Перейти к содержанию

Recommended Posts

RuJN
Меня больше пугает/забавляет вот это их заявление.

“None of the 43 tested antiviruses could detect any

of the malicious components.”

Iran National CERT (MAHER) 5-28-2012

Интересно, кто в итоге окажется умнее:

- кто полез раздувать шумиху на серьезном техническом уровне, так сказать (ЛК, применили метод "from gicks to end users", с помощью которого АВП и был раскручен, выведен на иностранные рынки, судя по всему)

- кто полез затыкать всем рты, опровергая опасность угрозы (например, Trend Micro)

- кто из мухи начал делать маркетингового слона, заточённого под уже конечных пользователей, рассказывав банальные для специалистов вещи и порой привирая ( Bit9, особенно мне понравилось видео в самом верху https://www.bit9.com/tv/index.php про Флейм - решили применить видео маркетинг, а вот тот, кто это рассказывает, как я понял, главный технарь, и с маркетинговой точки зрения он намного лучше Данилова)

- кто в самом начале упомянул Флейм, но дальше не полез (Panda Security, Eset)

- кто вообще ничего не сделал (Norman, K7 (блог вообще давно пустует), F-Risk и многие другие)

Ждем отчет Гостева, от которого мы кое-что сделаем ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout

noviy%20sezon%20031.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
- кто полез раздувать шумиху на серьезном техническом уровне, так сказать (ЛК, применили метод "from gicks to end users", с помощью которого АВП и был раскручен, выведен на иностранные рынки, судя по всему)

Думаю, что в выигрыше будут эта группа вендоров. Белые начинают и выигрывают. Сливки упоминаемости во многих мировых СМИ они уже сняли. А это зачастую нельзя купить за деньги (ну или не так просто и совсем не дешево). Потом я всегда считаю, что лучше что-то делать самому, чем просто сидеть или мешать действовать другим.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww

Ахахаха, дрвеповские подкастники отожгли. Они до сих пор измеряют уровень угрозы в количестве зараженных компов - сравнили флешбэк и флейм :facepalm:

Мне так вообще показалось, что количество заражений даже многовато для APT.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Ахахаха, дрвеповские подкастники отожгли. Они до сих пор измеряют уровень угрозы в количестве зараженных компов - сравнили флешбэк и флейм :facepalm:

а чо не с Nimnul-ом (Rmnet) ? у них же там мульонный ботнет.

правда всем на это похеру

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
а чо не с Nimnul-ом (Rmnet) ?

Догадайся с 3х раз почему именно с флешбэком.

Скинемся им на учителя, который объяснит что такое APT? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Скинемся им на учителя, который объяснит что такое APT?

Боюсь учитель здесь уже не поможет :) Нужно что-то более действенное

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN
Думаю, что в выигрыше будут эта группа вендоров. Белые начинают и выигрывают. Сливки упоминаемости во многих мировых СМИ они уже сняли. А это зачастую нельзя купить за деньги (ну или не так просто и совсем не дешево). Потом я всегда считаю, что лучше что-то делать самому, чем просто сидеть или мешать действовать другим.

Dr.WEB - пример обратного, которые уже не раз оставались где-то в интервале , начав шумиху.

А то, что А. опубликует некий отчет в понедельник, похоже на маркетинговый ход - сначала шумиха была с именем ЛК, потому что именно они обнаружили. Если вот не сейчас, а несколько дней назад полезть, то мало чего получилось бы, потому что в тот момент активны были симантек и прочие, следовательно, внимание было рассеянным. А вот к тому времени как раз все уладится и опять все сливки снимет ЛК.

Израиль и США теперь заспорили, кто же стоит за Стакснетом? :rolleyes:http://israelspy.com/the-spin-about-centri...lear-ambitions/ Может еще и поспорят по ходу дела, кто в Сирии ...?

Значит надо будет поторопиться с продвижением worldcybersecurity.blogspot.com, чтобы в пик шумихи влезть.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout

Не совсем по теме, но все же

а правительство Северной Кореи работает специальное подразделение, которое состоит из 3 тыс. элитных хакеров и управляется непосредственно лидером этой страны Ким Чен Ыном (Kim Jong-un)

http://www.cnews.ru/top/2012/06/09/kibervo..._hakerov_492597

Особо радует лидер хакеров :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN

А я уже подумал, что ими руководит очередной Ким Чин Хуй (или как там его?)

А как он считал возможности стран для проведения кибератак и их отражения? Почему мы стоим вровень с США? Потому что атаки на Путина успешно отражали?

Особо радует лидер хакеров :-)

Который в Швейцарии на тройки с двойками учился, великие математические способности

Но вообще можно в этом сомневаться. Не может же Ким Чин Ын, в конце концов, руководить всем и вся в стране? Наверняка существует "подопечный менеджер", причем интересна его национальность и то, как он туда попал

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
что такое APT?

На самом деле термин определён очень нечётко.

В википедии его определение начинается со слов: "Advanced persistent threat [буквально - Передовая продолжительная по действию угроза] (APT) usually refers to a group, such as a foreign government..."

Т.е. под термином обычно понимается то-то и то-то вот такое страшное, которое делают "иностранные" правительства против стратегических объектов других стран.

Далее понятно, что оно:

Advanced - т.е. для этого типа атак специально обнаруживаются уязвимости, специально пишутся эксплойты, специально разрабатываются схемы, и стоит этого дорого, поэтому предполагается, что это доступно для уровня государств.

Persistent - атака рассчитывается на длительное (постоянное) воздействие, например, постоянный доступ к какой-либо информации. И если доступ к ней теряется, то атакующая группа повторяет попытку, и, как правило, успешно. Здесь идёт противопоставление шквалу из постоянных атак и постоянного обновления вредоносных программ.

Threat - это угроза, потому что имеется возможность и намерение. Атака производится скоординированными действиями группы лиц. Здесь идёт противопоставление автоматически выполняемому коду (т.е., насколько понимаю, автоматизированным схемам распространения). Атакующие имеют определённую цель, среди них есть высококвалифицированные специалисты, у них есть определённая мотивация для действий (наверное, как у любого правительства) :) и хорошее финансирование (правда, при серьёзной коррупции фактическое финансирование может оказаться не столь хорошим с разными последствиями, но это за кадром :) ).

Итого имеем некую такую размытую сущность. И когда появляются некоторые признаки этого APT (при этом не обязательно доказано наличие всех этих параметров), то сразу вспоминают про эту аббревиатуру и используют, потому что это модно и круто :) Сейчас, например, когда видно (но не обязательно доказано), что, судя по всему на создание найденных сэмплов были потрачены значительные деньги и распространён семпл не сильно чтобы очень. Но новость надо, ибо в сэмплах много нового и интересного, и даже про кибервойну между странами :)

Хотя на самом деле термин достаточно понятен. Но его бы лучше конкретизировать и объяснить всем значение - цены бы не было. Возможно, пока что это невозможно из-за того, что подобных атак в истории было не так много. Хотя термин, судя по ссылкам, возник в 2009-ом году, прошло уже более трёх лет. У него кстати, изначально был синоним - Informationized Force Operation [буквально - Информатизированное :) силовое (насильное?) управление, как-то так, да].

Т.е. фактически APT - это организованные действия подкованных мужиков (возможно, и не только мужиков, но отзывающихся на слово 'sir'), работающих на правительство врага, нацеленные на постоянный (длительный) доступ к секретной информации атакуемой страны (стран).

Если что, это моё понимание того, что ж такое APT. Кто с ними сталкивался и "держал в руках", возможно, меня поправят. Но лучше определить этот термин для российской аудитории, если новости про APT у нас стали популярными, а не показывать пальцем на тех, кто не понимает (понимают на самом деле мало, но скромно молчат, чтобы думали, что понимают, но вы же для кого-то это пишете?) :)

(Хотя, конечно, и поиздеваться над теми "писателями новостей околовирусной тематики", которые не могут в этом разобраться, иногда тоже весело) :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vsevolod

Как-то не особо верится, что все было провернуто без содействия или без подачи и молчаливого согласия софтверного гиганта.

Слишком хитрО, и несколько эксплуатируемых уязвимостей вместе с очевидной заинтересованностью и политикой известной страны сходятся в одном.

Умиляет и то, как быстро и по полочкам Ms дал видение, как все происходило.

Про первичный источник по прежнему молчок.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

А. пора уже за Sinowal браться [синкхолить]. Что думаешь?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
а правительство Северной Кореи работает специальное подразделение, которое состоит из 3 тыс. элитных хакеров и управляется непосредственно лидером этой страны Ким Чен Ыном (Kim Jong-un)

Порадовало, что они не только не скрывают противоправную активность, но и гордятся ей:

Также эксперт заявил, что, по его мнению, проведением массовых DDoS-атак на южнокорейские веб-сайты в июле 2009 г. занималась именно Северная Корея

...

Аналогичное заявление сделал и начальник обороны и безопасности командования армии Южной Кореи генерал Бэй Диг-Си (Bae Deag-sig). По его словам, хакеры из Северной Кореи уже давно активно атакуют информационные системы южных соседей с целью кражи военных секретов и выведения из строя компьютерных сетей.

Интересно сколько ботнетов контролируются северо-корейцами ... хотя, если подумать, то все ботнеты контролируются спецслужбами. Очень уж лакомый кусок.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
А. пора уже за Sinowal браться [синкхолить]. Что думаешь?

Он-то тут причем ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vsevolod

Про нумерацию и даты фейковых обновлений, в том числе по отношению к оригинальным, кто-нибудь из детективов что-нибудь писал?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Про нумерацию и даты фейковых обновлений, в том числе по отношению к оригинальным, кто-нибудь из детективов что-нибудь писал?

Не понимаю о чем вы спрашиваете.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Vsevolod
Не понимаю о чем вы спрашиваете.

Сказано, что механизм вируса задействует Windows Update.

Обновления имеют номера уникальные и даты выпуска.

Как номера и даты у фейковых соотносятся с хронологией выпуска оригинальных обновлений MS?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Сказано, что механизм вируса задействует Windows Update.

Обновления имеют номера уникальные и даты выпуска.

Как номера и даты у фейковых соотносятся с хронологией выпуска оригинальных обновлений MS?

Вы текст внимательно читали ?

http://www.securelist.com/ru/blog/20776402..._Windows_Update

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout

Ну то, что эти проекты связаны было понятно, но теперь есть доказательства. Осталось узнать кодовое имя операции, в рамках которой разработан Flame :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Там с последними скринами косяки.

В русской версии в двух последних перед hex-rays-декомпилированным кодом часть инструкций дизасма вылезла. В английской последний скрин вообще другой...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

криво сверсталось

поправили

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
криво сверсталось

поправили

Норм!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×