Сервис Darvvin от Infosecurity выявляет негатив в подростковой среде

Сервис Darvvin от Infosecurity выявляет негатив в подростковой среде

Сервис Darvvin от Infosecurity выявляет негатив в подростковой среде

За последнее десятилетие интернет стал неотъемлемой частью нашей жизни, причем с каждым годом интернет-аудитория стремительно молодеет. Согласно результатам исследования Минкомсвязи России, проведенного в 2019 году, дети начинают пользоваться интернетом в возрасте 4-5 лет, а к 11 годам доля интернет-пользователей среди них составляет 97%. Сейчас, из-за пандемии и массового перевода школьников на дистанционный режим обучения, количество детей школьного возраста, посещающих различные сайты и сообщества в Интернете, существенно возросло.

В этих условиях дети становятся крайне уязвимы к киберугрозам: злоумышленники, имея в арсенале навыки давления, манипуляции и другие психологические уловки, могут влиять на поведение подростков, подталкивая их к совершению преступлений.

Для противодействия и предотвращения вооруженных нападений на одноклассников и учителей, распространения и употребления наркотиков среди подростков, подстрекательств к суициду и призывов к агрессии посредством социальных сетей, «Инфосекьюрити» (входит в ГК «Softline») создала новую информационно-аналитическую систему «Darvvin».

«Darvvin» - сервис выявления социальных угроз в подростковой среде, который позволит распознавать на самых ранних стадиях негативные события и предотвращать их до наступления серьезных последствий.

На сегодняшний день в системе уже реализованы 6 модулей:

  • Модуль «Шутинг»: система выявляет группы, сообщества, форумы, посвященные тематике «Колумбайн» (нападений и расправ с одноклассниками), а также определяет активных участников-подростков таких сообществ;
  • Модуль «Суицидальные наклонности»: система «Darvvin» производит поиск интернет-ресурсов, связанных с суицидальной тематикой, провокаторов, подталкивающих школьников к совершению самоубийства, а также школьников, проявляющих интерес к теме суицида.
  • Модуль «Наркотики»: осуществляется поиск тематических групп, сообществ и подростков, публикующих соответствующие посты.
  • Модуль «Незаконные акции»: «Darvvin» выполняет поиск провокаторов, призывающих подростков к агрессии или участию в незаконных акциях, соответствующих групп и сообществ.
  • Модуль «Поборы»: система выявляет факты незаконных сборов денежных средств в сети Интернет с учащихся для нужд школы/класса/группы;
  • Модуль «Рейтинг»: на основании общего количества выявленных инцидентов, система формирует рейтинг учебных заведений.

Дополнительное преимущество «Darvvin» - это всесторонний мониторинг ситуаций. С одной стороны, система собирает информацию из широкого пула источников, популярных среди несовершеннолетних в том числе интернет-сайтов и социальных сетей. С другой стороны, система отслеживает десятки даркнет-форумов и закрытых чатов и более 196 тыс. Telegram-каналов, тем самым контролирует активности злоумышленников.

Используя уникальные алгоритмы, система автоматически отбирает сведения с высокой степенью релевантности и передает для дальнейшей обработки в аналитический центр «Инфосекьюрити», где им присваивается степень угрозы и определяется приоритетный порядок действий. После обработки события в аналитическом центре, заказчик получает уведомления обо всех выявленных и верифицированных событиях. По итогам отчетного периода формируется комплексный аналитический отчет.

Так, уже в результате тестового запуска системы «Darvvin» для одного из регионов РФ, за короткий срок было выявлено более 120 угроз, четверть из которых представители региона классифицировали как представляющие особую опасность. Таким образом, своевременное выявление и оповещение ответственных лиц позволило выиграть драгоценное время и спасти десятки жизней.

Система «Darvvin» работает в режиме 24/7 и предоставляется как готовый сервис по подписке, функционирующий на мощностях «Инфосекьюрити» и не требующий дополнительной закупки программных или аппаратных средств, найма персонала или интеграции в инфраструктуру заказчика.

APT28 атаковала UKR[.]NET: фишинг, PDF и прокси ngrok

Кибергруппировка BlueDelta почти год вела масштабную кампанию по краже учётных данных пользователей UKR[.]NET — одного из самых популярных почтовых и новостных сервисов Украины. Атаки продолжались с июня 2024 года по апрель 2025-го и, по оценке аналитиков, стали заметным усилением разведывательной активности.

Об этом говорится в новом исследовании Insikt Group (Recorded Future). BlueDelta — она же APT28, Fancy Bear и Forest Blizzard — давно специализируется на фишинге и краже учётных данных.

Но после того как в начале 2024 года западные правоохранительные органы «прикрыли» часть её инфраструктуры, группа заметно прокачала свои методы.

Вместо скомпрометированных роутеров злоумышленники перешли на прокси-туннелирование через легальные сервисы — такие как ngrok и Serveo. Это позволило скрывать реальные серверы и продолжать операции практически без пауз.

По данным исследователей, BlueDelta развернула более 42 цепочек для сбора учётных данных, используя бесплатные веб-сервисы и хостинги. В ход шли:

  • поддельные страницы входа UKR[.]NET, размещённые через Mocky API;
  • бесплатные хостинг-провайдеры (DNS EXIT, Byet Internet Services);
  • обратные прокси и короткие ссылки для маскировки инфраструктуры.

Фальшивые страницы выглядели как настоящая форма входа UKR[.]NET и собирали:

  • логины и пароли;
  • коды двухфакторной аутентификации;
  • IP-адреса жертв.

 

Для этого использовался кастомный JavaScript, в том числе с передачей данных через HTTPBin. Отдельного внимания заслуживает приём с PDF-файлами, замаскированными под уведомления о подозрительной активности в аккаунте. Внутри — ссылка «для смены пароля», ведущая на фишинговую страницу.

Такой формат позволял: обходить почтовые фильтры, не попадать под песочницы и выглядеть максимально правдоподобно для пользователя. Это явно говорит о хорошем понимании корпоративных средств защиты.

 

Весной 2025 года аналитики заметили очередное обновление схемы атак:

  • переход с DNS EXIT на бесплатные поддомены ngrok;
  • появление серверов во Франции и Канаде для передачи данных;
  • использование тайпсквот-доменов вроде ukrinet[.]com и ukrainnet[.]com — на случай блокировок.

Интересная деталь: в код добавили заголовок ngrok-skip-browser-warning, который отключает предупреждения ngrok и делает прокси практически незаметным для пользователя.

Фокус на пользователях UKR[.]NET полностью укладывается в разведывательные задачи ГРУ. Кража учётных данных остаётся дешёвым и эффективным способом получить первичный доступ — а дальше возможны многоэтапные шпионские операции.

Исследователи считают, что BlueDelta продолжит такие кампании как минимум до 2026 года, делая ставку на анонимную, дешёвую и распределённую инфраструктуру.

RSS: Новости на портале Anti-Malware.ru