RDP — один из самых популярных протоколов для удаленного подключения к машинам Windows. Но при неправильной конфигурации он может стать ахиллесовой пятой любой инфраструктуры.

В конце мая мы обнаружили кампанию распространения ВПО класса Remote Access Trojan (RAT) — программ, которые позволяют злоумышленникам удаленно управлять зараженной системой.

Рассматриваемая нами группировка отличилась тем, что она не выбрала для заражения какое-то определенное семейство RAT. В атаках в рамках кампании были замечены сразу несколько троянов (все в широком доступе). Этой чертой группировка напомнила нам о крысином короле — мифическом животном, которое состоит из грызунов с переплетенными хвостами.


Оригинал взят из монографии К. Н. Россикова «Мыши и мышевидные грызуны, наиболее важные в хозяйственном отношении» (1908 г.)

В честь этого существа мы назвали рассматриваемую нами группировку RATKing. В этом посте мы расскажем подробно о том, как злоумышленники проводили атаку, какие инструменты они использовали, а также поделимся своими соображениями относительно атрибуции этой кампании.

Автор: Анастасия Позняк (@Poznyak_Metatsya)

Дисклеймер

Этот рассказ не о путешествиях по Неваде под Red Hot Chili Peppers — Californication, не о гигантских казино Лас-Вегаса или вечеринках в небоскребе Mandalay Bay. Это история о том, как мы стали частью DEF CON CTF — самых старинных и крупных соревнований по кибербезопасности, которые проходят каждый год в Лас-Вегасе. Но обо всем по порядку.

Привет, Хабр! Мы живем в интересное время: дипфейки, торговые войны, политические игрища, Грета Тунберг, и если вам этого казалось мало, то получите-распишитесь за новинку — коронавирусную инфекцию COVID-19.

Распространение коронавируса повлияло и на нашу конференцию по практической кибербезопасности OFFZONE 2020. Ее пришлось перенести до лучших времен.

К сожалению, это значит, что текстолитовый бейдж, который мы разрабатывали с декабря, в текущем виде не состоится. Данная статья — своеобразная эпитафия его концепции. Под катом рассказываем, как мы боролись за эргономику, добывали компоненты при закрытых границах, расчехляли магию DIY против дефицита и какие обстоятельства оказались сильнее нас.

Несмотря на перенос конференции OFFZONE 2020, финалу соревнований CTFZone быть! В этом году он впервые пройдет в онлайн-режиме и будет активно транслироваться в социальных сетях.

О подробностях мы объявим позже, а пока предлагаем изучить райтап веб-таска с отборочного этапа. Разбор решения нам прислал Devand MacLean из Канады. Специально для «Хабра» мы перевели текст райтапа и приглашаем узнать, с какой цепочкой уязвимостей столкнулись участники и при чем здесь курица.

Silence — группировка, которая специализируется на краже средств у клиентов банков и атаках на банковские системы. В отличие от других группировок (RTM, Carbanak, Buhtrap) Silence наиболее избирательно подходит к выбору жертвы, а также имеет богатый арсенал инструментов, который использует в зависимости от ситуации и жертвы. 6 февраля мы зафиксировали интересную рассылку вредоносного ПО (ВПО), нацеленную на клиентов банков. В результате анализа цепочки заражения нами была получена и проанализирована новая версия загрузчика Silence.

До третьей международной конференции по практической кибербезопасности OFFZONE 2020 остался всего 71 день. У организаторов кипит работа, но и участникам есть чем себя занять в ожидании. В сегодняшнем посте мы расскажем о фишке, которая позволит посетителям OFFZONE обеспечить себе бейдж участника с уникальными дизайном и конфигурацией.

При подготовке конференции мы уделяем самое пристальное внимание концепции бейджа. В прошлом году мы сделали его в виде интерактивной печатной платы в форме дискеты 3,5 дюйма. Плату можно было тюнинговать: участники напаивали на нее дисплей, ИК-приемник и другие интересные штуки прямо на мероприятии. Подробнее об этом мы писали в посте.

30 ноября — 1 декабря прошел квалификационный этап турнира CTFZone, на который зарегистрировались 1043 команды со всего мира. По нашим данным, задачи решали даже в Зимбабве (26 уникальных IP). Если копать глубже, это была университетская сборная из города Булавайо.

В этом году CTFZone стал отборочным этапом DEF CON CTF, поэтому команда, которая победит в финале (он состоится на OFFZONE 16–17 апреля 2020 года), поедет на турнир в Лас-Вегас. Чтобы счастливчики точно успели оформить визы, даты конференции даже передвинули на более ранний срок.

DEF CON CTF — это самые старые и авторитетные соревнования для безопасников, куда хотят попасть многие команды. Пальмовую ветвь победителям не дают, но и без нее все складывается хорошо. Сейчас в мире всего 6 турниров, через которые можно отобраться на DEF CON CTF.

Недавно BI.ZONE приняла участие в конференции HighLoad++. Понятное дело, что мы приехали туда не просто поглазеть на чужие стенды, а привезли кое-что интересное. Сотрудники из разных отделов компании приготовили для гостей конференции задачи, за решение которых мы предлагали призы. Одна из задач по Golang была посвящена распознаванию звука. Мы попросили ее автора рассказать о ней.

Постановка задачи

В нашей задаче требуется проиндексировать некоторое количество треков и научиться искать в базе оригинал композиции по ее сэмплу. При этом образец вполне может быть зашумлен, записан на плохой микрофон, у него может быть другая частота. За участника уже написана большая часть кода, ему нужно только реализовать функцию fingerprint, которая снимает с трека отпечаток.

Привет, Хабр! В прошлый раз мы рассказали, каким вышел бейдж международной конференции по кибербезопасности OFFZONE 2019 и с чем его есть. Сегодня мы поделимся закулисными историями: как пришли к его созданию и чего нам стоило изобрести и произвести серию из 2000 устройств. Хронология событий, подводные камни разработки, закупки, монтажа и прочих радостей из мира электроники под катом. Поехали!

С чего начинается конференция? Конечно, с бейджа! Это первое, что ты получаешь на входе, целый день (или несколько) вы с ним неразлучны, а потом он висит над твоим столом, напоминая окружающим о твоей космической крутизне и профессионализме.

Поэтому бейдж для международной конференции по практической безопасности OFFZONE мы стараемся сделать запоминающимся. Бейдж-карты OFFZONE 2018 были полноценными компьютерами на базе 8-битного процессора с JVM на борту. А на OFFZONE 2019 (17–18 июня) роль бейджа участника играла интерактивная печатная плата, выполненная, в согласии с общим стилем конференции, в виде дискеты 3,5 дюйма. Олды тут?!

Группировка киберпреступников RTM похищает деньги у банковских клиентов с 2015 г. Большинство ее жертв — российские компании. Вредоносное ПО, которое используют злоумышленники, в ИБ-сообществе так же принято называть RTM.

Об этой программе написано довольно много технических отчетов, которые подробно описывают общий механизм работы ВПО. В этой статье мы сосредоточимся на методах получения адресов управляющих (C&C) серверов RTM. В каждой итерации программы злоумышленники изобретательно подходят к этой задаче: они распространяют адрес через блоги, используют систему альтернативных DNS-серверов и сеть Tor. На днях же мы обнаружили, что RTM стала скрывать IP в транзакциях на биткойн-кошелек.

17–18 июня в Москве состоится OFFZONE 2019 — международная конференция по кибербезопасности, где свои разработки и практические исследования представят крутые специалисты из 8 стран. %Username%, предлагаем тебе убить сразу много зайцев — посетить мероприятие бесплатно, получить заряд от решения интересных задач и побороться за оффер от BI.ZONE прямо на нашем стенде.

В рамках Global Cyber Week 17–18 июня 2019 года в Москве пройдет вторая международная конференция по практической кибербезопасности OFFZONE. Мы раскрываем завесу тайны и рассказываем об одном из ключевых спикеров OFFZONE 2019 – известном исследователе в области кибербезопасности – Александре Матросове (matrosov).

Когда: 17–18 июня 2019
Где: Цифровое деловое пространство (Москва, Покровка, 47)
CFP: offzone.moscow/ru/2019-call-for-papers/(до 23:59 28 апреля 2019)
Купить билет: offzone.moscow/ru/2019-tickets/



17–18 июня 2019 года в Москве пройдет вторая международная конференция по практической кибербезопасности OFFZONE 2019. На площадке ЦДП (Цифровое деловое пространство на Покровке) соберутся эксперты, исследователи, участники профессионального сообщества и все неравнодушные к миру практической кибербезопасности.

Сегодня мы расскажем вам о новом подходе к рассылке ВПО группировкой Buhtrap.

Модуль загрузчика

19 декабря нам стало известно о вредоносной рассылке, содержащей исполняемый файл (md5: faf833a1456e1bb85117d95c23892368). Файл принимал различные названия: «Сверка за декабрь.exe», «Док-ты среда.exe», «Документы 19.12.exe», «Закрывающие документы среда.exe».

Из интересного — файл написан на .Net, что не характерно для этой преступной группировки. Для декомпиляции .Net можно взять любое ПО: Reflector, dotPeek, dnSpy, ILSpy. В статье мы расскажем об особенностях реализации данного файла и о том, как мы его анализировали.

Когда: 15-16 ноября 2018 года
Где: Digital October (Москва, Берсеневская набережная, 6, стр. 3)
Официальный сайт: www.offzone.moscow
CFP: offzone.moscow/cfp (до 5 октября 2018 года)
Купить билет: offzone.moscow/ru/tickets



Международная конференция OFFZONE 2018 впервые пройдёт 15-16 ноября в Москве и объединит на своей площадке профессионалов, признанных экспертов и исследователей в области практической кибербезопасности.

Никаких пиджаков, никакого бизнеса — только hardcore research. В этом главный тезис конференции OFFZONE 2018. Она о знаниях, полученных на собственном опыте. Об исследованиях увлеченных людей. О труде, который позволил добиться серьезных результатов и, конечно, огромной любви к своему делу.

Штаб конференции будет располагаться в одном из исторических центров Москвы — на территории пространства Digital October (ранее фабрика «Красный Октябрь»). На протяжении двух дней тематика постапокалипсиса и культовой игры Fallout будет сопровождать каждого, кому удастся попасть в штаб конференции.

Участники – новые герои пространства OFFZONE, которые смогут не только получить уникальные опыт и знания специалистов-практиков, но и проверить свои навыки в деле. Но обо всем по порядку.

Введение

В то время как ИБ-сообщество России внимательно наблюдает за новыми атаками известных преступных групп Carbanak, Buhtrap и RTM, в стане финансовых угроз незаметно произошло пополнение. И вызвано оно не появлением совершенно нового банковского трояна, а добавлением банковского модуля к ранее известному шпионскому ПО Dimnie.

Dimnie — троян для сбора информации (снимков экрана, клавиатурных нажатий и т.д.) и получения удаленного доступа к зараженным системам. Совсем недавно, в январе, нам попался один из его новых модулей для подмены платежей 1С, и тогда стало понятно, что авторы Dimnie кражей информации ограничиваться не хотят.

Известность Dimnie приобрел еще в начале 2017 года, когда атаковал пользователей сервиса GitHub (более подробно об этом писали коллеги из Palo Alto Networks). Но согласно данным Virus Total, троян этот далеко не новый: злоумышленники вовсю используют его аж с середины 2014 года, — именно тогда впервые засекли образцы исполняемых файлов Dimnie.