На The Standoff работал security operation center (SOC), состоящий из нескольких команд PT Expert Security Center и наблюдавший за всем происходящим. Одной из таких команд был наш отдел обнаружения вредоносного ПО. С помощью песочницы PT Sandbox мы анализировали входной поток файлов на предмет наличия вредоносного кода.

Мы провели анализ событий в песочнице за период с 18 мая 10:00 до 21 мая 14:00. Согласно регламенту проведения противостояния, 18 и 19 мая с 19:00 до 10:00 следующего дня активные действия на полигоне не проводились.

За время проведения кибербитвы в песочницу поступило 67 142 файла на анализ, из которых в 233 случаях было обнаружено вредоносное ПО. Файлы в систему поступали следующим образом:

• из вложений писем с почтовых серверов инфраструктуры города FF;

• из сетевого трафика, перехваченные с помощью PT Network Attack Discovery;

• через ICAP, перехваченные с помощью PT Application Firewall;

• путем загрузки вручную через веб-интерфейс специалистами SOC.

На рисунках представлены распределения всех файлов, поступивших на анализ, по источникам, а также распределение по источникам тех, в которых обнаружен вредоносный код.

Подобнее о работе песочницы в нашем блоге на Хабре https://habr.com/ru/company/pt/blog/562770/

Instagram исправил уязвимость, позволявшую просматривать архивы публикаций и историй закрытых страниц без необходимости на них подписываться. Как пояснил обнаруживший проблему исследователь безопасности Маюр Фартаде (Mayur Fartade), «с помощью Media ID атакующий мог видеть закрытые/архивные публикации, истории, Reels и IGTV, не будучи подписанным на пользователя» 🤷

О приемах OSINT, которые позволяют эффективно добывать приватную и даже секретную информацию, не прибегая к взлому, мы подробно рассказывали на PHDays.

И это не просто скучная лекция. Андрей Масалович продемонстрировал все приемы на реальных примерах 😎

Сайты и сервисы частных объявлений растут который год. А вместе с аудиторией, увеличивается и количество жуликов 💩

С октября 2019 мошенники уже украли 1,4 млрд на таких сайтах, а число группировок злоумышленников превысило 200 (согласно исследованию сервиса мониторинга даркнета DLBI).

Основной способ обмана покупателей на таких площадках — направление фишинговой ссылки через сторонний мессенджер, где нужно сделать платеж за несуществующий товар🤦 Другой вариант выманивания денег направлен на продавцов: им предлагается ввести реквизиты карты якобы для получения средств после продажи. 

За пять месяцев 2021-го объем украденных средств на таких площадках вырос в 3,7 раза к аналогичному периоду прошлого года, до 539 млн рублей. А за весь 2021 год сумма может достичь 2 млрд.

Обязательно посмотрите выступление Дмитрия Андреева на PHDays «Слишком человеческое: социнженерия-2021». В нем подробно разобраны принципы социальной инженерии, сценарии ее применения и способы противодействия этой технике в корпоративной среде. 

👉 Сталкивались с таким? Делитесь в комментариях!

А вот и фотографии с майских PHDays и The Standoff 🤌

Как же круто прошли эти дни 🚀

Ищите себя, делитесь фото.
И не забывайте отмечать нас 😎

#PHDays10 #TheStandoff

Двадцать второй выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru.

Темы нового ролика:

- создатели NFT стали центром крупной фишинговой кампании,
- 80% компаний, заплативших вымогателям, подвергаются повторным кибератакам,
- новый ИИ-инструмент для подделки текста от Facebook невероятен и немного жутковат,
- китайская полиция нейтрализовала более 170 группировок по подозрению в отмывании денег,
- уличные видеокамеры в РФ хотят объединить в единую систему контроля,
- японской корпорации Toshiba удалось передать квантовые биты на 600 километров,
- угроза кибератак на коммунальные системы растет каждую неделю,
- ИИ позволяет создать поддельные документы, обманывающие хакеров,
- квантовые компьютеры смогут взламывать биткойн-кошельки.

Атаки на корпоративную инфраструктуру

В прошлом году злоумышленники взломали ПО Orion компании SolarWinds в США. Хакерам удалось внедрить вирус в обновление, загруженное и использованное тысячами клиентов этой фирмы, среди которых были ведущие правительственные учреждения, а также более 400 крупнейших американских компаний. Расследование показало, что сетевой экран, блокирующий исходящие соединения, мог бы нейтрализовать ВПО 💁

Проблема выявления атак на корпоративную инфраструктуру актуальна для многих компаний. При этом их сложность повышается год от года. Поэтому процессы по выявлению инцидентов в компьютерных сетях также нуждаются в развитии. Один из трендов этого развития - внедрение подхода проактивного поиска угроз (threat hunting). 

✅ Узнать о том, какие опенсорсные проекты используются для выявления современных атак и как можно достичь синергетического эффекта, используя их вместе с коммерческими продуктами можно в выступлении Антона Кутепова

Программы-вымогатели - наиболее популярное вредоносное ПО в 2021 году

Их доля среди прочего ВПО, применяемого в атаках на организации, увеличилась на 7% и составила 63% 🥷

В списке самых атакуемых отраслей оказались медучреждения (17%), госучреждения (16%) и промышленные компании (15%). Основной стратегией злоумышленников стало требование двойного выкупа за дешифровщик и неразглашение украденной информации. 

А вот и топ-5 программ-вымогателей в I квартале 2021 года 👇🏼

• REvil
• Clop
• Conti (Ryuk)
• Babuk Locker
• DoppelPaymer

✅ Как перестать заниматься анализом программ-вымогателей и начать предоставлять своей команде полезные киберразведывательные данные смотрите в презентации Олега Скулкина

Самое небезопасное ПО в первом квартале 2021 года

Первый квартал 2021 года запомнится активной эксплуатацией уязвимостей в программном обеспечении Microsoft Exchange Server (уязвимости ProxyLogon). Слабыми местами ProxyLogon воспользовались злоумышленники, распространяющие шифровальщик Black Kingdom и DearCry, криптомайнер Lemon_Duck, а также APT-группировки.

👀 Microsoft Exchange Server — это желанная цель для многих злоумышленников, ведь в случае эксплуатации уязвимостей или некорректной настройки компонентов атакующий получит доступ к электронным письмам компании, поднять свои привилегии до администратора сети, а также осуществлять фишинговые атаки от лица сотрудников компании. 

✅ О том, как злоумышленники могут закрепиться в системе и методах их обнаружения - в презентации Теймура Хеирхабарова и Антона Медведева

Такие дела. Согласны?

Факты о The Standoff 👇🏼

Если моделируется компания-ретейлер, то у нее обязательно будет ERP-система, где хранится полный список продукции, которая компания реализует. Будет и CRM-система, где собраны данные клиентов магазина, кассовое оборудование и система, передающая данные в ЕГАИС. Если по легенде у ретейлера будет еще и интернет-магазин, мы добавим систему, реализующую личный кабинет пользователя.

✅ Например, для транспортной компании Heavy Ship Logistics у нас предусмотрен бизнес-процесс по продаже авиабилетов. По сценарию The Standoff, команды атакующих могут приложение для покупки билетов взломать и полететь куда угодно бесплатно.  Специально для этого бизнес-процесса мы написали небольшое приложение, эмулирующее процесс продажи.

👨‍💻 А если у вас есть предложения по развитию нашего полигона - оставляйте их в комментариях!

Двадцать третий выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru

Темы нового ролика:

- новые документы проливают свет на использование инструмента GrayKey для взлома iPhone;
- «умный» ковер позволяет наблюдать за людьми без камер;
- Apple преуменьшила опасность критической уязвимости в iCloud;
- SonicWall оставила уязвимость в своих VPN-продуктах частично неисправленной;
- в России прорабатывается программа по вживлению чипов в мозг человека;
- в продуктах Microsoft в 2020 году было обнаружено рекордное количество уязвимостей;
- ИИ стал причиной спада зарплат в США на 50-70% за последние 40 лет;
- хакеры зачастую атакуют оборонные компании через мелких поставщиков;
- механизм защиты от Spectre замедляет работу Linux в 1,6 раза.

Что же с нами стало? 😬

Предлагаем вспомнить громкие инциденты ИБ за последние 10 лет вместе с Владимиром Дащенко 🖤

Во сколько обошлись эти атаки и какие были последствия - все в презентации 👇🏼

Появилась информация про новую атаку на цепочку зависимостей, которая зацепила Microsoft.

Напомним, что эта атака использует недостатки в работе менеджеров пакетов, которые отдают предпочтение загрузке пакета из открытого репозитория перед аналогичной загрузкой частной сборки. Таким образом, если пакет с определенным именем отсутствует в открытом репозитории, то хакер может залить туда поддельный, являющийся на самом деле вредоносом. А тот в свою очередь будет подтянут как вполне легальный.

В феврале этот трюк позволил Алексу Бирсану условно скомпрометировать сети более 35 крупных технологических компаний, включая Microsoft, Apple, PayPal и др.

В этот раз исследователь Рикардо Ирамар дос Сантос изучал опенсорсный пакет SymphonyElectron и наткнулся на зависимость в виде подгружаемого пакета swift-search, который отсутствовал в npmjs .com. Дос Сантос зарегистрировал собственный пакет с тем же именем, который скидывал на его PoC-сервер параметры системы, подтянувшей пакет.

Через несколько часов после публикации исследователь обнаружил, что ̶е̶г̶о̶ ̶в̶ы̶з̶ы̶в̶а̶е̶т̶ ̶Т̶а̶й̶м̶ы̶р̶ ему отвечает игровой сервер Microsoft Halo. Эксперт сообщил данную информацию в Microsoft, а дальше начались обычные ритуальные танцы "я не я, баг а не фича" (сам дос Сантос называет решение сообщить об ошибке в MSRC "ужасной ошибкой").

Сначала они ответили, что это не их дело вообще, а вопрос к поддержке SymphonyElectron. Через час они попросили дос Сантоса воспроизвести компрометацию. А потом затянули стандартную бесконечную бессмысленную переписку, после чего исследователь опубликовал таки информацию об уязвимости в своем блоге.

Остается заметить, что дырку Microsoft таки оперативно прикрыли.

Фишинг против саботирования бизнес-процессов

🐠 Тему фишинга подняли даже во время прямого эфира с президентом. Путин призвал Центробанк активнее бороться с фишинговыми сайтами (социальная инженерия составляет 89% от всех методов атак на частные лица).

Мы много раз писали о социальной инженерии. Сегодня предлагаем взглянуть на неё под другим углом.

Фишинг как метод выявления болевых точек в бизнес-процессах

В компаниях есть сотрудники, которые игнорируют бизнес-корреспонденцию и тем самым тормозят бизнес-процессы. Особенно это актуально для сотрудников на удаленке 🙆

✅ Доклад будет полезен представителям службы ИБ, которые хотят проводить учебные фишинговые атаки, но встречают непонимание со стороны руководства. Докладчик расскажет, как проводить фишинг и находить бизнес-диверсантов.

Илон Маск анонсировал запуск спутникового интернета Starlink во всём мире уже в августе 

Так что скоро глобальный интернет будет повсюду, кроме полюсов (и моей квартиры, видимо), а за год компания планирует охватить 500 тысяч пользователей. Ежемесячная подписка на Starlink стартует от $100 и будет стоить «одинаково во всём мире, без учёта налогов». Плюс тарелка за $500 😬

А для тех, кто хочет запустить свой спутник 🚀 - обратите внимание на презентацию Таной Бозе, где он рассказал про их уязвимости и разобрал виды атак, которые направлены на получение полного доступа к спутнику.

Поставили бы на дачу такую тарелку или дороговато? Пишите в комментариях 👇🏼

🚀Двадцать четвертый выпуск security-новостей с Александром Антиповым, главредом Securitylab.ru.

Темы нового ролика:

⚪️ удаление данных с WD MyBook могли спровоцировать две враждующие между собой группировки,
⚪️ новый метод злоумышленников позволяет обходить системы распознавания лиц и выдавать себя за другого,
⚪️ из-за банковской ошибки мужчина случайно стал миллионером и получил 6 лет колонии,
⚪️ эксперты случайно опубликовали PoC-код для экслуатации RCE-уязвимости в Windows,
⚪️ правоохранители изъяли серверы сервиса двойного шифрования DoubleVPN,
⚪️ REvil вооружились новым шифровальщиком Linux-устройств для атак на виртуальные машины ESXi,
⚪️ новый ИИ GitHub Copilot поможет в написании программного кода,
⚪️ группировка Clop отмыла более $500 млн в криптовалюте, полученных в качестве выкупа,
⚪️ опубликован список более 260 уязвимостей в различном вредоносном ПО.

Как мы делаем The Standoff 👇🏼

В этом году в городе FF банк, который выпустил карточки жителям города, платежное решение для интернет-магазинов, другие элементы финансовой инфраструктуры компании FairMarket - были представлены платежным процессингом на открытом коде IT-компании Osnova 🤘

Красные устроили жесткий краш-тест системе. Но процессинг выдержал все атаки 👹

Нападающим не удалось реализовать два профильных риска – использовать банковские карты для мошеннических операций и нарушить работу процессингового центра. Хотя как минимум четыре команды атакующих путем взлома интернет-магазина, подключенного к процессингу, смогли получить ключи, с помощью которых могли попытаться обойти защиту процессинга.

При этом банковскую систему города не защищала ни одна из команд blue teams, работала только собственная внутренняя система защиты процессинга Osnova.