Информзащита выпустила рекомендации в связи с утечкой из АНБ

Информзащита выпустила рекомендации в связи с утечкой из АНБ

Информзащита выпустила рекомендации в связи с утечкой из АНБ

В пятницу 14 апреля в сети Интернет был обнаружен архив, состоящий из большого количества неизвестных до этого момента эксплойтов. Архив состоит из трех основных частей, которые относятся к операционной системе Windows, к системе международных платежей SWIFT и к некой системе ODDJOB.

В части анализа папки SWIFT можно предположить, что это копия части рабочих материалов проекта JEEPFLEA_MARKET. В ней содержится информация об инфраструктуре SWIFT Service Bureau of the Middle East: EastNets, а именно:

  • конфигурационные файлы сетевого оборудования, в которых указаны учетные записи, пароли администраторов и пользователей, ключи IPSec для публичных IP, признаки использования незащищенных протоколов, например, telnet, а также признаки использования ресурсов, относящихся\подключенных к системе SWIFT;
  • полное описание доменной инфраструктуры, включая домены, поддомены, хосты, группы пользователей;
  • SQL-скрипты для получения информации из БД Oracle о пользователях, правах, сообщениях формата SWIFT;
  • рабочие записи, включая ресурсы, статус получения доступа к ним, атрибуты доступа;
  • рабочие материалы АНБ для подготовки презентации о статусе\результатах проекта.

По результатам анализа этих материалов, эксперты компании «Информзащита» предполагают, что речь идет об инфраструктуре компании www.eastnets.com. На это указывает адресация. EastNets Group – международная компания, специализирующаяся на создании программного обеспечения для финансовых организаций. Компания тесно сотрудничает со SWIFT, участвуя в разработке продуктов, решений и технологических платформ. Также удалось выяснить, что проект JEEPFLEA_MARKET стартовал в 2012 и продолжался как минимум до августа 2013 года, и в ходе проекта был получен полный доступ к ИТ-инфраструктуре исследуемой организации.

В свою очередь EastNets Group заявила, что провела полную проверку и не обнаружила уязвимостей, признаков компрометации и взлома.

Анализ папки, касающейся ОС Windows, показал, что найденные эксплойты используют множество уязвимостей, в том числе и уязвимости широко использующегося протокола SMB. Все предоставленные эксплойты доступны в сети Интернет для пользователей, не обладающих специальными навыками и знаниями.

Пример таких эксплойтов, а также закрывающих уязвимости обновлений приведен ниже:

Eclipsedwing — Удаленное выполнение кода (RCE) для SMB. Microsoft Windows 2000, Windows XP, Windows Server 2003. Обновление безопасности: MS08–67.

Educatedscholar — Удаленное выполнение кода (RCE) для SMBv2. Windows Vista (SP0, SP1), Windows Server 2008 SP2 (x64, x86). Обновление безопасности: MS09–050.

Emeraldthread — Удаленное выполнение кода (RCE) для службы очереди печати принтера через RPC. Атакующий должен быть аутентифицирован в домене. Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 и Windows Server 2008 R2. Обновление безопасности: MS10–061.

Eskimoroll — Эксплойт, направленный на контроллер домена и использующий Kerberos для повышения привилегий с обычного пользователя домена до доменного администратора. Windows Server 2000, 2003, 2008 и 2008 R2. Обновление безопасности: MS14–068.

Отдельно стоит отметить эксплойты, для которых обновления безопасности работают частично, либо не будут выпущены вообще:

Esteemaudit — Удаленное выполнение кода (RCE) в RDP (Remote Desktop). Эксплуатирует уязвимость в аутентификации по смарт-карте. Устанавливает имплант (бэкдор). Windows XP, Windows Server 2003. Вероятнее всего уязвимость относится к типу 0day, обновление безопасности выпущено не будет, т.к. системы больше не поддерживаются.

Etternalblue - Удаленное выполнение кода (RCE) для SMBv1. Подвержена любая система Windows, начиная с Windows XP и заканчивая Windows 10 и Windows Server 2016. Обновление безопасности: MS17-010. Уязвимость не будет закрыта для Windows XP и Windows Server 2003.

Eternalromance - Удаленное выполнение кода (RCE) для SMBv1. Подвержена любая система Windows, начиная с Windows XP и заканчивая Windows 10 и Windows Server 2016. Обновление безопасности: MS17-010. Уязвимость не будет закрыта для Windows XP и Windows Server 2003.

Eternalsynergy — Удаленное выполнение кода (RCE) для SMBv1. Подвержена любая система Windows, начиная с Windows XP и заканчивая Windows 10 и Windows Server 2016. Обновление безопасности: MS17-010. Уязвимость не будет закрыта для Windows XP и Windows Server 2003.

Explodingcan — Удаленное выполнение кода (RCE) в Microsoft IIS 6. Эксплуатирует уязвимость в WebDav. Windows Server 2003. Для данной уязвимости обновление безопасности не будет выпущено.

Eternalchampion — Удаленное выполнение кода (RCE) для SMBv1. Степень подтвержденности не установлена, работает на Windows XP, 7, Windows Server 2008. Обновление безопасности: MS17-010. Уязвимость не будет закрыта для Windows XP и Windows Server 2003.

Englishmansdentist — Эксплойт Exchange/OWA. На данный момент не исследован, возможно является 0day.

Erraticgopher — Удаленное выполнение кода (RCE) в SMB. Windows XP, Windows Server 2003. Вероятнее всего уязвимость относится к типу 0day, обновление безопасности выпущено не будет, т.к. системы больше не поддерживаются.

Компания «Информзащита» рекомендует всем организациям и банковскому сектору в частности принять необходимые меры для защиты своих ресурсов и обеспечения информационной безопасности.

Особенное внимание следует уделить следующим рекомендациям:

  1. До момента выпуска официального обновления безопасности от Microsoft для ОС Windows 7 и выше, запретить использование трех протоколов:
    • протокол SMB ver1 и ver2
    • протокол RDP
    • протокол WebDAV
  1. установить обновления систем безопасности для защиты внешнего периметра.
  2. произвести внеочередное резервное копирование критичных информационных ресурсов
  3. проверить защищенность сервисов удаленного доступа
  4. выполнить сканирование ресурсов на предмет наличия указанных уязвимостей и отсутствия установленных обновлений
  5. произвести внеочередную смену паролей для учетных записей с административными полномочиями, это относится также и к сетевому оборудованию, настроить безопасные методы доступа и провести аудит текущих настроек и аккаунтов.
  6. обновить сигнатуры на используемых средствах защиты и проверить функционирование всех средств защиты, в частности систем сигнатурного и эвристического анализа.

В долгосрочной перспективе (НЕ более одной недели) рекомендуется рассмотреть возможность отказа от использования ОС Windows XP и Windows Server 2003, поскольку компания Microsoft больше не обеспечивает поддержку этих операционных систем и не выпускает для них обновления безопасности. В случае если это невозможно, необходимо провести мероприятия по защите операционной системы с использованием средств защиты класса IPS, антивирусов и средств защиты от таргетированных атак.

На BI.ZONE Days 2026 озвучили планы по развитию продуктового портфеля

BI.ZONE в 2025 году завершила переход к платформенному подходу и объединила более 40 продуктов и сервисов в единую экосистему кибербезопасности. О дальнейших планах компания рассказала на ежегодном мероприятии BI.ZONE Days 2026. Одним из ключевых направлений станет развитие платформы защиты конечных точек.

Сейчас она строится на базе BI.ZONE EDR, а к концу 2027 года должна закрывать весь цикл работы с атакой: от сокращения поверхности атаки до поиска следов ранней компрометации и реагирования на инциденты.

Для этого в BI.ZONE EDR внедряются антивирусные технологии NANO Security, которую компания приобрела в 2025 году. Кодовая база уже интегрирована в процессы разработки, также завершён перенос инфраструктуры антивирусной лаборатории.

По словам директора по продуктам BI.ZONE Теймура Хеирхабарова, обновлённый BI.ZONE EDR с антивирусным ядром планируется представить в III квартале 2026 года. До конца года компания также рассчитывает получить сертификат ФСТЭК и встроить антивирусное ядро в BI.ZONE Sandbox и BI.ZONE Mail Security. В дальнейшем эти технологии планируют использовать и в платформе сетевой безопасности на базе BI.ZONE SD-WAN.

 

Параллельно BI.ZONE развивает направление vulnerability management. Речь идёт не только о поиске уязвимостей в ОС и приложениях, но и о проверке контейнеров. Также в продукты защиты конечных точек будут добавлять возможности сбора forensic-артефактов и автоматической оценки инфраструктуры на признаки компрометации.

Ещё одно важное направление — сетевая безопасность. BI.ZONE продолжит развивать платформу на базе BI.ZONE Secure SD-WAN. До конца III квартала 2026 года компания планирует заметно повысить производительность функций межсетевого экрана — до 270 Гбит/с — за счёт собственной реализации Data Plane. Также на 2026 год запланирован релиз со встроенным DPI-движком собственной разработки. На его базе появятся функции IDS/IPS и L7-фильтрации.

На BI.ZONE Days 2026 также объявили о подготовке BI.ZONE WAF 2.0. Это новая платформа защиты веб-приложений с архитектурой, рассчитанной на многоуровневую обработку трафика и интеграцию с другими инструментами безопасности. Бета-релиз для пилотных внедрений ожидается в III квартале 2026 года.

Кроме того, в конце 2026 года первая версия BI.ZONE Sandbox должна стать доступна в составе BI.ZONE EDR. Компания также рассказала об обновлениях в продуктах классов PAM, SGRC, ZTNA и в решении BI.ZONE Mail Security.

Отдельный акцент BI.ZONE сделала на искусственном интеллекте. В 2026 году компания планирует переводить отдельные решения в формат agentic-продуктов — систем, где часть задач выполняют ИИ-агенты. Цель — постепенно прийти к более автономной платформе кибербезопасности, которая сможет быстрее реагировать на новые угрозы, но останется под контролем специалистов.

ИИ-агенты уже используются в ряде продуктов и сервисов BI.ZONE. Например, в BI.ZONE TDR около 40% подозрений на инциденты уже обрабатываются автоматически. К концу 2026 года этот показатель планируют увеличить до 60% за счёт мультиагентной архитектуры.

Также до конца года пользователям BI.ZONE Threat Intelligence должен стать доступен чат-бот для работы с данными об угрозах. ИИ в платформе будут использовать для обогащения данных и подготовки дополнительного контента на основе открытых и закрытых источников. А в 2027 году BI.ZONE планирует представить AI Pentest — платформу для автоматического анализа защищённости и непрерывного тестирования на проникновение.

RSS: Новости на портале Anti-Malware.ru