Trend Micro опубликовала отчет по ИБ за 2015 год

Trend Micro опубликовала отчет по ИБ за 2015 год

Компания Trend Micro опубликовала отчет с анализом наиболее значительных инцидентов в области информационной безопасности за 2015 год «Изменение ландшафта угроз задает новые стандарты стратегий защиты» (Setting the Stage: Landscape Shifts Dictate Future Threat Response Strategies).

Отчет подтвердил, что за прошедший год киберпреступники стали гораздо смелее, умнее и значительно разнообразили направления кибератак, кибершпионажа и нелегальной деятельности в глобальном масштабе.

Онлайн-вымогательства и кибератаки оказались самой большой проблемой в 2015 году. Жертвами киберпреступников стали сразу несколько крупных организаций, таких как Ashley Madison, Hacking Team, Управление кадровой службы США, Anthem и многие другие. В результате были скомпрометированы данные миллионов сотрудников и клиентов. Большинство случаев утечек данных в США в 2015 году (41%) произошло из-за потери устройств, следующими распространёнными причинами стали вредоностный код и взлом.

«Результаты исследования за 2015 год подтвердили тот факт, что традиционных методов и средств защиты данных и информационных ресурсов уже недостаточно. Для поддержки высокого уровня корпоративной и персональной безопасности эти методы необходимо полностью пересмотреть, – говорит Раймунд Гинес (Raimund Genes), CTO, Trend Micro. – Повсеместное распространение и усложнение инструментов вымогательства и кибершпионажа, а также распространение целенаправленных атак говорит о том, что корпоративные стратегии информационной безопасности в 2016 году должны быть готовы к противостоянию крупным потенциальным угрозам. Понимание складывающейся ситуации может помочь сообществу в сфере информационной безопасности точнее прогнозировать и эффективно реагировать на действия злоумышленников».  

Главные выводы отчета:

  • PawnStorm и уязвимости «нулевого дня»: в течение 2015 года было зафиксировано более 100 видов уязвимостей «нулевого дня», обнаруженных в дополнение к кампании Pawn Storm, которая использовала несколько эксплойтов «нулевого дня» для атаки на крупные военные организации и ряд министерств иностранных дел.
  • Deep Web и исследование киберпреступного рынка: в 2015 году нелегальный рынок начал уходить все глубже в Deep Web. Каждый подпольный рынок отражает культуру региона, в котором он находится, предлагая продукты, приносящие наибольшую выгоду киберпреступникам на соответствующей территории.
  • Уязвимость умных технологий: в 2015 году участились атаки на умные устройства, что доказывает их уязвимость. Как показал эксперимент Trend Micro, в котором участвовали умные автомобили и другие устройства, с приходом Интернета вещей в области информационной безопасности возникают новые вызовы.
  • Angler, именуемый «королем эксплойтов»: найденный как во вредоносной рекламе, так и в Adobe Flash, Angler Exploit Kit стал самым популярным набором инструментов взлома по итогам 2015 года. Его использование было зафиксировано в 57,3% всех случаев применения эксплойтов. Сильнее всего от атак с его участием пострадали Япония, США и Австралия.  
  • Эволюция программ-вымогателей: крипто-вымогатели составили 82% от всех подобных вредоносных программ в 2015 году. Наиболее часто используемым вариантом оказался CryptoWall, который распространялся через электронную почту или вредоносные загрузки.
  • Ликвидация DRIDEX: захват и ликвидация ботнета DRIDEX привели к существенному снижению обнаружения распространяемого им вредоносного кода в США. В последующем, однако, его активная деятельность восстановилась в результате размещения C&C-инфраструктуры на абузоустойчивом хостинге, что делает практически невозможным его полное искоренение.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новый macOS-вредонос с подписью Apple Developer заменяет Ledger Live

Специалисты из Jamf Threat Labs нашли новый вариант вредоносной программы для macOS, которая умудрилась пройти все защитные механизмы Apple — она была и подписана, и заверена с использованием настоящего сертификата Apple Developer.

Вредонос назывался Gmeet_updater.app и притворялся обновлением для Google Meet. Распространялся через .dmg-файл — это классика для macOS.

Несмотря на то что приложение было «официально одобрено» Apple, для запуска всё равно использовалась социальная инженерия: жертве нужно было кликнуть правой кнопкой мыши и выбрать «Открыть» — обход Gatekeeper для неподписанных приложений, только тут подпись как бы была.

Программа запускала некое SwiftUI-приложение с названием «Technician Panel» — якобы для отвода глаз, а параллельно связывалась с удалённым сервером и подтягивала дополнительные вредоносные скрипты.

Что делает этот инфостилер:

  • ворует пароли из браузеров (Safari, Chrome, Firefox, Brave, Opera, Waterfox);
  • вытаскивает текстовые файлы, PDF, ключи, кошельки и заметки Apple;
  • охотится за криптокошельками (Electrum, Exodus, Atomic, Ledger Live);
  • делает слепок системы с помощью system_profiler;
  • заменяет приложение Ledger Live на модифицированную и не подписанную версию с сервера злоумышленника;
  • отправляет всё украденное на хардкоденный сервер hxxp[:]//45.146.130.131/log.

Кроме кражи, вредонос умеет задерживаться в системе: прописывает себя в LaunchDaemons, создаёт скрытые конфиги и использует второй этап атаки — постоянный AppleScript, который «слушает» команды с сервера злоумышленника. Среди них — выполнение shell-скриптов, запуск SOCKS5-прокси и самоуничтожение.

Вишенка на торте — базовая защита от анализа. Если вирус понимает, что его крутят в песочнице, он «молча» прекращает активность и в системе появляется фиктивный демон с аргументом Black Listed.

Jamf выяснили, что сертификат разработчика с ID A2FTSWF4A2 уже использовался минимум в трёх вредоносах. Они сообщили об этом Apple — и сертификат аннулировали. Но осадочек, как говорится, остался: зловред вполне мог обойти все базовые фильтры macOS.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru