Кибер-вандалы добрались до сайта правительства Новой Зеландии

Кибер-вандалы добрались до сайта правительства Новой Зеландии

Взломан медиа-сайт парламента Новой Зеландии. На главной странице сайта хакеры разместили на черном фоне развивающийся анимированный флаг Турции, а рядом сообщение: «С наилучшими пожеланиями всему миру. Iskorpitx».

Сайт «Parliament TV on Demand» был атакован в пятницу, и все выходные на главной странице сайта красовалось вышеупомянутое сообщение. О факте кибер-вандализма стало известно вчера вечером около 22.30, а сообщил об этом сотрудник правительства.

Возникает вопрос: а что же произошло с администратором сайта, который должен вовремя реагировать на подобные действия со стороны хулиганов?

Как объяснил Дейв Данлей, менеджер по продажам и маркетингу компании, обеспечивающей работу сайта - Tandem Studio, это произошло в результате стечения обстоятельств, которые стали «идеальными условиями» для совершения атаки. Дело в том, что накануне в Кантербери произошло землетрясение, в результате которого пострадали сотрудники компании и администратор в том числе. И как следствие, он физически не мог контролировать работу сайта.

В настоящий момент ведется расследование на предмет того, является ли взлом результатом наличия уязвимостей в коде сайта или это слабая система безопасности хостинговой компании, которая расположена в штате Мичиган, США.

По мнению экспертов, вполне вероятно, что виной этому происшествию является недостаточная система безопасности на сервере хостинговой компании. Они настоятельно рекомендуют перенести сайт на серверы в Новой Зеландии, для обеспечения лучшей его безопасности. Более того, по их мнению, этот акт вандализма не похож на действия известного хакера, скорей всего это были просто хулиганы, которые воспользовались вредоносным программным обеспечением, известным под названием «script kiddie».

Методология работы вредоноса проста: ведется сканирование Internet (точнее определяется диапазон IP-адресов, в которых ведется проверка) в поисках конкретной уязвимости, а после ее обнаружения, запускается вредоносный код, например Троян, так же можно оставить «черный ход» в системе жертвы для последующих атак. Подобные программы не требуют специальных навыков в управлении, поскольку все работы ведутся без вмешательства злоумышленника. Страдают в первую очередь ресурсы, где нет постоянного надзора.

Работа сайта была восстановлена сегодня утром и в настоящий момент ведутся переговоры по поводу переноса сайта на хостинг в Новой Зеландии.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фишеры играют в лего: сборка HTML-кода с помощью JavaScript из облака

Выявлена необычная фишинговая кампания, нацеленная на кражу учетных данных пользователей Microsoft 365. Ее авторы придумали новый трюк для обхода почтовых фильтров: разбили HTML-код фейковой страницы на фрагменты, а для сборки спользуют JavaScript-сценарии, размещенные на бесплатном веб-хостинге.

Поддельные сообщения, рассылаемые фишерами, озаглавлены «price revision» («пересмотр цен»). Тело письма оставлено пустым, имеется только прикрепленный файл с заковыристым именем hercus-Investment|547183-xlsx.H?t|m?l (обратите внимание на неприемлемые знаки).

На первый взгляд это какая-то таблица Excel, однако проверка показала, что вложение — документ HTML. В нем содержится небольшой фрагмент HTML-кода и зашифрованный текст с двумя URL, привязанными к сайту yourjavascript.com — бесплатному веб-сервису для размещения JavaScript-сценариев.

Проведенный в SpiderLabs анализ показал, что оба используемых мошенниками скрипта содержат по два блока закодированного текста. В первом случае расшифровка выявила два фрагмента HTML-кода: — открывающий HTML-тег и JavaScript-код, выполняющий проверку email-адреса и пароля, введенного пользователем.

Второй JavaScript содержит тело HTML-кода (URL-адрес веб-формы) и сценарий, отвечающий за отображение всплывающего окна сообщения с просьбой повторить вход.

 

В результате сборки всех эти фрагментов пользователю будет выведена фальшивая страница регистрации с его email-адресом, проставленным для пущей убедительности. Фишеры также не поленились реализовать проверку длины вводимого жертвой пароля.

После его кражи жертве сообщат, что ввод некорректен, и попросят повторить попытку.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru