Group-IB, первая частная компания, специализирующаяся на исследовании высокотехнологичной преступности и защите от кибератак, зафиксировала активность банковского Android-трояна Godfather, атакующего пользователей популярных финансовых сервисов. География его жертв охватывает 16 стран мира, а в список целей насчитывает более 400 различных банков, криптовалютных бирж и электронных кошельков. Эксперты Threat Intelligence выяснили, что Godfather распространялся через официальный магазин Google Play под видом легальных криптоприложений.

Согласно новому исследованию Group-IB жертвами трояна стали пользователи 215 международных банков, 94 криптокошельков и 110 криптопроектов. Наибольшая интенсивность атак была зафиксирована в США, Турции, Испании, Канаде, Франции и Великобритании. При этом Godfather обходит стороной пользователей из России и СНГ: если настройки системы содержат один из языков этих стран, троян прекратит свою работу. Предположительно, разработчиками Godfather являются, русскоязычные злоумышленники.

Group-IB, один из мировых лидеров в сфере кибербезопасности, представила Unified Risk Platform — единую платформу решений и сервисов для защиты от киберрисков, связанных с целевыми атаками, утечками данных, мошенничеством, фишингом, нелегальным использованием бренда. Новая адаптивная платформа Group-IB создает индивидуальные профили угроз под конкретную компанию с учетом ее отрасли и региональной принадлежности, актуализируя в режиме реального времени релевантные для нее протоколы защиты.

Следуя своей миссии — борьбе с киберпреступностью — Group-IB вывела на рынок уникальную, не имеющую аналогов платформу Unified Risk Platform, впервые объединившую возможности защиты внутренней инфраструктуры компании, ее внешнего периметра, ее интеллектуальной собственности (бренда), а также защиту предоставляемых ею сервисов от мошенничества, направленного на ее клиентов. Все это обеспечивает Unified Risk Platform, единственная в своем роде разработка, которая позволяет многократно увеличить уровень информационной безопасности бизнеса и защитить его от максимально широкого спектра киберугроз.

Unified Risk Platform агрегирует и обрабатывает широкий диапазон данных киберразведки (Threat Intelligence) благодаря которым полностью автоматизировано формируется постоянно изменяющийся глобальный ландшафт киберугроз по всему миру, включающий вредоносную активность финансово мотивированных хакеров, прогосударственных атакующих (APT), хактивистов, мошенников и других киберпреступников.

Уникальная библиотека данных Threat Intelligence на протяжении последних 11 лет создавалась командами аналитиков Group-IB с использованием запатентованных технологий, в числе которых: инновационные алгоритмы машинного обучения, системы поведенческого анализа, сканеры даркнета, а также инструменты обнаружения вредоносной активности на основе нейронных сетей.

Кибершпионская APT-группа Sticky Werewolf, вероятно, попыталась атаковать белорусские компании, рассылая под видом программы для очистки и оптимизации компьютера CCleaner6.20 троян удаленного доступа Ozone RAT. Напомним, что в конце января в России перестали работать антивирус Avast и программа очистки CCleaner — по этой причине старые чешские программы стали опять на слуху, чем решили, видимо, воспользоваться атакующие.

Компания F.A.С.С.T., российский разработчик технологий для борьбы с киберпреступлениями, объявляет о создании круглосуточного Центра кибербезопасности — ЦК F.A.С.С.T.(Cyber Defence Center). Целью новой структуры является непрерывное реагирование в режиме 24/7 на сложные кибератаки и проактивное обнаружения угроз на фоне растущего количества инцидентов информационной безопасности у российских компаний — банков, операторов связи и IT-корпораций, ритейла, промышленных предприятий и объектов ТЭК. 

Эксперты F.A.C.C.T. Threat Intelligence проанализировали новые атаки русскоговорящей хак-группы в Юго-Восточной Азии и Австралии

В октябре 2023 года команда F.A.C.C.T. Threat Intelligence обнаружила файлы, которые использовала шпионская группа RedCurl для атак на потенциальные цели в Австралии, Сингапуре и Гонконге. Речь о компаниях, работающих в сфере строительства, логистики, авиаперевозок, горнодобывающей промышленности.

Группа компаний (ГК) «Гарда» заявила об обновлении сервиса данных о киберугрозах «Гарда TI» (Threat Intelligence). Этот сервис содержит данные о хакерских группировках, методах и тактиках атак, новые типы индикаторов вредоносной активности и связи между ними. В новой версии «Гарда TI» повышено удобство интерфейса, обновились данные аналитики о хакерских группировках, методах и тактиках атак, предоставляющие пользователям полную информацию об индикаторах компрометации для повышения эффективности противодействия угрозам.

Раз в два-три года в «информационно-безопасном» мире появляется панацея от всех бед, которая защитит и от киберпреступников, и от киберактивистов, от промышленного шпионажа и APT-атак. Все установленные ИБ-системы объявляются морально устаревшими и никуда не годными, их предлагается срочно заменить. Естественно, не бесплатно. За чудо-лекарством выстраиваются очереди, лицензий на всех не хватает. А потом продавец просыпается.

Очень похожая ситуация сейчас складывается с Threat Intelligence. Это очень модно, драйвово, молодёжно, но провайдеры, пользователи и покупатели зачастую понимают под TI совсем разные вещи.

Давайте попробуем разобраться, что же это за загадочный зверь, откуда он так внезапно «выскочил», зачем нужна и кому интересна такая разведка, и можно ли заниматься разведкой за бокалом любимого пива.

Представьте, что Вы пришли на работу, включаете компьютер и видите, что сайт Вашей компании не работает, груз застрял на таможне и не может дойти до склада. И даже на заставке компьютера незнакомая кем-то поставленная смешная картинка. К Вам приходит бухгалтер и сообщает, что со счетов выведены все средства, и Ваши персональные данные радуют своим наличием весь интернет. Вы берете чашку кофе и подходите к окну, а через дорогу соседнее предприятие уже выпускает Вашу когда-то уникальную продукцию. Вот и Ваша красавица жена упорхнула с более удачливым конкурентом. На этом моменте приходит понимание – Вас взломали.

А ведь Вас предупреждали – надо было ставить  TI. Но сначала давайте разберемся, как он работает и защищает.

Введение

Proactive search for complex threats seems to be a useful technology but inaccessible for many organizations. Is it really so? What do companies need to do to start Threat Hunting? What tools are needed for threat hunting? What trends in this area can be seen on the market in the coming years? These are some of the questions I would like to answer in my article today.

What is Threat Hunting?

Threat Hunting is a search for threats in a proactive mode when the information security specialist is sure that the network is compromised. He should understand how his network operates in order to be able to identify various attacks by examining the existing anomalies.

Threat Hunting is a search for threats that have already bypassed automated detection systems. Moreover, most often, you do not have signals or alerts that allow you to detect an intrusion.

From the SOC perspective, Threat Hunting is an extension of the service that allows you to counter any level of intruders, including those who use previously unknown tools and methods.

Threat Hunting can be based on some data obtained by a security specialist, or it can be based on a hypothesis. If after testing the hypothesis, the test gives a positive result, then later, it can be used to improve the processes and mechanisms of detecting threats. And also, Threat Hunting allows you to find blind spots in the security system and expand the monitoring area.

What organizations need Threat Hunting?

Proactive threat hunting is relevant to those organizations that can become the target of a complex, targeted APT attack. At the same time, given the trend towards supply chain attacks, a small company may also become a target for motivated attackers.

В нашей лабе мы тестируем по 50-60 новых решений по ИБ в год. Я работаю в команде, которая помогает компаниям создавать свои SOC, а специализируюсь, в частности, на киберразведке (Threat Intelligence). Поэтому Anomali Altitude досталась на тест именно мне. Из отчета для коллег родился этот пост. Результаты тестирования, архитектура решения, возможности интеграции — всё это под катом.

Наши специалисты по киберразведке обнаружили новую группировку, которая применяет условно легитимное ПО, чтобы вмешиваться в работу государственных организаций. Характерная особенность этих злоумышленников — в использовании достаточно популярных инструментов, которые несложно обнаружить и заблокировать. Это не мешает Sticky Werewolf добиваться успеха — группировка активна как минимум с апреля 2023 года и к настоящему моменту провела не менее 30 атак.