Исследователи компании Palo Alto Networks изучали вредоносные документы Microsoft Office. Специалисты обнаружили, что многие документы были созданы при помощи генератора эксплоитов MNKit, что позволило им найти связь между разными семействами малвари, авторство которых приписывают разным группам китайских хакеров.
MNKit – один из наиболее популярных у киберпреступников генераторов эксплоитов, злоумышленники используют его уже не один год. В частности, данный инструмент помогает создавать вредоносные документы Office, эксплуатируя уязвимость CVE-2012-0158. Баг был устранен еще в 2012 году, но далеко не все устанавливают патчи.
Исследователи пишут, что в последнее время они наблюдают атаки, в ходе которых для доставки малвари на устройства жертв использовались вредоносные документы, созданные с помощью MNKit. При помощи зараженных документов злоумышленники распространяли Lurk0, NetTraveler и Saker, атакуя университеты, некоммерческие организации, а также различные политические и правозащитные группы, чья деятельность так или иначе связана с исламом и южной Азией,
Lurk0 — это классический RAT (remote access trojan), созданный на базе Gh0stRAT. Эксперты компании Citizen Lab еще в 2012 году написали о данной малвари большой отчет, когда впервые обнаружили, что вредонос атакует тибетские организации.
NetTraveler, в свою очередь, представляет собой бекдор, который обычно применяется для хищения данных, а также для установки на компьютер жертвы дополнительной малвари. О NetTraveler писали специалисты «Лаборатории Касперского» в 2013 году. Малварь была замечена в ходе кибершпионской кампании, от которой пострадали организации по всему миру, в том числе и тибетские.
Вредонос Saker также известен под названиями Xbox или Mongall, и это еще один шпионский инструмент. Считается, что Saker связан с китайской группой, которая известна как Moafee или DragonOK. Специалисты компания Proofpoint в 2015 году выявили кампанию, в ходе которой Saker применялся против российских военных и телекомов.
Эксперты Palo Alto Networks утверждают, что им удалось найти связь между перечисленными семействами малвари и атаками прошлых лет. Так, исследователи пишут, что почти во всех изученных ими случаях, злоумышленники использовали один и тот же вариант генератора эксплоитов MNKit, одинаковые email-адреса, имена прикрепленных файлов, ключи XOR, домены управляющих серверов, IP-адреса и даже жертвами их атак становились одни и те же компании и организации. Тем не менее, эксперты затрудняются сказать, кто ответственен за новые атаки сейчас.
«Установление авторства в таких случаях – сложное искусство, и кто угодно может стоять за новыми атаками, используя инфраструктуру, семейства малвари и механизмы доставки, которые так или иначе связаны с предыдущими известными инцидентами», — резюмируют эксперты.
В Новосибирском государственном университете разработали «Каппу» — платформу для управления данными, на которых обучают ИИ. Она должна помочь разобраться, кто подготовил датасет, что в нём меняли и откуда взялась ошибка. Потому что кормить модель мусором, а потом удивляться её ответам — довольно странно.
О разработке и возможности подключения других вузов сообщил сам НГУ. Университетам предлагают бесплатную облачную версию на серверах НГУ либо платную установку в собственной инфраструктуре.
«Каппа» поддерживает разметку и проверку данных, фиксирует версии наборов и авторство изменений. Исправление ошибки сохраняется в новой версии, чтобы при следующем обучении не наступать на те же грабли.
Платформа также позволяет проверять разные модели на подготовленных датасетах. При обучении фиксируются версия данных и параметры, после — результаты тестирования на эталонных наборах. Во время эксплуатации телеметрия помогает отслеживать ошибки и замечать отклонения.
Локальная установка рассчитана в том числе на случаи, когда конфиденциальные данные нельзя выносить за пределы организации.
В репозитории разработчиков среди задач проекта указаны контроль обучения, отслеживание авторства разметки и соблюдения стандартов. Здесь ставка на прослеживаемость: прежде чем требовать от ИИ безупречных ответов, полезно выяснить, чему именно его учили.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
