Вышла новая версия Security Studio Endpoint Protection 7.6

Вышла новая версия Security Studio Endpoint Protection 7.6

Security Studio Endpoint Protection 7.6 прошел сертификационные испытания в ФСТЭК России и получил сертификат соответствия по требованиям к системам обнаружения вторжений уровня узла по 4-му классу защиты и к средствам антивирусной защиты по 4-му классу защиты (типы «А», «Б», «В» и «Г»), а также на соответствие требованиям к межсетевым экранам по 4-му классу защищенности.

Новая версия SSEP 7.6 поддерживает работу с операционными системами Windows 8 и Windows Server 2012.

Кроме того, в СЗИ Security Studio Endpoint Protection (SSEP) 7.6, обеспечивающего защиту компьютера с применением межсетевого экрана, антивируса и средства обнаружения вторжений, вошли обновленные антивирусное ядро и эвристический анализатор. Добавлен ряд улучшений и новых функций, позволяющих усилить защиту рабочей станции, среди которых:

  • увеличение скорости сканирования «на лету» и по требованию до 2,5 раз быстрее;
  • трехкратное ускорение фильтрации веб-содержимого;
  • новый механизм для защиты автозагрузки USB-накопителей;
  • защита данных буфера обмена и снимков экрана;
  • сканирование и фильтрация PDF-файлов и многие другие технологические улучшения.

Также в SSEP 7.6 реализована упрощенная схема активации продукта, появилась автоматическая установка сервера обновления и добавлена возможность установки клиента без наличия связи с сервером обновлений. Кроме того, была улучшена производительность и стабильность работы на 64-битных платформах.

В состав SSEP 7.6 вошло обновленное средство централизованного управления Administration Center с расширенными возможностями по управлению системой защиты.

Как и предыдущая версия, SSEP 7.6 совместима с СЗИ от НСД Secret Net, что позволяет создать комплексную защиту компьютера от внешних и внутренних угроз. Также новая версия SSEP 7.6 сохранила гибкую схему лицензирования, позволяющая учитывать потребности заказчика.

TrickBot спрятал команды в DNS и научился обходиться без HTTP

TrickBot обзавёлся новым способом связи с командным сервером: вместо привычного HTTP вредонос использует DNS-туннелирование. Команды и украденные данные теперь маскируются под обычные DNS-запросы — попробуй отличи атаку от сетевой рутины.

Исследователи из FortiGuard Labs обнаружили, что TrickBot шифрует данные с помощью XOR-ключа 0xB9, переводит их в шестнадцатеричный формат и дробит на части.

Получившиеся строки становятся поддоменами адресов злоумышленников — например, westurn.in. Запросы могут отправляться через публичные DNS-серверы вроде 8.8.8.8.

 

Ответы устроены ещё хитрее: вредонос кодирует данные внутри IPv4-адресов, используя старшие биты каждого октета как метки для сборки фрагментов. Один пакет позволяет передать до 183 байт. Если DNS-сервер перемешает ответы, TrickBot расставит их в правильном порядке самостоятельно.

Скорость такого туннеля достигает примерно 30,7 Кбайт/с. Этого достаточно, чтобы загрузить модуль размером 1,2 Мбайт менее чем за минуту. Не оптоволокно, конечно, но для доставки вредоносной нагрузки вполне бодро.

При этом старые привычки TrickBot не забыл. Он сохранил прежнюю структуру команд, умеет загружать модули, внедрять код в процессы, запускать PowerShell и выполнять машинный код.

 

Для закрепления в системе малварь создаёт задания планировщика с безобидными названиями вроде Wireshark autoupdate #<число>. Они запускаются каждые пять минут и при старте Windows. Сведения о задании и путь к файлу прячутся в альтернативных потоках NTFS $TASK и $FILE.

Строки и названия Windows API внутри образца зашифрованы, а нужные функции определяются во время работы по хешам. Аналитикам оставили настоящий технический квест.

Защитникам рекомендуют проверять аномально длинные и некорректные DNS-запросы, обращения к необычным резолверам и подозрительную активность поддоменов.

RSS: Новости на портале Anti-Malware.ru