Най-интересното

Спомняте ли си „бизнес-ориентирания“ модел на ransomware-групата REvil (Sodinokibi), чието развитие следим отдавна? Наскоро „семейството“ е депозирало 1 млн. USD (всъщност, равностойността им в биткойни) в  рускоезичен хакерски форум, за да демонстрира пред потенциални сътрудници, които иска да набере, че има сериозни намерения за развитието си.

Както във всяка бизнес сфера, изглежда, че и разработката на криптовируси също следва икономическата логика и разделение на труда: едни хора (разработчици) отговарят за създаването на ransomware, а други (сътрудници) – хакват организациите и криптират устройствата им. При това се твърди, че последните получават до 80% от акумулираните откупи за декриптиране.

Публично депозираната от REvil сума илюстрира колко пари генерират създателите на ransomware. За съжаление, докато жертвите не престанат да плащат многомилионни откупи, този вид киберпрестъпления ще продължат и участниците в  тях ще стават все по-богати.

Общо 11 експлоатирани zero-day уязвимости са били открити и анализирани от екипа за сигурност на Google – Project Zero през първата половина на 2020 г.

0-day уязвимости през първата половина на 2020 г.

1. Firefox (CVE-2019-17026) – Използва се предимно в комбинация с друга уязвимост – CVE-2020-0674 и най-вече за таргетирани атаки. Закърпена във Firefox версия 72.0.1.Твърди се, че е от арсенала на хакерската група Dark Hotel.

2. Internet Explorer (CVE-2020-0674) – Тази, както и гореописаната Firefox 0-day уязвимост, е била използвана от държавно спонсорирана хакерска група (nation-state hacking group), известна като DarkHotel, за която се смята, че работи извън Корейския полуостров (не е ясно дали от Северна или Южна Корея). Двете уязвимости са били използвани за шпиониране на цели, разположени в Китай и Япония. Поради тази причина са открити от Qihoo 360 (китайски производител на антивирусни програми) и JPCERT (японският Център за действие при инциденти в информационната сигурност). Жертвите на тази кампания са били пренасочвани към уебсайт, който хоства експлоатиращ код  (exploit kit), насочен към 0-day уязвимостта в Firefox или IE, след което инфектира машините с троянски кон Gh0st, осигурявайки отдалечен достъп и контрол на нападателите върху компютрите на жертвите. Уязвимостта  е закърпена през февруари тази година като част от редовното закърпване на уязвимости от страна на  Microsoft, което се провежда всеки втори вторник на месеца – Patch Tuesday.

3. Chrome (CVE-2020-6418) – Експлоатирането на тази 0-day уязвимост е било засечено от екипа на Google за анализ на кибератаки и заплахи (Goolge TAG), но не са публикувани подробности къде и кога. Закърпена в Chrome версия 80.0.3987.122.

4 и 5. Trend Micro OfficeScan (CVE-2020-8467 и CVE-2020-8468) – Двете 0-day уязвимости са в приложение на Trend Micro – OfficeScan XG. Твърди се, че са открити от екипа на компанията случайно, при разследването на друга узявимост, използвана за хакването на Mitsubishi Electric. Запушени са малко след откриването им.

6 и 7. Firefox (CVE-2020-6819 and CVE-2020-6820) – Подробности за атаките, при които са използвани тези две 0-day уязвимости във Firefox, все още не са публикувани. Въпреки това специалистите по информационна сигурност предполагат, че те може да са част от събития, свързани с по-голяма експлоатационна верига. Запушени са във Firefox версия 74.0.1.

8, 9 и 10. Три уязвимости в продукти на Microsoft, открити и репортнати от Google TAG. Все още не е ясно при какви атаки са използвани. Това са CVE-2020-0938, CVE-2020-1020 и CVE-2020-1027, които са закърпени в априлското издание на Microsoft Patch Tuesday.

11. Sophos XG Firewall (CVE 2020-12271) – Уязвимост в операционната система SFOS позволява изпълнение на зловреден код върху хардуерните и виртуални устройства Sophos XG. Потенциално засегнати са всички устройства с достъпен от интернет административен портал (HTTPS услуга) и/или потребителски портал (User Portal).

SophosLabs публикуваха резултатите от проведеното разследване относно тази атака (Asnarök). Статията включва пълна техническа информация, включително и Indicators of Compromise (IoC). Уязвимостта е закърпена във фърмуер версия SFOS 17.5 MR12.

За любителите на статистиката – екипът на Google Project Zero е публикувал

таблица, в която са поместени всички открити експлойти на уязвимости от 2014 г. насам.

0-day уязвимости през цялата 2019 г.

• А за любителите на историята: нека да разгледаме анализа на Google за откритите през миналата година уязвимости – общо 20 на брой, 11 от които са свързани с продукти на Microsoft.
• Две компании са открили половината от засечените 0-day уязвимости през 2019г. (Google са открили 7 и Kaspersky са открили 4).
• Не е засечено активно експлоатиране на 0-day уязвимости в Linux, Safari или macOS от 2014г., когато Google започна да води подобна статистика.
• За първи път през 2019г. е открита 0-day уязвимост в Android.
• Не всички 0-day уязвимости засягат последните налични (актуални) версии на ОС/софтуер.
• От Google подозират, че някои софтуерни вендори прикриват активно експлоатирани 0-day уязвимости, като ги определят като обикновени бъгове.
• Според тях, причината за повечето открити 0-day уязвимости в продукти на Microsoft е, че има повече налични инструменти, които са специализирани именно в откриване на подобни бъгове.
• Възможността за изолиране на приложения (app sandboxing) е една от причините, която спомага за трудното намиране на 0-day уязвимости в мобилните платформи.
• 63% от 0-day уязвимостите, открити през 2019 г., се дължат на дефекти и слабости в кода, свързани с операциите в паметта (memory corruption bugs). Същият процент важи и за 2020 г. Това също е в унисон със статистическите данни, публикувани от Microsoft и Google през 2019 г., където се твърди, че 70% от всички уязвимости в продуктите на Microsoft и в Chome са т.нар. „memory safety issues”. През 2020г. Този процент е 63% от всички уязвимости.

Заключение

Поддържането на up-to-date софтуер/ОС няма да премахне вероятността да бъдете експлоатирани от 0-day уязвимост, но ще намали риска това да се случи. А в света на информационната сигурност именно „риск“ е ключовата дума или казано по друг начин – каква е вероятността това да се случи?

Тъй като няма 100% сигурност, ние трябва да се стремим да държим този риск минимално нисък (или в допустими за нас граници).

Неизвестни хакери са извършили успешна атака срещу e-mail адреси на депутати и служители в администрацията на норвежкия парламент. Пробивът в сигурността е засечен през последната седмица на август и бе обявен в началото на септември.

Административния директор на институцията, който обяви официално за проблема, Мариане Андреасен определи хака като „безпрецедентна и мощна атака“.

За момента няма официална информация, как точно е била извършена атаката, какъв е бил нейният вектор и начина на разпространението. Също така не са открити или оставени следи за откуп или друг вид съобщение от похитителите. Всички лица свързани с пробива и компроментираните акаунти са били уведомени и са предприети действия и мерки за предотвратяване на бъдещ успешен хак.

Според официалното изявление на Андреасен, от близо седмица се наблюдават съмнителни аномалии и странни сигнали в компютърната им мрежа. Предприети са били превантивни мерки, които са ограничили до известна степен мащаба на атака и ограничаване на евентуални пробиви.

Уведомени местните полицейски власти, както и Норвежката служба за национална сигурност за да разследват инцидента.

Не се изключва и възможността и за бъдещи атаки, затова се взимат необходимите мерки заедно с помощта на експерти по сигурноста, да се имплементират необходимите решения за проактивна защита и наблюдение.

Подобен вид атаки срещу правителствени парламентарни организации са все по-често срещани в последните години. Част от примерите са: над 90 компрометирани акаунта а британски депутати през 2017 г., както и пробив в компютърната мрежа на Австралийския парламент и открадването на „нечувствителна“ информация от няколко работни компютъра на 2 сенатора и малка група членове на долната камара.

„Важно съобщение. оправете проблеми с получаването на писма. Входящи съобщения до вас не са били доставени!“

Такова е част от предупредителен имейл, получен на 19 август 2020 г. от всички членове на екипа, отговарящ за киберсигурността на Sophos.

За специалистите веднага става ясно, че съобщението не е генерирано автоматично от собствената им имейл система. Все пак те споделят, че подобен phishing би могъл да заблуди дори информирания потребител в края на натоварен ден.

Проведеното разследване е показало, че инструкциите за „оправяне“ на проблема с входящата поща, отвеждат потребителя до фалшива страница. Тя имитира уеб-приложението на Outlook. Целта й – кражба на акаунта (потребителско име и парола) на потребителя.

Съветите на специалистите за избягване на подобен спам:

• Винаги проверявайте линковете, преди да кликнете върху тях
• Обръщайте внимание на URL адреса на страницата, преди да въведете данните си за достъп
• Като правило, избягвайте достъпа чрез линкове, които сте получили в имейл
• Използвайте двуфакторна автентикация
• Никога не изключвайте и не променяйте настройките си за сигурност, само защото имейл съобщение ви приканва да го направите
• Веднага променете паролите си ако се съмнявате, че може да сте жертва на phishing

 

Какви може да са последиците за бизнеса на една организация в случай на успешно източени лични данни на потребители? Двата случая с източените от хотелската верига Marriot лични данни се превръщат в пример за това. След рекордните глоби от регулаторите, сега на дневен ред са исковете от засегнатите потребители.

Според публикации в местната преса, Marriott International е обект на съдебно дело в Обединеното кралство, заведено от милиони бивши гости. Те търсят обезщетение за компрометирането на личните им данни.

Делото идва в отговор на инцидент със сигурност, при който хакери са откраднали информация за повече от 300 млн. души между юли 2014 г. и септември 2018 г.

Нарушението, разкрито за първи път през 2018 г., включва данни като имейл адреси, телефонни номера, данни за кредитни карти и паспортни данни на хората, които са направили резервации през веригата Starwood Hotels, собственост на Marriott.

През февруари 2020 г. последва втора атака, която, макар и по-малка по мащаб на пораженията от предходната, показва, че хотелската верига има сериозен проблем със сигурността.

Точно това е и основният мотив на живеещия във Великобритания Martin Bryant – инициатор на масовото съдебно преследване. В изявление той казва, че е завел делото, защото хотелските оператори не са „предприели адекватни стъпки за гарантиране на сигурността на личните данни на гостите и за предотвратяване на неразрешено и незаконно обработване на тези данни“.

Във Великобритания все още тече паралелно дело срещу Marriott International, по което през 2019 г. беше предложено налагането на 99.2 млн. GBP глоба (133 млн. USD по това време) във връзка с нарушение, което компрометира данните за около 7 млн. жители на кралството.

Американският гигант Brown-Forman, собственик на марките уиски Jack Daniel’s, водка Finlandia и др., е най-новата по-известна жертва на атака с криптовирус. Компанията, обаче, може да послужи за пример с реакцията си.

Историята: според Bloomberg, Brown-Forman са станали жертва на добре познатите REvil / Sodinokibi. Зловредният код първо източва информацията от работните станции на жертвите си, а след това ги криптира. В случая се твърди, че са източени 1 терабайт данни, обхващащи над период от над 10 години от дейността на организацията.

Какъв е бил отговорът на компанията на исканията откуп? Изглежда, че Brown-Forman са казали на киберпрестъпниците да ги изпратят „там, където слънцето не огрява“.

Междувременно, не е имало данни, че компанията е спирала принудително дейността си, което говори за добра политика за реакция при кибератака – най-вероятно, актуални резервни копия на информацията. И най-вероятно политики за ограничаване негативното въздействие върху партньори, доставчици, кредитори, дистрибутори, търговци на дребно и др.

Добра работа, Brown-Forman!

Кой може да стане жертва на кибератака? Краткият отговор: всички. Поредният пример за това е един най-добрите футболни клубове в Англия, който е бил прилъган да преведе 1 млн. GBP на измамници.

Името на отбора не е известно, но методът на атака е описан подробно в доклад на Националния център за киберсигурност на Обединеното кралство с името „Кибер заплахата за спортните организации“ (The Cyber Threat to Sports Organisations).

Използвано е компрометиране на бизнес кореспонденция (BEC). Този вид измама дори не изисква злоупотребяващият да е програмист. Нужно е само да се прихване имейл паролата на някой, който е от значение за дадена организацията, да се прочете цялата му кореспонденция и да се изведат закономерностите в нея. И когато се стигне до извършване на плащане… да се подменят ключови детайли, така че парите да „кривнат“ към желаната сметка.

В случая измамниците са се възползвали от спецификата на трансферните преговори в английската Висша лига – най-богатото и най-гледано футболно първенство в света. Сумите за купуване на играчи са огромни, трансферните прозорци са кратки, а преговорите – сложни. Една от опциите за потвърждение на трансфер е запазването на лот – нещо като капаро за даден играч. Обикновено сроковете за плащане на такова капаро са кратки, което е и лостът, използван от хакерите.

Изглежда, те са прихванали подобно предварително плащане и са изпратили привидно легитимен мейл, в който заявяват промяна на банковата сметка, на която да бъдат преведени парите. Видимо от доклада, това е било прието радушно от превеждащия капарото клуб – а измамата е разкрита от банката на отбора. Тя е заподозряла транзакцията и е провела разследване, с което е предотвратила измамата.

Как да избегнете BEC:

• Използвайте двуфакторна автентикация
• Активирайте функции в използваните от вас услуги, които да ви предупреждават при възникване на аномалии
• Прилагайте двуфакторна автентикация на промени в съществени услуги, сметки или плащания, които компанията ви използва
• Разглеждайте критично всеки имейл, който изисква плащане
• Ако искате да сверите данни на друга компания, предоставени в имейл, особено когато става въпрос за пари, никога не разчитайте на данните за контакт, предоставени в имейла
• Редовно обучавайте персонала си как да разпознава измами в интернет

Последен ъпдейт на 26 юли 2020 в 17:16 ч.

Ако искате да направите Windows наистина изцяло по ваш вкус, отговорът не е само в системните настройки. Решението е пакет с приложения, създаден от Microsoft, и наличен за сваляне, безплатно от GitHub. Ето част от екстрите, с които ще разполагате, след като се запознаете с този текст:

• Как да подреждате автоматизирано различни отворени прозорци според типа им
• Как да преглеждате текстови файлове, без да се налага да ги отваряте
• Как да промените клавишните комбинации по подразбиране в операционната система
• Как да преименувате повече от един файл едновременно

Fancy Zones

Fancy Zones е инструмент, който позволява да подреждаме различните отворени прозорци на определени места, които ние дефинираме.

По принцип, в Windows можете да преместите един прозорец на няколко места на екрана: отгоре, отдолу, вляво или вдясно използвайки клавишната комбинация Windows Key + Arrow Keys.

С Fancy Zones можем да зададем различна зона на екрана използвайки вече готовите темплейти.

Или да начертаем конкретни зони с Custom Layout Creator

Инструментът също така предоставя възможност да събираме определени зони, да запълним свободното място между тях или да променяме големината и разположението им на екрана.

Може да преместим прозорец във вече обозначена зона, като използваме комбинацията Left Shift + Left Mouse Button. При използването ѝ, зоните се показват на екрана и тази, върху която искаме да се сложи прозореца, се обозначава с червен цвят по подразбиране.

Shortcut Guide

Shortcut Guide ни позволява да видим различните клавишни комбинации които използват Windows бутона. За целта, единствено задържаме Windows Key за една секунда, след което се появява менюто, показващо ни всички клавишни комбинации.

Power Rename

Power Rename ни позволява да редактираме имената на голям брой файлове наведнъж. Имаме възможност да задаваме много различни аргументи при използване на самият инструмент, като например ^example, който ще маркира всеки файл който започва с example и ще ни позволи да го редактираме.

Като цяло инструментът е изключително сложен, но Microsoft са ни предоставили много подробни инструкции в Github хранилището на Power Rename, както и малко демо под формата на видео, което показва какво представлява инструмента.

Preview Pane 

Preview Pane е технология, която ни показва предварителен преглед на маркирани от нас файлове. Ако, например, не желаем да отваряме 20 различни текстови документа или снимки един по един, с Preview Pane можем директно да ги разгледаме още във File Explorer.

Може да намерите source кода на проекта в Github хранилището, ако се интересувате как точно е направено.

Image Resizer

Image Resizer работи подобно на Power Rename с идеята, че позволява да редактираме много файлове наведнъж. Конкретно, в Image Resizer имаме възможността да редактираме измеренията на избрани от нас снимки. Това, което прави инструмента изключително полезен, са и допълнителните опции, с които идва. Например, да създаваме вече предефинирани размери, които можем да запазим за по-късно или дори да увеличим, или намалим размера на снимките с даден процент.

Keyboard Manager

Keyboard Manager или KBM ни позволява да променяме функцията на клавишните ни комбинации или дори да предефинираме отделни клавиши. Например, можем да променим командата за копиране на файлове Ctrl + C на Ctrl + D. Или, когато напишем латинско Z да излиза З на кирилица. За жалост, поне засега, инструментът няма възможността да презаписва комбинация от клавиши върху един бутон, например ако искаме да преместим Ctrl + C -> C или Ctrl + V -> V

Способностите на KBM първоначално може да изглеждат сравнително прости, но те ни позволяват да персонализираме клавиатурата си и дори начина, по който работим с нея.

Освен това поддържа и допълнителни макро бутони като тези при Razer клавиатурите. Може да намерите официалния FaQ за инструмента в Github.

Power Toy Run

Последното приложение в този пакет е Power Toys Run. Може да го отворим чрез клавишна комбинация Alt + Space. Той представлява търсачка, с която може да търсим различни документи, приложения, или дори да го използваме като калкулатор за много по-бързи калкулации като събиране, умножение и т.н.

Други възможности на инструмента са например:

• С клавишната комбнация Ctrl + Shift + Enter можем да отворим приложение като администратор.
• С Ctrl + Shift + E можем да отворим директорията, в която се намира приложението
• Ctrl + C ни позволява да копираме директорията директно от Power Toy Run.

Инструментът е най-новият в пакета и има малки проблеми, за които може да прочетете отново в Github.

В заключение

Пакетът с инструменти, които Microsoft ни предоставят безплатно, е много полезен и смятам, че всеки може да намери нещо за себе си в него.

Лично за мен Shortcut Guide, File Explorer Preview и Power Toys Run са модулите които могат най-много могат да ни улесняат работата с Windows. Може да намерите всички инструменти, заедно с тяхната документация, в официалната страница на Microsoft в Github.

Достъпът към Microsoft 365  от цял свят е удобство не само за организацията и служителите ви, но и за хората с интерес да ѝ навредят. Всичко, което им трябва е да стигнат до валидна log-in информация. Не всеки си дава сметка, че отдавна не е нужно да прочетат мислите му, за да стигнат до така желаната парола. Ето някои от най-разпространените начини, използвани от киберпрестъпниците за това:

Колега иска да ви изпрати съобщение в Microsoft Teams

В забързаното си ежедневие получавате стотици известия. Едно от тях е имейл, с реална снимка на ваш колега и покана да се включите в Teams чат. Всичко, което трябва да направите е да се логнете в платформата от една 100% легитимно изглеждаща страница.

За жалост няма да стигнете до чат стая с колегата ви, но информацията от логин формата е вече в грешни ръце.

Съобщението ви НЕ беше изпратено успешно

Друг пример за срещани в практиката измами е небезизвестното съобщение за провалено изпращане или т.нар failure of delivery notice. В случая атакуващите ще предоставят причина като “неуспешна автентикация в домейн средата ви” и ще поискат действие от ваша страна. Отново се стига до фалшива логин форма, която с малко повече проучване може да е точна реплика на тази, която ползвате.

Кутията ви е пълна, а Х съобщения чакат да бъдат изпратени

С такова предупреждение ще ви посрещне следващата широко разпространена измама. Тя цели да всее известно количество паника у получаващия известието, за да не обръща прекалено много внимание на детайлите. Както очаквате, ще има бутон “Кликнете тук да разрешите проблема” и фалшива форма за потребителската ви информация.

Паролата ви изтича и няма да имате достъп до профила си

Измамното приканване за смяна на парола е вечна класика при phishing атаките. Това се дължи на факта, че всяка компания, която приема сигурността си сериозно, изисква от потребителите си периодична смяна. Още по-атрактивно го прави и възможността за непредвидена смяна в случай на “теч на данни” за който лесно може да ви излъжат.

Да се “закачите на кукичката” не е  чак толкова лесно, но имайте предвид следното

Потребителската ви информация не е ключ само към собствената ви информация, но и към всички бизнес ресурси към които имате достъп (и дори някои, към които нямате). Затова внимавайте за следните неща:

• Въведете задължителна дву-факторна автентикация. Над 99% от успешните хакове срещу бизнес потребители на услугите на Microsoft се дължат на липсата ѝ
• Проверявайте внимателно URL адреса на всяка страница, която изисква потребителската ви информация. Научете или попитайте за правилните URL адреси и бъдете скептични към всичко останало
• Използвайте антивирусен софтуер или firewall, който може да следи и елиминира опити за phishing
• Не игнорирайте вградените предупреждения за сигурност на браузъра си, те са там, за да ви пазят. Често ще ги получавате на измамни страници, тъй предупрежденията са точно за тях. Отделно, страниците често са създадени набързо и за единична употреба и не спазват някои от изискванията на браузъра ви.

Вече е Microsoft 365 [NP1]

Неведнъж сме разказвали на групата REvil / Sodinokibi – едни от добилите популярност в началото на 2020 г. криптовируси, които източват данните на жертвите си преди да ги криптират. 

Всяко ново появяване на това ransomware семейство е запомнящо се, защото добавя нов щрих към измамата: 

• Първоначално групата стана известна с това, че подсигурява печалбата си от две страни – или плащате за декриптиране на данните си или за да не попаднат те в ръцете на конкуренцията. При всички случаи REvil печели. 
• По-късно през годината „семейството“се сдоби със собствена платформа. На нея, под формата на каталог, се публикува откраднатата информация от жертвите, които не са платили откупите си. Така пазарният дял е гарантиран. 
• В началото на юни 2020 г. REvil добави черешката на тортата – функция за анонимно наддаване за откраднатата информация. А първите аукциони са вече факт. 

Сред жертвите, чиито данни са били продадени на търг, са дистрибутор на храни, адвокатска кантора и дружество за интелектуална собственост, всички в САЩ.  

Спечелилите наддаването плащат, разбира се, с криптовалута. При това, изглежда, че страните се ползват с взаимно доверие, тъй като не би било възможно да се поиска възстановяване на сумата в случай на недоставяне на заплатената информация. 

Продължаване да следим развитието на REvil и ни се иска този бизнес нюх да бъде вложен в положителна кауза. 

Прочетете повече по темата тук

 

В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации.