Лада Розенкранц Varonis

Varonis November 25, 2019 at 01:51 PM

Обнаружение брутфорс-атак через NTLM с помощью Varonis

• Varonis Systems corporate blog,
• Information Security,
• System administration,
• Server Administration

• Translation

Сегодня мы опишем реальный рабочий процесс, который команда реагирования на инциденты (Incident Response Team) Varonis использует для расследования атак методом подбора паролей (brute force attack, далее – брутфорс-атака) через NTLM. Данные атаки являются довольно распространенными, и наша команда часто с ними сталкивается у заказчиков по всему миру.

Читать дальше →

Varonis November 11, 2019 at 12:53 PM

Рекомендации Microsoft по отключению срока действия паролей: следствия и выводы

• Varonis Systems corporate blog,
• Information Security,
• System administration,
• Server Administration

• Translation

Как вам уже известно, Microsoft поменял своё руководство по политикам срока действия паролей. В мае 2019 года они разместили пост в своем блоге с пояснениями этого решения.
Эксперты в сфере кибербезопасности знают, что среднестатистический человек имеет пароль, который удобно вводить, и поэтому его легко подобрать компьютеру. При этом необходимость его смены раз в несколько месяцев не меняет того факта, что такие пароли легко подобрать. Мощность современных компьютеров позволяет подобрать перебором пароль длиной в 8 цифробуквенных символов за несколько часов. Смена одного или двух символов из этих восьми не сделает задачу сложнее.

С момента выхода рекомендаций Microsoft прошло уже достаточно много времени и самое время сделать выводы, стоит ли совсем избавиться от срока действия паролей? На самом деле не всё так просто.

Читать дальше →

Varonis October 24, 2019 at 05:34 PM

Что такое Zero Trust? Модель безопасности

• Varonis Systems corporate blog,
• Information Security,
• System administration,
• IT Infrastructure

• Translation

Zero Trust («нулевое доверие») – это модель безопасности, разработанная бывшим аналитиком Forrester Джоном Киндервагом в 2010 году. С тех пор модель «нулевого доверия» стала наиболее популярной концепцией в сфере кибербезопасности. Недавние массовые утечки данных только подтверждают необходимость компаниям уделять больше внимания кибербезопасности, и модель Zero Trust может оказаться верным подходом.

Zero Trust обозначает полное отсутствие доверия кому-либо – даже пользователям внутри периметра. Модель подразумевает, что каждый пользователь или устройство должны подтверждать свои данные каждый раз, когда они запрашивают доступ к какому-либо ресурсу внутри или за пределами сети.

Читайте дальше, если хотите узнать больше о концепции безопасности Zero Trust.

Читать дальше →

Varonis October 14, 2019 at 03:09 PM

PowerShell в роли инструмента для пентеста: скрипты и примеры от Varonis

• Varonis Systems corporate blog,
• Information Security,
• System administration,
• PowerShell

• Translation

Хакеры любят использовать PowerShell для запуска «fileless malware» — бестелесных вредоносных программ, которые не являются традиционными бинарными файлами с компилированным вредоносным кодом, и по этой причине подчас не могут быть обнаружены антивирусными решениями.

PowerShell, конечно же, всегда имел вполне нормальное предназначение, никак поначалу вообще не связанное с тестированием на проникновение. Те из вас, кто захочет узнать предысторию появления на свет PowerShell, должны почитать знаменитый Манифест Монады. Написанный одним из первоначальных разработчиков, этот манифест объясняет, зачем Microsoft потребовался новый язык описания сценариев (проще говоря, скриптов), который в конечном итоге и превратился в PowerShell.

Читать дальше →

Varonis September 26, 2019 at 02:46 PM

Рынок UEBA умер — да здравствует UEBA

• Varonis Systems corporate blog,
• Information Security,
• Research and forecasts in IT,
• Reading room

Сегодня мы представим краткий обзор рынка систем поведенческой аналитики пользователей и сущностей (UEBA) на основе последнего исследования Gartner. Рынок UEBA находится в нижней точке «стадии разочарования» по Gartner Hype Cycle for Threat-Facing Technologies, что указывает на зрелость данной технологии. Но парадокс ситуации заключается в одновременном общем росте инвестиций в UEBA-технологии и исчезающим рынком самостоятельных UEBA решений. Gartner прогнозирует, что UEBA станет частью функционала смежных решений в области информационной безопасности. Термин «UEBA», скорее всего, выйдет из обихода и будет заменен на другой акроним, сфокусированный на более узкой области применения (например, «аналитика поведения пользователей»), на схожей области применения (например, «использование данных») или просто превратится в какое-то новое модное слово (например, термин «искусственный интеллект» [ИИ] выглядит интересным, хотя он и не несет никакого смысла для современных производителей UEBA).

Читать дальше →

Varonis September 10, 2019 at 08:32 AM

Varonis обнаружил криптомайнинговый вирус: наше расследование

• Varonis Systems corporate blog,
• Information Security,
• Cryptography,
• Antivirus protection,
• Cryptocurrencies

• Translation

Наше подразделение расследований в области ИБ недавно вело дело о почти полностью зараженной криптомайнинговым вирусом сети в одной из компаний среднего размера. Анализ
собранных образцов вредоносного ПО показал, что была найдена новая модификация
таких вирусов, получившая название Norman, использующая различные способы сокрытия своего присутствия. Кроме того, был обнаружен интерактивный веб-шелл, который может иметь отношение к операторам майнинга.

Читать дальше →

Varonis August 22, 2019 at 09:47 AM

Аналитик информационной безопасности – кто он такой? Погружение в профессию

• Varonis Systems corporate blog,
• Information Security,
• Big Data

• Translation

Сегодня мы сделаем для вас обзор ежедневных обязанностей аналитика информационной безопасности. Его работа – это, по сути, постоянный анализ необработанных данных из
разнородных источников событий (информационной и сетевой) безопасности для поддержания (и желательно) повышения уровня безопасности организации. Это не всегда конкретные практические действия, но, как правило, они включают в себя агрегацию данных из многих возможных источников: журналы событий операционных систем, брандмауэров, маршрутизаторов, антивирусных сканеров и многое другое. Затем ему требуется объединить
или сопоставить их для получения набора данных, который может быть обработан с помощью соответствующих алгоритмов.

Читать дальше →

Varonis August 14, 2019 at 07:34 PM

7 ключевых индикаторов риска Active Directory на панели мониторинга Varonis

• Varonis Systems corporate blog,
• Information Security,
• System administration,
• PowerShell,
• IT Infrastructure

• Translation

Все, что нужно злоумышленнику, – это время и мотивация для проникновения в вашу сеть. Но наша с вами работа состоит в том, чтобы не дать ему этого сделать или, по крайней мере, максимально усложнить эту задачу. Нужно начать с определения слабых мест в Active Directory (далее – AD), которые злоумышленник может использовать для получения доступа и перемещения по сети, оставаясь незамеченным. Сегодня в статье мы рассмотрим индикаторы риска, которые отражают имеющиеся уязвимости в киберзащите вашей организации, на примере панели мониторинга AD Varonis.

Читать дальше →

Varonis August 5, 2019 at 04:52 PM

Приключения неуловимой малвари: многосторонняя оборона (заключительные мысли)

• Varonis Systems corporate blog,
• Information Security,
• JavaScript,
• PowerShell

• Translation

Эта статья является частью серии «Fileless Malware». Все остальные части серии:

• Приключения неуловимой малвари, часть I
• Приключения неуловимой малвари, часть II: скрытные VBA-скрипты
• Приключения неуловимой малвари, часть III: запутанные VBA-скрипты для смеха и прибыли
• Приключения неуловимой малвари, часть IV: DDE и поля документа Word
• Приключения неуловимой малвари, часть V: еще больше DDE и COM-скриплетов
• Приключения неуловимой малвари: многосторонняя оборона (заключительные
  мысли) — мы тут

Думаю, все мы можем согласиться с тем, что у хакеров есть много трюков и методов, чтобы скрытно войти в вашу ИТ-инфраструктуру и остаться там незамеченными, пока они крадут ваши цифровые активы. Ключевой вывод этой серии заключается в том, что обнаружение вредоносных программ на основе сигнатур легко обходится даже несложными подходами, некоторые из которых я представил в этой серии.

Читать дальше →

Varonis July 29, 2019 at 12:35 PM

Приключения неуловимой малвари, часть V: еще больше DDE и COM-скриплетов

• Varonis Systems corporate blog,
• Information Security,
• JavaScript,
• PowerShell

• Translation

Эта статья является частью серии «Fileless Malware». Все остальные части серии:

• Приключения неуловимой малвари, часть I
• Приключения неуловимой малвари, часть II: скрытные VBA-скрипты
• Приключения неуловимой малвари, часть III: запутанные VBA-скрипты для смеха и прибыли
• Приключения неуловимой малвари, часть IV: DDE и поля документа Word
• Приключения неуловимой малвари, часть V: еще больше DDE и COM-скриплетов (мы тут)

В этой серии статей мы изучаем методы атак, которые предполагают минимальные усилия со стороны хакеров. В прошлой статье мы рассмотрели, что можно вставить сам код в полезную нагрузку автоматического поля DDE в Microsoft Word. Открыв такой документ, вложенный в фишинговое письмо, неосторожный пользователь сам позволит злоумышленнику закрепиться на своем компьютере. Однако в конце 2017 года Microsoft закрыла данную лазейку для атак на DDE.
Исправление добавляет запись реестра, которая отключает функции DDE в Word. Если же вам все же нужна данная функциональность, то вы можете вернуть этот параметр, включив старые возможности DDE.

Однако оригинальный патч охватывал только Microsoft Word. Существуют ли эти DDE-уязвимости в других продуктах Microsoft Office, которые также можно было бы использовать в атаках без лишнего кода? Да, конечно. Например, вы также можете найти их в Excel.

Читать дальше →

Varonis July 18, 2019 at 02:17 PM

Приключения неуловимой малвари, часть IV: DDE и поля документа Word

• Varonis Systems corporate blog,
• Information Security,
• Programming,
• PowerShell,
• Visual Basic for Applications

• Translation

Эта статья является частью серии «Fileless Malware». Все остальные части серии:

• Приключения неуловимой малвари, часть I
• Приключения неуловимой малвари, часть II: скрытные VBA-скрипты
• Приключения неуловимой малвари, часть III: запутанные VBA-скрипты для смеха и прибыли
• Приключения неуловимой малвари, часть IV: DDE и поля документа Word (мы тут)

В этой статье я собирался погрузиться в еще более сложный многоэтапный cценарий безфайловой атаки с закреплением в системе. Но тут я наткнулся на невероятно простую атаку без кода — не требуется никаких макросов Word или Excel! И это гораздо более эффективно доказывает мою изначальную гипотезу, лежащую в основе этой серии статей: преодолеть внешний периметр любой организации – совсем несложная задача.

Читать дальше →

Varonis July 10, 2019 at 03:03 PM

Приключения неуловимой малвари, часть III: запутанные VBA-cкрипты для смеха и прибыли

• Varonis Systems corporate blog,
• Information Security,
• System Programming,
• PowerShell,
• Visual Basic for Applications

• Translation

Эта статья является частью серии «Fileless Malware». Все остальные части серии:

• Приключения неуловимой малвари, часть I
• Приключения неуловимой малвари, часть II: Скрытные VBA-скрипты
• Приключения неуловимой малвари, часть III: запутанные VBA-скрипты для смеха и прибыли (мы тут)

В последних двух постах (тут и тут) мы говорили о безфайловых, но при этом довольно безобидных методах атаки. Теперь мы готовы, наконец, взяться за настоящую fileless малварь. Сайт для гибридного анализа (hybrid analysis, далее HA) – это ресурс, на который я полагаюсь, чтобы найти этих вредоносных «тварей». Как правило, информации, которую HA предоставляет для каждого образца: системные вызовы, интернет-трафик и т.д. – достаточно, чтобы удовлетворить типичные запросы ИТ-безопасности. Меня неумолимо тянет погрузиться в один из этих сильно запутанных образцов кода, чтобы увидеть, что же на самом деле там происходит.

Читать дальше →

Varonis June 28, 2019 at 06:58 AM

Приключения неуловимой малвари, часть II: скрытные VBA-скрипты

• Varonis Systems corporate blog,
• Information Security,
• JavaScript,
• PowerShell,
• Visual Basic for Applications

• Translation

Эта статья является частью серии «Fileless Malware». Все остальные части серии:

• Приключения неуловимой малвари, часть I
• Приключения неуловимой малвари, часть II: cкрытные VBA-cкрипты (мы тут)

Я поклонник сайта гибридного анализа (hybrid analysis, далее HA). Это своего рода зоопарк вредоносов, где вы можете спокойно наблюдать за дикими «хищниками» c безопасного расстояния, не подвергаясь нападению. HA запускает вредоносное ПО в безопасных средах, записывает системные вызовы, создаваемые файлы и интернет-трафик, и выводит вам все эти результаты для каждого анализируемого образца. Таким образом, вы можете не тратить свое время и силы, самостоятельно разгадывая запутанный код, а сразу же понять все намерения хакеров.

Читать дальше →

Varonis June 17, 2019 at 04:01 PM

Приключения неуловимой малвари, часть I

• Varonis Systems corporate blog,
• Information Security,
• JavaScript,
• PowerShell

• Translation

Этой статьей мы начинаем серию публикаций о неуловимых малвари. Программы для взлома, не оставляющие следов атаки, известные также как fileless («бестелесные», невидимые, безфайловые), как правило, используют PowerShell на системах Windows, чтобы скрытно выполнять команды для поиска и извлечения ценного контента. Обнаружить хакерскую деятельность без вредоносных файлов — сложно выполнимая задача, т.к. антивирусы и многие другие системы обнаружения работают на основе сигнатурного анализа. Но хорошая новость состоит в том, что такое ПО все же существует. Например, UBA-системы, способные обнаружить вредоносную активность в файловых системах.

Читать дальше →

Varonis May 30, 2019 at 02:33 PM

Использование PowerShell для повышения привилегий локальных учетных записей

• Varonis Systems corporate blog,
• Information Security,
• System administration,
• PowerShell

• Translation

Повышение привилегий — это использование злоумышленником текущих прав учетной записи для получения дополнительного, как правило, более высокого уровня доступа в системе. Несмотря на то что повышение привилегий может быть результатом эксплуатации уязвимостей нулевого дня, или работы первоклассных хакеров, проводящих целенаправленную атаку, или же грамотно замаскированной вредоносной программой, но все же чаще всего это происходит из-за неправильной настройки компьютера или учетной записи. Развивая атаку далее, злоумышленники используют ряд отдельных уязвимостей, что в совокупности может привести к катастрофической утечке данных.

Читать дальше →

Varonis May 15, 2019 at 11:36 AM

Уязвимость Exchange: как обнаружить повышение привилегий до администратора домена

• Varonis Systems corporate blog,
• Information Security,
• PowerShell,
• Software

• Translation

Обнаруженная в этом году уязвимость в Exchange позволяет любому пользователю домена получить права администратора домена и скомпрометировать Active Directory (AD) и другие подключенные хосты. Сегодня мы расскажем, как работает эта атака и как ее обнаружить.

Читать дальше →

Varonis April 30, 2019 at 06:31 PM

Qbot возвращается. Varonis представила подробный анализ банковского трояна Qbot

• Varonis Systems corporate blog,
• Information Security

• From sandbox

Исследовательская группа по безопасности Varonis обнаружила и исследовала
глобальную кибератаку, использующую новый штамм вредоносного программного
обеспечения Qbot. Кампания активно нацелена на американские корпорации, но поразила сети по всему миру — с жертвами по всей Европе, Азии, России и Южной Америке — с целью кражи конфиденциальной финансовой информации, включая учетные данные банковских счетов.

Читать дальше →