Крайни потребители

Мащабна фишинг кампания таргетира хиляди хранилища на GitHub с измамни предупреждения за нарушение на сигурността. Имейлите подмамват разработчиците да разрешат злонамерено OAuth приложение. То предоставя на нападателите пълен контрол над техните акаунти и код.

„Сигнал за сигурност: Необичаен опит за достъп Открихме опит за влизане във вашия акаунт в GitHub, който изглежда от ново място или устройство“, се казва във фишинг съобщението.

То е едно и също за всички таргетирани потребители, като „необичайната активност“ идва от Рейкявик, Исландия, и IP адрес 53.253.117.8. Нападателите призовават разработчиците да актуализират паролата си, да прегледат активните сесии и да активират 2FA, за да защитят акаунтите си. Всички линкове за тези препоръчани действия обаче водят до страница за оторизация на GitHub за OAuth приложение „gitsecurityapp“.

Ако по погрешка сте дали разрешение на злонамереното OAuth приложение, трябва незабавно да отмените достъпа му:

• влезете в Settings на GitHub и след това в Applications;
• забранете достъпа на всички непознати или подозрителни GitHub или OAuth приложения;
• търсете приложения с имена, подобни на „gitsecurityapp“;
• огледайте внимателно за нови или неочаквани GitHub работни процеси и дали са създадени частни gists;
• променете вашите идентификационни данни и токени за оторизация.

Широкомащабна фишинг атака подлъгва потребителите на Coinbase, че трябва да извършат задължителна миграция на портфейла си. Нападателите подвеждат жертвите си да настроят нов портфейл с предварително генерирана комбинация за възстановяване, контролирана от самите тях.

Имейлите са с тема Migrate to Coinbase Wallet. В тях се посочва, че всички клиенти трябва да преминат към самостоятелни портфейли. Те съдържат и инструкции как да се изтегли легитимният портфейл Coinbase Wallet.

„Считано от 14 март, Coinbase преминава към самостоятелни портфейли. Вследствие на колективен съдебен иск, в който се твърди, че има нерегистрирани ценни книжа и нелицензирани операции, съдът задължи потребителите да управляват собствени портфейли“, се казва във фишинг имейла. „Вашата уникална фраза за възстановяване по-долу е вашата идентичност в Coinbase. Тя предоставя достъп до вашите средства – запишете я и я съхранявайте на сигурно място. Импортирайте я в Coinbase Wallet“.

Това, което отличава тази кампания, е, че в имейла не присъстват никакви фишинг връзки. Всички линкове водят към легитимната страница на Coinbase Wallet. Вместо това тя цели да открадне фразата за възстановяване.

Фразите за възстановяване, известни също като seeds, са поредица от думи, които функционират като четима от човека версия на частния ключ на портфейла за криптовалута. Всеки, който знае тази фраза за възстановяване, може да импортира портфейла на собствените си устройства. Това му позволява да открадне всички криптовалути и NFT, съхранявани в него.

По принцип правилото е никога да не споделяте фразата си за възстановяване с друг човек или уебсайт. Но сега то се разширява – никога не я използвайте, когато сте подтикнати към това чрез имейли или външни уебсайтове.

Fileless malware е усъвършенстван тип зловреден софтуер, който компрометира системите, без да съхранява постоянни изпълними файлове в тях. Това е в рязък контраст с традиционния malware. Той разчита на файлове, които лесно могат да бъдат открити от антивирусни решения, базирани на сигнатури.

Освен това Fileless malware умело използва легитимни системни инструменти като PowerShell, Windows Management Instrumentation (WMI) или дори вградени скриптове (например VBA макроси). Той работи изцяло в оперативната памет, оставяйки значително по-малка следа. Това го прави почти неуловим за конвенционалните методи за откриване и подобрява способността му да заобикаля периметровите защити.

Заразяването най-често става чрез техники за социално инженерство, като фишинг имейли с прикачени файлове и връзки. Когато те се активират, задействат изпълнението на скриптове в рамките на доверени процеси.

Стратегии за откриване на Fileless malware

Противодействието на Fileless malware изисква преминаване от конвенционални мерки за сигурност към по-динамични, ориентирани към поведението стратегии. Екипите по сигурността трябва да използват сложни инструменти и техники за ефективното му идентифициране и неутрализиране.

Ето няколко такива, специално проектирани за справяне с неговите отличителни характеристики:

1. Мониторинг на поведението на процесите в реално време и откриване на аномалии: Сканиранията, базирани на сигнатури, не работят. Интегрирайте решения, които наблюдават поведението на процесите в реално време. Внедряването на EDR системи може да подчертае необичайни дейности. Това включва неочаквани команди, стартирани от PowerShell, или необичайни мрежови връзки, които се отклоняват от стандартните системни модели.
2. Задълбочен анализ на паметта: Тъй като Fileless malware работи предимно в паметта, анализът на RAM е от решаващо значение. Анализът в реално време може да разкрие скрит злонамерен код или подозрителни process injection, които остават невидими на диска. Специализираните инструменти могат да помогнат за изолиране и изследване на тези скрити в паметта заплахи.
3. Управление и наблюдение на доверени инструменти: Ограничете използването на често експлоатирани системни инструменти като PowerShell. Това може да се направи чрез политики като списъци на разрешени приложения или контрол на изпълнението на скриптове. Активирайте подробно регистриране за среди, в които тези инструменти са от съществено значение. По този начин можете да одитирате тяхната активност и да откриете потенциални злоупотреби на ранен етап.
4. Анализ на мрежовия трафик: Fileless malware често се свързват с външни C2 сървъри (Command and Control Server). Чрез наблюдение на изходящия мрежов трафик за необичайни модели можете да откриете присъствието му, дори при липса на доказателства, базирани на файлове.
5. Обучение на потребителите и превенция на фишинг: Обучаването на потребителите да забелязват подозрителни връзки и прикачени файлове действа като решаваща първа линия на защита. Допълнете това с филтриране на имейли и sandbox тестване, за да прихванете заплахите преди да достигнат крайните точки.
6. Проактивно укрепване на системата: Минимизирайте повърхността на атака чрез деактивиране на ненужни функции (напр. макроси в Office документи) и приложете принципа на най-малката привилегия. Редовно актуализирайте системите, за да елиминирате уязвимости, които злонамереният софтуер може да експлоатира.

GitLab пусна актуализации за сигурност за Community Edition (CE) и Enterprise Edition (EE). С тях се поправят девет уязвимости, сред които две критични. Те позволяват заобикалянето на удостоверяването в библиотеката ruby-saml.

Това означава, че атакуващият може да получи неоторизиран достъп до акаунта на друг потребител. Подобна атака би довела до потенциално изтичане на данни, увеличаване на привилегии и други рискове за сигурността.

Уязвимости са отстранени във версиите на GitLab CE/EE 17.7.7, 17.8.5 и 17.9.2. Всички преди тях са уязвими.

GitLab.com вече е поправен, а клиентите на GitLab Dedicated ще бъдат актуализирани автоматично. Потребителите, които поддържат самоуправляеми инсталации в собствената си инфраструктура, обаче ще трябва да приложат актуализациите ръчно. Това трябва да се направи възможно най-бързо.

Потребителите на GitLab, които не могат да преминат незабавно към безопасна версия, трябва да:

• се уверят, че всички потребители на самоуправляващата се инстанция на GitLab са активирали 2FA. MFA на ниво доставчик на софтуер за проверка на идентичност не смекчава проблема;
• деактивират опцията за заобикаляне на SAML;
• заложат одобрение от администратора за автоматично създадените потребители, като зададат:

‘gitlab_rails[‘omniauth_block_auto_created_users’] = true’

Въпреки че тези стъпки значително намаляват риска, те трябва да се разглеждат само като временни мерки, докато не стане възможно обновяването до GitLab 17.9.2, 17.8.5 или 17.7.7.

За да актуализирате GitLab, отидете в официалния център за изтегляне на актуализации. Инструкциите за инсталиране на GitLab Runner са налични ТУК.

Спам имейлите ежедневно запълват пощенските ни кутии. Много хора ги изтриват, без да се замислят, приемайки, че това е най-добрият начин да се отърват от тях. Експертите по киберсигурност обаче съветват да не се прави това. Вместо да изтривате спам съобщенията веднага, трябва да ги маркирате като нежелани. Това може да подобри способността на вашия доставчик на електронна поща да ги филтрира в бъдеще.

Повечето услуги за електронна поща – Gmail, Outlook, Yahoo и т.н. – използват автоматични филтри за спам, за да отделят важните от нежеланите имейли. Тези филтри обаче разчитат на обратна връзка от потребителите, за да подобрят точността си. Ако просто изтривате спам имейли, без да ги маркирате като нежелани, системата не се учи от това и може да не филтрира подобни съобщения в бъдеще.

Ето как можете да помогнете за подобряване на филтъра за спам на вашата електронна поща:

• маркирайте ръчно нежеланите съобщения като спам, ако се появят във входящата ви поща. Това научава софтуера да разпознава подобни имейли и да ги блокира;
• ако вместо в папката за спам някое съобщение попадне във входящата ви поща, изберете го и го преместете там. Това помага да обучите системата да разпознава подобни заплахи.

Като следвате тези стъпки, не само намалявате спама във входящата си поща, но и допринасяте за подобряване на системата за филтриране за други потребители.

Не се „отписвайте“ от подозрителни имейли

Много спам имейли включват опция за „отписване“, което може да изглежда като лесен начин да спрете да ги получавате. Щракването върху този бутон обаче може да бъде рисковано.

Киберпрестъпниците изпращат милиони имейли на случайни адреси с надеждата да открият активни потребители. Когато щракнете върху „Отписване“, вие потвърждавате, че вашият имейл адрес е валиден и се следи активно. Вместо да спрат, спамърите могат да ви изпратят още повече нежелани имейли. В някои случаи щракването върху връзката може да ви насочи към злонамерени уебсайтове или дори да инсталира вреден софтуер на вашето устройство.

За да сте в безопасност, избягвайте да кликвате върху „отписване“ на имейли от непознати източници. Вместо това ги маркирайте като спам и ги преместете в папката за нежелани съобщения.

Как да се предпазите от спам

Спам имейлите не са само досадни, те могат да бъдат и опасни. Едни съдържат връзки към зловредни уебсайтове, други прикачени файлове, които инсталират зловреден софтуер на вашето устройство.

За да се защитите, следвайте тези прости стъпки:

• Бъдете нащрек: Ако имейлът изглежда подозрителен или изисква лична информация, бъдете предпазливи. Легитимните компании не искат поверителни данни чрез имейл.
• Не действайте прибързано: Измамниците често създават усещане за спешност, като ви притискат да действате бързо. Ако в имейл се твърди, че трябва да предприемете незабавни действия, помислете два пъти, преди да отговорите.
• Не кликвайте върху непознати връзки: Ако имейлът съдържа връзка, избягвайте да кликвате върху нея.
• Избягвайте да отваряте прикачени файлове от непознати изпращачи: Зловредният софтуер може да бъде скрит в прикачени файлове към имейли, включително PDF и ZIP файлове, както и Word документ. Отваряйте прикачени файлове само ако имате доверие на подателя.

Спам имейлите може да изглеждат безобидни, но начинът, по който се справяте с тях, може да повлияе на вашата онлайн сигурност. Вместо да ги изтривате веднага, маркирането им като спам помага на доставчиците на електронна поща да усъвършенстват филтрите си и да блокират подобни съобщения в бъдеще.

Близо 26 милиона устройства с Windows са били компрометирани чрез Infostealer от началото на 2023 до края на 2024. Действителният брой е още по-голям – 20 и 25 милиона през 2024 и между 18 и 22 милиона за 2023.

Само пробивите в Windows групата е довело до изтичане на повече от 2 милиона уникални данни за банкови карти, според ново изследване на Kaspersky. Всяка 14-та такава инфекция е довела до кражба на данни за банкови карти. А те са само част от информацията, която Infostealer са проектирани да крадат.

Организациите трябва проактивно да наблюдават пазарите в Dark Web и да откриват компрометирани акаунти, преди те да засегнат служителите или клиентите им. Но има и други мерки, които трябва да бъдат предприети, ако вече имате съмнения за пробив.

Корпоративни акаунти се делят на три категории:

1. В домейна на Active Directory или административни такива на корпоративни системи.
2. На служители на трети страни.
3. Клиентски.

Категория 1

• проверете за наличието на потребител с посоченото име за вход и стартирайте съществуващите в организацията процедури за разследване и реакция, ако то бъде потвърдено;
• направете антивирусно сканиране на всички потребителски устройства и корпоративни машини, които са засегнати. Трябва да се уверите, че сте премахнали всеки зловреден софтуер, който е открит по време на процеса;
• задължително променете паролата на всички компрометирани акаунти с дълги и сложни комбинации;
• анализирайте дневника за всякакви необичайни дейности, включително неуспешни влизания и опити за увеличаване на потребителските привилегии;
• активирайте MFA във всички корпоративни системи, където това все още не е неправено.

Категория 2

• проверете за наличието на потребител с посоченото име за вход. Той трябва да бъде информиране за пробития акаунт;
• той трябва да извърши пълно антивирусно сканиране на засегнатите устройства, потребителски и корпоративни, като премахне всеки открит зловреден софтуер.

Категория 3:

• проверете дали акаунтът съществува и определете дали принадлежи на клиент или на служител. Засегнатият потребител трябва да бъде информиран за компрометирането;
• задължителна сменете паролата с дълга и сложна комбинация;
• проверете дневниците за неоторизиран достъп или необичайна дейност;
• клиентът трябва да извърши антивирусна проверка на своите устройства и да активира MFA за засегнатото приложение.

Във всички случаи, с изключение на последния, съществуващите платформи за защита на крайни точки са в състояние да откриват, смекчават и премахват Infostealer.

87% специалисти по сигурността в ново проучване казват, че организацията им се е сблъскала с кибератака, задвижвана от AI, през 2024. Oткриването им все още е предизвикателство – едва 26% от тях изразяват висока увереност в способностите си.

91% от респондентите в SoSafe 2025 Cybercrime Trends очакват значителен ръст на този тип заплахи през следващите три години.

Global Cybersecurity Outlook 2025 пък посочва 223% увеличение на търговията с deepfake инструменти във Dark Web между Q1/2023 г. и Q1/2024.

Сред най-често споменаваните проблеми, които AI може да създаде в ръцете на нападателите, са техниките за замаскиране на атаките (51%). Друг такъв е, че технологията дава възможност за многоканални атаки. Те съчетават електронна поща, SMS, социални медии и платформи за сътрудничество.

AI, разбира се, може да се използва и за защита на бизнесите. Но технологиите са толкова силни, колкото хората, които ги използват. Информираността за киберсигурността е от решаващо значение. Без информирани служители, които могат да разпознават и да реагират на заплахите, дори и най-добрата технология не може да се справи.

Хакерите вече не просто търсят пропуски в традиционната мрежова сигурност. Те активно използват инструментите, на които организациите разчитат за ежедневните си операции.

Това превърна технологиите за отдалечена помощ, които са от съществено значение за IT поддръжката и непрекъсваемостта на бизнеса, в основна мишена. Високите нива на сигурност на платформите за дистанционна помощ вече не въпрос на избор. Те са основно изискване за поддържане на оперативната устойчивост.

Zero Trust идва на помощ

Твърде дълго време сигурността на платформите за отдалечена помощ не се проектираше в тяхната архитектура. Нарастването на броя на сложните киберзаплахи обаче изисква фундаментална промяна в подхода.

Организациите трябва да го преосмислят през призмата на Zero Trust. Те трябва да са сигурни, че всяка сесия, потребител и устройство се проверяват, отговарят на изискванията и се наблюдават, преди да получат достъп.

Това изисква структурирана стратегия, основана на:

• Идентичност и контрол на достъпа – гарантиране, че само проверени, отговарящи на изискванията потребители и устройства могат да инициират или получават отдалечена помощ.
• Сигурност на крайните точки и съответствие – налагане на базови нива на сигурност и стриктно контролиран достъп до всички управлявани устройства.
• Вградена сигурност в отдалечената помощ – вграждане на сигурността в самата основа на инструментите за отдалечена помощ, като се елиминират пропуските, от които могат да се възползват нападателите.

Сигурността на идентичността е крайъгълен камък на всяка сигурна стратегия за отдалечена помощ. Компрометираната самоличност често е първата стъпка в кибератаката. Организациите трябва да наложат:

• Изрична проверка на самоличността – използване на MFA и базиран на риска достъп, за да се гарантира, че само оторизирани потребители получават такъв.
• Достъп с най-малки привилегии – гарантиране, че отдалечената помощ се предоставя само за необходимата продължителност и с минимални привилегии.
• Оценка на риска в реално време – непрекъснато оценяване на заявките за достъп за аномалии или подозрителна дейност.

Като преместват периметъра на сигурността към идентичността, организациите създават среда, в която доверието се печели в реално време, а не се предполага.

Злонамерен Python Package Index (PyPI) пакет, наречен „set-utils“, краде частни ключове на Ethereum чрез функции за създаване на портфейл и ги изнася през блокчейна Polygon.

Пакетът се маскира като помощна програма за Python, имитирайки популярните „python-utils“, които имат над 712 милиона изтегляния, и „utils“ с 23,5 милиона инсталации. Set-utils е бил изтеглен над хиляда пъти от представянето му в PyPI на 29 януари 2025 г. Тъй като е насочен към проекти за криптовалути обаче, въпреки че е имало само хиляда изтегляния, той би могъл да засегне много по-голям брой хора.

Злонамереният пакет set-utils вгражда публичния ключ RSA на нападателя, който се използва за криптиране на откраднати данни и акаунт. Атакaта е насочена предимно към разработчици на блокчейн, използващи „eth-account“ за създаване и управление на портфейл, базирани на Python DeFi проекти. В обхвата ѝ също така попадат Web3 приложенията с поддръжка на Ethereum и лични портфейли, използващи автоматизация на Python.

Пакетът set-utils е премахнат от PyPI след откриването му. Въпреки това потребителите и разработчиците на софтуер, които са го включили в своите проекти, трябва незабавно да го деинсталират.

Приемете, че всички създадени портфейли на Ethereum са компрометирани. Ако те съдържат средства, препоръчваме ви да ги преместите в друг портфейл възможно най-скоро, тъй като има риск да бъдат откраднати във всеки един момент.

Microsoft е премахнала неразкрит брой хранилища в GitHub, използвани в масирана кампания за злонамерена реклама. Тя е засегнала почти един милион устройства по целия свят.

Компанията е открила кампанията в началото на декември 2024 г., след като е засякла множество устройства да изтеглят зловреден софтуер от GitHub. По-късно той е използван за разгръщане на поредица от различни други полезни товари в компрометираните системи.

Атаката протича така:

• нападателите инжектират реклами във видеоклипове на незаконни пиратски уебсайтове за стрийминг;
• видеоклиповете пренасочват потребителите към хранилища на GitHub. Те ги заразяват със злонамерен софтуер, събиращ подробна информация за системата;
• PowerShell скрипт изтегля троянеца за отдалечен достъп NetSupport, през който се инсталира infostealer Lumma.

Dropbox и Discord също се използват по сходен с GitHub начин. Кампанията е засегнала широк кръг организации и индустрии, включително потребителски и корпоративни устройства.

За да се предпазите:

• използвайте надежен антивирусен софтуер и го поддържайте актуален;
• изпoлзвайте Add Block;
• oбучавайте потребителите да избягват кликване на подозрителни реклами и поп-ъп прозорци;
• използвайте сигурни настройки на браузъра, които блокират изскачащи прозорци;
• конфигурирайте WAF (Web Application Firewall) с правила, специфични за malvertising, за да блокирате известни вектори на атаки като drive-by downloads.