Компания ESET предупреждает о том, что киберпреступная группировка PowerPool проводит атаки с использованием пока не закрытой «дыры» в операционных системах Microsoft Windows.

Речь идёт об уязвимости «нулевого дня», информация о которой была раскрыта в конце августа нынешнего года. Брешь связана с работой планировщика задач Windows. Злоумышленники могут повысить свои привилегии в системе и выполнить на компьютере жертвы произвольный программный код. Уязвимость затрагивает операционные системы Windows версий с 7 по 10.

Участники кибергруппы PowerPool используют брешь при проведении целевых атак. Нападения уже зафиксированы во многих странах, в том числе в России.

Атака начинается с рассылки вредоносных спам-писем с бэкдором первого этапа. Вредоносная программа предназначена для базовой разведки — она выполняет команды злоумышленников и передаёт собранные данные на удалённый сервер. Если компьютер заинтересовал киберпреступников, на него загружается бэкдор второго этапа: эта вредоносная программа предоставляет постоянный доступ к системе.

Таким образом, злоумышленники получают возможность красть конфиденциальную информацию и выполнять произвольные действия на инфицированном компьютере. 

Множество людей в этом месяце сообщили о взломе аккаунтов в Instagram, причём многие атаки были практически идентичны друг другу. Пользователей выбрасывало из учётных записей, а когда они пытались войти обратно, то обнаруживали, что их имя, фотография профиля, контактная информация и описание изменены.

Зачастую злоумышленники меняли картинку профиля на персонажа мультфильмов Disney или Pixar, а аккаунт привязывался к почте с русским доменом верхнего уровня. На некоторых учётных записях хакерам даже удалось отключить двухфакторную авторизацию.

mashable.com

Ряд пользователей сообщили о взломе сайту Mashable, хотя гораздо больше жалоб было зарегистрировано на Reddit и в Twitter. Примечательно, что хакеры не добавляли на взломанные аккаунты новые публикации и не удаляли старые.

Несмотря на то, что в справочном центре Instagram есть страничка о взломе аккаунтов, она, согласно источникам Mashable, оказалось бесполезной. «Вся эта мешанина, которую Instagram отправляет вам, чтобы вы могли вернуть свой аккаунт, вызывает смех и представляет собой набор нерабочих ссылок и автоматических писем, которые ничего не дают», — написала одна из жертв злоумышленников Абигейл Новак (Abigail Nowak). Ещё один пользователь заявил, что ему удалось восстановить учётную запись, но с огромным трудом.

mashable.com

«Когда мы узнаём, что аккаунт был взломан, мы закрываем к нему доступ и предлагаем владельцу пройти процесс восстановления, чтобы он мог сбросить пароль и предпринять другие необходимые меры по защите аккаунта», — заявил представитель Instagram сайту CNET.

Американские власти объявили об аресте трёх предполагаемых лидеров киберпреступной группы, одновременно известной как Fin7, Carbanak и Navigator Group. Злоумышленников, по национальности украинцев, схватили в Германии, Польше и Испании и обвинили в 26 уголовных преступлениях. Среди них — заговор, мошенничество с проводными устройствами и устройствами доступа, компьютерный взлом и кража личных данных с отягчающими обстоятельствами.

Министерство юстиции США утверждает, что злоумышленники атаковали более 100 американских компаний, взломали тысячи компьютерных систем и похитили номера 15 млн кредитных и дебетовых карт. Группа действовала в 47 штатах и в столице США Вашингтоне и взломала 6,5 тысяч POS-терминалов в 3,6 тыс. мест.

Предполагается, что Fin7 также работала в Великобритании, Австралии и Франции. Согласно обвинительному акту Министерства юстиции, группа несёт ответственность за взлом систем, принадлежащих таким предприятиям, как Chipotle, Chili's, Arby's, Red Robin и Jason's Deli. Ранее хакеры атаковали Lord & Taylor, Saks Fifth Avenue и Oracle.

Фёдор Хладир, который занимался обслуживанием серверов и поддержкой каналов связи, в январе был арестован в Дрездене, Германия, и теперь ожидает суда в Сиэтле. В том же месяце в польском городе Бельско-Бяла поймали Дмитрия Фёдорова — он курировал других хакеров в группе и сейчас ожидает экстрадиции в США. Андрея Колпакова, ещё одного куратора, арестовали в июне в Лепе, Испания — его тоже ещё не экстрадировали.

Считается, что Fin7 использовала фишинг, совмещая мошеннические письма с телефонными звонками. С помощью вируса группа похищала данные платёжных карт и продавала их в «тёмном Интернете», а также атаковала банки и взламывала банкоматы.

Reddit уведомил, что некий хакер взломал ряд систем сайта и получил доступ к данным пользователей. В список вошли текущие электронные адреса, а также база данных за 2007 год с зашифрованными логинами и паролями.

Сайт разослал письма пострадавшим пользователям — по большей части тем, кто зарегистрировался в 2007 году или раньше. Злоумышленник также получил доступ к почтовым рассылкам за июнь 2018 года, поэтому мог узнать электронные адреса соответствующих пользователей и то, на какие каналы они были подписаны.

Компания посоветовала тем, кто с 2007 года не менял пароль или менял его незначительно, установить другой пароль на Reddit и других сайтах. Также сервис порекомендовал включить двухфакторную авторизацию через приложения вроде Authy или Google Authenticator, поскольку хакер взломал системы посредством перехвата SMS-сообщений. «Мы выяснили, что SMS-авторизация не так безопасна, как мы надеялись», — написала компания.

С 14 по 18 июня злоумышленник похитил аккаунты нескольких сотрудников Reddit через облачного провайдера. Он получил возможность просмотреть резервные данные, исходный код и другие записи в журналах работников компании, но внести в них какие-либо изменения не смог.

К 19 июня Reddit обнаружил атаку и начал рассчитывать размер ущерба, а также усиливать меры безопасности. Компания связалась с правоохранительными органами и помогает им в расследовании.

Хакер смог просмотреть личные и публичные сообщения, опубликованные с 2005 года, когда сервис только появился на свет, по 2007 год. Один из пользователей отметил, что взломщик может вычислить логин человека по его почте, поэтому посоветовал удалить из профиля все публикации, которые могут быть использованы со злым умыслом.

Instagram работает над системой двухфакторной авторизации, которая не требует номера телефона пользователя, рассказал TechCrunch. Компания подтвердила это спустя несколько часов после того, как Motherboard опубликовал расследование о взломе SIM-карт. Нововведение, как и в других социальных сетях, позволит использовать для входа в сервис приложения для генерирования кодов наподобие Google Authenticator и Authy.

Сервис, вероятно, подтвердил создание нового метода из-за опубликованного расследования. Тем не менее, Instagram, судя по всему, работал над ним продолжительное время. Разработчик Джейн Манчум Вонг (Jane Manchun Wong) обнаружила прототип обновлённой функции в коде приложения для Android, о чём рассказала в Twitter.

Jane Manchun Wong/Twitter

На данный момент восстановить аккаунт и войти с него на новом устройстве можно только с помощью привязанного телефонного номера. Однако, как выяснил Motherboard, хакеры всё чаще похищают номера и привязывают их к новым SIM-картам. Для этого они используют информацию вроде номеров социального страхования, попавшую в Сеть в результате многочисленных утечек.

Хакер связывается со службой поддержки мобильного оператора и просит привязать номер к новой SIM-карте. После этого злоумышленник может заняться вымогательством или получить доступ к различным учётным записям владельца номера.

Многие технологические компании разработали средства для защиты от уязвимостей двухфакторной авторизации. Например, у Google есть приложение, которое генерирует коды, доступные ограниченное время. Аналогичная функция встроена и в клиент Facebook.

На лондонской встрече WSJ CEO Council Conference гендиректор Darktrace Николь Иган (Nicole Eagan) дала интервью журналистам, в котором описала интересный случай о хакерской атаке на казино. Основной темой интервью являлась безопасность устройств Интернета вещей (Internet of Things, IoT).

Иган рассказала, как хакеры украли конфиденциальные данные игроков казино через термостат находящегося в лобби аквариума. «Злоумышленники использовали это (брешь в термостате — ред.), чтобы попасть в сеть. Затем они нашли базу данных важных игроков и вытащили её через сеть в термостат, а затем — в облако».

На сегодняшний день в мире существует более 20 миллиардов IoT-устройств, и их количество растёт экспоненциально. По данным Statista, к 2025 году эта цифра поднимется до 75 миллиардов.

Каждое подключенное к Интернету устройство — дополнительный вектор атаки, который может вмещать собственные уязвимости и технологические недостатки. Эксперты по информационной безопасности предупреждают, что угроза из-за устройств умного дома со временем будет только расти.

Бывший сотрудник службы разведки Великобритании Роберт Ханниган (Robert Hannigan) отметил, что не существует универсальных общепринятых стандартов безопасности IoT. «Помню случай, когда банк взломали через камеры наблюдения, потому что покупая устройства, организация отталкивалась от цены».

Он также подчеркнул, что и термостат, и камеры наблюдения той же модели до сих пор работают у других компаний и пользователей. И это несёт серьёзную угрозу.

В прошлом году хакеры похитили с банковских карт россиян 961 млн рублей, сообщил заместитель начальника управления по связям с общественностью ГУ ЦБ РФ по Центральному федеральному округу Дмитрий Баранов.

Средняя сумма несанкционированной операции составила 3 тыс. рублей. «Это по мировым меркам очень низкий результат, — говорит Баранов. — Это то, чем мы обоснованно гордимся. Защищённость наших средств, хранящихся в электронном виде, лучше, сильнее и надежнее. Мы можем гордиться нашим образованием, уровнем программистов, которых готовят наши вузы».

По словам Баранова, хакеры — не единственная опасность, которая грозит россиянам. Ещё одна угроза — фальшивые деньги, несмотря на то, что их количество с годами снижается.

«В прошлом году на территории России были выявлены 24 тыс. фальшивых банкнот разного номинала, при этом уже много лет лидируют пятитысячные банкноты, хотя в большинстве стран мира наиболее популярны банкноты второго номинала: 50 долларов, 200 и 100 евро. В нашей стране подделывают самую высокую по номиналу банкноту, потому что себестоимость производства фальшивки примерно равна, но подделка более крупной банкноты позволяет получить в 5 раз больше», — сообщил Баранов.

Сайтов, предлагающих купить фальшивые банкноты, довольно много. Хостинги этих сайтов находятся в Панаме, Белизе, Вьетнаме, Палау и других странах.

Инцидент с CCleaner в прошлом году наделал много шума, и специалисты по безопасности продолжают его изучение. Напомним: 18 сентября 2017 года компания Avast сообщила, что CCleaner был использован киберпреступниками, чтобы распространять вредоносное ПО через установочный файл утилиты. Изменённый файл установки был загружен 2,27 млн пользователей. Вредоносное ПО попало на серверы Piriform, разрабатывающей CCleaner, в период с 11 марта по 4 июля 2017 года до приобретения Piriform компанией Avast 18 июля 2017 года.

Первый этап вредоносного ПО был разработан для сбора нечувствительной информации от пользователей CCleaner, включая, например, имя компьютера, список установленного программного обеспечения и список запущенных процессов. Этот этап включал в себя возможности загрузчика, которые были использованы для установки двоичного кода второго этапа всего лишь на 40 компьютеров из миллионов устройств, заражённых первой волной. То есть атака была крайне избирательной. Недавно Avast опубликовала информацию о том, что мог быть и третий предполагаемый этап атаки. Впрочем, доказательств того, что бинарный файл третьего этапа был загружен на заражённые компьютеры, у компании нет.

Чтобы устранить угрозу из сети Piriform, компания перенесла среду сборки Piriform в инфраструктуру Avast, заменила всё оборудование и перевела персонал на внутреннюю IT-систему Avast. Компания осуществила тщательную проверку инфраструктуры Piriform и компьютеров и обнаружила предварительные версии первого и второго этапов, а также доказательства использования на четырёх компьютерах специализированного инструмента ShadowPad, который применяется некоторыми киберпреступниками. Версия была, похоже, специально разработана для атаки на Piriform и установлена вторым этапом атаки.

Предположительно, за всеми атаками на CCleaner стоит китайская группа хакеров Axiom, которая и является автором ShadowPad. Avast обнаружила и журнальные файлы ShadowPad, которые содержали зашифрованные нажатия клавиш из установленного на компьютерах клавиатурного шпиона, который работал с 12 апреля 2017 года. С помощью ShadowPad киберпреступники могли управлять четырьмя заражёнными системами удалённо, собирать учётные данные и анализировать операции. Помимо клавиатурного шпиона на компьютерах были установлены другие инструменты, в том числе утилиты для похищения паролей и удалённой установки дополнительного ПО.

ShadowPad был установлен на системах сети Piriform, но ни один из компьютеров пользователей CCleaner, похоже, не был заражён. Впрочем, Avast полагает, что это планировалось в рамках третьего этапа. В то время как порядка 2,27 млн клиентов CCleaner и предприятий загрузили заражённый продукт CCleaner, злоумышленники установили вредоносный код второго этапа только на 40 систем, обслуживаемых высокотехнологичными и телекоммуникационными компаниями.

Несколько месяцев назад эксперты компании RedLock Cloud Security Intelligence обнаружили, что многие предприятия не закрывают доступ к консоли Kubernetes. Данная консоль используется для централизованного управления приложениями в облачных сервисах, таких как Amazon Web Services и Microsoft Azure. Это открывает большие возможности для хакеров, использующих корпоративные облачные ресурсы для доступа к конфиденциальной информации и майнинга криптовалюты.

Последней жертвой подобной атаки стал известный автопроизводитель Tesla. Через консоль Kubernetes хакеры зашли в среду Amazon Web Services и получили доступ к Amazon Simple Storage Service.

Злоумышленники использовали малоизвестный пул майнинга, который сложно было отследить, сопоставляя со списком известных IP-адресов и доменных имен, используемых при добыче криптовалют. В дополнение к этому и ещё нескольким техническим приёмам, злоумышленники следили, чтобы нагрузка на вычислительные ресурсы Kubernetes была ограниченной, таким образом, не привлекая внимание сотрудников Tesla.

После того, как RedLock сообщила Tesla о взломе, автопроизводитель устранил используемую хакерами брешь. Компания выпустила уведомление, в котором сообщила, что данные пользователей не пострадали.

«Мы ведём программу по вознаграждению за обнаруженные уязвимости, чтобы поддержать подобные исследования. Данная брешь была устранена через несколько часов после того, как о ней стало известно. По всей видимости, были скомпрометированы только данные внутреннего использования, связанные с разработкой тестовых автомобилей. Первые результаты расследования указывают, что инцидент никак не затронул конфиденциальность клиентов или безопасность  использования автомобилей», — говорится в сообщении Tesla.

Вместе с Windows 10 компания Microsoft выпустила инструмент безопасности Anti-Malware Scan Interface (AMSI), который позволяет программам отправлять файлы на проверку антивирусом. Этот механизм обеспечивает защиту от угроз, которые не выявляет поиск по сигнатурам, так как злоумышленник выполняет скрипты PowerShell через обычные программы.

AMSI позволяет предотвратить атаки, при которых злоумышленник выполняет собственный код с помощью безвредной программы. Исследователь безопасности из Австралии Сатоши Танда (Satoshi Tanda) обнаружил простой способ обойти защиту AMSI с помощью нулевого символа.

До недавнего времени AMSI сканировал файлы и передавал антивирусу информацию, пока не наталкивался на нулевой символ. Всё, что шло после этого символа, просто игнорировалось.

На прошлой неделе, 13 февраля, Microsoft выпустила обновления безопасности, в которых заменила одну из команд в библиотеке System.Management.Automation.dll, благодаря чему AMSI теперь работает корректно. «Теоретически, кроме установки обновлений, больше никаких действий от пользователя не требуется», — отметил Танда, добавив, что разработчикам программ стоит проверить, насколько корректно для них сейчас работает AMSI. 

Эксперт также порекомендовал авторам антивирусов проверить, не теряют ли их программы код, размещённый под нулевым символом, как это до недавнего времени делал AMSI.

Успешный маркетинг в совокупности с грамотной реализацией задуманного позволили Nintendo продать за девять месяцев текущего финансового года около 15 млн фирменных консолей Switch. Неудивительно, что ажиотаж вокруг устройства привлёк внимание не только обычных геймеров, желающих весело скоротать время за счёт портативного гаджета, так и энтузиастов-экспериментаторов, которые не приемлют коммерческий продукт без его существенных доработок.

nerdist.com

Обнаруженная почти две недели назад уязвимость в программной части Nintendo Switch позволила загрузить на консоль Linux. Однако автор безобидного эксплойта решил не останавливаться на достигнутом и продолжил начатую работу по модернизации интерфейса Nintendo Switch. 

Опубликованный видеофрагмент наглядно демонстрирует, как хакер с ником «fail0verflow» тестирует консоль Nintendo Switch с Linux-платформой «на борту». В качестве графической оболочки им была выбрана KDE Plasma, которая обеспечила необходимое тактильное взаимодействие с гаджетом посредством сенсорного ввода, а также позволила выйти через него в Сеть. 

Таким образом игровая консоль усилиями «fail0verflow» превратилась в планшетный компьютер для гиков, способный даже распознавать несколько одновременных нажатий по дисплею и покидать «режим сна» после касания сенсорной поверхности. 

В 2017 году российские банки из-за хакерских атак с использованием вируса Cobalt Strike понесли потери в размере более чем 1 млрд рублей, сообщил на X Уральском форуме «Информационная безопасность финансовой сферы» заместитель председателя Центробанка Дмитрий Скобелкин.

REUTERS/Kacper Pempel

По его словам, за прошедший год было зарегистрировано не менее 21 волны атак с использованием Cobalt Strike, нацеленных на компьютерные сети более 240 кредитных организаций. Из них 11 оказались успешными. В результате хакерами было похищено более 1,156 млрд рублей.

«При этом 8 из 11 пострадавших организаций являются участниками информационного обмена с ФинЦЕРТом», — отметил Скобелкин. ФинЦЕРТ (Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере) начал работу в Банке России с 2015 года. Его главной задачей является осуществление координации действий финансовых организаций и своевременное информирование об инцидентах и происшествиях. Как сообщил Скобелкин, ФинЦЕРТ предупредил более чем 400 организаций с указанием электронных почтовых адресов, которые использовала группа Cobalt для отправки фишинговых писем.

Ранее в интервью RNS заместитель начальника Главного управления по безопасности и защите информации (ГУБиЗИ) Банка России Артем Сычев предупредил, что в 2018 году основными видами угроз в сфере информационной безопасности будут использование хакерами методов социальной инженерии, а также вредоносного ПО Cobalt Strike для взлома сетей организации с целью получения контроля над её инфраструктурой.

Cobalt Strike — это набор инструментов, применяемый для проверки киберзащиты организации на прочность, но он также использовался хакерами для атак на компьютерные сети банков в России и других странах мира.

Госкорпорация Ростех и Федеральная служба безопасности Российской Федерации (ФСБ), по сообщениям интернет-источников, заключили соглашение о сотрудничестве в сфере информационной безопасности.

Речь идёт о борьбе с киберпреступниками, а также о выявлении хакерских атак на российскую IT-инфраструктуру и телекоммуникационные системы.

Сообщается, что дочерняя компания Ростеха — «РТ-ИНФОРМ» — получила официальный статус корпоративного центра государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы (ГосСОПКА).

Исследования показывают, что сетевые преступники проявляют повышенный интерес к государственным организациям, финансовой отрасли, оборонным предприятиям и промышленным компаниям. Центры ГосСОПКА как раз и призваны обеспечить безопасность критической информационной инфраструктуры (КИИ).

Добавим, что закон о безопасности КИИ вступил в силу с 2018 года. Объектами КИИ являются информационные системы и телекоммуникационные сети госорганов, автоматизированные системы управления технологическими процессами в оборонной промышленности, области здравоохранения, транспорта, связи, кредитно-финансовой сфере, энергетике, топливной промышленности, атомной промышленности, ракетно-космической промышленности, горнодобывающей промышленности, металлургической промышленности и химической промышленности. 

Заместитель главы департамента информационных технологий Москвы Александр Горбатько сообщил о 65 крупных хакерских атаках на информационную инфраструктуру города, зафиксированных в 2017 г.

«Хакеры не дремлют и в Москве, буквально за 2016 г. мы фиксировали 44 крупные атаки (на IT-инфраструктуру), в 2017 г. атак было уже 65. География атак очень разнообразная, они идут не только из России», — рассказал Горбатько в ходе Национального форума по информационной безопасности.

По его словам, защита информационных ресурсов столицы обеспечивается с помощью комплексного подхода, включая привлечение к поиску уязвимостей в защите IT-инфраструктуры города так называемых «белых» хакеров.

В свою очередь, заместитель директора Федеральной службы по техническому и экспортному контролю (ФСТЭК) России Виталий Лютиков заявил, что успех атак вируса WannaCry на российские объекты информационной инфраструктуры объясняется невыполнением элементарных требований информационной безопасности.

«Проанализировали все случаи (атак вируса Wannacry), которые были у нас в России на объектах, которые находятся в сфере ведения ФСТЭК. Можем однозначно констатировать, что основной причиной проникновения вредоносного ПО было невыполнение элементарных требований по обеспечению информационной безопасности, в частности, это необновление актуального программного обеспечения и блокирование соответствующих интерфейсов, которые не должны вовне иметь выход», — отметил Лютиков.

Южнокорейская биржа Youbit (не имеет ничего общего с русскоязычной биржей Yobit) второй раз за 2017 год подверглась атаке хакерской группы, целью которой значилось похищение криптовалютных активов. И оба раза данные атаки имели для киберзлоумышленников успешный исход. Напомним, что в апреле текущего года брешь в защите сервиса Youbit стоила бирже 4000 похищенных со счетов пользователей биткоинов. Однако тогда Youbit сумела довольно быстро оправиться от потерь.

На этот раз уязвимость в защите Youbit нанесла владельцам биржи невосполнимый ущерб, вынудив их объявить о готовящейся процедуре банкротства сервиса. Пока что представители биржы не уточнили точную сумму похищенного хакерами. Известно лишь, что доля украденного составила 17 % от общего количества активов. 

www.bankruptcylawnetwork.com

Пользователи Youbit, хранившие свои криптомонеты на кошельках сервиса и потерявшие виртуальные деньги в связи с хакерской атакой, могут рассчитывать на компенсацию. По заверению владельцев Youbit, всем пострадавшим от действий киберпреступников биржа выплатит компенсацию в размере 75 % от суммы, актуальной на момент взлома.  

Апрельский инцидент с Youbit навёл на мысль о необходимости укрепить системы безопасности биржи — нанять дополнительный персонал и уменьшить число «горячих кошельков». Однако ни одна из предпринятых мер дополнительной защиты не воспрепятствовала декабрьскому взлому. Вследствие этого Youbit решила свернуть деятельность, объявив себя банкротом.  

«Искреннее жаль сообщать вам печальные новости в очередной раз», — говорится в пресс-релизе Youbit.