ИТ-безопастность

[Orlandoche]

Троян ZeuS распространяют с подлинной подписью приложения

Guests are not allowed to view images in posts, please You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Использование подлинного ключа цифровой подписи позволяет программе обойти защиту Microsoft и других антивирусных решений.

В Сети зафиксирована активность новой версии банковского трояна ZeuS, которая распространяется в приложении для Windows-устройств с подлинной цифровой подписью. Программа содержит руткит, позволяющий злоумышленнику получить доступ к компьютеру жертвы.

Авторам вируса удалось заполучить личный ключ цифровой подписи, который принадлежит стороннему разработчику Microsoft, зарегистрированному в Швейцарии. Они использовали этот ключ для того, чтобы криптографически подписать вредоносное приложение.

Использование подлинного ключа позволяет программе обойти защиту Microsoft и других антивирусных решений.

Как утверждают ИБ-эксперты Comodo, им удалось зафиксировать по крайней мере 200 случаев инфицирования компьютеров. Для этого они использовали телеметрию, полученную от пользователей антивирусного ПО компании.

По их данным, новый вариант троянского вируса находится на web-странице с логотипом Internet Explorer. Но на самом деле, это вредоносное приложение, которое под видом настоящего устанавливает выполняемей файл, пытающийся загрузить на компьютер жертвы руткит. Последний позволяет вирусу работать таким образом, чтобы его не могли обнаружить другие программы, в частности, антивирусные.

You are not allowed to view links. Register or Login

[ADMIN]

Пятилетний мальчик обошел аутентификацию в Xbox.

Microsoft поблагодарила ребенка, выплатила ему компенсацию и предоставила годовую подписку на Xbox Live.

Пятилетний мальчик обнаружил недостаток в сервисе Microsoft - Xbox Live. Кристоффер фон Хассель (Kristoffer Von Hassel) из Сан-Диего нашел способ, как зайти в учетную запись своего отца, не зная пароля.

Мальчик увидел, что после введения неправильного пароля в окне входа в учетную запись появится окно, в котором пользователю предложат ввести пароль еще раз. Затем Кристоффер обнаружил, что если просто нажать пробел в поле для пароля, то система впустит его в учетную запись отца.

Специалисты Microsoft уже исправили брешь, а Кристоффера добавили в список признанных исследователей в области информационной безопасности.

Подробности обнаруженной бреши были направлены в Microsoft отцом Критоффера – Робертом фон Хасселем. В заявлении Microsoft по поводу бреши значится: «Мы прислушиваемся к нашим клиентам и благодарим их за привлечения нашего внимания к подобным вопросам. Мы относимся к безопасности Xbox очень серьезно. Мы исправили проблему как только узнали о ней».

Microsoft поблагодарила ребенка, выплатила ему премию и предоставила четыре бесплатные игры и годовую подписку на Xbox Live.

[alexsf]

ADMIN,

Эх...  Нам бы в пять компьютер. Сколько всего не поспели сделать.....

[ADMIN]

Медведев поздравил россиян с 20-летием рунета.

Премьер-министр России Дмитрий Медведев в своем видеоблоге поздравил всех россиян с 20-летием национального домена .ru.

«Российскому интернету - 20 лет. За это время в нашей стране сложилась целая отрасль, которая активно развивается и имеет большое будущее. Поздравляю всех, кто внес свой вклад в развитие интернета в России!» - сказал премьер-министр.

Медведев назвал 7 апреля «не просто формальной датой». По его словам, «это, по сути, 20-летие нашей информационной революции». Сейчас аудитория рунета составляет 70 миллионов человек, а это половина населения страны. По числу интернет-пользователей Россия - лидер в Европе.

«Особенная гордость - это наши домены. Национальный домен «.ru» занимает шестое место в мире, а совсем молодой домен, который мы недавно придумали и зарегистрировали, «.рф», является самым успешным на национальном языке», - сказал Медведев, который ранее разрешил интернет-пользователям обращаться к нему неформально.

Премьер пообещал провести тотальную интернетизацию России. «Интернет должен быть в каждой удаленной точке страны», - сказал Медведев.

Медведев также заметил, что «огромную часть нашей интернет-жизни занимают социальные сети». «Интернет практически уничтожил расстояние между людьми и сократил время до одного клика. Я сам с удовольствием присутствую в социальных сетях», - напомнил премьер.

Мое мнение губят они российский интернет и по страшному?

[ADMIN]

Symantec: в 2013 году количество направленных атак увеличилось на 91%.

Корпорация Symantec опубликовала ежегодный отчёт об Интернет-угрозах – Internet Security Threat Report (ISTR).

Данные отчёта демонстрируют существенное изменение поведения киберпреступников – теперь они разрабатывают и подготавливают крупнейшие кибератаки несколько месяцев вместо использования мелких, быстрых и малоприбыльных акций. Первые десять месяцев 2013 г. киберпреступники оставались в тени, после чего реализовали сразу несколько серий наиболее разрушительных атак в истории.

«Ущерб от одной мега-утечки может быть сопоставим с потерями от 50 небольших атак. И хотя очевидно, что злоумышленники становятся все более изощрёнными, нас поразило в прошлом году то, насколько терпеливо они выжидали накопления информации, прежде чем нанести удар», – отметил Андрей Зеренков, эксперт по информационной безопасности Symantec.

В 2013 г. рост числа утечек информации составил 62%, что привело к похищению 552 млн. учетных записей. Это наглядно демонстрирует реальную угрозу киберпреступности как для обычных пользователей, так и для бизнеса.

«Если компания успешно справилась с кибератакой, то это повышает её привлекательность в глазах клиентов, однако в случае провала последствия могут оказаться ужасающими – клиенты теряют доверие из-за ненадлежащего обращения с их личными данными и уходят к кому-нибудь другому», – сказал Эд Феррара, вице-президент и старший аналитик компании Forrester Research.

Масштабы утечек информации растут с огромной скоростью, что ставит под угрозу репутацию компаний и доверие клиентов; все большее количество личной информации пользователей – от номеров кредитных карт и медицинских полисов до паролей и учётных записей к банковским счетам – попадает в руки злоумышленников. Каждая из восьми крупнейших утечек в 2013 г. позволила киберпреступникам получить десятки миллионов записей. Для сравнения, в 2012 г. лишь одной крупной утечке удалось преодолеть этот порог.

«Пока остаётся возможность крупно поживиться, киберпреступники будут продолжать подобные атаки. Поэтому компаниям любого размера следует проанализировать и пересмотреть, а может быть даже перестроить стратегию информационной защиты»,− сказал Андрей Зеренков.
Количество направленных атак увеличилось на 91%, а их длительность выросла в среднем в три раза по сравнению с 2012 г. Чаще всего первичными жертвами становились личные помощники, а также работники PR-сферы, которых злоумышленники использовали в качестве промежуточных целей на пути к знаменитостям или высшему руководству компаний.

В 2013 году Россия поднялась с 13-го места на 6-е и вошла в первую десятку стран, с территории которых проводились Интернет-атаки – 2,6% всех угроз исходили из России, что на порядок меньше показателя лидирующих в этом рейтинге Соединённых штатов – 20,33%. Опережая Россию, следом за США идут: Китай (9,39%), Индия (5,11%), Нидерланды (3,52%) и Германия (3,26). Замыкают эту десятку Великобритания, Бразилия, Тайвань и Италия, имеющие очень близкие к России показатели.

Отдельного упоминания заслуживает перемещение России с 16-го на 3-е место в качестве источника рассылки спам-сообщений – 6,6% в общемировом масштабе. При этом 68,2% мирового спама было нацелено на территорию России. Россия также продолжает оставаться в первой десятке стран-источников сетевых и Web-атак, в первом случае спустившись с 3-го места на 5-е, а во втором переместившись с 10-го места на 9-е.

По количеству фишинговых узлов Россия улучшила свои позиции, спустившись с 9-го места на 10-е, по вредоносному коду переместилась с 12-го места на 14-е, а по бот-сетям вообще ушла в третий десяток – с 20-го места на 23-е.

[ADMIN]

ESET: как распознать поддельные приложения?

Эксперты вирусной лаборатории ESET предупреждают о всплеске активности мошенников, распространяющих поддельное ПО под видом Android-приложений, и объясняют, как распознать фальшивку.

На Google Play появился «антивирус» Virus Shield стоимостью 3,99 долл. от разработчика Deviant Art. Приложение предлагало «предотвращение установки вредоносных программ и защиту персональных данных». Всего за неделю Virus Shield стал лидером продаж среди новинок и достиг третьей строки в рейтинге лучших платных приложений, получив 4,7 из 5 баллов и больше 3 000 рекомендаций в Google+.

В действительности Virus Shield не выполнял ни единой функции, кроме смены иконки. Положительные отзывы и высокие оценки оказались подделкой, но их было достаточно, чтобы обеспечить спрос на приложение. Всего за неделю жертвами мошенников стали более 10 000 пользователей, скачавших фальшивый антивирус.

«Насколько мне известно, Google Play не проверяет антивирусные продукты на предмет полезности, этот вид ПО вообще сложно протестировать, – комментирует Арье Горецки, исследователь ESET. – Площадку интересует только вредоносная активность. Virus Shield по понятным причинам таковой не показал, поэтому и появился в магазине приложений».

Virus Shield уже удален с Google Play, но эксперты прогнозируют появление новых фальшивых приложений и вредоносного ПО.

«Поддельные антивирусные программы создают немало проблем пользователям Windows, несколько лет назад мы детектировали и подделки для OS X. Неудивительно, что сегодня, с широким распространением Android, мошенники переориентировались на эту платформу», – объясняет Арье Горецки.

Эксперты вирусной лаборатории ESET подготовили 10 советов, которые помогут распознать поддельные или вредоносные приложения до загрузки:

1. Задумайтесь, если приложение появилось раньше официальной даты релиза. Недавно 100 000 пользователей BlackBerry загрузили под видом мессенджера рекламное ПО.

2. Остерегайтесь бесплатных версий популярных платных приложений. Вместо них вам может «достаться» кейлоггер, крадущий пароли, или другое вредоносное ПО.

3. Изучайте «историю вопроса». Если производитель отказался от выпуска Android-версии программы, не верьте своим глазам, увидев ее на Google Play.

4. Проверьте разработчика – найдите другие его приложения и сайт, рейтинги и отзывы – примерно так вы изучаете продавцов на eBay.

5. Выбирайте приложения на известных площадках: Google Play, Amazon, App Store – они безопаснее, чем тысячи сайтов-однодневок с «бесплатными приложениями», скрывающими вредоносное ПО.

6. Проверяйте, откуда осуществляется загрузка – некоторые приложения перенаправляют пользователей с Google Play на потенциально опасные ресурсы.

7. Обращайте внимание на запрос разрешений. Если экранная заставка, будильник или фоторедактор хочет получить доступ к списку контактов или текстовым сообщениям, откажитесь от установки.

8. Читайте отзывы, поскольку рейтинг не всегда объективен – некоторые приложения требуют их оценить до загрузки.

9. Воспользуйтесь функцией проверки приложений от Google Play – она сообщает пользователю о возможном риске для мобильного устройства.

10. Убедитесь, что ваш планшет или смартфон защищен мобильным антивирусом, вирусные базы которого регулярно обновляются.

[ADMIN]

На сайт You are not allowed to view links. Register or Login совершается DDoS-атака.

Предположительно, ответственность за это несут хакеры из Pump Water Reboot.

На протяжении двух последних дней пользователи активно сообщают о том, что популярный файлообменник You are not allowed to view links. Register or Login является недоступным. При этом несколько дней до этого в Сети не раз появлялись сообщения о том, что сайт работает со значительными перебоями.

Как следует из официального блога ресурса, на файлообменник совершается DDoS-атака, при этом некоторые пользователи утверждают, что сервера сайта попросту сгорели.

Тем не менее, портал Look at Me уверяет, что ответственность за осуществление DDoS-атаки на Rutracker несут хакеры из Pump Water Reboot, которые последние два месяца активно атакуют сайты СМИ. В частности, говорят, что "жертвами" стали ресурсы "Хабрахабр", "Интерфакс" и даже сайт банка "Тинькофф Кредитные Системы".

Судя по всему, причиной осуществления атаки на сайт трекера, как и в случае с остальными инцидентами, служит получение "выкупа". Все же, необходимо учитывать, что какого-то официального подтверждения об осуществлении атаки со стороны Pump Water Reboot (помимо сообщения в Twitter) пока не было.

На текущий момент работа ресурса не восстановлена. Так, некоторые пользователи утверждают о том, что сайт полностью недоступен, в то время, как часть посетителей сайта заявляют о его частичной работоспособности.

[ADMIN]

Symantec обновляет базу вирусов каждые 40-50 минут.

Расцвет киберпреступности привел к тому, что антивирусным компаниям приходится работать в условиях постоянного аврала.

Выступая на одном из совещаний по безопасности, старший менеджер центра оперативного реагирования Symantec Security Response сказал, что они выпускают обновления баз каждые 40-50 минут.

Обновления сигнатур теперь идут по двум каналам. Частые полуофициальные обновления выпускаются для экстренного реагирования на инциденты. Затем они подтверждаются официальными, полностью сертифицированными апдейтами, которые выходят трижды в день.

Орла Кокс (Orla Cox) из Symantec сказал, что компания вынуждена внедрить 40-минутные экстренные апдейты из-за ухудшения ситуации с информационной безопасностью. Сейчас выходит гораздо больше вариантов вредоносного ПО, а злоумышленники чаще проводят таргетированные атаки.

Еще несколько лет назад Symantec выпускала апдейты 1 раз в сутки, потом несколько раз в день, а сейчас счет пошел на минуты. Примерно такая же ситуация у других крупных антивирусных компаний. Им приходится прилагать все больше усилий, чтобы реагировать на новые сигнатуры. К сожалению, более интенсивная разработка повышает риск ложных срабатываний — вплоть до того, что антивирус помещает в карантин какой-нибудь системный файл или самого себя.

[alexsf]

ADMIN,

Это хорошо, хакеры не дремлют, но и Symantec на высоте. Браво! 

[ADMIN]

"Доктор Веб": BackDoor.Dande.2 заразил 400 аптек в России.

Компания «Доктор Веб» уже сообщала о распространении узкоспециализированной троянской программы BackDoor.Dande, предназначенной для хищения информации из приложений, используемых аптеками и фармацевтическими фирмами для закупки медикаментов.

Вирусописатели модифицировали данного троянца, немного изменив его архитектуру. Специалисты компании «Доктор Веб» установили, что эта вредоносная программа инфицировала компьютеры порядка 400 аптек, расположенных преимущественно в южных регионах России. С помощью BackDoor.Dande.2 злоумышленники похищают информацию об объемах заказов и ценах закупаемых этими организациями лекарств.

Напомним, что троянцы семейства BackDoor.Dande заражают компьютеры, работающие под управлением Microsoft Windows. Первая версия этой вредоносной программы была предназначена для хищения информации из нескольких используемых в фармацевтической индустрии «систем электронного заказа», таких как специализированная конфигурация «Аналит: Фармация» для платформы 1С, «Система электронного заказа» СЭЗ-2 производства компании «Аптека-Холдинг», программа формирования заявок компании «Российская Фармация», система электронного заказа фармацевтической группы «Роста», программа «Катрен WinPrice» и некоторых других. Обновленная версия BackDoor.Dande, получившая наименование BackDoor.Dande.2, ориентирована на сбор данных только из приложения «АИАС ИНПРО-ФармРынок» производства компании «Информационные Технологии».

В составе BackDoor.Dande.2 имеется два драйвера — один из них, размером порядка 8 КБ, обычно хранится в файле с именем rpcssprt.sys или isaPnpPrt.sys, его основное предназначение — загрузка в память инфицируемого компьютера другого драйвера, имеющего то же имя, но другое расширение — .cfg. Если драйверу удается открыть файл с полезной нагрузкой, он расшифровывается, распаковывается и загружается в память. Оба файла имеют цифровую подпись, зарегистрированную на имя SPВ Group OOO.

При этом в свойствах драйвера isaPnpPrt.sys указано, что этот файл якобы является драйвером ATAPI производства Microsoft Corporation. В целом складывается впечатление, что данный драйвер был приобретен вирусописателями у сторонних разработчиков в качестве средства для загрузки в память неподписанных драйверов.

Основной драйвер BackDoor.Dande.2 в различных модификациях используется множеством других вредоносных программ – например, Trojan.Spambot, BackDoor.BlackEnergy и BackDoor.Bulknet. В качестве основы для этого компонента был взят руткит Blackreleaver. Драйвер создает в системе новое виртуальное устройство, которое реализует различные сервисы, например, удаление по команде злоумышленников вредоносного драйвера с диска и связанных с ним данных из системного реестра, получение из реестра значения ID троянца, поднятие привилегий для текущего процесса (применяется перед запуском загруженных из сети файлов) и т. д. Необходимые для своей работы параметры вредоносный драйвер сохраняет в системном реестре Windows. Например, если он представлен в виде файла с именем isaPnpPrt, данные будут размещены в ветви реестра HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\isaPnpPrt. Функционал этого драйвера, по сравнению с версиями, использовавшимися в других вредоносных программах, сильно ограничен: фактически, он реализует только одну основную задачу — встраивание полезной нагрузки в процессы explorer.exe и svchost.exe. Часть изначально реализованных в драйвере возможностей до сих пор присутствует в его архитектуре, но никак не используется.

Механизм установки драйверов реализован в модуле pexec.dll — именно он расшифровывает полезную нагрузку из своего тела, сохраняет драйверы на диске, вносит соответствующие изменения в системный реестр Windows и запускает драйвер с использованием функции NtLoadDriver.

Другой модуль, реализованный в виде динамической библиотеки с именем fmauto.dll или fmauto2.dll, — предназначен собственно для хищения информации из системы электронного заказа медикаментов. Этот компонент извлекает из программы-клиента файл со сведениями о закупках лекарств, формирует архив, устанавливает для него пароль и отправляет к себе на сервер. Архив может включать содержимое следующего вида:

info.txt
Аптека-******* г.Ростов-на-Дону.csv
*******-Фарма г.С-Петербург.csv
******-Ростов.csv
***** г.Волгоград.csv
**** г.Краснодар.csv
***** (*****фармация) Ростовский филиал.csv
*** ****** г.Ростов-на-Дону.csv

Файл info.txt обычно содержит сведения об инфицированном компьютере, например:

Client Name: ООО "****-Фарм"
Date: 02.04.2014
OS Version: Windows XP
Client Version: 1.5.160.0
Module Version: 4.3
COMPNAME: ***SRV
Date3: 02.04.2014
PC TIME: 02.04.2014 13:11:20

Каждый из файлов с расширением .CSV, в свою очередь, включает данные о закупках медикаментов и расценках на различные препараты, например:

Date: 02.04.2014
Firm: Аптека-******* г.Ростов-на-Дону
Скидки-наценки: Конечные цены!
Код;Цена;Минимальная цена;Остаток;
27484;204,36;9 месяцев Омегамама капс. 0.7г N30;Отечественные лекарства Польша;166,19;9;
29772;1343,3;Авандамет табл. п.п.о. 2мг/500мг N56;GlaxoSmithKline Traiding Испания;1181,91;5;
21385;310,45;Адвантан мазь 0.1% туба 15г;Bayer Consumer Италия;273,1;347;
26518;59,28;Адрианол капли назальн. фл.-кап. 10мл;Actavis Сербия;52,53;93;
15955;26,59;Азитромицин капс. 250мг N6;Вертекс ЗАО Россия;23,8;3530;
33329;112,41;Азитромицин табл. п.п.о 500 мг N3;Березовский фармацевтический з Россия-Македония;99,3;269;

В составе троянца имеется еще несколько модулей, реализующих различные функции, например, библиотека exist.dll, предназначенная для борьбы с различными неполадками в работе вредоносной программы.

Согласно информации, собранной специалистами компании «Доктор Веб» в процессе анализа BackDoor.Dande.2, за последнее время эта вредоносная программа заразила компьютеры более 400 аптек, большая часть которых расположена в Ростове-на-Дону и Ростовской области. С этих рабочих станций похищается и передается злоумышленникам вся информация о заказах лекарств и актуальных закупочных ценах. Компания «Доктор Веб» рекомендует фармацевтическим компаниям и аптекам проверить используемые ими компьютеры на предмет наличия данной вредоносной программы, а также сообщает, что для пользователей Антивируса Dr.Web BackDoor.Dande.2 угрозы не представляет.