Symantec: Киберпреступники все чаще используют SHA-2-сертификаты

Symantec: Киберпреступники все чаще используют SHA-2-сертификаты

Symantec: Киберпреступники все чаще используют SHA-2-сертификаты

Недавно в своем блоге компания Symantec отметила, что в атаках вредоносных программ наблюдается опасная тенденция использования украденных сертификатов SHA-2 для обеспечения того, чтобы вредоносы выглядели легитимными.

Этот новый подход авторов вредоносных программ обусловлен тем, что SHA-1 имеет множество проблем с безопасностью. Если злоумышленникам удастся заставить систему думать, что их код легитимен, то существует неплохая вероятность того, что эта вредоносная программа не будет детектирована.

Microsoft уже объявила о прекращении поддержки файлов, подписанных SHA-1, после 1 января 2016 года. Создатели вредоносных программ ответили на этот шаг добавлением украденных сертификатов SHA-2.

Symantec привела в пример старый банковский троян Trojan.Carberp.B, который был модифицирован как раз под новый алгоритм. В случае этого трояна, атака начинается с вредоносного вложения в электронном письме, имеющем тему «ATTN 00890», это рассчитано на людей, работающих в бухгалтерии.

Во вложении содержится вредоносный макрос, в котором используется шифр ROT13 +13/-13. Макрос вызывает загрузку вредоносного подписанного бинарного файла sexit.exe с сервера, размещенного на Маврикии. Затем Sexit.exe устанавливается, завершая процесс проникновения в систему.

Однако в SHA-2 тоже могут быть свои проблемы.

Исследователи обнаружили, что sexit.exe подписывается двумя сертификатами: один SHA-1, другой SHA-2. Цель использования двух сертификатов заключается в том, чтобы избежать обнаружения операционной системой. Использование только сертификата SHA-1 может не приниматься более новыми ОС, а если оставить лишь SHA-2, то старые системы (до Windows XP SP3) не примут его.

В использовании SHA-2 для злоумышленников есть дополнительное преимущество – он может предоставить резервную копию, если первичный сертификат SHA-1 признан недействительным и аннулирован.

Развитие новых походов показывает, как создатели вредоносных программ адаптируются к новым правилам относительно сертификатов. Эксперты прогнозируют, что использование SHA-2 будет развиваться и скоро, возможно, поразит многие организации.

Пользователи Android чаще всего блокируют рекламу через Private DNS

Пользователи Android всё чаще отказываются от приложений и VPN для блокировки рекламы, выбирая Private DNS как самый простой и эффективный способ защиты. Опрос показал, что DNS-сервисы вроде AdGuard и Cloudflare позволяют убрать рекламу, снизить риск мошенничества и не замедлять работу смартфона.

Как выяснили исследователи, самым популярным способом блокировки рекламы стал Private DNS. Этот вариант заметно опередил все остальные.

Около 65% респондентов сообщили, что используют Private DNS, например Cloudflare 1.1.1.1 или специализированные решения вроде AdGuard DNS. Такие сервисы легко настраиваются, не требуют установки сторонних приложений и позволяют отсеивать рекламные и потенциально опасные домены на уровне запросов.

Для сравнения: менее 19% пользователей предпочитают сторонние приложения для блокировки рекламы, такие как Blokada. Совсем небольшая доля респондентов призналась, что вообще не использует никакие инструменты для защиты от рекламы.

 

Пользователи отмечают сразу несколько преимуществ DNS-подхода:

  • он не нагружает систему и не замедляет интернет, как это иногда бывает с VPN;
  • не конфликтует с сервисами вроде Android Auto;
  • помогает фильтровать не только рекламу, но и фишинговые или сомнительные сайты;
  • настраивается за пару минут прямо в системных параметрах Android.

При этом Private DNS не ограничивает доступ к сервисам и не ломает работу приложений, что для многих оказалось решающим фактором.

Помимо DNS-сервисов, пользователи активно рекомендуют браузеры с встроенной блокировкой рекламы. Среди популярных вариантов — Firefox с расширением uBlock Origin и фирменный браузер Samsung, который поддерживает контент-блокеры из коробки.

Некоторые, наоборот, выбирают отдельные приложения для блокировки рекламы. Такой подход может быть удобнее, например, в корпоративной среде, где важно, чтобы инструменты защиты корректно работали с бизнес-приложениями.

RSS: Новости на портале Anti-Malware.ru