Перейти к содержанию
_Stout

Пример целевой вирусной атаки

Recommended Posts

_Stout

Сегодня в 15:14 на этого же клиента был разослан другой вариант LdPinch. Разумеется, на момент рассылки никто его толком не брал. Примечательно другое. Оба варианта LdPinch отсылают ворованную информацию на один e-mail. Оба раза атакован один единственный клиент, более того один и тот же. Оба раза письма шли на выборочные и конкретные адреса. Оба раза текст письма составлен таким образом, что бы гарантированно заинтересовать жертву. Атака шла через WebMail одного из провайдеров. На лицо таргетированная атака. Коих в последнее время становится все больше.

Не лишне будет добавить, что клиент был оповещен об инциденте. Вредоносы до клиента не дошли.

nod4.png

post-42-1167314524.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

_Stout, на каждый ящик скинули четко по одному письму для достоверности или проспамили массированно?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
_Stout, на каждый ящик скинули четко по одному письму для достоверности или проспамили массированно?

Первый раз было около 20 сообщений, второй чуть больше. Массово не было, что довольно типично для целевых атак.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

никакой таргетированной атаки в данном примере не увидел

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
никакой таргетированной атаки в данном примере не увидел

Коллега, а что по-вашему есть таргетированная атака?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Мальцев Тимофей

И еще одной вещи я не понял.

Берем цитаты.

1. Разумеется, на момент рассылки никто его толком не брал.

2. Не лишне будет добавить, что клиент был оповещен об инциденте.

3. Вредоносы до клиента не дошли.

Так и рождаются легенды. :)

Видимо, его взял не совсем антивирус? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dexter

_Stout,

A.,

А чем отличается целевая атака от таргетированной (в смысле терминов)? :)

Видимо, его взял не совсем антивирус?

О пафосности исходной темы уже говорили. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Николай Головко
Видимо, его взял не совсем антивирус?

Да, его взяла система проактивного анализа BitHunt в составе Kaspersky Hosted Security. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Мальцев Тимофей

Дык я и не сомневался, что об этом пойдет... :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
И еще одной вещи я не понял.

Берем цитаты.

1. Разумеется, на момент рассылки никто его толком не брал.

2. Не лишне будет добавить, что клиент был оповещен об инциденте.

3. Вредоносы до клиента не дошли.

Так и рождаются легенды. :)

Видимо, его взял не совсем антивирус? :)

Никаких легенд.

1. Троян новый. Есть скрин с Virustotal.

2. Увидили атаку -- позвонили, описали письмом детали

3. Взял, действительно не совсем АВ в доступном для скачивания (просмотря, анализа) виде. Клиент этот пользуется услугами kaspersky Hosted Security (www.hostedSecurity.ru).

Добавлено спустя 1 минуту 17 секунд:

Дык я и не сомневался, что об этом пойдет... :)

Ну разумеется. Тимофей, у вас есть подобный сервис -- доворачивайте его и у вас не будет вопросов...

Добавлено спустя 1 минуту 52 секунды:

А чем отличается целевая атака от таргетированной (в смысле терминов)? :)

Синонимы. второй это калька с англ.

О пафосности исходной темы уже говорили. :)

Никакого пафоса -- каждодневная работа.

Dexter, не всем дано.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dexter
Синонимы. второй это калька с англ.

Дык понятно.

Продолжая очевидный лёгкий флейм, хочу уточнить свой вопрос.

Зачем вместо использования нормального и очевидного слова использовать не совсем красивое и не очень удобоваримое для русскоязычного уха? :)

(русскоязычное ухо. Н-да - только что придумал :) ) А лучше сказать - русскоязычный глаз. :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yurk

Бред! Если и целевая атака то не на одного клиента. К нам это тоже падало. Просто новая модификация. И что тут такого супер-пупер? Любой нормальный производитель антивируса присланные от серьёзных клиентов образцы добавляет в базы или выпускает экстренное обновление. Мы у себя тоже сразу отсекли эту рассылку, ну и что? :?:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dexter

Ну дык люди определяют атаку как целевую.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Мальцев Тимофей

_Stout

Так у меня вопросов и не было. Кроме риторических. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • alamor
      @demkd, вот неудобно, что посмотришь подробную инфу о файле по дабл-клику - примешь решение удалять его. И нельзя сразу из того же окна удалить его (или ссылки на него). Надо выходить из того окна и так. 

       
    • Александр57
      На вкладке "защита" не активен на вкл. ползунки "защита от программ вымогателей" и "проверка на наличие рукитов". Как включить? Программам Malwarebytes premium лицензионная.
    • PR55.RP55
      т.е.  в settings.ini можно прописать так: ; Включить поддержку белого списка ЭЦП. (по умолчанию 0)
      ; Список хранится в файле wdsl, который представляет собой обычный текстовый файл в unicode ; ;  ; ; кодировке.
      ; Одна строка - одно имя, регистр важен.
      bUseWDSList = 1
      ; Скрывать проверенные файлы со статусом "ВИРУС" если активен белый список.
      ; (файлы скрываются при запуске функции автоскрипт)
      ; Функция применима при работе с сигнатурами.
      ImgAutoHideVerified = 1
    • PR55.RP55
      WDLS Параметр в settings.ini
         [Settings]
         ; Включить поддержку белого списка ЭЦП.
           bUseWDSList (по умолчанию 0) ------------    ; Скрывать проверенные файлы со статусом "ВИРУС" если активен белый список.
         ; (файлы скрываются при запуске функции автоскрипт)
           ImgAutoHideVerified (по умолчанию 0) ---------- Это файл который вы сами составляете\дополняете из Инфо. файла. Это список белых Электронно Цифровых Подписей. Настройка позволяет считать проверенными не все ЭЦП, а только те которые были добавлены вами. Например:  Действительна, подписано """Ask-Integrator"", Ltd." Имеет легальную подпись - однако данной ЭЦП нет в списке  WDLS  файлы подписанные """Ask-Integrator"", Ltd." не будут считаться проверенными. -------- Сам файл в теме. wdsl.7z * Если в категории:  " Белый список ЭЦП"  вы видите список - значит всё настроено верно. Файл в приложении, расценивайте как образец. Что-то можно убавит, что-то добавить. ( с соблюдением кодировки )
    • Dragokas
      Объясните тёмному человеку, что такое WDLS ?
×