Япония осталась без интернета из-за ошибки Google

Япония осталась без интернета из-за ошибки Google

Япония осталась без интернета из-за ошибки Google

В прошлую пятницу, 25 августа 2017 года, интернет в Японии работал со значительными перебоями с 12:22 до 13:01 по местному времени. Виной тому стала ошибка сотрудников Google. Проблема заключалась в проколе динамический маршрутизации BGP и ошибке в его использовании.

На текущий момент BGP является основным протоколом динамической маршрутизации в интернете. Он предназначен для обмена информацией о достижимости подсетей между так называемыми автономными системами (АС, англ. AS — autonomous system), то есть группами маршрутизаторов под единым техническим и административным управлением.

 

В пятницу специалисты Google (компании даже принадлежит собственный AS номер) допустили ошибку, неверно анонсировав блоки IP-адресов, принадлежащих японским провайдерам. В результате другие провайдеры, включая таких гигантов как Verizon, стали направлять трафик, предназначенный для Японии, на серверы Google, которые к этому не готовы, пишет xakep.ru.

В результате в Японии оказались практически недоступны многие сервисы, включая правительственные и банковские порталы, системы бронирований и так далее. Более того, пользователи извне не могли подключиться к сервисам Nintendo, а также ряду торговых площадок, расположенных внутри страны.

Хотя проблему устранили в течение часа, случившееся успело посеять панику среди японских пользователей. Местные СМИ сообщают, что расследованием инцидента уже занимается Министерство внутренних дел и коммуникаций Японии.

По данным ресурса BGPMon (компания принадлежит OpenDNS и Cisco), специалисты Google напортачили с трафиком крупного провайдера NTT Communications Corp., который также поддерживает двух провайдеров поменьше, OCN и KDDI Corp. Суммарно NTT предоставляет услуги 7,67 млн частных лиц и 480 000 компаниями.

Согласно анализу специалистов BGPMon, в общей сложности сбой затронул 135 000 сетевых префиксов по всему миру, и более 24 000 из них принадлежали NTT, который пострадал от сбоя больше других. Представители Google и Verizon уже принесли официальные извинения, однако они так и не пояснили, был данный инцидент результатом сбоя оборудования или виной всему был пресловутый человеческий фактор.

Поддельные VPN в поисковой выдаче крадут учётные данные

Microsoft раскрыла детали новой кампании по краже учётных данных, в которой злоумышленники распространяют поддельные VPN-клиенты через SEO: продвигают вредоносные сайты в поисковой выдаче под видом легитимных страниц загрузки. Эту активность Microsoft отслеживает под кодовым именем Storm-2561.

Схема довольно неприятная и при этом очень житейская. Пользователь ищет в поисковике корпоративный VPN-клиент, видит сверху вроде бы знакомый результат, переходит на сайт-двойник и скачивает ZIP-архив с «установщиком».

На деле внутри оказывается троянизированный MSI-файл, который маскируется под легитимный VPN-клиент и во время установки подгружает вредоносные DLL-библиотеки.

Microsoft отдельно отмечает, что в этой кампании использовались домены вроде vpn-fortinet[.]com и ivanti-vpn[.]org, а вредоносные архивы размещались в GitHub-репозиториях, которые позже были удалены.

 

Дальше всё строится на доверии пользователя к знакомому интерфейсу. Фальшивый клиент показывает очень правдоподобное окно входа, похожее на настоящее приложение Pulse Secure, просит ввести логин и пароль, а затем отправляет эти данные на сервер злоумышленников. После этого жертве показывают сообщение об ошибке и предлагают скачать уже «настоящий» VPN-клиент. В некоторых случаях пользователя даже перенаправляют на легитимный сайт, так что заражение можно и не заметить.

Для кражи данных используется вариант инфостилера Hyrax. Он вытаскивает не только введённые учётные данные, но и сохранённую VPN-конфигурацию, включая сведения из файла connectionstore.dat. Закрепление в системе обеспечивается через ключ реестра RunOnce, чтобы вредоносный компонент запускался и после перезагрузки устройства.

По данным Microsoft, Storm-2561 активна как минимум с мая 2025 года и уже известна использованием SEO poisoning и подделкой популярных программных брендов. Компания также сообщила, что вредоносные компоненты были подписаны действительным цифровым сертификатом на имя Taiyuan Lihua Near Information Technology Co., Ltd., но этот сертификат уже отозван.

RSS: Новости на портале Anti-Malware.ru