Роскомнадзору разрешили банить сайты с инфой об обходе блокировок

Роскомнадзору разрешили банить сайты с инфой об обходе блокировок

Роскомнадзору разрешили банить сайты с инфой об обходе блокировок

Правительство РФ разрешило Роскомнадзору вносить в черный список интернет-ресурсы, публикующие информацию о методах обхода ограничений доступа к запрещенным сайтам. Источники такого контента будут блокироваться на уровне провайдеров.

Соответствующее постановление правительства (№ 1905 от 14.11.2023) было опубликовано на портале правовой информации 17 ноября. Документ вносит изменения в правила ведения Единого реестра интернет-ресурсов с запрещенной в РФ информацией (утверждены постановлением правительства №1101 от 26.10.2012).

В частности, перечень оснований для включения сайтов в черный список Роскомнадзором дополнен наличием «информации о способах, методах обеспечения доступа к информационным ресурсам и (или) информационно-телекоммуникационным сетям, доступ к которым ограничен на территории Российской Федерации».

В связи с новыми полномочиями регулятор подготовил приказ о внесении изменений в критерии оценки контента для принятия решения о внесении источника в Единый реестр запрещенных ресурсов. Согласно этим поправкам, основанием для репрессий может стать наличие на сайте следующей информации:

  • описание действий, позволяющих получить доступ к заблокированным ресурсам;
  • материалы, дающие представление о способах, методах обеспечения доступа к заблокированным ресурсам;
  • реклама способов и методов обхода действующих ограничений;
  • предложения о приобретении средств доступа к заблокированным сайтам;
  • сведения о возможности получения доступа в обход ограничений, в том числе через загрузку специализированного софта.

Ресурсы с таким контентом начнут блокировать с 1 марта будущего года. Исключение составят сайты с научной, научно-технической и статистической информацией о способах обеспечения доступа в обход ограничений. Срок действия нового приказа РКН — до 1 сентября 2029 года.

В этом месяце стало известно, что регулятор собирается заблокировать еще 49 сервисов и протоколов VPN, позволяющих обойти введенные в стране ограничения. С 2021 года в России суммарно заблокировали 167 VPN, которые, по всей видимости, были сочтены угрозой для функционирования рунета.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru