Малуер

През лятото на 2020 г. беше открит зловреден софтуер за Mac (XCSSET), който се разпространява чрез на Xcode. Той използва две 0-day уязвимости, за да открадне чувствителна информация от засегнатите системи и да стартира рансъмуер атаки.

Към момента вече е наличен и нов вариант на XCSSET, компилиран за устройства с чипове M1 на Apple.

Малуерът краде данни от популярни приложения (Evernote, Skype, Notes, QQ, WeChat, Telegram), заснема екранни снимки, дефилтрира откраднати документи на сървъра на нападателите, криптира файлове, показва бележка за откуп и др.

Изглежда, че хакерите активно прекомпилират зловреден софтуер, така че да работи за М1 чиповете на Apple за Mac. Прочетете още по темата ТУК

Нов червей атакува Linux-базирани x86 сървъри и IoT (Internet of Things) устройства (с ARM и MIPS процесори). Наречен е Gitpaste-12, защото използва 12 различни модула за атака. Разпространява се скрит в GitHub и Pastebin. Изследователите смятат, че в момента над 3,5 млн. сървъра са изложени на риск.

Кодът експлоатира съществуващи уязвимости, за да компрометира системата. Сред тях са грешките в: Apache Struts (CVE-2017-5638), рутери Asus (CVE-2013-5948), Webadmin плъгин за opendreambox (CVE-2017-14135) и рутери Tenda (CVE-2020-10987).

Как действа зловредният код

Веднъж качен на устройството на жертвата, той започва да разгръща други компоненти на Gitpaste-12. Последователно изтегля и изпълнява различни скриптове, които целят да деактивират наличните защитни системи, които Linux-устройството има, включително решенията за облачна сигурност.

Прочетете още: Ловци на митове: за Linux няма вируси, ама друг път

Gitpaste-12 разполага с команди, с които: пречи на администраторите да събират информация за изпълнявани процеси, може да инсталира криптомайнери за валутата Monero, изтегля и изпълнява файлове, които хостват допълнителен злонамерен код.

Заразата се разпространява

Като един истински червей, Gitpaste-12 съдържа и скрипт, който стартира атаки срещу други устройства, с цел да репликира и разпространи злонамерения софтуер. Първоначално избира произволен CIDR за атака и оттам се насочва към всички IP адреси в обхвата му.

Версия на скрипта отваря портове 30004 и 30005 за reverse shell команди, чрез които практически може да завладее цялата система на жертвата.

Съвети за системни администратори

Как да се предпазите, ако сървърът ви работи под Linux? От ESET дават следните предложения:

• Обновявайте системата редовно
• Използвайте ключове, а не пароли, за автентикация
• Изключете отдалечения административен достъп
• Изполвайте решение за многофакторна автентикация за SSH

Последен ъпдейт на 4 май 2020 в 11:58 ч.

Често срещаме въпроса „разумно ли е да имам повече от един антивирус на компютъра/смартфона/таблета си?“. В този текст ще ви дадем нашето мнение по въпроса, защо наличието на повече от едно решение за защита от вируси на едно устройство може да е по-скоро вредно и ненужно, отколкото полезно.

Има три основни причини, поради които едновременното използване на няколко антивирусни решения не е добра идея:

1. Всяко приложение ще използва системните ви ресурси – и ще намалява производителността на устройството ви. Инсталирането на повече от едно антивирусно решение най-вероятно няма да увеличи драматично нивото на защитата ви, но ще се отрази на производителността на компютъра ви. Това означава, че рискувате да не можете да вършите нормално работата си или дори да имате допълнителни проблеми.Сблъсъкът на антивирусни програми може да накара компютъра да се държи нередно и да работи по-бавно – това е така, защото тези приложения се борят за едни и същи системни ресурси, които иначе биха отишли за програмите, с които работите или се забавлявате.
2. Отделните антивирусни приложения ще се опитат да се неутрализират взаимно. Повечето софтуери за защита в реално време са написани, без да се отчита възможността за наличието на друга антивирусна програма на системата. Така има голяма вероятност да се стигне до ситуации, в които единият антивирусен продукт смята поведението на другите стартирани антивирусни програми за действителна заплаха или дори да ги засече като зловреден код.Това е така, защото съвременните решения за защита на работни станции и сървъри все по-малко разчитат на предварително зададени характеристики и сигнатури за разпознаване на вируси (signatures). Повечето от тях разчитат на анализиране на поведенческите модели и аномалии, създадени от зловредните кодове. За да предпази ефективно системата от заразяване, антивирусната програма трябва да “бръкне” надълбоко в операционната система и дори отвъд нея (например, още на ниво UEFI).

   Тази дълбока интеграция със системата няма как да не “събуди подозрението” на останалите стартирани антивирусни решения, чиято работа е да предотвратят именно такова, иначе подозрително поведение.

3. Различните приложения ще извършват излишни операции при спирането на вируси. Представете си следната ситуация: Имате две антивирусни приложения на компютъра си. Първото засича потенциално опасно приложение и го поставя под карантина. Второто не знае за това действие, вижда, но не може да направи нищо с файла, защото той вече е поставен под карантина от първото приложение. Резултатът: ще имат един файл под карантина от приложение 1 и много известия за потенциална заплаха на компютъра ви, която не може да бъде отстранена, от приложение 2. Ако не искате непрекъснато да получавате неверни предупредителни съобщения, наличието на повече от един антивирусен софтуер ще бъде проблем за вас.Ето и още един подобен пример. Приемаме, че двете приложения, които ползвате, имат активирано сканиране в реално време. Ако изтеглите потенциално опасен и заразен файл, ще се получи конфликт в действията им – едното приложение може да е настроено директно да трие такива файлове, а другото – да ги поставя под карантина.И така, докато първото директно трие файловете, второто ще се опитва да постави карантина на вече несъществуващи файлове. И отново ще видите множество съобщения за грешки. А най-лошият сценарий е нито един от антивирусните продукти да не е в състояние успешно да премахне и неутрализира заплахата.

Антивирусните решения използват голяма част от вашата оперативна памет за извършване на системни сканирания и други свързани операции. Ако имате две от тях едновременно, производителността на вашият компютър може да бъде значително намалена или напълно заличена и без никаква полза, тъй като двата софтуера  извършват излишни операции.

Windows Defender е изключение

Когато операционната система на Windows види друг антивирусен продукт, който иска да защити машината, тя автоматично изключва вграденият Windows Defender.

Някои приложения за сигурност могат да включват функция за защитна стена, за да блокират посегателства онлайн, но ако антивирусния софтуер не предлага тази защита, трябва да се използва защитната стена Microsoft.

И още нещо от нас. Този материал не е съвет да доверите цялата си киберсигурност само на едно средство за защита! Напротив, изградете многопластова система за защита, в която антивирусът е само основата. Добавете технологии като защитна стена, защита от източване на данни (DLP) и други, с които да надградите защитата на работните си станции. Колкото повече механизми за отбрана имате, толкова по-добре !

А, ако все пак решите да имате две или повече антивирусни решения, то спазвайте следните условия при конфигурирането и настройването им:

• Не трябва да си пречат;
• Не трябва да дублират своите функции;
• Не трябва да прекалявате, в противен случай рискувате да станете жертва на собствената си хитрост

Последен ъпдейт на 4 май 2020 в 11:59 ч.

През февруари 2020 г., зараждащата тогава се паника от коронавируса бе използвана за разпространение на фишинг атака с мнима информация и съвети за защита от заболяването. Сега, когато Европа и светът са на път да бъдат парализирани от опасенията за глобална епидемия, киберпрестъпниците отново експлоатират страха на хората.

Този път хакерите разпространяват зловреден код под формата на прикачен файл в имейл, претендиращ, че е изпратен от италианските здравни власти. Четящият писмото е призоваван да отвори файла, за който се твърди, че съдържа информация от критична важност заради открити огнища на зараза с коронавируса в района, в който живее получателят на фишинга.

Съветът ни към вас: не се доверявайте на подобни писма и не отваряйте съмнителни прикачени файлове. Не споделяйте никъде потребителските си имена и пароли.

Прочетете повече по темата тук

 

В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

Последен ъпдейт на 4 май 2020 в 11:59 ч.

Вирусът Raccoon впечатли света на киберсигурността с бизнес модела, който стои зад него. Софтуерът се предлага под наем срещу 200 USD на месец, срещу които „клиентите“ получават поддръжка, коригиране на бъгове и ъпдейти на функционалностите му.
Това, отчасти, показва и защо той засяга над 60 различни приложения, сред които повече от 35 браузъра. Най-често вирусът стига до жертвите си посредством фишинг кампании с Microsoft Office документи. Сред функционалностите му са кражба на финансова информация, криптовалути, бисктвикти, история на сърфирането на данни, съхранявани във функциите за автоматично попълване на форми в браузърите.
Сред основните цели на Raccoon са Google Chrome, Internet Explorer, Microsoft Edge и Firefox.

Прочетете повече по темата тук

 

В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

Хакерска атака предизвика хаос в разпространението на някои от най-големите вестници в САЩ. Причината е малуер, заразил информационните системи на издателството Tribune Publishing. Заради атаката много потребители са получили със закъснение или не са получили въобще съботното издание на вестника, за който са абонирани.

Проблемът е засегнал популярни издания като New York Times, Wall Street Journal, Los Angeles Times, Chicago Tribune Baltimore Sun. Не всички те се издават от Tribune Publishing, но използват софтуер или печатници, които се управляват от издателството.

„Екипите работиха усърдно, за да изолират компютърния вирус, но той се разпространи в мрежата на Tribune Publishing и засегна критично важни за производствените процеси системи. Много вестници са засегнати от атаката, тъй като разчитат на тези производствени процеси“, коментира Los Angeles Times, едно от засегнатите издания.

Все още няма информация каква част от абонатите на засегнатите вестници не са получили своите копия, нито пък на колко се оценяват щетите от атаката. Малко се знае и за самата атака. Според Дейви Уиндър, който е колумнист на Forbes, атаката е осъществена с рансъмуера Ryuk. Официална информация обаче няма.

Таргетираните рансъмуер атаки са едно от най-доходоносните компютърни престъпления според проучване на Sophos.

Един от най-пострадалите вестници е San Diego Union-Tribune. Между 85 и 90% от съботния(29 декември) тираж на вестника не е стигнал навреме до абонатите по данни на Los Angeles Times.

 

Последен ъпдейт на 28 декември 2018 в 11:50 ч.

Киберзаплахи; кражба на лични данни; малуер, който нанася щети за милиони; това е само част от пейзажа в света на информационната сигурност през 2018 г.

Изминалата година беше динамична, но следващата с нищо не подсказва, че ще е по-спокойна. Компанията за информационна сигурност ESET прави прогноза за основните трендове, които ще оформят сектора през следващата година.

GDPR на глобално ниво

GDPR е европейска директива за защита на личните данни. Според ESET тя ще послужи като пример за изграждането на подобна законодателна рамка на световно равнище. Компанията дава пример със страни като Бразилия и Япония, както и американския щат Калифорния, които вървят към законодателство, подобно на GDPR. „Има силни аргументи в подкрепа на тезата, че и други региони по света ще последват примера на ЕС“, коментират от ESET.

За бизнеса съществуването на законодателна рамка в стила на GDPR може да означава съществени проблеми. Евродирективата предвижда тежки глоби за компаниите, които оперират на европейския пазар и не могат да пазят данните на клиентите си.

Ако подобни наказателни мерки се въведат и в други региони по света, това може да се превърне в тежко финансово бреме за компаниите. Само банковият сектор се очаква да плати глоби за 4.7 млрд. евро през първите три години след влизането в сила на GDPR според прогноза на Consult Hyperion. Големи глоби могат да се натрупат и в други сектори, доминирани от международни играчи, като телекомуникациите или сред интернет компаниите като Facebook или Google.

Койнмайнърите остават заплаха

Ако 2017 г. беше годината на рансъмуера, то 2018 г. безспорно е белязана от популярността на койнмайнърите. Този зловреден софтуер, който се настанява на компютъра на жертвата и използва ресурсите му, за да копае криптовалути, се превърна в явление. През първата половина на 2018 г. компанията за киберсигурност TrendMicro е засякла над 787 хил. опити за атаки с копачи на криптовалути, което е почти 10 пъти повече от същия период на 2017 г.

Копачите на криптовалути ще останат заплаха за бизнеса и потребителите и през 2019 г. Да, те не криптират файловете ви и не водят до изтичане на данни. Но криптомайнърите амортизират хардуера, увеличават разходите за електричество и могат да натоварят информационните системи, довеждайки ги до срив.

Умни устройства, глупаво безразличие

Все повече уреди в домовете ни са свързани с интернет. Това е голямо удобство, но също така представлява заплаха. Рутери, принтери, умни домакински уреди могат да бъдат хакнати и свързани в голяма бот мрежа, с която се извършват компютърни престъпления. Колкото повече умни устройства се свързват към интернет, толкова по-ясно изразен ще става този тренд.

През 2020 г. свързаните към интернет устройства ще са причина за една четвърт от атаките срещу институции, прогнозира Gartner. Въпреки това компаниите разходват сравнително малка част от бюджетите си за информационна сигурност (около 10%) за защита на тези устройства. Очаква се и бум на DDOS атаките, осъществени чрез умни устройства. Това е логично предвид факта, че се очакв аброят на свързаните към интернет устройства да надхвърли 20 млрд. още през 2020 г.

Всички онези умни домашни асистенти, които са свързани към интернет, също са заплаха. Микрофоните им улавят всичко, което се случва у дома. Дали наистина осъзнаваме колко много данни споделяме с тези умни устройства и какви заплахи произлизат от това?

Обучаващи се машини на страната на хакерите

Машинното самообучение(machine learning) ще играе все по-важна роля в осъществяването на кибератаки. И сега голяма част от тях са автоматизирани, но машинното самообучение дава изцяло нов арсенал в ръцете на хакерите. Използвайки алгоритми, те могат да направят много по-детайлен анализ на уязвимите устройства и информационни системи. „Машинното самообучение може да се използва от престъпници, за да откриват по-лесно целите си и да увеличат пораженията от всяка проведена атака“, коментират от ESET.

Последен ъпдейт на 12 ноември 2018 в 11:09 ч.

Нова кампания за разпространяване на банковия троянец Emotet е започнала през ноември, показват данните на команията за киберсигурност ESET. Опасният малуер е бил засечен още в края на октомври, но случаите на атаки с Emotet са зачестили рязко след 4 ноември.

Според ESET малуерът е бил засечен в страни от целия свят, като най-много са случаите в САЩ, Мексико, Великобритания, Турция и Южна Африка.

Новата кампания разчита основно на имейли, съдържащи зловредени Word документи или PDF файлове. Имейлите са представени като фактури, известия от банки и извлечения.

Това са обичайните похвати, с които киберпрестъпниците се опитват да накарат потенциалните жертви да отворят зловредния файл в имейла. Според ESET кампанията е насочена предимно към англо- и немскоговорящи потребители.

„Рязкото увеличение на случаи на Emotet показва, че този малуер продължава да е активна заплаха“, коментират от ESET.

За пик в разпространението на Emotet към края на октомври съобщават и други компании за информационна сигурност като TrendMicro. През юли предупреждение за активността на Emotet отправи и американския център за борба с кибератаките US-CERT.

Emotet съдържа в себе си няколко модули, които се използват за извличане на данни от заразената машина. Малуерът може да записва интернет адреси и пароли, използвани за онлайн банкиране. Сред модулите могат да се открият напълно легални инструменти за възстановяване на пароли и извличане на имена и адреси от Outlook.

„Emotet продължава да е сред най-унищожителните и разходоемки заплахи, засягащи местните правителства. Неговата функционалност на червей му позволява бързо да се разпространи в мрежата, а с това е трудно да се пребориш. Инфектирането с Emotet струва до 1 млн. долара на местните власти, които са били атакувани“, коментират от US-CERT.

Функцията за вмъкване на онлайн видеа в Word документи може да бъде използвана за разпространяване на малуер. Твърдението е на израелската компания Cymulate, която е публикувала и клип, показващ как уязвимостта може да се експлоатира.

Всеки файл с разширение .docx всъщност е архив от различни папки и файлове, един от които е document.xml. Когато вмъкнете онлайн видео вWord документ, линкът към видеото се добавя в document.xml.

Този файл обаче може да бъде модифициран, а линкът към видеото – подменен с линк към зловреден код. Когато жертвата отвори Word документа и реши да изгледа видеото, това може да стартира свалянето на зловредния код.

В публикувания от Cymulate пример се вижда, че вграденото в документа видео всъщност води към .exe файл, представен като ъпдейт на Flash Player. Появява се предупреждение, че потребителят е напът да стартира инсталационен файл от непознат източник.

Тези предупреждения обаче често се пренебрегват от потребителите и именно на това ще разчитат авторите на евентуална атака. Ако потребителят реши да стартира инсталационния файл, той може да зарази устройството си с малуер.

На подобен принцип действат и атаките с макро вируси. Но докато Microsoft Office изрично предупреждава, че отварянето на файл с вграден макро скрипт в него може да е опасно, при гореописаната атака такова предупреждение липсва.

Според Cymulate уязвимостта засяга всички потребители, използващи Microsoft Office 2016 и по-стари версии на продукта, които поддържат функцията за вграждане на онлайн видеа. Компанията е съобщила за откритието си на Microsoft.

От там обаче не считат това за уязвимост: поне ако се вярва на Джеф Джоунс, старши директор в Microsoft. В интервю за SC Media той посочва, че „продуктът правилно интерпретира HTML и работи по същия начин, както и други подобни продукти“.

Компютърната мрежа на Геологическия топографски институт на САЩ е била заразена с малуер заради служител, който е разглеждал порнографско съдържание. Използвайки служебния си компютър, той е посетил над 9000 страници с порнографско съдържание, част от които са били заразени с малуер.

Вътрешен одит е установил, че малуерът първо се е инсталирал на лаптопа на служителя, откъдето е плъзнал в мрежата на института. Освен това служителят е запазил инфектирани с малуер изображения на USB памет, както и в смартфона си.

Хиляди страници с непозволено съдържание

„Одитът ни установи, че служителят посещава често порнографски сайтове. Много от посетените 9000 страници са били част от руски сайтове, заразени с малуер. Анализът ни потвърждава, че много от порнографските изображения са били запазени на непозволено USB устройство, както и на личния смартфон на служителя. Смартфонът също е бил инфектиран“, се казва в доклада.

Случаят е пример за това как дори само един служител може да представлява риск за информационната сигурност на цялата организация. Геологическият топографски институт на САЩ изрично забранява на служителите си да разглеждат порнографски сайтове и да използват USB флашки. Това очевидно не спира някои от тях да го правят.

Служителите: най-слабото звено

Около 52% от фирмите смятат, че служителите им са най-големия риск за информационната сигурност според проучване на Kaspersky Lab от 2017 г. Общо 44% от анкетираните компании казват, че непозволеното използване на информационни ресурси – например достъп до порно или използване на флашки – е водеща заплаха за бизнеса. Единствено споделянето на данни през мобилен телефон (47%) и загубата на преносими устройства (46%) се считат за по-големи рискове.