«Лаборатория Касперского» запатентовала новый метод борьбы с вирусными эпидемиями

«Лаборатория Касперского» запатентовала новый метод борьбы с вирусными эпидемиями

«Лаборатория Касперского» получила американский патент на технологию, которая позволяет оценивать возможный масштаб вирусных компьютерных эпидемий, а значит – вовремя их останавливать. Современные вредоносные программы размножаются и распространяются с огромной скоростью. Детектировать вредоносную программу на каждом инфицированном во время эпидемии компьютере – недостаточная мера защиты, считают в «Лаборатории Касперского». Требуются надёжные методы оценки потенциального масштаба и направления распространения эпидемии с целью её предупреждения. 



Как отмечается, новая технология компании успешно решает эту задачу. Её авторы – эксперты «Лаборатории Касперского» Юрий Машевский, Юрий Наместников, Николай Денищенко и Павел Зеленский. Патент на новый метод зарегистрирован Патентным бюро США 22 июня 2010 г. под номером 7743419.

Запатентованная система основана на анализе статистической информации об угрозах, поступающей от сети глобального мониторинга. Данная сеть отслеживает загрузки вредоносных программ, хакерские атаки и прочие инциденты безопасности, их время, источники, территориальное расположение и другие статистические данные. По количеству инцидентов, произошедших за определённый промежуток времени на той или иной территории, определяется факт локальной или глобальной эпидемии. По данным о первых событиях, связанных с вредоносной программой, вызвавшей эпидемию, выявляется первоисточник заражения. На основании обработки региональных статистических данных строится прогноз о дальнейшем географическом распространении эпидемии, пояснили в «Лаборатории Касперского».

Разработанные сценарии защиты, в первую очередь, можно доставлять в наиболее подверженные угрозам (согласно модели развития эпидемии) страны. За счёт этого удастся снизить темпы распространения компьютерных угроз и, как следствие, уменьшить возможный ущерб от масштабных эпидемий. Мониторинг, детектирование и анализ данных происходят в реальном времени, поэтому запатентованная технология эффективна и против быстро развивающихся вирусных эпидемий, подчеркнули в компании.

По словам Надежды Кащенко, руководителя отдела по управлению интеллектуальной собственностью «Лаборатории Касперского», от других подобных решений новая система отличается наличием подсистемы обнаружения источников угроз, модуля выработки средств защиты и подсистемы моделирования развития эпидемий.

Источник

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шифровальщик LockBit все еще жив и обрел загрузчик, позволяющий обойти EDR

Проведенный в Flashpoint анализ LockBit 5.0 подтвердил, что новая версия зловреда построена на базе v4.0. Шифровальщик также стал еще более скрытным из-за использования кастомного загрузчика и обрел деструктивные функции.

С выпуском LockBit 5.0 его развертывание стало осуществляться в два этапа: вначале загружается самостоятельный лоадер, обеспечивающий обход EDR, а затем — основной пейлоад, не утративший прежних функций.

Шифровальщик по-прежнему откатывает исполнение на машинах жителей стран СНГ, но стал обходить стороной также Филиппины. Записка с требованием выкупа (ReadMeForDecrypt.txt) содержит привычный текст, сохранилась даже опечатка в англоязычном слове «информация» — «inforTmation».

 

Для обхода EDR новый загрузчик LockBit использует технику process hollowing (для внедрения вредоноса в экземпляр defrag.exe), отвязку библиотек (повторно загружает с диска чистые NTDLL и Kernel32, перезаписывая в памяти хуки защитных решений), патчинг трассировки событий Windows, а также скрывает расширения файлов.

Изолированный от основного пейлоада зловред умеет распознавать вызовы API по хешам, перенаправлять поток исполнения на разрешенные вызовы API, динамически рассчитывать адреса перехода для обфускации потока управления.

Обновленный LockBit научился обрабатывать данные на локальных и сетевых дисках, в папках по выбору оператора, а также работать в многопоточном режиме с использованием XChaCha20.

Опциональные деструктивные функции позволяют зловреду шифровать файлы незаметно для жертвы — не меняя расширений и без вывода записки с требованием выкупа.

Результаты анализа показали, что грозный шифровальщик все еще актуален как угроза и даже продолжает развиваться — невзирая на попытки ликвидации инфраструктуры LockBit, взлом сайта RaaS (Ransomware-as-a-Service, вымогательский софт как услуга) и слив переписки в рамках LockBit-партнерки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru