Данные F.A.C.C.T. Threat Intelligence обогатят Security Vision TIP

Данные F.A.C.C.T. Threat Intelligence обогатят Security Vision TIP

Данные F.A.C.C.T. Threat Intelligence обогатят Security Vision TIP

ИБ-компании F.A.C.C.T. и Security Vision объявили о технологическом партнерстве. В рамках интеграции система F.A.C.C.T. Threat Intelligence будет поставлять оперативные данные об угрозах в виде IoC в платформу киберразведки Security Vision TIP.

Партнеры надеются, что их сотрудничество поможет российскому бизнесу эффективнее противостоять актуальным киберугрозам и проактивно обнаруживать сложные целевые атаки с помощью постоянно обогащаемых IoC.

«Ценные индикаторы компрометации, поставляемые F.A.C.C.T. Threat Intelligence в режиме реального времени, помогут пользователям Security Vision в наиболее быстром выявлении атак на ранних стадиях и позволят инициировать процедуру реагирования на них, не дожидаясь момента, когда злоумышленник достигнет своей цели, — заявила директор по продуктам Security Vision Анна Олейникова. — Таким образом, контент платформы киберразведки Security Vision будет иметь особую ценность и обеспечит высокий уровень ситуационной осведомленности сотрудников заказчика».

По оценке F.A.C.C.T., российские решения киберразведки — один из самых быстрорастущих сегментов рынка ИБ. Ежегодно он увеличивается на 20–40%, его объем сейчас составляет порядка 15 млрд рублей (около 8% рынка информбезопасности).

«Беспрецедентный рост количества кибератак, утечек баз данных у компаний, повышенная активность хактивистов и проправительственных групп, заинтересованных в дестабилизации работы предприятий, повлияли на рост спроса у российских компаний на решения класса Threat Intelligence, — отметил гендиректор F.A.C.C.T. Валерий Баулин. — По нашим оценкам, рост продаж Threat Intelligence в России в первом полугодии 2023 составил около 30% по сравнению с первой половиной 2022 года».

В настоящее время клиенты и MSSP-партнеры F.A.C.C.T. используют ее Threat Intelligence со следующими целями:

  • выявление фактов взлома (данные мониторинга преступных групп, бот-сетей и теневого интернета);
  • обнаружение сложных целевых атак (IoC);
  • атрибуция, приоритизация угроз, повышение скорости реагирования (данные об авторах атак, инструментах и тактиках);
  • создание правил корреляции и детектирования угроз, специфичных для конкретного окружения (оперативные бюллетени о новых угрозах, вредоносные кампаниях, кибергруппах);
  • оптимизация процесса управления уязвимостями (детализированные профили таких угроз, составленные на основе данных об эксплойт-атаках и дискуссиях на хакерских форумах);
  • обогащение коллекции IoC и используемых средств защиты (встроенная аналитика).
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru