Хакеры заявили о краже паролей сотрудников ФБР

Злоумышленники из хакерской группировки The Hackers Army объявили, что им удалось взломать аутентификационный сервер Федерального бюро расследований США и извлечь оттуда комбинации логинов и паролей сотрудников организации. Соответствующие данные появились в конце этой недели на ресурсе Pastebin.

Набор сведений для авторизации предваряется несколькими строками технических записей, из которых желающие могут узнать, каковы отдельные параметры серверной конфигурации, когда на служебной машине в последний раз обновлялось программное обеспечение и по какому адресу размещается форма входа в систему. Надо заметить, что ни один названный взломщиками IP-адрес не отвечает. Сервера, похоже, принадлежат поставщику телекоммуникационных услуг Level 3 Communications.

Далее следует набор из примерно трехсот сочетаний логинов и паролей. Все пользовательские имена представляют собой электронные адреса в различных доменах; в основном это @fbi.gov с различными поддоменами, однако встречаются и иные - например, @us.army.mil или даже @pentagon.af.mil. Из материала не ясно, для чего предназначены эти аутентификационные сведения, и остается лишь предполагать, что имеются в виду пароли от почтовых ящиков либо от неких унифицированных информационных систем вроде Аккаунтов Google (учитывая присутствие в списке посторонних доменов).

Сами пароли тоже довольно любопытны. Многие из них отличаются высоким уровнем сложности (к примеру, "HJuaih^&*jsdk", что соответствует всем канонам изготовления надежных кодовых слов), однако наряду с ними попадаются и простые наивные варианты вроде "password123", "ilovemydaughternancy" или даже "$$$$$$$$$$$$$". Такое соотношение говорит в пользу вероятной достоверности данных и позволяет предполагать, что сложные пароли выдавались сотрудникам централизованно, а простые затем устанавливались некоторыми федеральными агентами самостоятельно.

Выборочный анализ базы показывает, что как минимум многие из приведенных адресов, по крайней мере, действительно существуют. Среди них встречаются не только личные адреса сотрудников, но и почтовые ящики региональных подразделений, а также специальные учетные записи, открывавшиеся для сбора писем по определенным случаям (например, Colonial_Parkway_Murders<at>ic.fbi.gov). Истинны ли приведенные пароли, сказать невозможно; само ФБР пока хранит молчание.

"В данном случае мы видим ситуацию, когда на обеспечение безопасности данных государственных структур выделяются огромные деньги, разрабатываются неплохие стандарты. Но выделенные деньги используются либо на не сильно хороших специалистов по информационной безопасности, получающих более низкую зарплату, либо они расходуются на какие-либо другие цели", - отметил постоянный эксперт Anti-Malware.ru Валерий Ледовской. - "Стандарты при этом могут не выполняться из-за простой лени. Мне не совсем понятно, почему спецслужбы используют доступ к своим ресурсам через обычный браузер, а не через спецсредства. Т.е., судя по повествованию новости речь идёт о ресурсах, к которым может получить доступ из сети любой человек, если знает пару логин/пароль. Не видно информации о многофакторной аутентификации, а значит, её нет, что очень странно. Т.к. ни один из предоставленных серверов не отвечает, можно сделать вывод, что ФБР отключило эти сервера или изменила их параметры после сообщения хакеров, что не улучшает ситуацию в целом. Вообще говоря, это всё показывает несерьёзное отношение США и ФБР в частности к данным, составляющим государственную тайну. В этом смысле работа хакеров, которые не использовали эти данные в своих целях, а обнародовали информацию в Интернете, могут подтолкнуть государственные органы (причём не только американские) к пересмотру политики информационной безопасности, что даже несколько радует. Нет прецедентов - никто не будет выполнять инструкции. Это всем давно известно."

Письмо автору

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Китайских геймеров атакует подписанный Microsoft руткит FiveSys

Исследователи из Bitdefender обнаружили еще один руткит с валидной подписью Microsoft. Судя по всему, его распространителей интересуют аккаунты пользователей онлайн-игр в Китае.

По данным экспертов, вредонос, именуемый FiveSys, существует в интернете более года. Злоумышленники используют его для перенаправления трафика на кастомные прокси-серверы, список которых вшит в код (300 доменов в TLD-зоне .xyz).

Редирект работает и для HTTP, и для HTTPS; в последнем случае руткит устанавливает в систему корневой сертификат, чтобы браузер жертвы не выдал тревожное предупреждение. Исследователи полагают, что атаки FiveSys нацелены на кражу учетных данных геймеров и перехват внутриигровых покупок.

Для перенаправления трафика используется специальный скрипт автоматической настройки прокси, который вредоносный драйвер извлекает из ресурсов и скармливает браузеру. Функции самозащиты FiveSys включают блокировку редактирования реестра Windows и установки конкурирующих зловредов, которых он отслеживает по обновляемому списку цифровых подписей (в настоящее время 68 хешей).

Новый руткит состоит из множества компонентов; так, в Bitdefender идентифицировали несколько бинарников режима пользователя, предназначенных для загрузки вредоносных драйверов. Последних, по оценкам, должно быть четыре, но экспертам попалось только два образца — PacSys (доставляет скрипт автонастройки прокси) и Up.sys (загружает и запускает некий исполняемый файл).

Каким образом операторам удалось раздобыть цифровую подпись Microsoft, чтобы беспрепятственно внедрять FiveSys на Windows-машины, установить не удалось. Эта подпись WHQL (Windows Hardware Quality Labs) удостоверяет, что продукт успешно прошел тестирование в специализированной лаборатории и будет стабильно работать на любом оборудовании Windows.

Компания с 2016 настаивает на том, чтобы все драйверы, выпускаемые для ее ОС, имели WHQL-подпись. Однако практика показала, что это препятствие можно обойти — достаточно вспомнить недавний инцидент с Netfilter.

Эксперты сообщили в Microsoft о новой находке, и скомпрометированную подпись уже аннулировали. Отчет по итогам исследования Bitdefender доступен (PDF) на сайте компании.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru