В атаках буткита-вымогателя MBR-ONI эксперты видят русский след

В атаках буткита-вымогателя MBR-ONI эксперты видят русский след

Обнаруженный ранее в этом году в Японии вымогатель ONI, по мнению экспертов, был призван скрыть сложную хакерскую операцию. Напомним, что данный вредонос шифрует файлы, добавляя к ним расширение .oni.

В опубликованном докладе исследователи Cybereason связали использование ONI со сложными атаками на японскую промышленность. В отличие от традиционных атак вымогателей, эти атаки продолжались от трех до девяти месяцев, а их кульминацией стало использование вымогателя ONI.

В этом же исследовании Cybereason отмечает новую версию буткитов, MBR-ONI, которая модифицирует MBR и шифрует разделы диска.

«Мы пришли к выводу, что как за ONI, так и за MBR-ONI стоят одни и те злоумышленники. Это очевидно, учитывая, что в указаниях о выкупе в обоих случаях указан одинаковый адрес электронной почты», - утверждают исследователи.

В проанализированных Cybereason атаках наблюдается общий принцип. Все начинается с фишинга, призванного внедрить программу удаленного доступа Ammyy Admin. Далее следует этап разведки и похищения данных, а после этого злоумышленники получают полный контроль над сетью. Последним этапом атаки является использование вымогателя ONI и удаление журналов.

MBR-ONI используется всего против нескольких конечных точек, таких как AD-сервер и файловые серверы. Исследователи считают, что MBR-ONI использовался в целях сокрытия основного мотива операции злоумышленников.

Также эксперты подозревают, что не обошлось без эксплойта EternalBlue, так как этот патч не был установлен на взломанных компьютерах.

Примечательно, что код ONI, по словам социалистов, «содержит русский след».

«Несмотря на то, что это может быть ложный след, мы предполагаем, что нападение могло быть совершено русскоязычными киберпреступниками», - говорят исследователи.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Управление ИТ-активами на базе Security Vision 5 стало еще удобнее

Компания Security Vision выпустила новую версию модуля «Управление активами и инвентаризацией» в составе платформы Security Vision 5. По словам разработчиков, продукт теперь содержит все функции для работы в режиме MSSP.

Модель жизненного цикла активов была переработана и приведена в соответствие с рекомендациями ITIL 4. Улучшен механизм сканирования подсетей, добавлены новые типы объектов, расширен набор возможных действий над активами.

Основные усовершенствования

Сканирование и инвентаризация активов

Обновленный продукт позволяет создавать активы вручную, массовой загрузкой из внешних файлов либо импортом из внешних источников с помощью набора интеграций (Active Directory, Службы каталогов, CMDB, сетевые сканеры, СЗИ и др.). Обнаружение, идентификация, инвентаризация, категорирование активов осуществляются автоматически (по расписанию) либо вручную.

Пользователь при этом может ограничить выбор подсетью, диапазоном, группой активов, конкретным устройством и получить исчерпывающую информацию о текущем состоянии или изменениях конфигурации. Встроенные пуш-уведомления покажут результат выполненных действий, в том числе сканов по другим каналам связи (имейл, Telegram и т. п.), и помогут быстро выявить тип возникших ошибок.

Действия с активами

Действия, которые можно совершать в рамках управления активами, теперь доступны как с карточки объекта, так и с графа связей (его тоже обновили). Результаты теперь выводятся также в виде пуш-уведомлений и фиксируются в добавленном таймлайне.

Модель данных и отображение объектов

В новой версии проработаны детальные связи между бизнес-объектами ресурсно-сервисной модели (Бизнес-процессы, Продукты, Поставщики, Помещения, Оборудование) и ИТ-активами. В результате появилась возможность задать уровень детализации инфраструктуры, используя объекты «Информационная система», «СЗИ» или новые.

Объект «Базы данных» введен с поддержкой основных производителей, в том числе MSSQL, MySQL, PostgreSQL и Oracle. Второй добавленный объект, «Сетевые устройства», расширяет возможности работы с Континент NGFW, ViPNet, Cisco ASA, а также продуктами UserGate и Check Point.

Управление программным обеспечением

Система управления наличным софтом была полностью переработана. Возможности обновления и удаления программного обеспечения на хостах теперь сведены в одно окно. Расширен механизм маркировки и централизованного контроля над использованием приложений.

Дашборды и библиотека отчетов

Расположение активов и их связность теперь можно отслеживать, используя карту сети — еще одна новинка. В реестр отчетов попадают не только сводки, составляемые по расписанию, но и отчеты, создаваемые в режиме no-code.

Последний раз модуль «Управление активами и инвентаризацией» обновляли в сентябре прошлого года. Сама платформа Security Vision 5 недавно получила солидное обновление: ускорена работа с большими объемами информации а режиме мультиарендности (multitenancy), оптимизирована работа с данными разных форматов, реализовано множество других усовершенствований.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru