{
    "version": "https:\/\/jsonfeed.org\/version\/1",
    "title": "Блог Start X: заметки с тегом целевые атаки",
    "_rss_description": "как поведение людей влияет на безопасность Наши продукты • Дайджесты • Статьи • Список постов",
    "_rss_language": "ru",
    "_itunes_email": "",
    "_itunes_categories_xml": "",
    "_itunes_image": "",
    "_itunes_explicit": "",
    "home_page_url": "https:\/\/blog.startx.team\/tags\/celevye-ataki\/",
    "feed_url": "https:\/\/blog.startx.team\/tags\/celevye-ataki\/json\/",
    "icon": "https:\/\/blog.startx.team\/user\/userpic@2x.jpg?1687861408",
    "author": {
        "name": "Start X",
        "url": "https:\/\/blog.startx.team\/",
        "avatar": "https:\/\/blog.startx.team\/user\/userpic@2x.jpg?1687861408"
    },
    "items": [
        {
            "id": "28",
            "url": "https:\/\/blog.startx.team\/all\/petya-iiv\/",
            "title": "Массовые атаки #Petya: первичный вектор заражения",
            "content_html": "<p main>\r\n<i>Главной сегодняшней новостью стали массовые атаки вируса-шифровальщика в Украине. Мы опишем по крайней мере один вектор заражения, который стал известен нашим специалистам. <\/i><\/p>\n<p aside style=\"opacity: 1; text-align: center;\">\r\n<img src=\"http:\/\/blog.antiphish.ru\/pictures\/svoldokhin_new.jpg\" width=\"40%\"\/> <br \/>\r\nСергей Волдохин <br \/>\r\n<a href=\"mailto:sv@antiphish.ru\">sv@antiphish.ru<\/a>\r\n<\/p>\n<p>По данным СМИ, <a href=\"https:\/\/vc.ru\/p\/petya-attack\">«сотни» организаций в Украине пострадали от вируса-шифровальщика<\/a>. Во всех пострадавших организациях компьютеры блокировались, а на экране появлялось сообщение с требованием выкупа:<br \/><br \/>\n<img src=\"http:\/\/blog.antiphish.ru\/pictures\/smarket.jpg\" \/><br \/>\n<i><a href=\"https:\/\/habrahabr.ru\/post\/331762\/\">источник<\/a><\/i><\/p>\n<p>К сожалению, антвирусные вендоры, СМИ и специалисты по безопасности до последнего времени не давали ясных описаний, как именно мошенникам удалось так быстро заразить такое большое число крупных организаций.<\/p>\n<p>Но для эффективной защиты от любой кибератаки важно понимать, какой первичный вектор заражения используется.<\/p>\n<p><i>Что объединяет множество организаций в Украине? Как можно заразить множество организаций, компьютеры которых не доступны из интернета? <\/i><\/p>\n<h2>1. Изолированный сервер<\/h2>\n<p>Наши специалисты участвовали в расследовании инцидента, в результате которого на одном из серверов внутри организации появилось как раз такое сообщение о зашифрованных файлах:<\/p>\n<p><img src=\"http:\/\/blog.antiphish.ru\/pictures\/md-screen.png\" \/><\/p>\n<ul>\n<li>Это был служебный сервер, на нем не работали сотрудники и не было сессий администраторов — заражение через флешки или фишинговые письма исключается.<\/li>\n<li>Он не был доступен ни из интернета, ни из большинства других сетей организации — внешнее заражение через 0day в SMB или других публично доступных сервисах операционной системы исключается.<\/li>\n<li>На нем был антивирус, установлены последние обновления и не было никаких программных уязвимостей (сервер буквально за день до инцидента проверялся коммерческим сканером уязвимостей) — заражение через 1day-уявзимости и массовые эксплойты исключается.<\/li>\n<\/ul>\n<p>Первичный вектор заражения оставался неясен.<\/p>\n<h2>2. Сетевые подключения<\/h2>\n<p>Чтобы определить его, пришлось проводить анализ:<\/p>\n<ol start=\"1\">\n<li>Журналов сетевых подключений с межсетевых экранов и маршрутизаторов.<\/li>\n<li>Журналов веб-доступа через прокси (сервер имел доступ в интернет).<\/li>\n<li>Событий безопасности с сервера (все экспортировалось в SIEM).<\/li>\n<\/ol>\n<p>Ничего подозрительного обнаружено не было, кроме подобного HTTP GET-запроса:<\/p>\n<p><img src=\"http:\/\/blog.antiphish.ru\/pictures\/md-url.png\" \/><\/p>\n<p>На зараженной системе была установлена серверная часть <a href=\"http:\/\/www.me-doc.com.ua\/\">программы «М.Е. Doc»<\/a>, которая именно сегодня несколько раз обращалась за обновлениями. Программа была обновлена, и обычный файл по указанному URL весил менее килобайта, а выглядел примерно так:<\/p>\n<p><img src=\"http:\/\/blog.antiphish.ru\/pictures\/last-ver_1.png\" \/><\/p>\n<p>Однако сегодня в ответ на указанный запрос с сервера программы «М.Е. Doc» было загружено более 300 Килобайт.<\/p>\n<p>Как раз после этого сервер перезагрузился и показал сообщение о зашифрованных файлах.<\/p>\n<h2>3. Первичный вектор заражения<\/h2>\n<p>С помощью программы «М.Е. Doc» (My Electronic Document) автоматизируются процессы отчености и документооборота более чем у 400 тысяч пользователей:<\/p>\n<p><img src=\"http:\/\/blog.antiphish.ru\/pictures\/md.jpg\" \/><\/p>\n<p>Сегодня на сайте производителя появилось сообщение о том, что на их сервера <a href=\"http:\/\/www.me-doc.com.ua\/vnimaniyu-polzovateley\">осуществляется вирусная атака<\/a>:<\/p>\n<p><img src=\"http:\/\/blog.antiphish.ru\/pictures\/md-aware.png\" \/><\/p>\n<p>Вероятно, для распространения внутри сети новый шифровальщик может использовать старые уязвимости и техники, аналогичные WannaCry.<\/p>\n<p>Но, если бы атакующие выбирали самый эффективный вектор первичного заражения для множества организаций в Украине, взлом и компрометация механизма обновлений такой популярной программы выглядит почти идеальным вариантом.<\/p>\n<h2>Выводы<\/h2>\n<ol start=\"1\">\n<li>Вирусы могут распространяться через поддельные обновления программ.<\/li>\n<li>На время активной эпидемии #Petya отключите функции автоматических обновлений «М.Е. Doc» и других недоверенных программ сторонних производителей.<\/li>\n<li>Сегментируйте свою сеть, чтобы заражение одного компьютера или сервера не приводило к компрометации всех критичных систем.<\/li>\n<li>Собирайте журналы безопасности и логи сетевых подключений в отдельном, защищенном хранилище. Эти данные очень помогут в расследовании подобных инцидентов.<\/li>\n<\/ol>\n<p>P.S. Лаборатория Касперского <a href=\"https:\/\/securelist.com\/schroedingers-petya\/78870\/\">подтверждает<\/a> компрометацию механизма обновлений программы «М.Е. Doc» как один из первичных векторов заражения:<\/p>\n<p><img src=\"http:\/\/blog.antiphish.ru\/pictures\/lk-md.png\" \/><\/p>\n<div style=\"padding: 1em; background-color: cornsilk; width: 80%; margin-bottom: 1em;\"><p><b>О компании «Антифишинг»<\/b><\/p>\n<p>Мы помогаем обучить сотрудников и контролируем их навыки с помощью учебных фишинговых атак. Используем реалистичные сценарии и учебные примеры мошеннических писем — в том числе те, что применяются для выполнения подобных атак.<\/p>\n<p>Чтобы проверить своих пользователей, заполните <a href=\"http:\/\/www.antiphish.ru\">форму на сайте<\/a> или напишите нам: <a href=\"mailto:ask@antiphish.ru\">ask@antiphish.ru<\/a><\/p>\n<\/div><div style=\"padding: 1em; border: 2px solid #4CAF50; width: 80%; \"><p><b>Оставайтесь в безопасности<\/b><\/p>\n<p><a href=\"http:\/\/eepurl.com\/cEpWoj\">Подпишитесь на рассылку<\/a>, чтобы первыми узнать об актуальных технологиях фишинга и других атаках на человека.<\/p>\n<\/div>",
            "date_published": "2017-06-27T23:03:55+03:00",
            "date_modified": "2020-10-26T16:58:48+03:00",
            "_date_published_rfc2822": "Tue, 27 Jun 2017 23:03:55 +0300",
            "_rss_guid_is_permalink": "false",
            "_rss_guid": "28",
            "_e2_data": {
                "is_favourite": false,
                "links_required": [],
                "og_images": []
            }
        },
        {
            "id": "1",
            "url": "https:\/\/blog.startx.team\/all\/darkhotel\/",
            "title": "Как действуют хакеры",
            "content_html": "<p lead>и что делать, чтобы не стать их жертвой<\/p>\n<p main><i>Вы приезжаете в отель и подключаетесь к местной беспроводной сети. На экране появляется окно с предложением обновить флеш-плеер, вы соглашаетесь. Обновление устанавливается, но компьютер уже не совсем ваш: теперь его контролируют профессиональные хакеры. Они скопируют ваши файлы и почту, сохранят пароли и смогут управлять компьютером так, что вы этого не заметите. <\/i><\/p>\n<p aside style=\"opacity: 1; text-align: left;\">\r\n<!-- <img src=\"\/pictures\/sv2.jpg\" width=\"60%\"\/> <br \/> -->\r\nСергей Волдохин <br \/>\r\n<a href=\"mailto:sv@antiphish.ru\">sv@antiphish.ru<\/a>\r\n<\/p>\n<div style=\"width:760px; font-size:110%; font-family:Helvetica; text-align: center; padding-bottom:1em;\"><p><img src=\"\/pictures\/wtf.jpg\" align=\"middle\" width=\"50%\" \/> <br \/><br \/>\nКак это произошло?<\/p>\n<\/div><p main>В 2014 году Лаборатория Касперского рассказала о проекте Darkhotel — <br \/> серии целевых атак на руководителей компаний и предпринимателей в Японии, Китае, России и других странах. <\/p>\n<p aside>Статья <a href=\"https:\/\/securelist.ru\/analysis\/obzor\/24321\/apt-ataka-darkhotel\/\" class=\"nu\">«<u>APT-атака Darkhotel. История необычного гостеприимства<\/u>»<\/a><\/p>\n<p>Для взлома компьютеров неизвестные хакеры использовали как минимум четыре метода. Мы разберем эти методы и объясним, как не стать жертвой в подобных ситуациях.<\/p>\n<h2>Атаки через провайдера<\/h2>\n<p>Провайдер контролирует все, что вы смотрите в интернете и определяет, какие данные вы получите.<\/p>\n<p>Обычно провайдеры передают то, что вы просили: по ссылке <a href=\"http:\/\/blog.antiphish.ru\">blog.antiphish.ru<\/a> откроется наш блог, а по ссылке <a href=\"http:\/\/www.facebook.com\">www.facebook.com<\/a> — сайт социальной сети. Но провайдер может показать вам все, что захочет: например, рекламный ролик, как при подключении к беспроводной сети московского метро.<\/p>\n<p><b>Как действуют хакеры.<\/b> Хакеры из группы Darkhotel взламывали провайдеров и получали полный доступ к беспроводным сетям крупных отелей и бизнес-центров. Среди тех, кто подключался к этим сетям, они выбирали жертву и показывали ей всплывающее окно с предложением обновить флеш-плеер, гугл хром или другую программу. Вместе с настоящим обновлением запускалась троянская программа, и компьютер оказывался под контролем хакеров.<\/p>\n<p><b>Как защититься.<\/b> Старайтесь не пользоваться публичными сетями: вместо этого подключайтесь через смартфон или интернет-модем. LTE-соединение, тариф без роуминга или местная SIM-карта — и пароль от вайфай можно не спрашивать.<\/p>\n<p>Если работаете через публичную сеть, постарайтесь защитить все данные, которые передаете. Сразу после выхода в интернет подключайтесь к корпоративному VPN: весь трафик будет зашифрован, а провайдер не сможет перенаправить вас на произвольный сайт.<\/p>\n<p main>Если нет VPN, используйте шифрованное соединение на сайтах, с которыми работаете. Для этого набирайте https:\/\/ перед адресом: например, <a href=\"https:\/\/www.antiphish.ru\">https:\/\/www.antiphish.ru<\/a> вместо www.antiphish.ru. Это не защитит от переадресаций, но поможет сохранить личные данные, которые вы вводите на сайте: логины, пароли, номера платежных карт. <\/p>\n<p aside>Чтобы не вводить https вручную, используйте <a href=\"https:\/\/www.eff.org\/Https-everywhere\">специальное расширение браузера<\/a><\/p>\n<div style=\"width:760px; font-size:110%; font-family:Helvetica; text-align: center; padding-bottom:1em;\"><p>Мобильный интернет ? VPN ? HTTPS<\/p>\n<\/div><h2>Фальшивые обновления<\/h2>\n<p>Опытные пользователи знают, как важно вовремя обновлять операционную систему, браузер и другие программы. Можешеники пользуются этим и создают специальные сайты, где под видом обновлений предлагают скачать вирус или троянскую программу:<\/p>\n<div style=\"width:760px; text-align: center; padding-bottom: 1em;\"><p><img src=\"\/pictures\/fake-flash-update.png\" width=\"100%\" \/><br \/><\/p>\n<p style=\"font-family: Georgia; font-style: Italic; text-align: center\">Для просмотра видео сайт требует обновить версию флеш-плеера <br \/>и даже предлагает скачать дистрибутив<\/p>\n<\/div><p>Пользователи, которые знают об этой схеме, уходят с таких сайтов, а если обновление действительно нужно — скачивают дистрибутив с сайта производителя или обновляют программу встроенными средствами. Когда есть доступ в интернет, это легко сделать:<\/p>\n<div style=\"width:760px; text-align: center; padding-bottom: 1em;\"><p><img src=\"\/pictures\/chrome-update.png\" width=\"80%\" \/><br \/><\/p>\n<p style=\"font-family: Georgia; font-style: Italic; text-align: center\">Обновление Гугл Хром встроенными средствами браузера.<\/p>\n<\/div><p><b>Как действуют хакеры.<\/b> В атаках Darkhotel у хакеров был доступ к инфраструктуре провайдера, поэтому предложение установить фальшивое обновление появлялось еще до подключения к интернету. Пойти на сайт производителя или проверить обновление встроенными средствами не получалось. Пользователи, которые соглашались на установку, запускали троянскую программу и сдавали компьютер хакерам.<\/p>\n<p><b>Как защититься.<\/b> Обновляйте программы автоматически, встроенными средствами: через центр обновлений или специальный пункт меню.<\/p>\n<p>Если обновляетесь вручную, не соглашайтесь на обновления из неизвестных источников: скачивайте обновления только с сайта производителя. Дождитесь момента, когда окажетесь в собственной сети, или используйте VPN: без этого вас могут отправить на поддельный сайт.<\/p>\n<div style=\"width:760px; font-size:110%; font-family:Helvetica; text-align: center; padding-bottom:1em;\"><p>Включите автообновления ? скачивайте дистрибутив <br \/>только с сайта производителя<\/p>\n<\/div><h2>Торренты<\/h2>\n<p main>Загрузка вредоносных файлов через торренты может заразить даже ваш смартфон. Этот способ работает и для массового заражения компьютеров.<\/p>\n<p aside>статья <a href=\"http:\/\/journal.tinkoff.ru\/smartphonesecurity\/\" class=\"nu\">«<u>У вас в смартфоне дыра<\/u>»<\/a><\/p>\n<p><b>Как действуют хакеры.<\/b> Группа Darkhotel создавала специальные торрент-файлы с контентом, который мог заинтересовать жертв. Файлы скачивались в архиве, и для открытия предлагалось использовать специальную программу-распаковщик. Программа извлекала файлы, но при этом устанавливала и запускала троянскую программу:<\/p>\n<div style=\"width:760px; text-align: center; padding-bottom: 1em;\"><p><img src=\"\/pictures\/rar_1.png\" \/><br \/><\/p>\n<p style=\"font-family: Georgia; font-style: Italic; text-align: center\">Интересный контент по-азиатски: чтобы посмотреть аниме,<br \/>придется запустить троянскую программу.<\/p>\n<\/div><p><b>Как защититься.<\/b> Не ищите бесплатный контент, или хотя бы делайте это на известных вам сайтах. Проверяйте то, что загрузили: странно видеть в архиве программу, если вы скачивали фильм.<\/p>\n<div style=\"width:760px; font-size:110%; font-family:Helvetica; text-align: center; padding-bottom:1em;\"><p>Не открывайте подозрительные файлы<\/p>\n<\/div><p><h2 id=\"spearphishing\">Целевой фишинг<\/h2><\/p>\n<p>В 2015 году группа Darkhotel изменила тактику. Главным способом заражения стал целевой фишинг — рассылка специальных электронных писем тем, кого хакеры выбирали в качестве жертв.<\/p>\n<p><b>Как действуют хакеры.<\/b> Пользователи получали письмо с вложенным архивом, внутри которого была троянская программа. Хакеры пользовались техникой переименования файлов, в результате которой у файла менялось видимое расширение: вместо .exe или .scr (настоящие расширения) пользователи видели .jpg — поддельное расширение . Открыть файл с картинкой казалось безопасно.<\/p>\n<div style=\"width:760px; text-align: center; padding-bottom: 1em;\"><p><img src=\"\/pictures\/docs.png\" \/><br \/><\/p>\n<p style=\"font-family: Georgia; font-style: Italic; text-align: center\">По расширениям (.doc) и иконкам оба файла похожи на текстовые документы. На самом деле, один из них — программа. <\/p>\n<\/div><p><b>Как защититься.<\/b> Не открывайте вложения, которые пришли от неизвестных отправителей.<\/p>\n<p>Если письмо важное и открыть вложение очень нужно, внимательно смотрите на содержимое. Для этого распакуйте архив в отдельную папку и выберите представление, в котором виден тип каждого файла, или посмотрите свойства файла:<\/p>\n<div style=\"width:760px; text-align: center; padding-bottom: 1em;\"><p><img src=\"\/pictures\/doc-exe.png\" \/><br \/><\/p>\n<p style=\"font-family: Georgia; font-style: Italic; text-align: center\">Программа, похожая на текстовый документ. <\/p>\n<\/div><h2>Выводы<\/h2>\n<ol start=\"1\">\n<li>Старайтесь не пользоваться публичными сетями, а если приходится — <br \/>работайте через VPN.<\/li>\n<li>Заходите на все сайты через HTTPS-соединение.<\/li>\n<li>Включите автоматические обновления всех программ.<\/li>\n<li>Если обновляетесь вручную — скачивайте дистрибутивы только с сайта производителя.<\/li>\n<li>Проверяйте загруженные архивы. Файлы могут быть переименованы: используйте проводник, чтобы увидеть настоящий тип каждого файла.<\/li>\n<li>Не запускайте неизвестные программы, скринсейверы и любые файлы, в которых не уверены.<\/li>\n<\/ol>\n<div style=\"padding: 1em; background-color: cornsilk; width: 80%; margin-bottom: 1em;\"><p><b>О компании «Антифишинг»<\/b><\/p>\n<p>Мы обучаем сотрудников и контролируем их навыки с помощью учебных фишинговых атак. Используем реалистичные сценарии — в том числе те, которые применяет группа Darkhotel.<\/p>\n<p><a href=\"mailto:hello@antiphish.ru?subject=Пилотный проект\">Напишите нам<\/a>, чтобы проверить своих пользователей.<\/p>\n<\/div><p>Источники изображений:<\/p>\n<ul>\n<li><a href=\"https:\/\/blog.malwarebytes.org\/threat-analysis\/2013\/08\/fake-flash-player-update-causes-mayhem-in-your-browser\/\">Fake Flash Player Update Causes Mayhem In Your Browser<\/a><\/li>\n<li><a href=\"https:\/\/business.kaspersky.com\/darkhotel-hackingteam\/4357\/\">Spreading the Disease: Darkhotel gets HackingTeam 0-day, but still stoppable<\/a><\/li>\n<li><a href=\"https:\/\/securelist.com\/files\/2014\/11\/darkhotel_kl_07.11.pdf\">The Darkhotel APT: a story of unusual hospitality<\/a> (pdf)<\/li>\n<li><a href=\"https:\/\/blog.malwarebytes.org\/cybercrime\/2014\/01\/the-rtlo-method\/\">The RTLO method<\/a><\/li>\n<\/ul>\n",
            "date_published": "2016-06-06T01:56:51+03:00",
            "date_modified": "2020-10-26T17:03:57+03:00",
            "_date_published_rfc2822": "Mon, 06 Jun 2016 01:56:51 +0300",
            "_rss_guid_is_permalink": "false",
            "_rss_guid": "1",
            "_e2_data": {
                "is_favourite": true,
                "links_required": [],
                "og_images": []
            }
        }
    ],
    "_e2_version": 3820,
    "_e2_ua_string": "E2 (v3820; Aegea)"
}