На Ближнем Востоке разгорается кибервойна

На Ближнем Востоке разгорается кибервойна

Последние несколько недель в арабо-израильском сегменте Сети возобновились крупномасштабные боевые действия. В ночь с воскресенья на понедельник хакер 0xOmar, атаковал сайт фондовой биржи в Тель-Авиве. В результате DDoS-атаки сайт биржи оказался недоступен и лежит до сих пор. Сама биржа вроде бы продолжает работу.



Атака на фондовую биржу ознаменовала собой очередной виток кибервойны, которая разразилась в арабо-израильском сегменте интернета с началом 2012 года. Напомним, события развивались так: в начале января 0xOmar в несколько заходов опубликовал данные примерно 25 тысяч кредитных карт, полученных после взлома израильского спортивного сайта one.co.il.

9 января был взломан личный сайт заместителя министра иностранных дел Израиля Даниэля Аялона — dannyayalon.com, а 10 января стало известно о мести со стороны израильского хакера, назвавшего себя по аналогии с «саудовским» 0xOmer. Израильтянин обнародовал персональные данные двух сотен клиентов интернет-магазинов из Саудовской Аравии, заявив, что таким образом хочет удержать «арабских» хакеров от атак на израильские сайты, сообщает xakep.ru.

В пятницу, 13 января был осуществлен дефейс сайта пожарной службы Израиля –www.102.co.il. Нападавшие поместили на первой странице ресурса перечеркнутое фото Аялона с отпечатками пальцев на его лице.

Наконец, 15 и 16 января атакам подверглись сайты фондовой биржи и авиакомпании El-Al. Представители биржи заявили, что хакер не смог парализовать торги, поскольку не добрался до ключевых серверов. Впрочем, когда писался этот текст, сайт биржи все еще не работал. Представители авиаперевозчика тоже подчеркнули, что от потери от действий киберпреступника исключительно имиджевые: часть пассажиров не смогла вовремя заказать билет. Работа сайта elal.co.il была восстановлена через несколько часов после начала атаки.

Официально о личности и местоположении 0xOmar ничего не известно. Сам хакер утверждает, что находится в Саудовской Аравии. Однако, израильский блоггер Амир Фадида считает, что на самом деле преступник — Омар Хабиб, проживающий в Мексике и имеющий учёную степень в области IT уроженец Арабских Эмиратов. В своём блоге Фадида подробно описывает, как ему удалось выйти на след злоумышленника.

Заявление блоггера прокомментировали, как официальные лица, так и сам хакер. В частности помощник Даниэля Аялона заявил, что израильские власти знают о мексиканской версии, но официальный запрос пока не направили. Что касается 0xOmar'а, то по его версии он отлично замаскирован, а опубликованная в блоге информация относится к его жертвам.

Свою долю кибервоенного пиара поспешили получить и палестинские политики. Как только информация о DDoS-атаке на сайт фондовой биржи появилась в строчках мировых информационных агентств, движение ХАМАС разослало работающим в секторе Газа журналистам письмо за подписью своего пресс-секретаря Сами Абу Зухри в котором содержатся призывы к хакерам продолжать атаки. «Проникновение в израильские сайты означает открытие новой области сопротивления и начала электронной войны против израильской оккупации», — говорится в заявлении.

Активизация хакеров вызывает серьёзную обеспокоенность у правительства Израиля. После того, как в ноябре минувшего года атакам подверглись сайты Общей службы безопасности Израиля ШАБАК — shabak.gov.il, Ведомства разведки и специальных задач МОССАД — mossad.gov.il и Армии обороны Израиля ЦАХАЛ — http://dover.idf.il, было принято решение о создании специального агентства по киберпреступности. По информации газеты Jerusalem Рost, новобранцы будут служить в подразделении военной разведки 8200, а также в Управлении командования, контроля, связи, компьютеров и разведки C4I. Эти два подразделения будут отвечать за будущие кибервойны Армии обороны Израиля. Ранее эта служба занималось защитой военных сетей, а также сетей стратегических государственных концернов от кибератак. Армейские источники рассказали журналистам, что при отборе кандидатов акцент делается исключительно на практические навыки специалистов. В результате многие из трёхсот набранных антихакеров, еще не имеют высшего, а в некоторых случаях, даже среднего образования.

Новое подразделение возглавит полковник армии, ранее командовавший Центром шифрования и защиты информации МАЦОВ – главным разработчиком алгоритмов кодирования, которые используются для шифрования данных в сетях ЦАХАЛа, МОССАД, Службы внутренней безопасности, а также в мейнфреймах национальных корпораций.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru