Автор
KL FC Bot
в Новости и события из мира информационной безопасности
-
Похожий контент
-
Автор KL FC Bot
С начала лета системы «Лаборатории Касперского» фиксируют увеличение детектов трояна для удаленного доступа Remcos. Вероятная причина тому — волна рассылок вредоносных писем, в которых злоумышленники пытаются убедить сотрудников различных компаний перейти по ссылке для загрузки зловреда.
Вредоносные письма
Сама по себе уловка, которой пытаются воспользоваться злоумышленники, не нова. Они пишут от имени нового клиента, который хочет приобрести товары или услуги и пытается уточнить какую-то информацию: наличие или цену товаров по списку, соответствие их каким-то критериям и так далее. Главное, что для уточнения информации получатель должен перейти по ссылке и прочитать список этих самых критериев или требований. Для убедительности в письме часто спрашивают, как быстро получится организовать поставку, интересуются условиями международной доставки. Разумеется, по ссылке переходить не следует — она ведет не на список, а на вредоносный скрипт.
Интересно место, выбранное злоумышленниками для хранения своего вредоносного скрипта. Ссылки имеют адрес вида https://cdn.discordapp.com/attachments/. Дело в том, что Discord — это вполне легитимная платформа, позволяющая обмениваться мгновенными сообщениями, совершать аудио- и видео-звонки, а главное пересылать различные файлы. Пользователь Discord может кликнуть на любой файл, пересланный через это приложение, и получить ссылку, по которой он будет доступен внешнему пользователю (это нужно чтобы, например, быстро поделиться файлом в другом мессенджере). Именно эти ссылки и выглядят как https://cdn.discordapp.com/attachments/ плюс некий набор цифр, идентифицирующий конкретный файл.
Discord активно используют различные игровые сообщества, но иногда он применяется и компаниями для общения внутри различных команд и отделов или даже для связи с клиентами. Поэтому часто фильтры, отслеживающие вредоносный контент в письмах, не считают ссылки на файлы, хранящиеся на серверах Discord, подозрительными. По факту же, если получатель письма решит перейти по такой ссылке, то он, по сути, скачает вредоносный JavaScript с названием, имитирующим документ с информацией. Когда жертва попробует открыть этот файл, вредоносный скрипт запустит powershell, который, в свою очередь, загрузит Remcos RAT на устройство пользователя.
Посмотреть статью полностью
-
Автор KL FC Bot
Пользователь хотел защитить свои пароли, но собственными руками запустил злоумышленников в организацию. К такому неожиданному выводу привело недавнее расследование атаки шифровальщика-вымогателя. Инцидент начался с того, что один из сотрудников скачал популярный менеджер паролей KeePass. Важное «но»: он зашел на сайт-фальшивку. Исходный код KeePass открыт, поэтому злоумышленники без проблем скопировали его, внесли изменения и добавили вредоносные функции. Затем они повторно скомпилировали программу и распространили ее через поддельные сайты, которые продвигали через легитимные системы онлайн-рекламы.
Компрометация менеджера паролей — серьезная угроза и для обычных пользователей, и для организаций. Как заметить ее и как защититься?
Что делал фальшивый KeePass
Вредоносная кампания длилась как минимум 8 месяцев начиная с середины 2024 года. Злоумышленники создавали поддельные сайты, имитирующие официальный сайт KeePass, и использовали вредоносные рекламные объявления (malvertising), чтобы перенаправлять пользователей, ищущих KeePass, на домены с многообещающими именами вроде keeppaswrd, keebass и KeePass-download.
Если жертва скачивала KeePass с фальшивого сайта, то менеджер паролей исправно выполнял основную функцию, но также сохранял все пароли из открытой базы данных в незашифрованный текстовый файл, а еще устанавливал в системе «маячок» Cobalt Strike — инструмента, используемого как для оценки защищенности организаций, так и для реальных кибератак.
С помощью Cobalt Strike атакующие смогли не только украсть экспортированные пароли, но и использовать их для захвата дополнительных систем и в конечном счете зашифровать серверы ESXi в организации.
Поискав следы этой атаки в Интернете, исследователи обнаружили пять разных троянизированных модификаций KeePass. Некоторые из них были устроены более просто — сразу выгружали украденные пароли на сервер атакующих.
View the full article
-
Автор KL FC Bot
Злоумышленники используют истекшие и удаленные ссылки-приглашения Discord для распространения вредоносных программ: AsyncRAT — для удаленного управления зараженным компьютером и Skuld Stealer — для кражи данных криптокошельков. Для этого преступники эксплуатируют уязвимость в механизме создания ссылок-приглашений Discord, которая позволяет незаметно перенаправлять пользователей с доверенных источников на вредоносные серверы.
В ходе атаки они используют технику ClickFix, многоступенчатые загрузчики и отложенное выполнение, чтобы обойти защиту и незаметно доставить вредоносное ПО. В этом посте расскажем подробно, как именно злоумышленники эксплуатируют механизм создания ссылок-приглашений, что такое ClickFix, почему преступники используют эту технику и, самое главное, — как не стать жертвой данной схемы.
Как работают ссылки-приглашения в Discord
Для начала нам придется разобраться в том, как работают ссылки-приглашения Discord и чем они различаются между собой. Это необходимо для того, чтобы понять, каким образом злоумышленники научились эксплуатировать механизм их создания.
Ссылки-приглашения в Discord — это специальные URL, с помощью которых пользователи могут присоединяться к серверам. Их создают администраторы, чтобы упростить доступ к сообществу без необходимости добавлять участников вручную. Ссылки-приглашения в Discord имеют два альтернативных формата:
https://discord.gg/{код_приглашения} https://discord.com/invite/{код_приглашения} Уже сам факт того, что формат не единственный, а в одном из вариантов используется «мемный» домен, — говорит о том, что это не самое удачное решение с точки зрения безопасности, поскольку приучает пользователей к путанице. Но это еще не все. Помимо этого, у ссылок-приглашений есть еще и три типа, которые заметно отличаются друг от друга по своим свойствам:
временные ссылки-приглашения; постоянные ссылки-приглашения; персональные ссылки-приглашения (vanityURLs).
View the full article
-
Автор KL FC Bot
До недавнего времени злоумышленники в основном интересовались криптокошельками исключительно домашних пользователей. Однако, по всей видимости, бизнес все чаще стал использовать криптовалюту — теперь злоумышленники пытаются добраться и до кошельков организаций. За примерами далеко ходить не надо. Недавно исследованный коллегами зловред Efimer, рассылаемый организациям, умеет подменять адреса криптокошельков в буфере обмена. В России организации не имеют права рассчитываться криптовалютой, но, тем не менее, некоторые используют ее в качестве инвестиций. Поэтому функциональность, связанная с криптокошельками, появилась даже в зловредах, используемых в атаках исключительно на российские организации. Вредоносное ПО семейства Pure, например, не только подменяет адреса в буфере, но также охотится и за учетными данными программных криптокошельков. Поэтому мы не очень удивились, когда увидели и криптовалютный фишинг, направленный не только на домашних, но и на корпоративных пользователей. Чему мы удивились, так это легенде и, в целом, качеству этого фишинга.
Фишинговая схема
Сама по себе схема нацелена на пользователей аппаратных криптокошельков Ledger: Nano X и Nano S Plus. Злоумышленники рассылают фишинговое письмо, в котором многословно извиняются за допущенный промах — якобы из-за технического недочета сегменты приватного ключа от криптокошелька были переданы на сервер Ledger. И он в общем-то был очень хорошо защищен и зашифрован, но вот команда обнаружила очень сложную утечку, в ходе которой атакующие эксфильтрировали фрагменты ключей и при помощи крайне продвинутых методов расшифровали их и реконструировали часть ключей, что привело к краже криптоактивов. И чтобы через эту уязвимость не взломали еще и ваш криптокошелек, авторы письма рекомендуют немедленно обновить микропрошивку устройства.
Фишинговое предупреждение о необходимости обновления микропрошивки
View the full article
-
Автор KL FC Bot
Вредоносные точки доступа Wi-Fi, перехватывающие информацию подключенных к ним пользователей, снова в моде. Сама угроза существует уже давно, мы о ней подробно рассказывали, но в последнее время инциденты с поддельными точками доступа вышли на новую высоту. Наиболее интересный случай произошел в Австралии, где авиапассажира арестовали за то, что он создавал «злобных двойников» (evil twin) точек доступа Wi-Fi как в аэропорту, так и на борту самолета прямо во время авиаперелета.
В последние годы у авиапассажиров появилась весомая причина включать Wi-Fi в самолете: авиакомпании все чаще предлагают просматривать развлекательный контент не на экране в спинке переднего кресла, а на вашем собственном устройстве, подключенном к локальному медиапорталу на борту самолета по Wi-Fi.
Как это работает? После взлета вы включаете Wi-Fi на телефоне, компьютере или планшете, подключаетесь к точке доступа, открываете браузер и оказываетесь на фирменном медиапортале авиакомпании. Теперь можно выбирать фильмы, музыку, игры и другой контент на время перелета. Иногда через тот же портал авиакомпании предлагают и доступ в Интернет, обычно за дополнительную плату.
Развлечения через Wi-Fi экономят авиакомпании деньги на установку и обслуживание медиаэкранов, но требуют большей внимательности от пассажиров, которые даже не предполагают, что их могут обмануть прямо во время полета. В описанном выше случае злоумышленник проносил на борт в ручной клади ноутбук и мобильную точку доступа Wi-Fi с тем же именем сети, что и у официального хот-спота авиакомпании.
Когда ничего не подозревающие попутчики подключались к этой точке доступа — просто потому, что ее сигнал был сильнее, — им демонстрировалась фальшивая страница аутентификации, на которой нужно было ввести логин и пароль от e-mail или соцсетей, якобы для входа в онлайн-службы авиакомпании. Полиция предполагает, что преступник собирался использовать эти данные для дальнейшего взлома переписки и других аккаунтов жертв.
Коварство этой атаки в том, что жертва, подключившаяся, по ее мнению, к легитимной Wi-Fi-сети авиакомпании, на борту имеет крайне ограниченный выбор — ввести требуемые данные или полностью отказаться от развлечений, ведь в полете недоступны ни сотовые сети, ни другие точки доступа Wi-Fi. Поэтому шансы на успех атаки гораздо выше.
Как пользоваться Wi-Fi в самолете безопасно
Все наши традиционные советы по использованию бесплатного Wi-Fi можно свести к двум простым призывам: старайтесь использовать сотовый доступ 4G/5G вместо публичных хот-спотов Wi-Fi, а если это невозможно — защищайте соединение при помощи надежного VPN. Но в самолете так не получится: мобильной сети нет, для подключения к порталу авиакомпании VPN придется отключить, и, даже если вы оплатили доступ в Интернет на борту, весьма вероятно, что VPN будет работать нестабильно или вообще не подключится.
View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти