Поддельные антивирусы добрались до Skype

Поддельные антивирусы добрались до Skype

«Лаборатория Касперского» проанализировала развитие киберугроз в сентябре 2011 года. Внимание экспертов привлекли таргетированные атаки на бизнес, а также новые уловки вирусописателей по распространению вредоносного кода для мобильных устройств.



Одним из громких событий месяца стала очередная крупная победа над зомби-сетями. Благодаря совместным действиям «Лаборатории Касперского», Microsoft и Kyrus Tech удалось закрыть крупный ботнет Hlux/Kelihos, объединявший более 40 000 компьютеров. Он был способен рассылать ежедневно десятки миллионов спам-писем, проводить DDoS-атаки и загружать на компьютеры жертв различные вредоносные программы. Одновременно с этим была отключена и доменная зона cz.cc, которая на протяжении этого года представляла собой настоящий рассадник различных угроз: от поддельных антивирусов (в том числе и для MacOS), до шпионских программ. В ней же находились и центры управления нескольких десятков ботнетов.

В сентябре была отмечена новая волна инцидентов, связанных с распространением поддельных антивирусов с использованием Skype. Для начала преступники подбирали имена учетных записей пользователей, которым затем звонили незнакомцы с именем «URGENT NOTICE» и сообщали, что защита их компьютера якобы не активна. Чтобы ее активировать, надо было зайти на специальный сайт и заплатить $19,95. Избавиться от такого рода спама в Skype можно, если установить в настройках безопасности этой программы опции, позволяющие принимать звонки, видео и чат только от пользователей из списка контактов.

Количество угроз для мобильных устройств по-прежнему продолжает расти, и сентябрь в этом плане не стал исключением. Так, в минувшем месяце было обнаружено 680 модификаций вредоносных программ для мобильных платформ, из которых 559 – это зловреды для ОС Android.

В конце сентября были зафиксированы первые попытки атак с использованием QR-кодов (от англ. «quick response» – «быстрый отклик»). Сегодня многие пользователи ищут новые программы для своих мобильных устройств с помощью персональных компьютеров, и эта технология помогает упростить установку ПО на смартфоны, Достаточно сканировать штрих-код мобильным устройством, и начинается процесс закачки на него приложения.

Злоумышленники стали использовать новую технология для распространения вредоносного ПО. В результате в Сети появились сайты с размещенными на них QR-кодами для мобильных приложений (например, Jimm или Opera Mini), в которые была зашифрована ссылка на вредоносный файл. После сканирования зараженного кода, на смартфон загружался троянец, отправляющий SMS-сообщения на короткие платные номера.

К началу октября эксперты «Лаборатории Касперского» обнаружили QR-коды, которые связаны со зловредами для наиболее популярных у злоумышленников мобильных платформ Android и J2ME.

Прошедший месяц не обошелся без очередных громких атак на крупные компании и государственные структуры разных стран. Жертвой одной из них стала японская корпорация Mitsubishi. Было заражено около 80 компьютеров и серверов заводов, которые занимаются производством оборудования для подводных лодок, ракет и атомной промышленности. Как выяснили эксперты «Лаборатории Касперского», атака началась еще в июле и была проведена по классическому для подобных угроз сценарию. Ряду сотрудников Mitsubishi злоумышленники направили письма, содержащие PDF-файл, который представлял собой эксплойт уязвимости в Adobe Reader.

После открытия этого файла происходила установка вредоносного модуля, открывающего хакерам полный удаленный доступ к системе. Другой, еще более серьезный инцидент получил название Lurid. Он был связан со взломом и заражением полутора тысяч компьютеров, расположенных, в основном, в России, странах бывшего Советского Союза, а также Восточной Европе. Атакующих интересовали предприятия авиакосмической отрасли, научно-исследовательские институты, ряд коммерческих организаций, государственные ведомства и некоторые СМИ. Как и в случае с атакой на Mitsubishi, на первом этапе здесь также использовались письма в электронной почте.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В R-Vision SIEM появилось более 260 новых правил детектирования угроз

В систему мониторинга событий ИБ R-Vision SIEM добавили крупное обновление экспертизы. Оно включает 263 новых правила детектирования, поддержку дополнительных источников событий и доработку уже существующего контента. Сейчас в системе доступно более 750 правил «из коробки».

Обновления затронули такие системы, как Microsoft Windows, Linux, MySQL, Oracle DB, VMware vCenter и ESXi, OpenVPN. Также расширено покрытие для Microsoft SQL Server и Kubernetes.

По словам команды R-Vision, особое внимание в этот раз уделили Kubernetes — из-за его популярности в облачных и гибридных инфраструктурах. С ростом использования увеличивается и интерес со стороны атакующих. Среди частых техник — попытки обойти ограничения RBAC и получить доступ к критическим namespace, таким как kube-system. Чтобы выявлять такие действия, в SIEM добавили новые правила.

Также появились сигнатуры для продуктов российских производителей, включая Гарда WAF, Infowatch TM, S-Terra Gate и Secret Net Studio.

Кроме общих улучшений, в систему добавили правила для конкретных техник, которые применяются в атаках:

  • Использование LocaltoNet — утилиты для создания туннелей снаружи внутрь инфраструктуры. Её применяли, например, в атаках APT Morlock против подрядчиков в IT-сфере.
  • Эксплуатация CVE-2025-24071 — уязвимости в Windows Explorer, через которую можно инициировать утечку NTLMv2-хэшей при открытии специально оформленного .library-ms файла.
  • Злоупотребление ssh.exe — для скрытого туннелирования трафика, перехвата учётных данных и удалённого выполнения команд. Такие методы использовались группировкой ToddyCat.
  • Внедрение вредоносного кода в браузерные расширения, что может приводить к краже пользовательских данных.

Помимо правил детектирования, обновление включает новые правила нормализации логов для разных источников, чтобы система корректно обрабатывала события. В списке — оборудование и ПО от Huawei, Континент, Garda, ViPNet, Dallas Lock, Kaspersky, Positive Technologies, а также open source-системы вроде Suricata, Lighttpd, NextCloud, pfSense и других.

Добавлены также шаблоны типовых дашбордов — с готовыми структурами, настройками отображения и расположением виджетов. Это может помочь быстрее настроить визуализацию под конкретные задачи.

Обновление доступно всем пользователям с действующей техподдержкой. Для установки требуется версия R-Vision SIEM не ниже 2.3.0. Полный список поддерживаемых источников и версии пакетов опубликованы на портале документации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru