Перейти к содержанию

Рекомендуемые сообщения

Чем лучше мы будем понимать modus operandi киберпреступников и масштабы их операций, тем эффективнее можно будет организовать борьбу с ними. В случае с шифровальщиками-вымогателями оценить успешность и доход каждой группировки обычно очень непросто. Вендоры защитных решений, такие как мы, обычно знают только об атаках на своих клиентов, а значит, по сути видят только провалившиеся попытки. Жертвы шифровальщиков, у которых защитных продуктов не было, зачастую предпочитают молчать о факте атак (особенно если решают заплатить злоумышленникам).

Получается, что достоверные данные об успешных атаках брать особенно и негде. Однако на прошедшей в конце 2020 года конференции Remote Chaos Communication Congress (RC3) группа исследователей представила достаточно любопытный метод анализа кампаний киберпреступников от начала и до конца — по криптовалютному следу.

Само по себе исследование проводилось в 2016–2017 году аналитиками из Принстонского университета, Нью-Йоркского университета, Калифорнийского университета в Сан-Диего, а также сотрудниками компаний Google и Chainalysis. Но описанный метод может применяться и по сей день, да и собранные ими данные в любом случае позволяют получить представление о доходах киберпреступников.

Метод исследования

Преступники всегда боятся, что их вычислят по оставленному ими денежному следу. Именно поэтому современная киберпреступность предпочитает пользоваться криптовалютой (чаще всего — биткойном). Такая валюта практически не регулируется, обеспечивает анонимность, при этом она доступна кому угодно, а транзакции, сделанные с ее помощью, нельзя отменить.

Однако у биткойна есть и еще одно свойство — все транзакции в этой криптовалюте по определению публичны. То есть при желании это дает возможность отследить финансовые потоки и составить представление о масштабах внутренней кухни злоумышленников. Именно этим и занялись исследователи.

Некоторые злоумышленники генерируют уникальный адрес BTC-кошелька для каждой жертвы, другие же используют несколько заранее созданных. Поэтому для начала исследователи собрали ряд кошельков, на которые нужно было переводить выкуп. Какие-то адреса были найдены в публичных сообщениях о заражении (многие жертвы публиковали скриншоты записки о выкупе в Сети), какие-то были получены путем запуска шифровальщиков на тестовых машинах).

Далее они проследили, что происходит с криптовалютой после того, как она попадает в этот кошелек (в некоторых случаях для этого им пришлось самостоятельно сделать платежи размером в микроскопические доли биткойна). Дело в том, что биткойн поддерживает операцию «совместной проводки» (co-spending), когда средства с нескольких кошельков переводятся на один. Именно так злоумышленники консолидируют выкупы от разных жертв. Но такая операция означает, что тот, кто ее проводит, имеет ключи от нескольких кошельков. Следовательно, отслеживание таких операций позволяет расширить список жертв. А заодно выяснить адрес центрального кошелька, куда эти средства переводятся.

Изучив движение средств по этим кошелькам в течение двухлетнего периода, исследователи смогли составить представление о доходах злоумышленников и методах, которые они используют для отмывания средств.

 

View the full article

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От Elly
      Друзья!
       
      Наш мир цифровых технологий многогранен. Одна из граней этого мира включает в себя противоборство вредоносного и антивирусного программного обеспечения. Немаловажный вклад в эту борьбу вносит антивирусное программное обеспечение "Лаборатории Касперского". Повышение осведомлённости пользователей о новейших угрозах в цифровом мире позволит более эффективно противостоять атакам злоумышленников и поможет быть готовыми к защите своего цифрового мира. Поэтому сегодня мы хотели бы вам предложить поучаствовать в викторине по продукту "Kaspersky Security Pulse"* для Android.
      Формат этой викторины предельно простой. Вам будет задано 8 вопросов. Ответы на вопросы вы можете найти при непосредственной установке и эксплуатации продукта.
       
      НАГРАЖДЕНИЕ
      Для новичков, по традиции, у нас наиболее лояльные условия.
      Для верно ответивших на все вопросы викторины пользователей-новичков, зарегистрировавшихся в 2021 году, полагается 300 баллов.
      Для новичков форума, совершивших одну ошибку — 150 баллов.
      Для верно ответивших на все вопросы викторины остальных участников (с датой регистрации до 2021 года), приз — 150 баллов.

      ПРАВИЛА ПРОВЕДЕНИЯ
      Викторина проводится до 21:00 9 марта 2021 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины**.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @oit (пользователя @Elly включать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю @Elly через систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины. При ответе на вопросы викторины настоятельно рекомендуется не использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса. 
       
      Любые вопросы, связанные с викториной, в том числе и по начислению баллов, принимаются в течение 30 дней с момента подведения её итогов. Викторина является собственностью фан-клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации фан-клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ.
       
      -----
      *страница загрузки приложения - Kaspersky Security Pulse.
      **для оформления заказа и отправки в ваш адрес посылки, необходимо сделать заказ на 2000 баллов. Подробнее здесь.
    • От KL FC Bot
      На экране смартфона всплывает уведомление: «Мы обнаружили необычную попытку входа из Рио-де-Жанейро, Бразилия». Первая реакция — паника, особенно если вы живете, скажем, во Владивостоке. Что это может быть? Сбой в системе? Или кто-то с другого конца света действительно покушается на ваш аккаунт?
      Паниковать в такой ситуации никак нельзя — этим вы только сыграете на руку взломщикам. Чтобы вы могли сохранить спокойствие и пережить этот инцидент с минимальными потерями, вооружим вас знаниями: рассказываем, в чем может быть дело и как действовать.
      Что могло произойти
      Для начала разберемся, как чужак вообще мог получить доступ к вашему аккаунту. Тут есть несколько вариантов.
      Утечка данных и атака методом подстановки
      Могла произойти утечка со стороннего сайта, где вы зарегистрированы. Заполучив список логинов, адресов e-mail и паролей, мошенники используют их для атаки методом подстановки, то есть пробуют вводить украденные учетные данные на множестве сайтов. К сожалению, многие люди задают одинаковые пароли для защиты своих аккаунтов в разных сервисах — на это и рассчитывают преступники.
      Альтернативный вариант — учетные данные Facebook или Instagram могли утечь из того приложения, которому вы их доверили. Например, в июне прошлого года в сеть утекли тысячи паролей от аккаунтов Instagram, владельцы которых использовали сервис Social Captain для накрутки лайков и подписчиков. Оказалось, он не шифровал данные клиентов, и доступ к ним мог получить кто угодно. Разумно предположить, что многие пользователи сервиса с тех пор столкнулись с попытками взлома.
       
      View the full article
    • От KL FC Bot
      О том, что Facebook собирает данные о вас, вы наверняка знаете. Причем информацию для вашего досье компания получает не только с вашей страницы в социальной сети, но и от множества сайтов и приложений, которые на первый взгляд вообще никак с Facebook не связаны. И если решение о том, выкладывать что-то в Facebook или нет, вы принимаете сами, то сторонние сервисы, как правило, даже не говорят вам, кому и какие данные они передают.
      Действия вне Facebook
      Не так давно среди настроек Facebook появился важный инструмент, позволяющий вам просматривать информацию, которую компания получила от третьих лиц, и управлять ей. Называется он «Действия вне Facebook». Чтобы его найти:
      Нажмите на треугольник (в веб-версии) или значок меню (в мобильном приложении) в правом верхнем углу экрана. Выберите Настройки и конфиденциальность. Откройте Настройки. Перейдите в раздел Ваша информация на Facebook. Нажмите Действия вне Facebook. Конечно, просто взять и запретить сбор данных не получится. Но покопавшись в «Действиях вне Facebook», вы сможете узнать, кто и что рассказывает о вас соцсети, и отвязать от своего профиля лишнюю информацию, а это уже немало.
       
      View the full article
    • От KL FC Bot
      В нашем блоге есть тысяча и одна статья про то, как защититься от той или иной заразы. Но бывает и так, что защититься не получается, и зараза просачивается внутрь периметра. Некоторые в этот момент начинают паниковать — а надо, напротив, сохранять трезвый рассудок и действовать максимально быстро и осознанно. Собственно, ваши действия определят, станет ли этот инцидент гигантской проблемой для компании или еще одной успешно решенной задачей. Давайте выясним, что и как делать, на примере заражения шифровальщиком.
      Часть первая: ищем и изолируем
      Итак, зловред проник в вашу сеть, и вы об этом уже знаете. Но он может быть далеко не на одной машине и даже не в одном офисе. Так что первым делом ищите зараженные компьютеры и сегменты сети в инфраструктуре предприятия и изолируйте их от остальной сети, чтобы зловред не зацепил другие.
      Как искать? Если машин мало, то посмотрите в логи антивирусов, в EDR и файрволы. Как вариант — буквально пройдитесь от машины к машине ногами и проверьте, как там дела. Если компьютеров много, то проще и удобнее анализировать события и логи в SIEM-системе. Походить потом все равно придется, но лучше сначала получить общее представление.
      При этом не стоит забывать, что в пылу сражения с шифровальщиком важно не уничтожить улики, иначе потом будет сложно отследить, откуда он взялся, и понять, где искать другие инструменты группировки, которая атаковала ваши компьютеры. В общем, берегите логи и прочие следы зловредов на компьютерах, они вам еще пригодятся.
      После того как вы изолировали зараженные машины от сети, лучше всего снять с них образы дисков и больше не трогать до окончания расследования. Если простой компьютеров невозможен, все равно сделайте образы и сохраните дамп памяти — он тоже может пригодиться в расследовании. Также не забывайте документировать все свои действия: это нужно для того, чтобы максимально прозрачно и честно рассказывать о происходящем как сотрудникам, так и всему миру. Но об этом позже.
       
      View the full article
×
×
  • Создать...