Google угрожает закрыть бизнес в Китае из-за шпионажа

Google угрожает закрыть бизнес в Китае из-за шпионажа

...

Интернет-компания Google обсуждает возможность закрытия своего бизнеса в Китае, после того как технические специалисты Google обнаружили ряд попыток взлома почтового сервиса компании, а также доступа к поисковому индексу Google. В компании говорят, что в большинстве случае на попытку взлома они не обратили бы внимания, однако в последнее время попытки атак участились, а сами атаки проходят таким образом и в таком масштабе, что заставляет задуматься об их централизованной организации и поддержке со стороны неких властных структур в стране.

Как сообщили в Google, цель всех этих "чрезвычайно изощренных атак" не пользовательские данные и не финансовая информация, которая обычно интересует обычных злоумышленников, а письма китайских активистов, борющихся за права человека, а также данные о запрещенных в КНР по тем или иным причинам сайтах. Хуже того, в Google говорят, что за последнее время провели серию переговоров с крупными международными компаниями и практически все из них сообщили, что они постоянно находятся под атаками хакеров, явно действующих под покровительством государства. В Google отказались назвать компании, но сообщили, что они работают в технологическом, медицинском, химическом, промышленном и медийных секторах экономики.

"Подобная ситуация вынуждает нас просто закрыть сайт Google.cn и потенциально все наши офисы в Китае. Мы предупреждаем о серии атак, исходящих из Китая, другие крупные компании и американские власти", - говорится в официальном заявлении Google.

Напомним, что впервые столкновения интересов Google и правительства КНР произошли практически сразу после того, как компания начала работать в китайском интернете. В 2005 году официальный Пекин обязал Google "почистить" свой поисковый индекс от "ненадлежащей и непристойной информации". На практике компании пришлось удалять все данные об оппозиционных сайтах, позже власти пригрозили Google заблокировать доступ внутри страны ко всему международному контенту, так как интернет-гигант крайне неохотно выполнял новые требования властей.

Сегодня в компании также заявили, что прекращают как-либо цензурировать содержимое китайской версии своего поисковика и будут предоставлять местным пользователям доступ ко всему объему данных.

Аналитики говорят, что практически все подобные меры, направленные против Google, явно были на руку основному конкуренту компании на местном рынке - поисковой системе Baidu, к которой власти относились куда благосклонней, даже несмотря на присутствие в ее поисковом индексе огромного объема данных о пиратских материалах.

"Если Google уйдет из Китая, то никого кроме Baidu тут не останется, Baidu придется конкурировать самой с собой. В то же время, если Google покинет китайский рынок, то вернуться сюда позже будет невероятно сложно", - полагает Эрик Санфт, аналитик гонконгского офиса банка BNP Paribas. "Очевидно, что данным шагом Google призывает власти КНР задуматься".

На сегодня в Министерстве промышленности и информационных технологий Китая пока никак не прокомментировали заявления Google. Сейчас в КНР насчитывается более 360 млн интернет-пользователей, что превышает общее население таких стран, как США или Бразилия.

В заявлении Google сказано, что новая серия изощренных атак стартовала в середине декабря. Компания подчеркивает, что по результатам нападений в руках нападающих, скорее всего, оказалась интеллектуальная собственность Google. Помимо этого, компания сообщает, что в результате атак были взломаны как минимум два десятка почтовых ящиков Gmail, принадлежащих правозащитникам из Китая, США и Европы.

В качестве альтернативного варианта Google рассматривает полную смену схемы работы в КНР. По этому плану, все руководящие кадры в Google China будут заниматься топ-менеджерами из США, тогда как китайский персонал будет уволен.

 Источник

Атакующие мимикрируют под BI.ZONE, скрывая SSH-бэкдоры в Windows

Атакующие продолжают усложнять свою маскировку, мимикрируя теперь и под бренды из мира кибербезопасности. Команда BI.ZONE DFIR рассказала о серии инцидентов, в которых группировка Feral Wolf использовала подмену доменов и имён хостов, маскируя свою активность под легитимные сервисы и привычные для администраторов действия.

По словам специалистов, за последние месяцы им несколько раз попадался один и тот же приём: злоумышленники имитировали названия известных компаний и сервисов, чтобы их инфраструктура не вызывала подозрений при беглом анализе.

В одном из расследованных кейсов атакующие использовали домен формата *.bizone.dev, который визуально очень похож на название BI.ZONE. В другом случае они пошли ещё дальше и переопределили домен *.bi.zone прямо в SSH-конфигурации Windows, подменив его на IP-адрес своей инфраструктуры.

Для этого злоумышленники внесли изменения в файл
C:\Windows\System32\config\systemprofile\.ssh\config, прописав там вредоносный хост. В результате при обращении к «знакомому» имени фактически устанавливалось соединение с сервером атакующих.

Как отмечают эксперты BI.ZONE DFIR, SSH всё чаще используется не только для доступа, но и для туннелирования трафика к инфраструктуре злоумышленников. В данном случае через SSH был создан алиас, который позволял атакующим незаметно поднимать туннели и поддерживать постоянный канал связи.

Чтобы не потерять доступ, атакующие дополнительно создали планировщик задач в Windows с именем, маскирующимся под системную — User_Feed_Synchronization-{GUID}. Такая задача выглядела как стандартный механизм синхронизации RSS-лент и не вызывала подозрений.

На деле же она регулярно запускала ssh.exe, автоматически восстанавливая соединение с инфраструктурой атакующих и обеспечивая им постоянное присутствие в системе.

С точки зрения мониторинга и реагирования такие туннели обнаружить можно. Но проблема в другом: обычные администраторы, разработчики и аналитики могут просто не обратить внимание на «знакомые» домены, имена задач и привычные системные процессы.

Как подчёркивают эксперты, ключевая ставка здесь делается на доверие и визуальное сходство. Если что-то выглядит легитимным — это ещё не значит, что таковым является.

В BI.ZONE также поделились примерами признаков, на которые стоит обратить внимание специалистам по Threat Hunting, в том числе:

  • запуск ssh.exe в Windows с нетипичными портами,
  • планировщики задач, вызывающие SSH,
  • сетевые соединения SSH не на стандартный 22-й порт.

Эксперты советуют оставаться особенно бдительными к SSH-активности на Windows-системах и регулярно проверять конфигурационные файлы, даже если на первый взгляд всё выглядит привычно.

RSS: Новости на портале Anti-Malware.ru