Более 90% APT-атак начинаются с отправки сообщений направленного фишинга

Более 90% APT-атак начинаются с отправки сообщений направленного фишинга

Компания Trend Micro, представляет результаты нового исследования направленных атак, материал для которого собирался в период с февраля по сентябрь нынешнего года. Согласно его результатам, в 91% случаев направленные атаки начинаются с рассылки сообщений «направленного фишинга».

Эти результаты подтверждают сделанный ранее вывод о том, что направленные атаки зачастую начинаются с «мелочи», например, сообщения электронной почты, призванного убедить получателя открыть вредоносный файл во вложении или перейти по ссылке, ведущей на сайт с вредоносным ПО или эксплойтом. Направленный фишинг (от англ. “spear fishing” — охота на крупную рыбу с гарпуном) — это новая разновидность фишинговых атак, отличительная особенность которой — использование злоумышленником информации о предполагаемой жертве, чтобы сделать сообщение более «индивидуальным» и лучше замаскировать свои намерения. Например, подобные сообщения могут содержать обращение к адресату по его имени, должности и званию вместо стандартных «обезличенных» заголовков вроде «Доброго времени суток!» или «Уважаемые господа!».

Согласно выводам отчета «Направленный фишинг — самая распространенная прелюдия к APT-атаке» (Spear Phishing Email: Most Favored APT Attack Bait), 94% подобных сообщений в качестве «полезной нагрузки» имеют вложение с вредоносным файлом, который и представляет собой источник заражения. В оставшихся 6% случаев злоумышленники используют альтернативные методы, например, убеждают пользователя перейти по опасной ссылке или загрузить файлы, содержащие вредоносный код. Причина такого неравного соотношения очевидна: сотрудники крупных компаний или госучреждений обычно обмениваются файлами (например, отчетами, бизнес-документами или резюме) по электронной почте, поскольку загрузка материалов напрямую из Интернета считается небезопасной практикой.

Ключевые выводы исследования:

  • 70% вложений в сообщения направленного фишинга, проанализированные в течение периода исследования, представляли собой файлы наиболее распространенных форматов. Наиболее часто используемыми типами файлов были .RTF (38%), .XLS (15%) и .ZIP (13%). Исполняемые файлы (.EXE) не особенно популярны среды киберпреступников, главным образом потому что сообщения с вложенными файлами .EXE, как правило, легко определяются и блокируются средствами ИТ-защиты.
  • Наиболее частыми жертвами направленного фишинга стали госучреждения и общественные организации. Публичные государственные веб-сайты довольно часто содержат открытую информацию о госучреждениях и должностных лицах. Общественные организации, активно действующие в социальных сетях, также охотно делятся информацией о своих участниках, так как это упрощает общение, организацию мероприятий и рекрутинг новых членов. Многие участники общественных организаций имеют открытые профили в сети, что делает их более легкой мишенью для злоумышленников.
  • Как следствие, в 75% случаев электронные адреса потенциальных жертв можно легко найти простым поиском в Интернете или «подобрать», используя стандартную модель формирования адреса. 

«Не снимайте меня»: как случайные прохожие смогут управлять видеосъёмкой

Камеры сегодня повсюду: в смартфонах, умных очках, экшн-камерах и даже в «умных» дверных звонках. Проблема в том, что в кадр регулярно попадают люди, которые вовсе не давали согласия на съёмку. Исследователи из Калифорнийского университета в Ирвайне решили проверить, можно ли это исправить и представили систему BLINDSPOT.

BLINDSPOT (PDF) — это прототип системы, которая позволяет случайным прохожим прямо сигнализировать камере о своих предпочтениях по конфиденциальности.

Без регистрации, без загрузки биометрии в облако и без привязки к личности. Всё работает локально, на устройстве.

Если человек попадает в поле зрения камеры и подаёт сигнал, система находит его лицо, отслеживает его и автоматически размывает изображение ещё до сохранения или передачи видео. Причём BLINDSPOT проверяет, что сигнал действительно исходит от того, чьё лицо находится в кадре — если «география» не сходится, команда просто игнорируется.

Прототип реализовали на обычном смартфоне Google Pixel.

Исследователи протестировали сразу три варианта, как прохожий может «договориться» с камерой:

1. Жесты руками. Самый простой вариант — провести рукой перед лицом, чтобы включить размытие, и повторить жест в обратную сторону, чтобы его отключить. Никакого дополнительного оборудования не нужно. На расстоянии до 1-2 метров система срабатывала почти безошибочно, а реакция занимала меньше 200 миллисекунд.

2. Световой маячок. Во втором сценарии человек носит с собой небольшой LED-маячок, который мигает в заданном шаблоне и передаёт цифровой сигнал камере. Такой способ работает уже на расстоянии до 10 метров в помещении, с точностью около 90% и без ложных срабатываний. Время отклика — чуть больше полсекунды.

3. UWB-метка. Третий вариант использует ultra-wideband — радиотехнологию с очень точным определением расстояния и направления. Камера и метка обмениваются короткими сигналами через Bluetooth и UWB. Этот способ оказался самым стабильным: точность часто превышала 95%, система корректно работала с несколькими людьми сразу и не давала ложных срабатываний.

 

Главный вывод исследователей — управление приватностью «со стороны прохожего» вполне реально даже на обычном смартфоне.

Как и ожидалось, есть нюансы. Во-первых, расстояние: система должна «видеть» лицо. На практике это означает максимум около 10 метров — дальше лица становятся слишком мелкими для надёжного распознавания.

Во-вторых, толпы. Когда в кадре появляется больше восьми человек, производительность падает: растёт задержка, теряются кадры. Это ограничение связано с обработкой видео на устройстве и одинаково проявляется для всех способов сигнализации.

В-третьих, условия съёмки. Яркий солнечный свет мешает световым маячкам, движение в плотной толпе снижает точность жестов. Задержка между сигналом и фактическим размытием может составлять от долей секунды до двух секунд — и в этот момент запись всё ещё идёт.

Наконец, вопрос железа. Два из трёх вариантов требуют дополнительных устройств, которые пока не являются массовыми. Поддержка таких сигналов напрямую со смартфонов — скорее идея на будущее.

RSS: Новости на портале Anti-Malware.ru