Американцы обезглавили Linux-ботнет Cyclops Blink

Американцы обезглавили Linux-ботнет Cyclops Blink

Американцы обезглавили Linux-ботнет Cyclops Blink

Минюст США рапортует об успешном завершении операции по обезвреживанию сетевых устройств WatchGuard, которые злоумышленники использовали для управления бот-сетью Cyclops Blink. В прошлом месяце ФБР с разрешения суда очистили все выявленные C2-девайсы от инфекции и лишили злоумышленников возможности отдавать через них команды сотням зараженных хостов.

Linux-зловред, на основе которого построен ботнет Cyclops Blink, активен в интернете как минимум с июля 2019 года. Велика вероятность, что он является прямым наследником VPNFilter, авторство которого приписывают Sandworm, она же APT 28 и Fancy Bear (американские спецслужбы уверены, что это хакеры из ГРУ).

Долгое время Cyclops Blink атаковал только файрволы WatchGuard FireBox, однако недавно появилась версия, нацеленная на роутеры ASUS. Вредонос проникает на устройства через эксплойт, устанавливается под видом обновления прошивки и сливает хозяевам данные зараженной системы. В ответ он может получить команду на загрузку и запуск дополнительных файлов (роль C2 при этом исполняют полторы сотни зараженных устройств FireBox).

Совокупно в составе ботнета исследователям удалось выявить более 1,5 инфицированных устройств в 70 странах. Тотальная очистка в задачи мартовской операции в США не входила, участники только деактивировали C2-механизм — скопировали и удалили вредоносный код на всех обнаруженных командных FireBox и закрыли порты, которые ботоводы использовали для подключения (законный владелец сможет потом откатить это изменение перезапуском).

Власти США подчеркивают, что поиска информации о сетях жертв при этом не проводилось; специалисты лишь собрали серийные номера C2-устройств с помощью скрипта и произвели очистку. ФБР уже уведомило владельцев FireBox о таком вмешательстве. Удалось ли обезвредить центры управления Cyclops Blink в других странах, Минюст не сообщает — в анонсе лишь отмечено, что ФБР еще в феврале пыталось через зарубежных коллег растиражировать информацию об инфекции и абьюзах.

Поскольку большинство зараженных устройств WatchGuard и ASUS по-прежнему пребывают в этом состоянии, жертвам придется самостоятельно заняться очисткой, следуя рекомендациям вендоров.

Подпишитесь на новости

Росфинмониторинг не ждёт массовых блокировок счетов из-за совпадения данных

Росфинмониторинг опроверг сообщения о возможной волне блокировок банковских счетов из-за частичного совпадения данных клиентов со сведениями о лицах, чьи активы подлежат заморозке. В ведомстве уверяют: законопроект не должен превратить однофамильцев в заложников банковского антифрода.

Поводом для разъяснений стала информация о подготовке новых правил, позволяющих финансовым организациям реагировать не только на полное, но и на частичное совпадение данных клиента с записями в соответствующих перечнях.

Как сообщил Росфинмониторинг, критерии частичного совпадения пока не определены. Их установят отдельным приказом только после принятия федерального закона и анализа реальных случаев.

Обычно проблема возникает из-за разных вариантов написания имени и фамилии при транслитерации, а не потому, что у двух Ивановых внезапно обнаружилась общая финансовая биография.

Ведомство отдельно подчеркнуло, что законопроект предусматривает временное приостановление операции, а не автоматический отказ в её проведении или бессрочную блокировку всего счёта. Поэтому массовой заморозки денег добросовестных граждан там не ожидают.

Ранее «Известия» сообщили, что новые критерии могут вызвать всплеск ложных срабатываний: под ограничения рискуют попасть клиенты, чьи данные лишь частично совпали с информацией о лицах из санкционных и террористических перечней.

Пока главный заключается в том, насколько широко Росфинмониторинг определит это самое частичное совпадение.

RSS: Новости на портале Anti-Malware.ru