Flame - очередное кибероружие

[RuJN 21]

Меня больше пугает/забавляет вот это их заявление.

“None of the 43 tested antiviruses could detect any

of the malicious components.”

Iran National CERT (MAHER) 5-28-2012

Интересно, кто в итоге окажется умнее:

- кто полез раздувать шумиху на серьезном техническом уровне, так сказать (ЛК, применили метод "from gicks to end users", с помощью которого АВП и был раскручен, выведен на иностранные рынки, судя по всему)

- кто полез затыкать всем рты, опровергая опасность угрозы (например, Trend Micro)

- кто из мухи начал делать маркетингового слона, заточённого под уже конечных пользователей, рассказывав банальные для специалистов вещи и порой привирая ( Bit9, особенно мне понравилось видео в самом верху https://www.bit9.com/tv/index.php про Флейм - решили применить видео маркетинг, а вот тот, кто это рассказывает, как я понял, главный технарь, и с маркетинговой точки зрения он намного лучше Данилова)

- кто в самом начале упомянул Флейм, но дальше не полез (Panda Security, Eset)

- кто вообще ничего не сделал (Norman, K7 (блог вообще давно пустует), F-Risk и многие другие)

Ждем отчет Гостева, от которого мы кое-что сделаем

[_Stout 131]

[Сергей Ильин 1538]

- кто полез раздувать шумиху на серьезном техническом уровне, так сказать (ЛК, применили метод "from gicks to end users", с помощью которого АВП и был раскручен, выведен на иностранные рынки, судя по всему)

Думаю, что в выигрыше будут эта группа вендоров. Белые начинают и выигрывают. Сливки упоминаемости во многих мировых СМИ они уже сняли. А это зачастую нельзя купить за деньги (ну или не так просто и совсем не дешево). Потом я всегда считаю, что лучше что-то делать самому, чем просто сидеть или мешать действовать другим.

[sww 486]

Ахахаха, дрвеповские подкастники отожгли. Они до сих пор измеряют уровень угрозы в количестве зараженных компов - сравнили флешбэк и флейм

Мне так вообще показалось, что количество заражений даже многовато для APT.

[A. 876]

Ахахаха, дрвеповские подкастники отожгли. Они до сих пор измеряют уровень угрозы в количестве зараженных компов - сравнили флешбэк и флейм

а чо не с Nimnul-ом (Rmnet) ? у них же там мульонный ботнет.

правда всем на это похеру

[sww 486]

а чо не с Nimnul-ом (Rmnet) ?

Догадайся с 3х раз почему именно с флешбэком.

Скинемся им на учителя, который объяснит что такое APT?

[Сергей Ильин 1538]

Скинемся им на учителя, который объяснит что такое APT?

Боюсь учитель здесь уже не поможет Нужно что-то более действенное

[RuJN 21]

Думаю, что в выигрыше будут эта группа вендоров. Белые начинают и выигрывают. Сливки упоминаемости во многих мировых СМИ они уже сняли. А это зачастую нельзя купить за деньги (ну или не так просто и совсем не дешево). Потом я всегда считаю, что лучше что-то делать самому, чем просто сидеть или мешать действовать другим.

Dr.WEB - пример обратного, которые уже не раз оставались где-то в интервале , начав шумиху.

А то, что А. опубликует некий отчет в понедельник, похоже на маркетинговый ход - сначала шумиха была с именем ЛК, потому что именно они обнаружили. Если вот не сейчас, а несколько дней назад полезть, то мало чего получилось бы, потому что в тот момент активны были симантек и прочие, следовательно, внимание было рассеянным. А вот к тому времени как раз все уладится и опять все сливки снимет ЛК.

Израиль и США теперь заспорили, кто же стоит за Стакснетом? http://israelspy.com/the-spin-about-centri...lear-ambitions/ Может еще и поспорят по ходу дела, кто в Сирии ...?

Значит надо будет поторопиться с продвижением worldcybersecurity.blogspot.com, чтобы в пик шумихи влезть.

[_Stout 131]

Не совсем по теме, но все же

а правительство Северной Кореи работает специальное подразделение, которое состоит из 3 тыс. элитных хакеров и управляется непосредственно лидером этой страны Ким Чен Ыном (Kim Jong-un)

http://www.cnews.ru/top/2012/06/09/kibervo..._hakerov_492597

Особо радует лидер хакеров :-)

[RuJN 21]

А я уже подумал, что ими руководит очередной Ким Чин Хуй (или как там его?)

А как он считал возможности стран для проведения кибератак и их отражения? Почему мы стоим вровень с США? Потому что атаки на Путина успешно отражали?

Особо радует лидер хакеров :-)

Который в Швейцарии на тройки с двойками учился, великие математические способности

Но вообще можно в этом сомневаться. Не может же Ким Чин Ын, в конце концов, руководить всем и вся в стране? Наверняка существует "подопечный менеджер", причем интересна его национальность и то, как он туда попал

[Valery Ledovskoy 1082]

что такое APT?

На самом деле термин определён очень нечётко.

В википедии его определение начинается со слов: "Advanced persistent threat [буквально - Передовая продолжительная по действию угроза] (APT) usually refers to a group, such as a foreign government..."

Т.е. под термином обычно понимается то-то и то-то вот такое страшное, которое делают "иностранные" правительства против стратегических объектов других стран.

Далее понятно, что оно:

Advanced - т.е. для этого типа атак специально обнаруживаются уязвимости, специально пишутся эксплойты, специально разрабатываются схемы, и стоит этого дорого, поэтому предполагается, что это доступно для уровня государств.

Persistent - атака рассчитывается на длительное (постоянное) воздействие, например, постоянный доступ к какой-либо информации. И если доступ к ней теряется, то атакующая группа повторяет попытку, и, как правило, успешно. Здесь идёт противопоставление шквалу из постоянных атак и постоянного обновления вредоносных программ.

Threat - это угроза, потому что имеется возможность и намерение. Атака производится скоординированными действиями группы лиц. Здесь идёт противопоставление автоматически выполняемому коду (т.е., насколько понимаю, автоматизированным схемам распространения). Атакующие имеют определённую цель, среди них есть высококвалифицированные специалисты, у них есть определённая мотивация для действий (наверное, как у любого правительства) и хорошее финансирование (правда, при серьёзной коррупции фактическое финансирование может оказаться не столь хорошим с разными последствиями, но это за кадром ).

Итого имеем некую такую размытую сущность. И когда появляются некоторые признаки этого APT (при этом не обязательно доказано наличие всех этих параметров), то сразу вспоминают про эту аббревиатуру и используют, потому что это модно и круто Сейчас, например, когда видно (но не обязательно доказано), что, судя по всему на создание найденных сэмплов были потрачены значительные деньги и распространён семпл не сильно чтобы очень. Но новость надо, ибо в сэмплах много нового и интересного, и даже про кибервойну между странами

Хотя на самом деле термин достаточно понятен. Но его бы лучше конкретизировать и объяснить всем значение - цены бы не было. Возможно, пока что это невозможно из-за того, что подобных атак в истории было не так много. Хотя термин, судя по ссылкам, возник в 2009-ом году, прошло уже более трёх лет. У него кстати, изначально был синоним - Informationized Force Operation [буквально - Информатизированное силовое (насильное?) управление, как-то так, да].

Т.е. фактически APT - это организованные действия подкованных мужиков (возможно, и не только мужиков, но отзывающихся на слово 'sir'), работающих на правительство врага, нацеленные на постоянный (длительный) доступ к секретной информации атакуемой страны (стран).

Если что, это моё понимание того, что ж такое APT. Кто с ними сталкивался и "держал в руках", возможно, меня поправят. Но лучше определить этот термин для российской аудитории, если новости про APT у нас стали популярными, а не показывать пальцем на тех, кто не понимает (понимают на самом деле мало, но скромно молчат, чтобы думали, что понимают, но вы же для кого-то это пишете?)

(Хотя, конечно, и поиздеваться над теми "писателями новостей околовирусной тематики", которые не могут в этом разобраться, иногда тоже весело)

[mike 1 57]

Flame: распространение через MITM-атаку и фальшивый прокси-сервер Windows Update

[Vsevolod 25]

Как-то не особо верится, что все было провернуто без содействия или без подачи и молчаливого согласия софтверного гиганта.

Слишком хитрО, и несколько эксплуатируемых уязвимостей вместе с очевидной заинтересованностью и политикой известной страны сходятся в одном.

Умиляет и то, как быстро и по полочкам Ms дал видение, как все происходило.

Про первичный источник по прежнему молчок.

[rkhunter 150]

А. пора уже за Sinowal браться [синкхолить]. Что думаешь?

[Сергей Ильин 1538]

а правительство Северной Кореи работает специальное подразделение, которое состоит из 3 тыс. элитных хакеров и управляется непосредственно лидером этой страны Ким Чен Ыном (Kim Jong-un)

Порадовало, что они не только не скрывают противоправную активность, но и гордятся ей:

Также эксперт заявил, что, по его мнению, проведением массовых DDoS-атак на южнокорейские веб-сайты в июле 2009 г. занималась именно Северная Корея

...

Аналогичное заявление сделал и начальник обороны и безопасности командования армии Южной Кореи генерал Бэй Диг-Си (Bae Deag-sig). По его словам, хакеры из Северной Кореи уже давно активно атакуют информационные системы южных соседей с целью кражи военных секретов и выведения из строя компьютерных сетей.

Интересно сколько ботнетов контролируются северо-корейцами ... хотя, если подумать, то все ботнеты контролируются спецслужбами. Очень уж лакомый кусок.

[A. 876]

А. пора уже за Sinowal браться [синкхолить]. Что думаешь?

Он-то тут причем ?

[Vsevolod 25]

Про нумерацию и даты фейковых обновлений, в том числе по отношению к оригинальным, кто-нибудь из детективов что-нибудь писал?

[A. 876]

Про нумерацию и даты фейковых обновлений, в том числе по отношению к оригинальным, кто-нибудь из детективов что-нибудь писал?

Не понимаю о чем вы спрашиваете.

[Vsevolod 25]

Не понимаю о чем вы спрашиваете.

Сказано, что механизм вируса задействует Windows Update.

Обновления имеют номера уникальные и даты выпуска.

Как номера и даты у фейковых соотносятся с хронологией выпуска оригинальных обновлений MS?

[A. 876]

Сказано, что механизм вируса задействует Windows Update.

Обновления имеют номера уникальные и даты выпуска.

Как номера и даты у фейковых соотносятся с хронологией выпуска оригинальных обновлений MS?

Вы текст внимательно читали ?

http://www.securelist.com/ru/blog/20776402..._Windows_Update

[A. 876]

как обещал

http://www.securelist.com/ru/blog/20776701...shchennoe_zveno

[_Stout 131]

как обещал

http://www.securelist.com/ru/blog/20776701...shchennoe_zveno

Ну то, что эти проекты связаны было понятно, но теперь есть доказательства. Осталось узнать кодовое имя операции, в рамках которой разработан Flame :-)

[rkhunter 150]

как обещал

http://www.securelist.com/ru/blog/20776701...shchennoe_zveno

Там с последними скринами косяки.

В русской версии в двух последних перед hex-rays-декомпилированным кодом часть инструкций дизасма вылезла. В английской последний скрин вообще другой...

[A. 876]

криво сверсталось

поправили

[rkhunter 150]

криво сверсталось

поправили

Норм!