Kaspersky запустила бесплатный портал для борьбы со сталкерским софтом

Kaspersky запустила бесплатный портал для борьбы со сталкерским софтом

Kaspersky запустила бесплатный портал для борьбы со сталкерским софтом

С цифровой слежкой сталкивается каждый пятый россиянин, поэтому “Лаборатория Касперского” запустила веб-ресурс, посвященный TinyCheck. TinyCheck, по словам разработчиков, обнаруживает шпионский софт на любом смартфоне. Платформа бесплатна, проверить можно даже iPhone, правда пока только на английском языке.

В сентябре 2021 года “Лаборатория Касперского” провела большое исследование. Эксперты хотели понять масштабы цифровой слежки в мире. Для этого они опросили 20 тысяч человек из 20 стран, в том числе тысячу россиян.

Выяснилось, 19% опрошенных соотечественников знают, что за ними следят. Причем в половине случаев наблюдение велось через скрытое приложение на смартфоне.

Само решение придумали еще три года назад. Тогда «Лаборатория Касперского» разработала TinyCheck для французского фонда, укрывавшего жертв домашнего насилия.

Правозащитники искали простой инструмент, позволяющий незаметно собирать улики против агрессора.

TinyCheck устанавливается не на сам смартфон, а на отдельное внешнее устройство — микрокомпьютер Raspberry Pi. Там проверяется исходящий трафик, видны подключения к центрам управления разработчиков сталкерского ПО. 

При этом сам инициатор слежки не знает, что за ним уже тоже следят.

“В отличие от большого разнообразия сталкерского софта, средств его обнаружения существует не так много, — говорит Виктор Чебышев, эксперт по кибербезопасности “Лаборатории Касперского”. — Для некоторых мобильных устройств их просто нет, например для iPhone. Поэтому необходим скрытый сканер для обнаружения сталкерского ПО”.

Агрессор не должен знать, что жертва пытается проверить, есть ли на девайсе программа для слежки — последствия могут быть непредсказуемыми.

На новом сайте TinyCheck собрана информация с новостями и обновлениями. Страница доступна на английском языке.

Разработчики заявляют, полученные данные никуда не передаются: ни «Лаборатория Касперского», ни любая другая сторона не имеют доступа к этой информации. Весь анализ проводится локально.

Сталкерское ПО открывает доступ ко множеству персональных данных: история браузера, чаты, социальные сети и геолокация. В прошлом году у разработчиков такого софта случилась массовая утечка, под угрозой оказались данные тысяч владельцев смартфонов.

“Мы считаем неприемлемым такое вторжение в личную жизнь”, — добавляет Мария Лосюкова, руководитель проектов устойчивого развития “Лаборатории Касперского”.

Компания стала одним из основателей международной Коалиции по борьбе со сталкерским ПО (Coalition Against Stalkerware) и партнёром немецкого исследовательского проекта DeStalk. Там обучают специалистов служб помощи жертвам насилия. В прошлом году, например, Kaspersky объединила усилия с Интерполом для борьбы со stalkerware. Сейчас европейцы тестируют TinyCheck и хотят использовать его при сборе показаний.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шифровальщик LockBit все еще жив и обрел загрузчик, позволяющий обойти EDR

Проведенный в Flashpoint анализ LockBit 5.0 подтвердил, что новая версия зловреда построена на базе v4.0. Шифровальщик также стал еще более скрытным из-за использования кастомного загрузчика и обрел деструктивные функции.

С выпуском LockBit 5.0 его развертывание стало осуществляться в два этапа: вначале загружается самостоятельный лоадер, обеспечивающий обход EDR, а затем — основной пейлоад, не утративший прежних функций.

Шифровальщик по-прежнему откатывает исполнение на машинах жителей стран СНГ, но стал обходить стороной также Филиппины. Записка с требованием выкупа (ReadMeForDecrypt.txt) содержит привычный текст, сохранилась даже опечатка в англоязычном слове «информация» — «inforTmation».

 

Для обхода EDR новый загрузчик LockBit использует технику process hollowing (для внедрения вредоноса в экземпляр defrag.exe), отвязку библиотек (повторно загружает с диска чистые NTDLL и Kernel32, перезаписывая в памяти хуки защитных решений), патчинг трассировки событий Windows, а также скрывает расширения файлов.

Изолированный от основного пейлоада зловред умеет распознавать вызовы API по хешам, перенаправлять поток исполнения на разрешенные вызовы API, динамически рассчитывать адреса перехода для обфускации потока управления.

Обновленный LockBit научился обрабатывать данные на локальных и сетевых дисках, в папках по выбору оператора, а также работать в многопоточном режиме с использованием XChaCha20.

Опциональные деструктивные функции позволяют зловреду шифровать файлы незаметно для жертвы — не меняя расширений и без вывода записки с требованием выкупа.

Результаты анализа показали, что грозный шифровальщик все еще актуален как угроза и даже продолжает развиваться — невзирая на попытки ликвидации инфраструктуры LockBit, взлом сайта RaaS (Ransomware-as-a-Service, вымогательский софт как услуга) и слив переписки в рамках LockBit-партнерки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru