.png.7cedf2eda455330fd095b4f4e074044d.png)
Автор
Sapfira
в Баги
-
Похожий контент
-
Автор KL FC Bot
К сожалению, на обман и фишинговые атаки ведутся не только простодушные люди — оказаться в числе жертв сейчас может буквально кто угодно. Злоумышленники годами оттачивают свои тактики, чтобы обеспечить себе успех, и пользуются сложными психологическими манипуляциями, которые зачастую трудно распознать. Такие манипуляции в мире кибербезопасности даже удостоились отдельного термина — социальная инженерия.
В этой статье рассказываем, какие психологические уловки используют злоумышленники, чтобы обманывать своих жертв, на какие «красные флаги» стоит обратить внимание и, наконец, что делать, если вы обнаружили, что вас пытаются обмануть.
На каких эмоциях играют злоумышленники
Социальная инженерия работает именно потому, что бьет по нашим эмоциям. Когда жертва взволнована, напугана или охвачена азартом, она принимает решения быстро и почти не думает о последствиях. Именно это злоумышленникам и нужно.
Поэтому в тот момент, когда вы разговариваете или переписываетесь с кем-то, остановитесь на секунду и спросите себя: что именно я чувствую прямо сейчас? А какие ощущения у меня были мгновение назад? Не пытается ли мой собеседник как-то воспользоваться моим эмоциональным состоянием?
Чаще всего злоумышленники пытаются надавить на следующие эмоции:
страх, тревога; азарт; стыд, вина; удивление, шок.
View the full article
-
Автор KL FC Bot
Наша команда Kaspersky Global Emergency Response Team и сервис MDR за последний год расследовали множество инцидентов в компаниях самого разного профиля. Выявленные в ходе этой работы техники, тактики и инструменты атакующих легли в основу глобального отчета Анатомия ландшафта киберугроз 2026. Мы выбрали три кейса, три реальные истории о том, как злоумышленники атакуют сегодня, а главное, почему им удается проворачивать такие атаки.
Кейс № 1. Одна учетная запись — и все данные зашифрованы
Что произошло
В одной латиноамериканской компании атакующие получили доступ к SMTP-серверу через компрометацию учетной записи локального администратора. Ничего сложного — просто каким-то образом украли пароль, а дальше — классическая эскалация:
Злоумышленники, используя утилиту Mimikatz, сделали дамп хешей паролей, а далее, применяя технику Pass-the-Hash, с помощью утилиты Invoke-TheHash получили привилегии пользователей. Затем они использовали еще один инструмент для повышения привилегий через уязвимый драйвер и распространили шифровальщик на конечные устройства корпоративной сети. Почему это произошло
Большинство компаний до сих пор защищаются, пытаясь отслеживать явные вредоносные действия, а не легитимные действия, производящиеся под легитимными учетными записями. Схема действий злоумышленников хорошо прослеживается по статистике из вышеупомянутого отчета «Анатомия ландшафта киберугроз». Сначала злоумышленники компрометируют учетную запись. Вот статистика по конверсии техник злоумышленников в реальные атаки:
Password guessing — 34,8%. Valid account abuse — 34,5%. Захватив одну учетку, злоумышленник создает себе запасной аэродром внутри скомпрометированной инфраструктуры:
Local account creation — 34,7%. Account manipulation — 32,0%. Далее атакующие начинают сканировать сетевые сервисы.
Network service discovery — 31,2%. Если вы не видите этот трафик или не считаете это инцидентом — вы проигрываете еще до начала активной фазы атаки.
Кейс № 2. Когда сервер мониторинга становится троянским конем
Что произошло
Произошла атака шифровальщика BlackNevas. Как и в предыдущем кейсе, злоумышленники вошли в корпоративную сеть через скомпрометированную учетную запись. Сканируя внутреннюю сеть, атакующие обнаружили сервер PRTG (Paessler Router Traffic Grapher) — решение для мониторинга инфраструктуры. Через него злоумышленники попали в общую сеть, нашли ESXi-серверы и зашифровали виртуальную среду целиком.
Почему это произошло
Были допущены две классические ошибки:
Сервер мониторинга был настроен с избыточными привилегиями, с доступом ко всем активам компании: и физическим, и виртуальным. Была скомпрометирована учетная запись. Кейс № 3. Когда патч выпустили, а вы его не поставили
Что произошло
В этом кейсе атакующие применили не обычный шифровальщик, а вайпер, при атаке которого данные уже не восстановить. Злоумышленники использовали уязвимость в сервере SAP NetWeaver для первоначального доступа. Через нее установили веб-шелл на серверах периметра. Затем применили атаку password spraying для получения доступов более привилегированных пользователей.
Попав в инфраструктуру, через Active Directory и групповые политики злоумышленники распространили в корпоративной сети вредоносное ПО с функциональностью вайпера. Вредоносный объект подгрузили через уязвимости в Microsoft Defender и ПО для работы с электронными книгами. Используемый вайпер полностью зашифровал маленькие файлы с помощью криптостойкого RSA, в файлах среднего размера использовал RSA только для заголовков, для остального применил AES, большие файлы обрезал до 5 Мбайт, остальное занулил. С учетом приведенного алгоритма работы вайпера полное восстановление поврежденных файлов было невозможно.
Почему это произошло
View the full article
-
Автор KL FC Bot
Истории об атаках на цепочку поставок встречаются в новостях с завидной регулярностью. В большинстве случаев они начинаются из-за компрометации злоумышленниками публично доступных пакетов. Из-за этого может создаться впечатление, что главная опасность публичных репозиториев заключается именно в том, что кто-то может украсть учетные данные разработчика и внедрить в создаваемые им инструменты вредоносный код. Однако на самом деле это не единственное, чего стоит опасаться при работе с репозиториями, на которых размещены проекты с открытым исходным кодом. Источником проблем могут оказаться и мисконфигурации ключевых компонентов.
В частности, опасность может скрываться в GitHub Actions, сценариях автоматизации, позволяющих создавать пайплайны непрерывной интеграции и доставки (CI/CD). Ошибки и мисконфигурации в них периодически используются злоумышленниками в реальных атаках. Характерным примером может служить недавняя вредоносная кампания Mini Shai-Hulud. Да, она тоже началась с компрометации мейнтейнера популярного проекта, но распространяемый в ходе этой кампании зловред похищал секреты, именно используя недочет в GitHub Actions.
Наши эксперты из Глобального центра исследования и анализа угроз (Global Research and Analysis Team, GReAT), используя новый набор правил для Kaspersky Container Security, провели исследование безопасности GitHub Actions в 30 тысячах популярных репозиториев GitHub. Если коротко, то только в 10% этих репозиториев пайплайны автоматизации не вызвали никаких вопросов.
Подробные результаты исследования
В общей сложности правила, реализованные в рамках последнего релиза KCS, были использованы для сканирования 130 000 пайплайнов. Они позволили обнаружить более 250 000 потенциальных отклонений от рекомендаций по безопасной настройке CI/CD-процессов. Разумеется, сами по себе эти отклонения нельзя считать уязвимостями, однако они указывают на области, где конфигурация может требовать дополнительной проверки и более аккуратной настройки.
Среди этих 250 тысяч отклонений 59,8% можно отнести к низкому уровню опасности, а 39,8% — к среднему. Но в 0,4% случаев встречались и более серьезные мисконфигурации, которые наши технологии отнесли к высокому уровню риска. Более того, критические недочеты, встреченные в восьми репозиториях, потенциально могут послужить причиной компрометации цепочки поставок. Затронутые репозитории охватывали широкий спектр сценариев использования, включая интеграцию ИИ в корпоративных средах, сервисы для разработчиков и автоматизации, а также инструменты для тестирования безопасности. Разумеется, наши эксперты сообщили о критических проблемах мейнтейнерам соответствующих репозиториев.
View the full article
-
Автор KL FC Bot
Сейчас на рынке ИБ-решений можно найти множество предложений, обещающих обезопасить корпоративную инфраструктуру на разных уровнях. Однако очевидно, что краеугольным камнем стратегии информационной безопасности остаются решения для защиты конечных точек. За последние десятилетия они эволюционировали от обычного условного антивируса до комплексных многофункциональных платформ. Но разные вендоры называют платформами для защиты рабочих мест (Endpoint Protection Platform, EPP) совершенно разные решения с совершенно разным набором возможностей, так что сравнивать их друг с другом становится практически невозможно.
Мы предлагаем при выборе EPP-решения отталкиваться не от возможностей продуктов, а от конкретных нужд вашей компании. Поэтому мы сделали простой чек-лист, призванный помочь вам сформулировать собственные требования и на основании их сделать обоснованный выбор решения класса EPP, которое обеспечит надежную защиту сегодня и будет соответствовать вызовам завтрашнего дня. Отметьте пункты, которым должно соответствовать решение для защиты конкретно вашей инфраструктуры, и вам будет гораздо проще определиться с выбором.
1. Поддержка каких платформ вам нужна?
Чек-лист
Windows macOS Linux Android/iOS Виртуальные инфраструктуры VDI Современные EPP-решения должны обеспечивать комплексную защиту всех типов операционных систем и различных сред развертывания. Современный ИТ-ландшафт обычно представляет собой смесь из разнородных систем, где каждая представляет собой отдельный вектор атаки и требует специфической защиты. Выбор EPP, ограниченного лишь одной основной ОС, создает «слепые зоны» в безопасности организации — вам нужно решение, способное «закрыть» все используемые в компании системы.
View the full article
-
Автор KL FC Bot
Существуют десятки способов добраться до чужого аккаунта в Telegram. Мы не раз писали и про фишинг в Telegram Mini Apps, и про стилеры под видом обхода блокировок, и про мошенников-кадровиков, и про многие другие варианты. Сегодня расскажем про еще один способ угнать аккаунт в мессенджере — с помощью PowerShell-скрипта.
Скрипт с безобидным названием «Обновление телеметрии Windows» оказался инструментом для кражи сессий Telegram. Он умеет собирать данные с беззащитных компьютеров жертв и отправлять их злоумышленникам через Telegram-бот.
Недобрый скрипт со стилером внутри
Злоумышленники часто используют PowerShell-скрипты для скрытой загрузки вредоносных программ или кражи данных. На этот раз исследователи обнаружили на Pastebin скрипт, внутри которого под видом безобидного обновления Windows скрывался стилер, ворующий данные сессий пользователей Telegram для Windows и позволяющий злоумышленникам угнать аккаунт мессенджера без пароля и кодов доступа.
Этот PowerShell-скрипт ворует данные сессий пользователей Telegram для Windows, позволяя злоумышленникам угнать аккаунт без пароля и кодов доступа
В скрипте исследователей сразу же привлекли токен бота Telegram и идентификатор чата в первых строках, а также неоднократное упоминание папки tdata, в которой Telegram для Windows хранит ключи авторизации для аутентификации пользователей на серверах Telegram. Если бот получит доступ к этой папке, злоумышленник сможет войти в чужой Telegram-аккаунт без облачного пароля и подтверждения по SMS. Доступ в таком случае сохраняется до момента, пока жертва не проверит активные сессии в приложении и не аннулирует подозрительные.
View the full article
-
Рекомендуемые сообщения