Xello Deception 5.0 позволяет гибче адаптироваться под изменения бизнеса

Xello Deception 5.0 позволяет гибче адаптироваться под изменения бизнеса

Xello Deception 5.0 позволяет гибче адаптироваться под изменения бизнеса

Компания Xello, разработчик российского решения класса Distributed Deception Platform (далее — DDP), представила пятую версию платформы для предотвращения целенаправленных атак — Xello Deception.

Среди ключевых отличий релиза: гибкая встраиваемость платформы с внутренней инфраструктурой предприятия и с внешними системами кибербезопасности, а также дополнительные возможности для работы с киберинцидентами. Улучшения позволяют более точно выявлять нелегитимные действия в сети и повышать эффективность реагирования.

Для анализа особенностей инфраструктуры любого бизнеса и генерации максимально реалистичных ложных данных в Xello Deception 5.0 реализовано автоматическое подтягивание новых серверов прямо из веб-интерфейса. Также благодаря открытому API решение способно гибко интегрироваться с внешними системами кибербезопасности. В новой версии реализован доступ к Swagger (инструмент, который позволяет создавать и визуализировать описание API на основе стандарта OpenAPI). Теперь можно смотреть и тестировать интеграции через API прямо внутри веб-интерфейса.

Изменён механизм управления типами приманок, который разбивает их на категории. Каждая категория характеризует область использования программного обеспечения, к которому относится приманка. Оператор системы может присваивать хостам через политики как целиком категории, так и отдельные типы приманок. Это позволяет более точечно конфигурировать их распространение по конкретным хостам.

Для удобной работы с киберинцидентами был переработан механизм фильтров. Теперь оператор системы всегда остаётся в их контексте, выполняя операции с несколькими активностями (не нужно открывать отдельное окно или скроллить).

Ещё одно нововведение пятой версии — карта с тактиками по модели MITRE ATT&CK в карточке инцидента. Это помогает оператору системы понять, на какой стадии находится злоумышленник и узнать о применяемых техниках и тактиках (TTP).

«Мы стараемся формировать стандарт решений класса DDP на российском рынке, ориентируясь на потребности наших пользователей и одновременно совершенствуя платформу технологически. Это наглядно продемонстрировано в новой версии Xello Deception, где мы значительно расширили её функциональные возможности, полностью поменяли интерфейс системы и упростили работу с ней для обычных пользователей», — комментирует технический директор Xello Алексей Макаров.

Разработчики также объявили о планах развития нового модуля, который позволит эмулировать большое количество типов устройств. Это позволит создавать ложных слой на все уровнях (стека, протоколов, прикладном и физическом).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Троян Shuyal Stealer ворует данные из 19 браузеров и исчезает без следа

В ИБ-компании Point Wild проанализировали образец Windows-стилера Shuyal, объявившегося в июле, и обнаружили внушительный список целевых браузеров — 19 наименований, в том числе Яндекс Браузер и Tor.

Свое имя написанный на C++ зловред (детектится на VirusTotal с результатом 48/72 по состоянию на 8 октября) получил по найденному в экзешнике идентификатору. От собратьев новобранец отличается не только большим количеством целей, но также умением заметать следы.

После запуска Shuyal Stealer прежде всего выполняет глубокое профилирование зараженной системы с помощью WMI: собирает данные жестких дисков (модель, серийный номер), подключенной клавиатуры (включая ID), информацию о настройках монитора, чтобы выстроить стратегию кражи данных сообразно конкретным условиям.

Троян также прибивает Диспетчер задач, способный выдать запуск вредоносных процессов, и прописывается в системе на автозапуск.

Кража данных осуществляется с помощью скриптов PowerShell. При этом зловреда интересует следующая информация:

  • сохраненные в браузере учетки, куки и история посещения сайтов;
  • содержимое буфера обмена;
  • токены аутентификации из Discord, Discord Canary и Discord PTB.

Инфостилер также умеет делать скриншоты, чтобы добавить контекст к украденным данным.

Вся добыча вместе с журналом вредоносной активности (history.txt) помещается в директорию runtime, специально создаваемую в папке временных файлов. Для эксфильтрации ее содержимое архивируется (runtime.zip) и затем отсылается в телеграм-бот, который Shuyal находит по вшитому ID.

Завершив кражу и вывод данных, Shuyal пытается стереть все следы своего присутствия в системе с помощью скрипта util.bat.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru