Стеганография по-прежнему пользуется популярностью

Стеганография по-прежнему пользуется популярностью

Сотрудники компании Crowdstrike и подразделения Dell SecureWorks представили доклад на конференции Black Hat Europe. Они рассказали, что стеганография по-прежнему не забыта злоумышленниками и остается надежными методом сокрытия данных.

Сама идея стеганографии не нова — первое упоминание этого термина относится к 1499 году, и уже тогда под этим подразумевалась передача информации путем сохранения в тайне самого факта передачи. Как ни странно, в наши дни стеганография не получила широкого признания в среде киберпреступников, хотя нельзя сказать, чтобы к ней не прибегли вовсе – такие случаи были, пишет xakep.ru.

Теперь исследователи из Crowdstrike и Dell SecureWorks утверждают, что стеганография переживает новый, заметный виток популярности в хакерской среде, и приводят примеры. Один из наиболее свежих образчиков применения стеганографии – DDoS-инструмент Foreign. Бот прячет команды в стандартных сообщениях об ошибке протокола HTTP. Foreign парсит страницу и сталкивается с обычной, на первый взгляд, ошибкой 404. На самом деле, в ошибке сокрыта C&C команда, закодированная с применением Base64 и спрятанная между тегами comment. Отследить такой обмен данными с командным сервером крайне затруднительно.

Также исследователи рассказали о даунлоудере Lurk, который скачивает на зараженные машины клик-фрод программы. Lurk впервые был замечен аналитиками еще в 2014 году, и тогда же даунлудер уличили в том, что он прячет URL, с которых получает контент, в .bmp файлах, то есть в картинках.

Банковская малварь Gozi (также известная как Vawtrak, Neverquest или Snifula) начала использовать стеганографию в начале текущего года и применяет ее в качестве «резервного механизма для получения URL, с которых может скачать файл конфигурации». Авторы трояна невероятно изобретательны, потому как зашифрованная информация хранится в файлах favicon.ico, которые хостятся в Tor. Об этом примечательном случае мы рассказывали весной текущего года.

Кроме того, в поле зрения исследователей попал вредонос Stegoloader, который работает по схожей с Lurk схеме. Малварь полагается в работе на специальный модуль, который скачивает изображения PNG, содержащие вредоносный код. В основном Stegoloader похищает системную информацию, но также может использоваться для загрузки дополнительных модулей, а после – для получения доступа к документам, списку установленных программ, кражи истории браузера и установки дополнительной малвари, которая, в свою очередь, похищает пароли.

РКН наказал 85 операторов за непредоставление данных об IP пользователей

Роскомнадзор оштрафовал 85 операторов связи за непредоставление данных об IP-адресах абонентов. В самом ведомстве отмечают, что такие сведения необходимы для защиты от DDoS-атак, мошенничества и нарушений законодательства о персональных данных.

Об этом сообщают «Известия» со ссылкой на статистику Роскомнадзора по состоянию на 21 мая 2026 года. По данным регулятора, в марте текущего года запросы на предоставление таких сведений были направлены 1359 операторам связи.

Приказ Роскомнадзора, который обязывает операторов передавать данные для идентификации клиентских устройств абонентов, появился в декабре 2024 года. Соответствующие нормы уже содержались в законе «О связи», однако фактически до выхода приказа они не применялись.

«Информирование операторов проводится в рамках реализации полномочий Роскомнадзора по контролю за соблюдением требования закона «О связи», обязывающего операторов представлять сведения об IP-адресах для противодействия угрозам безопасности российского сегмента интернета, противодействия компьютерным атакам, в том числе DDoS-атакам», — говорится в ответе Роскомнадзора на запрос «Известий».

Генеральный директор TelecomDaily Денис Кусков считает сбор таких данных полезным, поскольку он помогает выявлять источники злонамеренного трафика. За ними могут скрываться организаторы DDoS-атак или массовых спам-рассылок.

В то же время один из источников издания в крупном операторе связи отметил, что сбор данных об абонентах также позволяет регулятору эффективнее отслеживать и блокировать использование VPN и других средств обхода блокировок. Некоторые эксперты ещё при появлении приказа Роскомнадзора называли именно эту цель одной из ключевых.

Как отметил руководитель направления «Разрешение IT&IP споров» компании «Рустам Курмаев и партнёры» Ярослав Шицле, невыполнение требований приказа является административным правонарушением. За первое нарушение оператору может грозить штраф до 500 тыс. рублей, за повторное — до 1 млн рублей. Кроме того, компанию могут привлечь к ответственности за несоблюдение условий лицензии, что предусматривает штраф до 40 тыс. рублей.

С другой стороны, партнёр ComNews Research Леонид Коник отметил, что для предоставления Роскомнадзору данных об абонентах операторам потребуется дорогостоящее оборудование. По его мнению, дополнительные расходы могут отразиться на тарифах.

«При десятках миллионов пользователей и регулярном динамическом изменении их внешних сетевых адресов (даже после отключения Wi-Fi роутера на ночь) операторам придется выделить немалый штат сотрудников, которые будут бесконечно рапортовать в Роскомнадзор об изменении IP-адресов. У многих сейчас, вероятно, отсутствуют информационные системы, способные отслеживать такие изменения в режиме реального времени. Это означает необходимость дополнительных инвестиций в разработку и внедрение подобных решений», — считает Леонид Коник.

RSS: Новости на портале Anti-Malware.ru