем только гадать о последствиях эксплуатации уязвимости, поскольку технических подробностей нет. PoC, соответственно, тоже. Полагаем, что разработчики выдержат достаточную паузу перед их публикацией, чтобы большинство пользователей успело обновиться.

Апдейт, исправляющий эту и другие уязвимости Google выпустили вчера. Всем срочно обновлять браузеры.

UPD. Нам подсказывают, что обсуждение подробностей уязвимости есть здесь. Пока что понятно, что эксплуатируя ошибку можно точно положить Chrome.

Евгений Валентинович (tm), скажем так, позаимствовал наше поэтическое сравнение владельцев ransomware Darkside с Робином Гудом. Куда катится мир...

Ну, хотя бы читает.

Исследователи из японской Trend Micro, зацепили кибероперацию неустановленной APT, которую назвали Operation Earth Kitsune.

Для начала необходимо вернуться на полтора года назад. В марте 2019 года японские ресерчеры обнаружили новое вредоносное ПО, которому дали имя SLUB. Обнаружили его на взломанном сайте, который использовался хакерами в ходе т.н. атаки на водопой.

Посетители взломанного ресурса (судя по всему, он был канадский), посвященного северокорейской тематике, заражались с помощью эксплуатации CVE-2018-8174, уязвимости в движке VBScript, позволявшей осуществить RCE.

Сама схема заражения была многоэтапна - сначала загружался своеобразный разведчик, который детектировал антивирусные процессы и, в случае их нахождения, завершал свою работу. Если атакованный хост был чист, то далее загружался основной модуль, который занимался сбором и эксфильтрацией информации.

Одной из зацепок, позволяющей хоть как-то косвенно судить об авторах киберкампании стал сбор вредоносом всех документов с расширением HWP, используемом для хранения текстовых документов с поддержкой хангыль, корейского письма.

Уникальной оказалась схема коммуникации вредоноса с атакующими. SLUB получал команды посредством GitHub, отчитывался по результатам их исполнения через закрытый чат мессенджера Slack, а эксфильтрацию файлов производил на file .io.

После этого SLUB не всплывал год. А уже в марте, мае и сентябре текущего года был обнаружен новый вариант этого вредоноса. Распространялся он опять же через водопой - снова были взломаны несколько сайтов, посвященных северокорейской тематике. И можно было бы с достаточной уверенностью кивать в сторону хакеров КНДР, если бы не одно но - на ряде ресурсов были заблокированы IP-диапазоны Южной Кореи. То есть южнокорейские пользователи не были целью операции Earth Kitsune.

В процессе заражения посетителей сайтов использовали 1-day уязвимости в Chrome и IE. Вместе с SLUB через взломанные сайты распространялись еще два авторских вредоноса, которые японские исследователи назвали dneSpy и agfSpy. Они также предназначены для поиска и сбора информации с атакованных систем.

Изменения коснулись и самого SLUB - в этот раз для коммуникации вредонос использовал опенсорсный онлайн-чат Mattermost, а также эксплуатировал несколько свежих 1-day уязвимостей.

Новых данных в отношении стоящей за SLUB хакерской группы Trend Micro не получили. Поэтому, с учетом непонятных моментов в выборе целей для взлома, операция Earth Kitsune выглядит крайне странно.

Такой вот он загадочный, мир APT.

В США очередной предвыборный скандал, связанный с зарубежными хакерами.

На прошедшей неделе произошла массовая рассылка электронных писем в адрес избирателей, поддерживающих Демократическую партию. В письмах, отправителем которых значится американская праворадикальная организация Proud Boys, содержались угрозы адресату, если он не проголосует за Трампа. Proud Boys сразу же опровергли свою причастность к рассылке.

Расследование инфосек компании Proofpoint показало, что электронные письма были отправлены с ранее скомпрометированных ресурсов, принадлежащих компаниям в Саудовской Аравии и Эстонии.

А вчера на специальной пресс-конференции руководители ФБР и национальной разведки США сообщили, что, по их информации, за произошедшей электронной рассылкой стоит Иран. Заодно упомянули, что данные об избирателях также получила Россия, видимо, чтобы два раза за водкой не ходить.

Мы в таких случаях всегда задаемся вопросом "Cui prodest?" и не видим никакой выгоды для Ирана. Ну, кроме, может эфемерного негативного влияния на рейтинг Трампа, который Иран очень уж не любит.

С другой стороны, внутри американской политической тусовки потенциальных бенефициаров этой информационной кампании предостаточно и сценариев может быть несколько.

Косвенным же подтверждением такого развития событий является пламенный комментарий Джона Халквиста из FireEye, который охарактеризовал рассылку нескольких тысяч спам-писем как вмешательство в американскую демократию и пересечение "красной линии" со стороны Ирана. Вероятно, акционеры из ЦРУ попросили.

(одним из ключевых инвесторов FireEye является In-Q-Tel, официальный венчурный фонд ЦРУ).

Лаборатория Касперского запилила небольшой обзор посвященный ransomware Maze. Конечно ничего нового для тех, кто читает наш канал с начала года, там нет, но если вы что-то пропустили, то краткое жизнеописание и разбор техник вымогателя будут интересны.

Единственное, в чем мы можем поправить Касперских - Maze стала не одной из первых, а действительно первой бандой ransomware, которая поставила на поток сливы украденных данных через выделенный DLS (data leak site) и сделала это своей основной фичей.

Может нам тоже начать про ransomware обзоры делать... Да не, бред какой-то.

​​Неделю назад мы писали про расследование ClearSky в отношении операции QuickSand иранской APT MuddyWater. Тогда британские исследователи на основании замечания компании Palo Alto Networks о том, что используемый иранцами загрузчик PowGoop имеет небольшое сходство с загрузчиком ransomware Thanos, стирающим MBR, расписали на половину отчета про хитрый план аятолл по тотальному уничтожению всех компьютеров Израиля.

Мы тогда высказали сомнение в оправданности такого предположения. И не потому что мы за Иран, а потому что мы, как Васисуалий Лоханкин, все "делаем не в интересах истины, а в интересах правды".

И вот нас поддержали Symantec. В выпущенном отчете об активности APT MuddyWater, которую они называют Seedworm, американцы также указали на несостыковку и сообщили, что никаких доказательств связи иранцев с ransomware Thanos не обнаружили.

О - объективность.

​​Немецкие исследователи из G DATA выпустили отчет, посвященный новому трояну удаленного доступа T-RAT, продаваемому на русскоязычных хакерских форумах, основным каналом управления которым является Telegram, а также через RDP с VNC.

Первым новый RAT обнаружил в сентябре ресерчер 3xp0rt, в том числе на форуме lolz. guru он нашел целую презентацию трояна.

Вредонос состоит из загрузчика, основного модуля sihost.exe, а также нескольких вспомогательных библиотек, таких как Telegram.Bot.dll и socks5.dll.

Злоумышленник может управлять T-RAT через бота Telegram, для чего последний поддерживает 98 команд, большинство из которых на русском языке. Вредонос позволяет исследовать файловую систему и красть отдельные файлы, похищать пароли, куки, переписки из Telegram, Discord, Steam, Viber, Skype и др. Он может перехватывать электронные транзакции, делать скриншоты, создавать снимки экрана, снимать информацию с микрофона и камеры, а также обладает функциями кейлоггера.

Вдобавок к этому T-RAT умеет уклоняться от обнаружения, блокировать часть активности компьютера - например, блокировать сайты обновления антивирусных программ.

T-RAT - это не первый троян с управлением посредством Telegram. Но, честно говоря, лично мы впервые увидели профессионально сделанную презентацию, рекламирующую возможности вредоноса. Большой и развитый рынок, чего уж тут сказать.

Аплодируем ЦИБ ФСБ и БСТМ МВД за эффективную борьбу с кибепреступностью (сарказм).

​​Следующие фото будут не в тему инфосек, но это настолько познавательно, что мы не могли не поделиться.

В конце концов, вся наша (человечества) возня только для того, чтобы в один прекрасный день тысячи миров стали для людей досягаемыми.

Все кто считает иначе - не ходите в инфосек. Вы редиски и вам здесь не рады.

​​Чем ближе выборы в США, тем больше обвинений в сторону российских хакерских групп. И китайских с иранскими заодно.

В начале недели американские власти вынесли обвинение шестерым гражданам России, которых обвиняют во взломах множества ресурсов в составе APT Sandworm aka BlackEnergy в интересах ГРУ.

Днем позже АНБ опубликовало отчет, в котором сообщило о 25 уязвимостях, используемых китайскими APT для взлома сетей.

А вчера американские власти обвинили Иран в рассылке спама с угрозами избирателям-демократам.

Но до выборов Президента США осталось совсем немного, поэтому надо усилить накал страстей.

Вчера стало известно, что американский Минфин ввел санкции против пяти иранских организаций, в числе которых КСИР и Иранский исламский союз радио и телевидения за вмешательство в предстоящие выборы.

И вчера же американские ФБР и Агентство кибербезопасности (CISA) сообщили о проводившихся с начала февраля по сентябрь попытках взлома государственных и муниципальных сетей со стороны российской APT Energetic Bear. Как говорят американцы, как минимум в одном случае взлом был успешен, в результате чего хакеры похитили конфиденциальную информацию. Ну и, само собой, упоминаются риски взлома задействованных в выборах информационных систем, но "утечек сведений не зафиксировано".

В качестве дижестива - Евросоюз вчера же ввел санкции против ГРУ и двух его сотрудников за взлом Бундестага в 2015 году со стороны APT 28 aka Fancy Bear.

Никаких TTPs, с помощью которых идентифицировали нападающих, как обычно нет, но мы уже и не ждем.

Уже соскучились по новым жертвам ransomware? А вот и они.

BleepingComputer сообщает, что от атаки вымогателя пострадал французский ИТ-гигант Sopra Steria, имеющий годовой доход более 4 миллиардов евро.

21 октября компания заявила о кибератаке на свои ресурсы, которая произошла днем ранее. Как всегда никаких подробностей в сообщении нет, только дежурные мантры про "прилагаемые усилия по восстановлению".

Однако журналистам удалось выяснить, что французы подверглись атаке ransomware Ryuk, а за атакой стоял тот же оператор, который ранее в сентябре успешно взломал сеть американского поставщика медицинских услуг Universal Health Services (хотя возможно журналисты путают понятия владельца и оператора ransomware, работающего по схеме as-a-Service).

Объявленный выкуп, с учетом размера дохода Sopra Steria, полагаем составляет не один миллион долларов.

​​NVIDIA в последнее время удивляет количеством security updates, которые она выпускает к своим продуктам. С одной стороны вроде хорошо, что стараются своевременно закрыть дырки, с другой - число серьезных уязвимостей слишком велико. А с учетом того, что видеокарты NVIDIA стоят в большинстве компьютеров, масштаб проблемы становится существенно больше.

Очередное обновление безопасности было выпущено вчера, в нем содержатся исправления трех уязвимостей в GeForce Experience, которые могут привести к отказу в обслуживании, повышению локальных привилегий, раскрытию информации и, самое неприятное, к RCE.

Положительный момент - эксплуатация уязвимостей возможна только из под локального пользователя.

Как всегда - призываем своевременно обновляться.

Голландский исследователь Виктор Геверс утверждает, что сумел подобрать пароль к Twitter-аккаунту Дональда Трампа, причем у последнего отсутствовала двухфакторная аутентификация.

Геверс являтеся т.н. "белым хакером" и возглавляет некоммерческую организацию GDI.foindation, члены которой борются с утечками данных, слабыми паролями и пр. Четыре года назад именно он совместно с двумя другими исследователями получил доступ к аккаунту Трампа в первый раз.

16 октября он попробовал подобрать пароль к Twitter американского Президента и с шестой попытки ему это удалось. Паролем оказалась фраза "maga2020!". Это не означает, что "Мага" - тайная агентурная кличка Трампа, а расшифровывается как Make America Great Again.

Для подтверждения доступа Геверс опубликовал от имени Трампа вот этот твит. В дальнейшем он попытался установить связь с окружением Трампа, ответственным за его социальные сети, однако ему это не удалось.

Тем не менее, пароль Twitter-аккаунта изменился, а двухфакторная аутентификация была включена. А уже 20 октября Геверс сообщил, что с ним все-таки связались американские специалисты по безопасности.

Геверс предполагает, что 2FA была отключена когда Трамп лежал в госпитале с коронавирусом, чтобы его помощники имели возможность публиковать твиты без его личного входа. Ну а включить просто забыли.

Самое интересное, что команда Twitter никак не отреагировала на обращение голландского исследователя. Видимо политические привязанности для них предпочтительнее вопросов безопасности пользователей, даже таких как Президент США.

Вот такая вот информационная безопасность.

​​Немного пятничного инфосек юмора.

Русские хакеры из ГРУ атакуют американские правительственные сети.

Праздник санкций продолжается. Не успели остыть чернила на санкционных документах Евросоюза в отношении ГРУ и его сотрудников, подозреваемых во взломе сети Бундестага в составе APT 28 aka Fancy Bear, как на сцену бодрой походкой выходит Министерство финансов США.

Вчера американский Минфин объявил о введении санкций в отношении московского Центрального научно-исследовательского института химии и механики (ЦНИИХМ) за причастность к атаке Triton на промышленные системы управления (ICS) в 2017 году. Мы эту атаку рассматривали достаточно подробно здесь и в курсе о чем конкретно идет речь.

Сразу обозначимся, что причастность ЦНИИХМ к атаке Triton следует из расследования FireEye, вышедшего через год после атаки. И мы в обзоре озвучили свою позицию, которая заключается в том, что приведенные американцами TTPs выглядели правдоподобно, хотя для полной уверенности материалов не хватало. Ну и надо учитывать, что FireEye контора все-таки сидящая под ЦРУ.

Перейдем к лукавству американского Минфина.

Во-первых, утверждается, что Triton был разработан для нанесения максимального ущерба атакуемой ICS с целью причинить значительный физический ущерб и гибель людей. Проще говоря, чтобы создать критическую аварийную ситуацию. Это, мягко говоря, не так - судя по поведению вредоноса он, в первую очередь, был создан для глубокого проникновения в атакуемую ICS и сбора с этих позиций конфиденциальной информации.

Более того, в функционале вредоноса было поддержание штатного режима работы Triconex SIS, атакуемого им промышленного контроллера. Этого вредоносу сделать не удалось, в силу несоответствия некоторых кодов приложений, из-за чего ICS, собственно говоря, и вывалилась в аварийный режим, после чего Triton и был обнаружен.

Также в 2019 году те же FireEye заявили, что обнаружили атаку Triton на еще один промышленный объект, и целью атакующих было долгое и глубокое присутствие в целевой системе, что подтверждает версию о случайности инцидента с остановкой производства на саудовском нефтехимическом объекте в 2017.

Во-вторых, поскольку единственно точно установленная атака вредоноса Triton была направлена на нефтехимический завод саудовской компании Tasnee, а в отношении второй атаки в 2019 американцы данных о принадлежности жертвы не давали (видимо так же не из США), надо было как-то обосновать тот факт, почему американцы накладывают санкции за атаку на саудитов.

В этом случае, само собой, помогают волшебное словосочетание "highly likely" и его производные. В этот раз использовалось "were also reported". По данным американского Минфина, "сообщалось" (кем? где? когда?), что стоящая за Triton хакерская группа сканировала сети не менее 20 электроэнергетических компаний США.

Собственно, этого достаточно для обвинения ЦНИИХМ в нападении на США и их союзников и применении санкций в его отношении.

А ну и еще атака Triton названа Минфином США "самой опасной из известных угроз" по мнению частной индустрии инфосек. Не знаем, нас не спрашивали, а то мы назвали бы самой опасной угрозой атаку Stuxnet, которая потенциально могла привести к радиоактивной катастрофе. Но не израильское же Управление военной разведки американцам наказывать, тем более, что им АНБ помогали.

Ну и напоследок, подозреваем, что санкции в отношении ЦНИИХМ связаны с войнами коронавирусных вакцин, но это не наша епархия, поэтому никаких заключений делать не будем.