R-Vision выпустила российскую платформу управления данными киберразведки

R-Vision выпустила российскую платформу управления данными киберразведки

R-Vision выпустила российскую платформу управления данными киберразведки

Компания R-Vision, российский разработчик программных продуктов в области информационной безопасности, представила официальный релиз своего продукта R-Vision Threat Intelligence Platform – первой российской платформы управления данными киберразведки.

Данные киберразведки представляют собой сведения об актуальных угрозах, атаках, тактиках и техниках злоумышленников, а также так называемые индикаторы компрометации, по которым можно выявить вредоносную активность. Раннее обнаружение компрометации - один из ключевых факторов, позволяющих свести к минимуму потери данных, финансовые убытки и репутационный ущерб компании.

Платформа R-Vision Threat Intelligence Platform обеспечивает сбор индикаторов компрометации от разных поставщиков, их обработку, обогащение дополнительным контекстом, а также экспорт на внешние средства защиты для мониторинга и блокировки. Среди поддерживаемых источников информации об угрозах - данные от ФинЦЕРТ ЦБ РФ, Kaspersky, Group-IB, IBM X-Force Exchange, AT&T Cybersecurity (ранее AlienVault), а также открытые данные. Благодаря набору сенсоров, продукт осуществляет мониторинг в реальном времени, ретроспективный поиск следов активности злоумышленника в инфраструктуре организации и оповещает аналитика безопасности в случае обнаружения.

Все регулярно повторяющиеся операции с индикаторами компрометации в R-Vision Threat Intelligence Platform могут выполняться в автоматическом режиме, что дает важное преимущество – возможность обеспечить полный автоматизированный цикл работы, от сбора до блокировки средствами защиты.

«Активное использование индикаторов компрометации становится неотъемлемой функциональностью многих современных средств защиты, позволяя оперативно выявлять в том числе скрытые атаки на инфраструктуру, факты компрометации компьютерных систем и присутствие вредоносного кода. Сделать работу с потоками данных киберразведки, поступающих по различным каналам, максимально автоматизированной и эффективной - основная задача нашего нового решения, - прокомментировал генеральный директор R-Vision Александр Бондаренко. - Применение R-Vision Threat Intelligence Platform в связке с уже имеющимися средствами мониторинга и обеспечения безопасности позволяет значительно развить их возможности и повысить шансы организации вовремя обнаружить угрозу».

Решения класса Threat Intelligence Platform становятся одним из важных инструментов центров мониторинга и реагирования на инциденты информационной безопасности (Security Operation Center, SOC). За счет оперативного предоставления детальной картины по угрозам и автоматизации действий, такие решения позволяют выявлять на ранних этапах скрытые атаки, обеспечивать проактивное реагирование, а также ускорять расследование уже случившихся инцидентов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru