Компания Falcongaze выпустила обновление системы SecureTower

В новой версии была реализована возможность контроля данных, передаваемых в приложении Microsoft Lync, а также с использованием MAPI. В нынешних реалиях в офисном пространстве любой компании существует огромное количество каналов передачи данных, это и всевозможные почтовые агенты, и клиенты для общения в социальных сетях, и многочисленные мессенджеры.

При отсутствии должного контроля, эти каналы могут стать путем для утечки персональных или коммерческих данных. При этом политика тотального запрета использования каналов коммуникации не является решением проблемы, а, напротив, создает дополнительные трудности, лишая сотрудников возможности выполнять свои рабочие обязанности. Именно поэтому для компании Falcongaze одним из основополагающих принципов развития системы SecureTower является постоянное увеличение количества контролируемых каналов.

На данный момент система позволяет контролировать большое количество популярных мессенджеров, использующих протоколы обмена мгновенными сообщениями OSCAR (таких как ICQ/AIM), MMP (Mail.Ru Агент), MSN (Windows Messenger), XMPP/Jabber (таких как Miranda, Google Talk, QIP Infium, PSI), YIM (Yahoo! Messenger), все текстовые и голосовые сообщения в Skype и многие другие.

Также SecureTower контролирует электронные письма внешних почтовых служб (gmail.com, mail.ru, rambler.ru и т.д.), сообщения в форумах, посещенные страницы в социальных сетях и других веб-службах, использующих протокол HTTP и HTTPS. Помимо этого контролируется трафик почтовых клиентов, использующих протоколы POP3, SMTP, IMAP (например, MS Outlook, Thunderbird, The Bat!), электронные сообщения MS Exchange Server, IBM Lotus and Domino, Kerio Connect, Sendmail, hMailServer и многих других.

В новой версии системы SecureTower был реализован перехват и контроль данных, передаваемых в Microsoft Lync (ранее известный как Microsoft Office Communicator), а также трафика, передаваемого по протоколу MAPI, который используется в таких распространенных почтовых программах как Microsoft Outlook, MS Exchange Server, The Bat! и многие другие. Все эти нововведения были реализованы исходя из многочисленных запросов компаний корпоративного сектора, представителей среднего и крупного сегмента бизнеса.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Жертвы шифровальщика Lorenz — легкая мишень для других злоумышленников

Эксперты предупреждают о появлении новой вымогательской программы, вручную внедряемой в корпоративные Windows-системы. Операторы шифровальщика Lorenz грозят неплательщикам публикацией похищенных данных, а также могут продать доступ к взломанной сети другим злоумышленникам.

Вредонос с именем Lorenz появился в интернете два месяца назад. Анализ показал, что он является близким родственником SZ40 и тоже заимствует базовый код шифровальщика ThunderCrypt четырехлетней давности.

Атаки с использованием Lorenz проводятся по давно обкатанному сценарию. Проникнув во внутреннюю сеть, злоумышленники добираются до учетных данных администратора домена и с их помощью заражают машины с важной для бизнеса информацией. Попутно они воруют незашифрованные файлы и выводят их на свои серверы для публикации в случае неуплаты выкупа.

Примечательно, что каждая атака проводится с учетом специфики целевой организации. Вопреки сложившейся практике, образцы Lorenz, подвергнутые анализу в BleepingComputer, не завершали никаких процессов и не отключали Windows-службы для облегчения своей задачи.

Шифрование данных осуществляется по AES; для защиты ключа шифрования вредонос использует вшитый ключ RSA. К имени зашифрованных файлов добавляется двойное расширение .Lorenz.sz40.

По окончании процесса в каждой папке с зашифрованными файлами создается объект HELP_SECURITY_EVENT.html с информацией для жертвы и ссылками на ресурс для получения дешифратора в сети Tor и сайт, специально созданный для публикации краденых данных.

 

В настоящее время размер выкупа составляет от $500 тыс. до $700 тыс. в биткоинах. Это на порядок меньше, чем взимали операторы SZ40.

На сайте утечек Lorenz в настоящее время числится 12 жертв заражения; данные десяти из них уже общедоступны. Публикуя результаты анализа, эксперты особо отметили, что хозяева данного зловреда поступают с награбленным не совсем так, как обычно это делают их коллеги по цеху.

Чтобы заставить жертву платить, они вначале размещают объявление о продаже краденых данных. Для удобства потенциальных покупателей — других преступников или конкурентов атакованной компании — похищенная информация собирается в RAR-архивы, защищенные паролем. Если жертва продолжает упорствовать, а покупателей не объявилось, операторы Lorenz публикуют пароль в открытом доступе.

Примечательно, что помимо краденых данных эта группировка торгует также доступом к внутренним сетям организаций, в которые ей удалось проникнуть. Для некоторых злоумышленников это может оказаться более ценным приобретением.

В настоящее время эксперты пытаются отыскать уязвимости в новой вредоносной программе, чтобы создать бесплатный ключ расшифровки. Жертвам Lorenz рекомендуют дождаться его появления; потакать злоумышленникам и платить выкуп — далеко не всегда хорошая идея: есть риск лишиться и денег, и данных.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru