Перейти к содержанию
Записывайся на встречу клуба в офисе - ежегодное мероприятие, которое все очень ждут :)
Информация о почтовом сервисе клуба

Кража почты через OAuth | Блог Касперского

KL FC Bot
 Поделиться

Рекомендуемые сообщения

KL FC Bot

KL FC Bot

Опубликовано
Опубликовано

Когда организацию атакуют для кражи информации, злоумышленникам важно быть незаметными. Как правило, они хотят сохранять свой доступ надолго, поэтому им нужно не вызвать срабатывания средств ИБ, а также сохранить лазейку даже на тот случай, если их обнаружат и в организации начнется реагирование на инцидент или рутинная смена паролей. Вредоносное ПО наподобие инфостилеров и условно легитимные инструменты для удаленного доступа (RMM) нарушают первое условие: при их применении срабатывают средства EDR и появляются подозрительные события в консоли SIEM. Использование краденных паролей противоречит второму условию: как только команда ИБ заподозрит что-то неладное, смена паролей может произойти немедленно, и доступ исчезнет. Если же вместо паролей, например, красть куки из браузера, то возникает другая проблема: многие онлайн-сервисы сейчас сопоставляют характеристики устройства, на котором, по их сведениям, должны быть сохранены куки, и блокируют сессию, если куки используются явно на другом устройстве. Более того, защита куки от похищения, реализованная в этом году в браузерах семейства Chromium (Chrome, Edge, Opera и так далее), усложнила эту задачу.

Решая эту проблему устойчивого доступа, в APT ToddyCat, занимающейся преимущественно шпионажем, изобрели новую технику, которую эксперты «Лаборатории Касперского» при препарировании очередной атаки назвали Shadow Token via Remote Debug (STRD). Эта техника позволяет злоумышленникам надежно подключаться к почтовому ящику и другим ресурсам жертвы в Google Workspace. Причем при небольшой доработке этот подход может позволить атаковать и другие сервисы, дающие сторонним приложениям доступ через авторизацию по протоколу OAuth 2.0.

Общий принцип атаки с использованием STRD

Сначала злоумышленники должны заразить жертву вредоносным ПО. В прошлом для заражения организации APT ToddyCat эксплуатировала известные уязвимости в серверном ПО, а также рассылала зловредные загрузчики через мессенджеры. Конкретный сотрудник, выбранный атакующими в качестве жертвы, может вообще не заметить атаку. Это возможно, например, если злоумышленники сначала получили привилегированные учетные данные администратора организации, а затем с их помощью установили вредоносное ПО на нужные машины дистанционно. Главное: вредоносное ПО должно быть таким, что ни его установка, ни запуск не вызывают немедленного срабатывания средств защиты.

 

View the full article

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • KL FC Bot
      Как защитить себя от слежки через веб-камеру: пять простых шагов | Блог Касперского
      Автор KL FC Bot
      Сегодня объективы смотрят на нас буквально из каждого угла: видеозвонок на двери, веб‑камера ноутбука в кабинете, IP‑видеоняня в детской, Smart TV с камерой и микрофоном в спальне, робот‑пылесос с навигационной камерой, ездящий по всему дому… Даже кошачья кормушка может подглядывать за вами! И каждая из таких камер запросто может превратиться в рабочий инструмент для вымогателей, шантажистов и просто любопытных недоброжелателей.
      За примерами далеко ходить не надо: Южная Корея, конец 2025 года. Взломано не одно устройство, а сразу 120 000 IP‑камер. Полученные интимные видео и записи повседневной жизни людей преступники продавали по подписке в закрытых чатах.
      В этой статье мы разбираемся, откуда именно приходит угроза и какие пять правил сильно снизят ваши шансы стать героем шоу для вуайеристов.
      Реальные случаи слежки
      «Клубничка» из гостиниц по подписке
      Новости о найденных в номерах и арендуемых квартирах мини‑камерах, к сожалению, уже стали рутиной. Формально это отдельная категория устройств — «шпионские» камеры, замаскированные под розетки, датчики дыма или будильники (чуть ниже мы рассказываем, как их обнаружить).
      Преступники не только публикуют видеозаписи со шпионских камер, но даже ведут с них прямые трансляции. Доступ к интимным видео, естественно, не бесплатный. В некоторых регионах злоумышленники создали под шпионские камеры целую инфраструктуру: одни люди устанавливают камеры, другие обрабатывают видео, третьи продают доступ через теневые сайты или мессенджеры. Как правило, о том, что в гостиничном номере оказалась скрытая камера, жертвы узнают случайно, натыкаясь на видео с собой на порносайтах.
       
      View the full article
    • KL FC Bot
      ClickFix на форумах Steam: как вредоносные команды PowerShell устанавливают криптомайнер | Блог Касперского
      Автор KL FC Bot
      В этом году мы наблюдаем настоящий расцвет атак с использованием техники ClickFix. Она стала настолько популярна среди преступников, что только мы успеваем опубликовать пост об очередной ее вариации, как уже пора писать следующий.
      В этот раз злоумышленники используют ClickFix для атак на геймеров: технологические журналисты обнаружили сообщения с вредоносными советами на форумах Steam. Рассказываем, как выглядят подобные сообщения, какое вредоносное ПО распространяют злоумышленники с их помощью и как защитить свое устройство.
      ClickFix добрался до форумов Steam
      Многие геймеры обращаются за помощью и советом к своим собратьям по игровой клавиатуре на форумах Steam. На них расскажут, как пройти сложный квест, правильно прокачать персонажа, получить наиболее привлекательный лут — или обойти баг. Доверием геймеров к советам с этих форумов и решили воспользоваться злоумышленники.
      Начинается атака с ответа преступников на вопрос пользователя, связанный с вылетами игры, пропавшими предметами в инвентаре или другими техническими проблемами. Под видом полезного совета злоумышленники рекомендуют открыть PowerShell от имени администратора и выполнить команду, которая якобы должна устранить проблему.
      Под видом совета по устранению проблемы злоумышленник предлагает запустить PowerShell от имени администратора и выполнить команду, которая якобы должна исправить ошибку. Источник
      Как легко догадаться, исполнение вредоносной команды приводит совсем не к желаемому результату — решению проблемы — а к букету иных неприятностей. В этом и заключается идея техники атаки ClickFix. С помощью методов социальной инженерии преступники убеждают жертву своими руками совершить небезопасные действия и помочь им скомпрометировать ее устройство. Ранее мы уже рассказывали о поддельных CAPTCHA, фальшивых ошибках браузера и других уловках ClickFix — во всех случаях преступники вынуждают жертву самостоятельно запустить вредоносную команду.
       
      View the full article
    • KL FC Bot
      Как отличить книгу, написанную ИИ, от книги эксперта | Блог Касперского
      Автор KL FC Bot
      По данным исследований, проведенных Национальным фондом искусств США (National Endowment for the Arts, или NEA), менее 50% взрослых американцев прочитали хотя бы одну книгу в 2022 году, и только 38% читали роман или рассказ.
      Одновременно американский книжный рынок из года в год ставит все новые рекорды по публикации новых книг: например, в 2025 году их количество перевалило за 4 миллиона, увеличившись на треть по сравнению с 2024 годом. За значительную часть из них — 3,5 миллиона произведений — отвечает самиздат, одним из самых мощных инструментов которого стал сервис Amazon Kindle Direct Publishing (KDP).
      Моя гипотеза по поводу этого несовпадения трендов проще всего формулируется фразой из всем известного советского анекдота: чукча не читатель, чукча — писатель. Иначе говоря, никто больше не читает книги, потому что теперь все увлеченно их пишут. Шутки шутками, но читатель, если таковой, конечно, еще существует, наверняка догадался, что дальше речь пойдет о всемогущем ИИ. Не так давно технологическая журналистка The New York Times с удивлением обнаружила на Amazon собственную биографию, беглое ознакомление с которой показало, что та была сгенерирована ИИ. Погрузившись в дебри ИИ-книгоиздательства, журналистка наткнулась на творчество крайне плодотворного консультанта по кибербезопасности на пенсии. Что было дальше и где искать надежную информацию в эпоху нейросетей, читайте в нашем посте.
      Предыстория: как журналистка погналась за Белым Кроликом и провалилась в кроличью нору
      Начнем с самого начала. Летом 2026 года технологическая журналистка «Нью-Йорк таймс» Кашмир Хилл узнала от своего знакомого о существовании собственной биографии, которая была опубликована на Amazon годом ранее. Она была озаглавлена «Биография Кашмир Хилл: журналистка The New York Times, разоблачившая Clearview AI, бросившая вызов Big Tech и переосмыслившая понятие приватности в цифровую эпоху». Главная героиня была очень удивлена, поскольку никто не связывался ни с ней самой, ни с ее знакомыми, чтобы собрать фактуру для книги.
       
      View the full article
    • KL FC Bot
      Что известно про кражу криптовалюты через рекламу Adform | Блог Касперского
      Автор KL FC Bot
      В течение примерно суток с конца 26 июля до вечера 27 июля крупная рекламная платформа Adform была взломана неизвестными злоумышленниками. И хотя немногие знают это название, но через Adform ежедневно демонстрируется около 1,5 млрд рекламных модулей на десятках тысяч сайтов. Любой посетитель любого сайта, на котором показывают рекламу через Adform, мог быть атакован.
      Атакующие не пытались устанавливать вредоносное ПО. Вместо этого они запускали в браузере скрипт, который каждые три секунды проверял буфер обмена и, если в буфер был скопирован адрес криптокошелька, подменял его на адрес кошелька злоумышленников. Если на одной вкладке браузера был открыт сайт с вредоносной рекламой, а на другой вкладке или в специальном приложении проводились операции с криптовалютой, перевод мог уйти злоумышленникам. Владельцы Adform обнаружили атаку и исправили ситуацию, но нет никакой гарантии, что подобный инцидент не повторится, поэтому каждый пользователь должен защищаться от вредоносной рекламы, пользуясь нашими советами в конце статьи.
      Известные подробности об атаке на Adform
      Информации не так много, поскольку официальное заявление компании описывает только что и когда случилось, но не раскрывает первопричин инцидента. Технические подробности атаки, которая велась на обычных пользователей, есть в независимых исследованиях, но как скомпрометировали саму Adform, из них понять нельзя.
      Понятно, что злоумышленники добавили свой фрагмент кода в сценарий JavaScript, который загружался на каждом сайте, отображающем рекламу с помощью Adform. В момент показа рекламы сценарий подгружался с сервера Adform, выбирал и отображал нужный рекламный модуль — но злоумышленники добавили в сценарий ряд вредоносных функций: мониторинг буфера обмена, отправку на свой сервер данных о сайте, где произошла «встреча», и об IP жертвы, а также подмену адресов блокчейнов Bitcoin, Ethereum и Tron.
      Чтобы это все работало, достаточно было, чтобы на одной из вкладок браузера оставался открытым любой сайт с рекламой, размещенной через Adform. При этом характер сайта, вид рекламы и конкретное название рекламодателя были не важны. Единственным существенным условием было то, работает ли сайт по HTTP или HTTPS. По заверениям Adform, атака не могла сработать, если сайт загружался по HTTPS, поскольку соединение с вредоносным сервером в этом режиме блокировалось.
      Никакой информации о том, скольких пользователей затронула атака и как много сайтов показывают свое содержимое и рекламу по HTTP, компания не предоставила.
       
      View the full article
    • KL FC Bot
      Слепые пятна детектирования: форматы файлов polyglot в рассылках и целевых атаках
      Автор KL FC Bot
      Файлы, созданные по технике polyglot (далее — файлы-полиглоты), зачастили в кибератаках последних лет. Они позволяют атакующим обходить почтовые фильтры и файловые сканеры при доставке вредоносного ПО, обманывать жертву (если атака включает фишинг) и усложнять расследование инцидента. Чтобы добиться этого, злоумышленники искусственно конструируют файл, который система может воспринять как данные разных форматов, в зависимости от того, какое приложение открывает файл. Типичный пример: файл открывается как картинка PNG и как архив ZIP, достаточно сменить ему расширение или просто открыть в нужном приложении вручную.
      Давайте разберемся, почему вообще возможно создать такие файлы, какие комбинации форматов встречались в реальных атаках и как защитить организацию от этой угрозы.
      Почему возможно создать файлы polyglot
      Форматы данных в файлах-полиглотах обычно не экзотические. Все дело в удачной комбинации обычных форматов, совместимых по структуре. Полиглоты эксплуатируют хотя бы одну из особенностей некоторых форматов файлов.
      Большинство форматов файлов нужно декодировать, начиная с первых байтов, но некоторые требуется читать «с конца». Самый яркий пример — архивы ZIP, в которых поврежденный или отсутствующий заголовок совсем не мешает чтению файла, поскольку нужные заголовки находятся в конце. Это позволяет просто «склеить» два файла, в примере выше — PNG и ZIP. Начало читается как корректное изображение PNG, а конец — как корректный ZIP-архив. Многие форматы устроены как «матрешки»: несмотря на специфическое расширение и конкретное применение, сам файл по сути является ZIP-архивом с нужными данными. К этой группе относятся офисные документы последнего поколения (DOCX/XLSX/PPTX), установочные пакеты Android (APK), файлы библиотек Java (JAR) и многие другие. Некоторые форматы не имеют жестких требований к структуре файла, или требования таковы, что приложение, которое обрабатывает файл, может найти нужный фрагмент, даже если он расположен не в начале. Многочисленные примеры возможных комбинаций файлов, из которых можно собрать полиглота, описаны в GitHub-репозитории Polydet. По классификации MITRE эта техника относится к группе маскировки (T1036.008, Masquerade File Type).
       
      View the full article
×
×
  • Создать...