Киберудар по бизнесу

Киберудар по бизнесу

Экстенсивный рост количества электронных устройств, используемых в бизнес-целях, а также все возрастающая зависимость успешности различных организаций от надежной работы информационных систем создают идеальные условия для «процветания» киберпреступников. Создавая все больше вредоносных программ и совершенствуя методы проникновения в корпоративные сети, злоумышленники атакуют компании с целью кражи информации или денег, уничтожения важных данных или блокирования работы инфраструктуры, нанесения финансового или репутационного ущерба организации.

О настойчивости, с которой действуют злоумышленники, свидетельствует, к примеру, тот факт, что в 2013 году 95% российских компаний хотя бы один раз подвергались кибератаке, а 8% стали жертвами целевых атак.

По результатам исследования «Лаборатории Касперского», основными объектами таргетированных атак в 2013 году стали предприятия нефтяной индустрии, телекоммуникационные компании, научно-исследовательские центры, организации, ведущие свою деятельность в аэрокосмической, судостроительной и других отраслях, связанных с разработкой высоких технологий. Однако при массовом распространении вредоносных программ жертвой киберпреступников может стать абсолютно любая компания вне зависимости от масштабов и сферы деятельности.

В 2013 году одним из самых популярных у злоумышленников методов проникновения в корпоративную сеть стала рассылка сотрудникам атакуемой компании электронных писем с вредоносными вложениями. Чаще всего в подобные письма вложен документ в привычных для офисных работников форматах Word, Excel или PDF. Действуя таким образом, киберпреступники эксплуатируют не только вредоносные программы как таковые, но и слабости человеческой натуры: любопытство, невнимательность, доверчивость и т.п. Именно так, например, был успешно разослан хитрый шпион Miniduke, обнаруженный «Лабораторией Касперского» в феврале этого года.

Из вредоносных же программ, используемых в атаках на компании, злоумышленники нередко предпочитают эксплойты – программы, загружающие на компьютер жертвы вредоносный функционал через открытые уязвимости в легитимном ПО. В 2013 году рекордное число брешей было замечено в популярной программе Oracle Java – по данным «Лаборатории Касперского», из всех зафиксированных попыток эксплуатации уязвимостей 90,52% пришлось именно на уязвимости в Java.

Другим популярным орудием киберпреступников являются программы-вымогатели. По сути, эти зловреды представляют собой DOS-атаки на отдельно взятый компьютер, а их цель – блокировка доступа к файловой системе или шифрование данных на жестком диске. Дальнейшими действиями злоумышленников в такой ситуации обычно является шантаж и вымогание денег за восстановление доступа к данным. Популярность этого вида вредоносных программ в атаках на российские организации довольно высока: по данным «Лаборатории Касперского», в уходящем году жертвой каждой пятой атаки с использованием программ-вымогателей стала именно российская компания.

Наконец, мобильные устройства, используемые в корпоративной сети, также все чаще начинают попадать в поле зрения злоумышленников. Нередко смартфоны и планшеты становятся самостоятельной целью в кибератаках, поскольку объем и ценность хранимых на них данных постоянно возрастает. Внимательное отношение к этому виду устройств со стороны киберпреступников демонстрирует хотя бы тот факт, что организаторы масштабной шпионской кампании «Красный октябрь» разработали специальные модули, которые определяли тип мобильной операционной системы на зараженном устройстве и отправляли полученную информацию на сервер управления.

«Сегодня под угрозой кибератаки и связанной с ней потери данных оказывается буквально каждая компания. Даже маленькие и, на первый взгляд, незаметные организации могут стать мишенью злоумышленников если и не в качестве финальной цели, то в качестве способа подобраться к более крупным компаниям, с которыми они взаимодействуют. При этом ущерб от такой атаки, как финансовый, так и репутационный, для бизнеса любого размера может быть очень существенным, – поясняет Виталий Камлюк, ведущий антивирусный эксперт «Лаборатории Касперского». – Киберпреступники постоянно совершенствуют свои инструменты и техники и используют целый ряд программ деструктивного действия: от шифровальщиков и «стирателей», распространяющихся как болезнь в корпоративной среде, до целой армии послушных компьютеров-зомби, поглощающих все свободные ресурсы корпоративных сетей. Безопасность инфраструктуры компании и ее бизнеса в таких условиях может обеспечить лишь комплексное защитное решение».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru