Solar 4RAYS подготовили рекомендации на каникулы

Solar 4RAYS подготовили рекомендации на каникулы

Solar 4RAYS подготовили рекомендации на каникулы

Эксперты центра Solar 4RAYS подготовили рекомендации для киберзащитников компаний, которые помогут наладить инфраструктуру так, чтобы можно было беззаботно встретить новый год.

Как напоминают эксперты, новогодние праздники редко обходятся без инцидентов. Злоумышленники пользуются тем, что ИБ-подразделения уходят на каникулы или переходят на удаленный режим работы.

В результате ИБ-специалисты не всегда могут оперативно распознать признаки инцидента и вовремя отреагировать на него, а злоумышленники почти беспрепятственно проникают в инфраструктуры компаний.

Начать эксперты Solar 4RAYS рекомендуют с инвентаризации. Необходимо убедиться, что известны все сегменты сети и активы, которые там находятся. Очень часто злоумышленники атакуют через уязвимые узлы, которые не контролируют ИТ и ИБ-службы, и их обслуживанием занимаются какие-то другие подразделения.

Полезно также будет просканировать пул публичных адресов компании. Это позволит понять и оценить, как ИТ-инфраструктура выглядит с точки зрения потенциальных злоумышленников и определить потенциально уязвимые компоненты. Часть сервисов и приложений на период каникул лучше вообще сделать недоступными из публичного интернета.

Другой важной мерой является создание резервных копий наиболее важных систем. Это позволит восстановить их работоспособность, если ситуация будет развиваться по самому неблагоприятному сценарию.

При этом хранить резервные копии нужно таким образом, чтобы до них не добрались злоумышленники. Для доступа к ним лучше использовать отдельные учетные записи с минимально необходимым набором привилегий, а лучше хранить резервные копии в том сегменте сети, который изолирован от основного.

Необходимо также установить патчи для всех ключевых приложений, прежде всего для публично доступных сервисов. Причем эту задачу надо решать заранее, не откладывая ее на последний рабочий день перед каникулами.

Другой важной мерой является ревизия и смена паролей. Необходимо найти и удалить неиспользуемые учетные записи, сменить пароли администраторов и удаленных пользователей, установить многофакторную аутентификацию для них. Учетные записи подрядчиков нужно отключить на время каникул.

Полезным будет также аудит парольных политик, что позволит исключить «слабые» пароли, которые очень часто используют злоумышленники для атак. Также нужно убедиться в том, что никакие критичные пароли не хранятся в открытом виде на различных ресурсах. 

Полезной мерой будет проверка компрометации инфраструктуры, хотя бы на базовом уровне. Сюда входят срабатывания средств защиты, появление подозрительных файлов, запуск системных служб, появление новых пользователей, установка нового ПО. Также необходима проверка системных журналов на предмет сомнительных аутентификаций, сетевых соединений и всплесков объемов передачи трафика. Эти меры нужно повторить и сразу после каникул, чтобы убедиться в том, что в инфраструктуру компании никто не проник.

В компании также должны быть назначены ответственные за реагирование на инциденты. Необходимы пошаговые инструкции для каждого из участников команды, которые бы описывали первоочередные меры реагирования. Причем ответственные лица должны быть доступны в режиме 24/7. Данную функцию можно делегировать внешнему поставщику услуг.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Фишинговая кампания с бэкдорами Merlin и Loki выявлена в России

Специалисты Kaspersky выявили нацеленную на российские организации кампанию — Mythic Likho, в рамках которой применяются модифицированная версия бэкдора Merlin и обновлённый вариант вредоносной программы Loki.

Обе программы используют фреймворк с открытым исходным кодом Mythic. Атакам подверглись более десяти российских организаций из различных отраслей, включая телекоммуникации и промышленность.

Точные цели злоумышленников неизвестны, но исследователи полагают, что атакующих интересуют конфиденциальные данные.

Для доставки вредоносов применяется фишинг. Тексты сообщений варьируются: например, одно из писем было направлено в кадровую службу машиностроительного предприятия.

В нём отправители просили предоставить характеристику на бывшего сотрудника, якобы претендующего на ответственную должность в другой компании. Такие письма, вероятно, содержат ссылки на архивы с поддельными резюме, при открытии которых происходит загрузка бэкдора Merlin.

Merlin — это инструмент для постэксплуатации с открытым исходным кодом, написанный на Go. Он совместим с Windows, Linux и macOS, а также поддерживает работу по протоколам HTTP/1.1, HTTP/2 и HTTP/3.

После активации бэкдор соединяется с сервером управления и передаёт сведения о заражённой системе, включая IP-адрес, версию операционной системы, имя пользователя, имя хоста и архитектуру процессора.

Один из обнаруженных экземпляров Merlin загружал в систему новую версию Loki. Этот бэкдор, как и его предыдущая версия, собирает данные о системе, передавая злоумышленникам идентификатор агента, IP-адрес, версию ОС, название устройства и путь к исполняемому файлу. В новой версии добавлена также передача имени пользователя.

Обе программы разработаны для работы с фреймворком Mythic. Первоначально этот инструмент создавался для тестирования защиты корпоративных систем и проведения киберучений, но может использоваться и в преступных целях.

Mythic позволяет создавать кастомизированные агенты для различных платформ, что даёт атакующим гибкость в выборе методов.

На данный момент не хватает данных, позволяющих связать эти атаки с какой-либо известной группировкой. В связи с этим кампания получила название Mythic Likho.

«Применение фреймворка Mythic и разработка кастомных агентов делает атаки гибкими: несмотря на общий метод распространения через фишинговые письма, их содержание и последовательность заражения могут отличаться. Это повышает вероятность успешного проникновения. Важно уделять повышенное внимание защите информационных систем и использовать надёжные средства кибербезопасности», — отмечает Артём Ушков, исследователь угроз в «Лаборатории Касперского».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru