Cyclops Blink — наследник VPNFilter, атакующий файрволы WatchGuard

Cyclops Blink — наследник VPNFilter, атакующий файрволы WatchGuard

Cyclops Blink — наследник VPNFilter, атакующий файрволы WatchGuard

Британские и американские спецслужбы опубликовали совместный алерт о ботнете Cyclops Blink, составляющем угрозу для сетевых устройств класса SOHO. Используемый ботоводами модульный Linux-зловред поразил уже более 1,5 тыс. файрволов WatchGuard FireBox в 70 странах и в любой момент может быть переориентирован на другие платформы и прошивки.

По имеющимся данным, вредонос Cyclops Blink объявился в интернете в июле 2019 года, а может, и ранее. Анализ образцов показал, что это более продвинутая версия VPNFilter, которую предположительно создали те же умельцы (APT28, она же Fancy Bear, Sandworm и Sofacy).

Основными задачами Cyclops Blink являются сбор и слив на сторону информации о зараженном устройстве, а также загрузка и запуск дополнительных файлов. Зловред распространяется через эксплойт, устанавливается в систему под видом обновления прошивки и остается там даже после перезагрузки.

Все известные жертвы — исключительно WatchGuard FireBox, устройства безопасности класса UTM на процессорах PowerPC 32-бит со вшитыми ключами аутентификации HMAC. Примечательно, что все они используют кастомные настройки — внешний доступ к интерфейсу удаленного управления во всех случаях оказался включенным.

Обмен с C2-серверами Cyclops Blink осуществляется с использованием RSA-шифрования. Подробный разбор угрозы выложен отдельным документом (PDF) на сайте британского центра кибербезопасности (National Cyber Security Centre, NCSC).

На данный момент наблюдатели из Shadowserver зафиксировали 1573 случая инфицирования в 70 странах (уникальные IP-адреса в 495 различных AS-сетях). Больше половины зараженных устройств находятся в США, Франции, Италии, Канаде или Германии.

 

Выявлены также 25 командных серверов Cyclops Blink. Они подняты в сетях 25 AS-провайдеров в семи странах (8 в Италии, 6 в США, по 4 в Германии и Франции, по одному в Марокко, Саудовской Аравии и на Кипре).

По данным WatchGuard, данная угроза актуальна для примерно 1% ее устройств. Во избежание неприятностей производитель рекомендует таким пользователям вернуть дефолтные настройки, а в случае заражения незамедлительно сменить все хранящиеся на устройстве пароли.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Новосибирске набирает обороты мошенничество от имени маркетплейсов

Новая мошенническая схема, зафиксированная в Новосибирске, является разновидностью известного с мая сценария с фальшивой доставкой, но с дополнительным элементом — целью аферистов становится «угон» аккаунта на портале Госуслуг. Злоумышленники выдают себя за сотрудников маркетплейсов и выстраивают диалог так, чтобы выманить у жертвы данные для восстановления учётной записи.

Как пишут местные СМИ, особенность атак на новосибирцев в том, что мошенники утверждают, будто заказ отправили в дальний пункт выдачи. Затем они предлагают переместить его в более удобный для жертвы пункт или даже обещают оформить бесплатную доставку на дом.

Для «переноса» заказа аферисты требуют назвать код из СМС, который на самом деле используется для восстановления учётной записи на Госуслугах. В аналогичной схеме, появившейся в мае, преступники также запрашивали номера документов, ИНН или СНИЛС.

Нередко схема двухэтапная: после «сотрудников маркетплейса» в разговор вступают «полицейские» или «представители Роскомнадзора». Они сообщают об «угоне» аккаунта на Госуслугах и якобы совершённых через него незаконных операциях, после чего убеждают перевести деньги на «безопасный счёт» или передать их «федеральному инкассатору».

Отсутствие реального заказа аферистам не мешает — они рассчитывают на то, что многие часто совершают покупки онлайн и не помнят все детали, что подтверждают читатели НГС, столкнувшиеся с этой схемой лично.

В пресс-службе Wildberries напомнили, что сотрудники маркетплейсов общаются с клиентами только через официальные каналы — чат поддержки в приложении или на сайте. Передача товара курьеру возможна лишь после сканирования индивидуального графического кода получения.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru