СёрчИнформ открывает направление профайлинга

СёрчИнформ открывает направление профайлинга

СёрчИнформ открывает направление профайлинга

В марте компания «СёрчИнформ» объявила о запуске нового направления – профайлинг в ИБ. Для этих задач компания создала специальное подразделение. Его возглавил экс-руководитель департамента безопасности группы компаний T.E.L.S (Transeuropean Logistic Service), эксперт-профайлер Иван Бируля. 

Профайлинг – совокупность психологических методов и методик оценки и прогнозирования поведения человека на основе наиболее информативных частных признаков, характеристик внешности, невербального и вербального поведения. В бизнесе профайлинг применяется для выявления мошеннических действий, прогнозирования и обнаружения деструктивного поведения сотрудников в отношении организации. Что особенно актуально в разрезе практических задач информационной безопасности.

Подразделение профайлинга в составе «СёрчИнформ» будет работать в трех направлениях:

  1. Обучение клиентов на базе Учебного центра «СёрчИнформ». Первая обучающая программа - «Профайлинг на службе ИБ» - прошла в марте этого года.  Специалисты рассмотрели вопросы криминальных тенденций в характере человека, кадровые риски, прогнозирование поведения сотрудников, получение важной информации о сотруднике и др.
  2. Оказание услуг на территории заказчика. Эксперты-профайлеры «СёрчИнформ» по заявке клиентов будут выезжать в компанию и совместно с ИБ-специалистами заказчика решать поставленные задачи.
  3. Исследования в направлении автоматизации анализа и прогнозирования поведения человека. В планах компании дополнить функциональность DLP-системы «КИБ СёрчИнформ» модулем, который упростит работу по прогнозированию поведения сотрудников клиентов. 

«Интерес клиентов к учебному курсу по профайлингу в очередной раз показал, что у темы большие перспективы. Метод помогает решать сложнейшие задачи, но работа эта требует больших временных и человеческих ресурсов, – поясняет председатель совета директоров «СёрчИнформ» Лев Матвеев. – Мы делаем ставку на то, чтобы максимально облегчить работу ИБ-специалиста в этой сфере. Мы понимаем, что эксперта-аналитика машина не заменит, но вот собрать данные и представить их в максимально удобном для анализа виде, DLP-система очень даже способна».

Директор по безопасности «СёрчИнформ» и руководитель подразделения по профайлингу Иван Бируля – практикующий специалист в сфере профайлинга и информационной безопасности. Ранее более 10 лет возглавлял ИБ-службы компаний из разных отраслей. Имеет обширный опыт проведения служебных расследований, разработал авторскую методику на основе нескольких школ и направлений профайлинга в России.

«Я изучаю профайлинг на протяжении 8-ми лет. Переход в «СёрчИнформ» позволит мне вывести работу на новый уровень: здесь у меня есть возможность применять методику на большом количестве компаний, изучать опыт клиентов, выявлять их потребности и работать в направлении автоматизации некоторых функций профайлера, - отмечает Иван Бируля. – Уверен, что это сотрудничество позволит нам создать инструмент, который будет полезен нашим клиентам в борьбе с новыми вызовами в сфере информационной безопасности». 

Вредоносные расширения для Firefox прятали код в логотипах

Исследователи обнаружили новую вредоносную кампанию под названием GhostPoster, в рамках которой злоумышленники прятали JavaScript-код прямо в логотипах расширений для Firefox. Такие аддоны набрали в сумме более 50 тысяч установок и долгое время выглядели совершенно безобидно.

На схему обратили внимание специалисты Koi Security. Они выявили как минимум 17 расширений, в которых вредоносный код либо извлекался из PNG-изображения логотипа с помощью стеганографии, либо подгружался с серверов атакующих.

При этом все расширения вели себя схожим образом и использовали одну и ту же инфраструктуру управления.

Особенно неприятно, что заражённые расширения относились к популярным категориям: VPN, переводчики, погода, скриншоты, жесты мыши, блокировка рекламы и даже аналоги Dark Reader. Среди них — FreeVPN Forever, различные «Google Translate», расширения для погоды, VPN и загрузки контента.

 

Механика атаки продумана достаточно хитро. В одном из расширений — FreeVPN Forever — вредоносный загрузчик был спрятан в байтах изображения логотипа. После установки расширение выжидало около 48 часов, а затем пыталось скачать основной вредоносный модуль с удалённого сервера.

Причём происходило это лишь в одном случае из десяти, что помогало обходить системы мониторинга трафика. На случай недоступности основного сервера был предусмотрен запасной домен.

Загружаемый код был сильно обфусцирован: использовались перестановка регистра, base64, а затем дополнительное XOR-шифрование с ключом, привязанным к ID расширения. В итоге в браузер попадал полноценный бэкдор с широкими возможностями.

 

По данным Koi Security, финальный пейлоад умел:

  • подменять партнёрские ссылки в крупных интернет-магазинах, перенаправляя комиссии злоумышленникам;
  • внедрять трекеры Google Analytics на все посещаемые страницы;
  • удалять защитные HTTP-заголовки;
  • обходить CAPTCHA несколькими способами;
  • вставлять невидимые iframe для рекламного и клик-фрода, которые самоуничтожались через 15 секунд.

Хотя расширения не воровали пароли и не вели пользователей на фишинговые сайты, они серьёзно нарушали конфиденциальность и давали атакующим постоянный высокопривилегированный доступ к браузеру. Исследователи отдельно отмечают, что при таком скрытном загрузчике злоумышленники в любой момент могли бы заменить полезную нагрузку на куда более опасную.

На момент публикации часть вредоносных расширений всё ещё была доступна в каталоге Firefox Add-ons. Однако Mozilla оперативно отреагировала на отчёт. Представитель компании сообщил, что все выявленные расширения уже удалены, а автоматические системы обновлены для выявления и блокировки подобных атак в будущем.

RSS: Новости на портале Anti-Malware.ru