BI.ZONE и МегаФон объединили усилия против банковского мошенничества

BI.ZONE и МегаФон объединили усилия против банковского мошенничества

BI.ZONE и МегаФон объединили усилия против банковского мошенничества

Компания BI.ZONE и оператор связи МегаФон расширили сотрудничество в области кибербезопасности. В рамках технологического партнерства оператор начал предоставлять в режиме реального времени разработчику информацию о мошенниках и их жертвах. Эти сведения автоматически становятся доступны всем участникам Платформы обмена данными о киберугрозах — совместного проекта BI.ZONE и Ассоциации банков России.

По данным компании BI.ZONE, в России 80% краж со счетов физических лиц совершается с использованием методов социальной инженерии: жертва поддается на уловки мошенников и сама переводит им деньги. Чаще всего злоумышленники связываются с клиентами банков по телефону и через СМС-сообщения. Поэтому данные мобильных операторов об инцидентах существенно снижают количество атак в финансовой сфере.

Благодаря сотрудничеству компании BI.ZONE с МегаФоном в Платформу обмена данными о киберугрозах будет поступать информация о злонамеренных ресурсах, в том числе используемых для фишинговых атак, о заражениях вредоносным ПО, мошенниках и их жертвах. Если эти сведения использовать в работе антифрод-системы финансовой организации, это позволит значительно повысить уровень выявления банковского мошенничества. При этом специальные правила, разработанные аналитиками компании BI.ZONE, дадут возможность с высокой точностью определять абонентов, устройства которых заражены вредоносными программами.

«Наше партнерство с BI.ZONE началось еще во время пилотного периода запуска платформы — на старте мы предоставляли адреса вредоносных и фишинговых доменов. Сейчас мы расширяем сотрудничество, добавляя в общую базу угроз данные о мошенниках и их жертвах, — комментирует Сергей Хренов, директор по предотвращению мошенничества и потерь доходов ПАО «МегаФон». — Эта информация особенно актуальна для игроков финансового сектора, так как позволяет эффективно бороться с банковскими мошенниками. Мы фиксируем деятельность последних и передаем соответствующие данные аналитикам BI.ZONE».

«Актуальная информация — ключевой фактор успеха в борьбе с современными цифровыми угрозами, — рассказывает Антон Окошкин, технический директор BI.ZONE. — Однако в одиночку ни одна финансовая организация не может позволить себе аккумулировать нужное количество данных для предотвращения кибератак. Это потребовало бы существенных затрат как на приобретение информации из разных источников, так и на содержание большой команды высококлассных экспертов в сфере кибербезопасности. Объединение усилий в сборе данных дает возможность ощутить максимальный эффект от использования информации о киберугрозах: надежная проактивная защита при существенной экономии ресурсов».

Платформа обмена данными о киберугрозах — совместный проект компании BI.ZONE и Ассоциации банков России — позволяет выстраивать проактивную защиту в финансовых организациях. Решение помогает противодействовать атакам злоумышленников благодаря коллаборации между участниками, тщательному отбору источников информации с учетом отраслевой и региональной специфик. Платформа открывает доступ к самым актуальным данным: ежедневно автоматически добавляются и обновляются десятки тысяч признаков, по которым распознают потенциальную угрозу (индикаторы компрометации). Источниками данных выступают все подключенные в рамках Ассоциации банков организации, а также технологические партнеры, среди которых ФинЦЕРТ Банка России, разработчики инструментов кибербезопасности, крупнейшие операторы связи, центр мониторинга и реагирования на инциденты BI.ZONE CERT и многие другие.

Сложный бесфайловый троян ShadowHS незаметно захватывает Linux-системы

Исследователи обнаружили ShadowHS — продвинутый бесфайловый фреймворк для атак на Linux, который заметно отличается от привычных вредоносных программ. Это не очередной бинарник, который можно поймать антивирусом, а полноценный инструмент постэксплуатации, целиком работающий в памяти и рассчитанный на долгую и аккуратную работу внутри защищённых корпоративных сред.

По данным Cyble Research & Intelligence Labs, ShadowHS — это сильно модифицированная и «вооружённая» версия утилиты hackshell.

В процессе заражения вредонос вообще не пишет файлы на диск: он выполняется из анонимных файловых дескрипторов, маскирует имя процесса под легитимные приложения вроде python3 и тем самым обходит контроль целостности и классические механизмы защиты.

Цепочка заражения начинается с многоступенчатого шелл-загрузчика, в котором полезная нагрузка зашифрована с помощью AES-256-CBC. После запуска загрузчик проверяет наличие зависимостей вроде OpenSSL, Perl и gzip, определяет контекст запуска и только затем восстанавливает пейлоад через сложную цепочку декодирования. Исполнение происходит напрямую из памяти — через /proc/<pid>/fd/<fd>, без следов в файловой системе.

 

Ключевая особенность ShadowHS — его «сдержанный» характер. В отличие от массовых зловредов, он не начинает сразу майнить криптовалюту или выкачивать данные. Сначала фреймворк проводит глубокую разведку окружения: ищет средства защиты, анализирует конфигурацию системы и передаёт результаты оператору, который уже вручную решает, что делать дальше. Такой подход больше похож на работу живого атакующего, чем на автоматизированный бот.

ShadowHS активно проверяет наличие корпоративных средств защиты — от CrowdStrike Falcon и Sophos Intercept X до Microsoft Defender, Elastic Agent, Wazuh, Tanium и агентов облачных провайдеров. Для этого используются проверки файловых путей, статусов сервисов и анализ состояния системы. Параллельно вредонос «зачищает территорию»: он ищет и завершает процессы конкурирующих семейств зловредов, включая Kinsing, Rondo и печально известный бэкдор Ebury, а также выявляет следы руткитов и прежних компрометаций.

Отдельного внимания заслуживает механизм вывода данных. Вместо стандартных SSH, SCP или SFTP ShadowHS использует пользовательские туннели GSocket. Передача файлов идёт через заранее заданную точку rendezvous и маскируется под локальные соединения, которые фактически перехватываются GSocket до попадания в сетевой стек. Такой подход позволяет обходить файрволы и средства сетевого мониторинга, не создавая очевидных сетевых сессий.

Если оператор решает активировать «тяжёлые» модули, ShadowHS способен развернуть сразу несколько вариантов криптомайнинга — от XMRig и XMR-Stak до GMiner и lolMiner. Для латерального перемещения он подтягивает инструменты вроде Rustscan. В коде также заложены модули для кражи AWS-учёток, SSH-ключей, данных из GitLab, WordPress, Bitrix, Docker, Proxmox, OpenVZ и облачных метаданных-сервисов — пока они остаются «спящими».

Из-за полностью fileless-архитектуры традиционные сигнатурные средства защиты против ShadowHS почти бесполезны. Эффективное обнаружение требует анализа поведения процессов, мониторинга исполнения в памяти и телеметрии на уровне ядра. Эксперты рекомендуют уделять внимание аномальной генеалогии процессов, подмене аргументов запуска и нетипичному использованию механизмов вроде memfd.

RSS: Новости на портале Anti-Malware.ru