На сайте MPAA разместили эмблему Интернет-пиратов

...

Взломщики использовали отравление DNS-кэша, чтобы осуществить модификацию интерфейса сайта американской кинематографической ассоциации (MPAA). Атака, которой подвергся ресурс copyprotected.com, на данный момент является последним инцидентом в списке взаимных нападений, которые предпринимали по отношению друг к другу поборники авторских прав и защитники свободной информации; ранее группы анонимных "хакеров" выводили из строя сайты RIAA и юридической фирмы ACS:law.



Дефейс Интернет-представительства MPAA, однако, представляет собой уже новый шаг в развитии групп анонимов и их методов: ранее они лишь нарушали работоспособность сетевых ресурсов посредством DDoS-атак. На измененной странице злоумышленники разместили логотип Pirate Bay.



(изображение из первоисточника sunbeltblog.blogspot.com. Щелкните для увеличения...)


"Кому-то удалось изменить DNS-записи для copyprotected.com, так что адрес стал указывать на посторонний IP с содержимым, заранее подготовленным взломщиками", - пояснил исследователь Джоэл Лэтроп, изучивший особенности предпринятой против MPAA атаки.


По словам аналитика, сервер, на котором размещается измененная страница, принадлежит компании WareNet; вероятно, эта организация сама пала жертвой взлома и не является соучастницей нападения. "Я предполагаю, что анонимы могли направить DDoS-атаку на WareNet, чтобы отвлечь ответственный персонал, а затем незаметно использовать один из их серверов для своих собственных целей", - сказал г-н Лэтроп.


Более подробная информация об инциденте доступна в блоге Sunbelt Software.


The Register

" />

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фреймворк автоматизации работы с Chrome все чаще светится в атаках

Эксперты Team Cymru фиксируют рост популярности инструмента BrowserAutomationStudio (BAS) у авторов вредоносных атак. Этот фреймворк автоматизации выполнения задач в браузере позволяет создавать проекты с такими пригодными для зловредов возможностями, как эмуляция браузера, имитация нажатий клавиш и кликов мыши, поддержка прокси, поиск по почтовому ящику, загрузка данных из файла, строки символов или с веб-страницы.

Первая реклама BAS, по данным Team Cymru, появилась на открытых форумах в конце 2016 года. Новый инструмент позиционировался как решение, позволяющее без навыков программиста создавать приложения, использующие браузер, — боты для публикации постов (включая спам), парсинга, загрузки контента, а также программы для социальных сетей.

Некто Twaego из Киева, объявивший себя главным разработчиком, предлагал совместимый с Windows софт в свободное пользование (позднее появилась и коммерческая версия с расширенными возможностями). Желающих зазывали на сайт bablosoft[.]com.

Предложение было встречено с большим энтузиазмом, и со временем на Bablosoft сформировалось свое комьюнити. Всем нравилось, что доступ к инструменту предоставляется бесплатно, замечания и пожелания учитываются, а приложения и скрипты, создаваемые с помощью BAS, можно расшарить на сайте.

Рост популярности Bablosoft заметили и на хакерских форумах: там стали предлагать услуги по созданию скриптов для BAS и специфических ботов (для брутфорса, поиска кандидатов в дропы и т. п.). В Telegram появилась новая группа — «BABLOSOFT – ЧАТ ПО БАСУ», которая насчитывает немногим более 1000 участников, в основном русскоязычных.

 В 2021 году BAS впервые привлек внимание ИБ-сообщества — в связи с участившимися атаками по методу credential stuffing. Результаты анализа инструмента, позволяющего автоматизировать перебор учетных данных – результатов краж и утечек, опубликовали F5 Labs и NTT (PDF), наблюдавшая активизацию Grim Spider.

Специалисты при этом отметили сходство BAS с легитимными инструментами разработчика Puppeteer и Selenium: они почти одинаково автоматизируют выполнение задач в Google Chrome.

В этом году, согласно телеметрии Team Cymru, к ресурсам Bablosoft обращались C2-серверы Bumblebee, BlackGuard и RedLine. Два из этих зловредов (инфостилеры) пытались воспользоваться валидатором учетных данных Gmail.

Поддомен для загрузок Bablosoft (46.101.13[.]144) чаще прочих запрашивают из России и Украины — судя по данным Whois.

 

Несколько хостов, ассоциируемых с криптоджекингом (майнером XMRig и трояном Tofsee), пытались воспользоваться Bablosoft-услугами по созданию цифровых отпечатков — видимо, для сокрытия вредоносной активности.

Управление некоторыми элементами инфраструктуры Bablosoft осуществляется, как выяснилось, с украинского IP-адреса. С него же обращаются к ряду хостов на порту TCP/27017, который обычно ассоциируется с MongoDB.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru