Отдел аналитики и исследования киберугроз BI.ZONE WAF изучил статистику атак на веб‑приложения под защитой BI.ZONE WAF. Эту информацию мы сравнили с результатами анализа теневых ресурсов, за которыми наши специалисты следят с 2011 года. В этой статье расскажем, как развивались методы злоумышленников.
Анализ уязвимости CVE-2024-7965
21 августа браузер Chrome получил обновление, которое исправило 37 ошибок, связанных с безопасностью. Внимание исследователей по всему миру привлекла уязвимость CVE-2024-7965, описанная как некорректная имплементация в V8. На практике это означает возможность RCE (remote code execution) в рендерере браузера, что открывает простор для последующей эксплуатации. Заинтересованность исследователей повысилась еще сильнее, когда 26 августа Google сообщила об использовании CVE-2024-7965 «в дикой природе».
Мы проанализировали эту уязвимость, чтобы вам не пришлось.
Как я Капсулу Нео от VK взломал
Всем привет. Раз уж все исправления давно в проде, а конфа OFFZONE 2024, на которой я хотел выступить (и выступил) с данным докладом, закончилась, пришло время рассказать о найденной мной уязвимости и на Хабре.
Как можно понять из заголовка, речь пойдёт о найденной мной уязвимости в умном девайсе от VK под названием Капсула Нео (далее - Капсула). Бага оказалась критическая, с возможностью исполнять собственный код на колонке по сети (RCE). Собственно, если интересно, как мне удалось её найти, с чем пришлось столкнуться за время проекта, и почему виноваты в итоге не VK - читайте под катом.
Анализ CVE-2024-38063: удаленная эксплуатация ядра Windows
Мы разобрались, как работает ошибка в сетевом стеке Windows, позволяющая удаленно получить максимальные привилегии в системе без каких-либо действий со стороны пользователя. Рассказываем, как локализовали уязвимость, сравнив две версии драйвера, и сформировали сценарий атаки.
И бесплатную проходку на OFFZONE 2024, и работу мечты за день. Чудеса? One Day Offer
Если вы уже давно хотите стать частью команды BI.ZONE, это ваш шанс, потому что на OFFZONE 2024 мы проведем One Day Offer. Запускаем конкурс, три победителя которого получат бесплатные проходки на конференцию. В этом году ищем специалистов по обратной разработке — для них и задания.
Каждый участник OFFZONE 2024 получит шанс пройти интервью и присоединиться к команде BI.ZONE в тот же день. Просто приходите на наш стенд 22–23 августа.
Под капотом DarkGate: разбираем ВПО-мультитул
Исследователи кибербезопасности обнаружили вредоносное ПО, которое сочетает в себе функции загрузчика, стилера и RAT. Рассказываем, как оно было разработано, для чего используется и почему применяется в атаках на российские компании вопреки ограничению от разработчика.
Новая техника скрытого извлечения данных из реестра: анализ и рекомендации по защите
Недавно в сети появился инструмент, который позволяет получить учетные данные из реестра Windows без взаимодействия с файловой системой — непосредственно из памяти. Детектировать такие атаки средствами штатного аудита очень непросто. В статье сравниваем механизм работы новой утилиты со старыми средствами, рассказываем о способе обнаружения ее активности и разных подходах к защите.
Сказ о том, как пентестеры трафик скрывают
Наша команда проводит много red-team-проектов и, как следствие, постоянно имеет дело с различными системами мониторинга сетевого трафика. Вопрос «Как не спалиться?» в такой работе почти так же важен, как проникновение в инфраструктуру. Поэтому сегодня я хочу поговорить о маскировке сетевого трафика между С2-агентом и сервером — посмотрим на нетривиальные и даже забавные способы это сделать.
Mysterious Werewolf атакуют российскую электронную промышленность через уязвимость в WinRAR
Недавно наши коллеги из компании Cyble опубликовали в своем блоге исследование группировки, от которой пострадали несколько российских поставщиков полупроводников. Наше управление киберразведки также следит за этим кластером активности, получившим имя Mysterious Werewolf. Мы обнаружили еще одну их атаку, на этот раз под удар попали промышленные организации в России.
Исследуем саундбар Yamaha YAS-109, часть 2
Приветствую!
В конце первой части статьи по исследованию саундбара Yamaha я упомянул о плачевном состоянии его безопасности. Но вот то, насколько оно плачевное, я тогда представлял не до конца.
«На работу — с радостью!», или Что интересного в московском офисе BI.ZONE
Привет! Обычно в этом блоге делимся экспертными техническими материалами, но сейчас хотим рассказать вам про будни и праздники нашей команды. Мы уже делали обзор хакатона GO.ZONE, а сегодня приоткроем завесу тайны офисной жизни кибербезопасников.
Устроим вам экскурсию по месту, в котором сотрудники BI.ZONE проводят так много рабочего времени, что иногда остаются на ночь.
Хорошо работает тот, кто хорошо отдыхает, поэтому в нашем московском офисе, помимо уже ставших стандартными для IT-компаний слипрумов, душевых, кухонных зон с фруктами и кофемашинами, есть еще несколько интересных фишек и локаций.
Шпионы Sticky Werewolf атакуют государственные организации России и Беларуси
Наши специалисты по киберразведке обнаружили новую группировку, которая применяет условно легитимное ПО, чтобы вмешиваться в работу государственных организаций. Характерная особенность этих злоумышленников — в использовании достаточно популярных инструментов, которые несложно обнаружить и заблокировать. Это не мешает Sticky Werewolf добиваться успеха — группировка активна как минимум с апреля 2023 года и к настоящему моменту провела не менее 30 атак.
Исследуем видеорегистратор Wisenet (Samsung) HRX-1620
Приветствую!
В этот раз я хотел бы рассказать о своём первом проекте в компании BI.ZONE. Дело было давно, девайс (Wisenet HRX-1620
) уже не выпускается и не обслуживается, поэтому за давностью лет можно и поделиться. Заодно это предостережёт вас от использования этого устройства на объектах и поможет защититься.
Исследуем саундбар Yamaha YAS-109
Всем привет!
Краткое предисловие: я счастливый обладатель замечательного саундбара YAS-109 от Yamaha, на момент написания пользуюсь им уже целый год, и всё в целом хорошо. Но однажды я решил узнать: не подслушивает ли меня мой музыкальный друг? Ведь у него есть встроенная поддержка Alexa, а ещё Bluetooth, WiFi, Ethernet и другие прелести… Так и начинается история моего ресёрча.
Пригрели White Snake в письме от Роскомнадзора: стилер прикрывался документом с требованиями
Использовать такое вредоносное ПО может любой злоумышленник, у которого есть 140 $. За эту цену он получит атаку под ключ: билдер для создания экземпляров зловреда, доступ к панели управления скомпрометированными устройствами, а еще обновления и поддержку в мессенджере. Рассказываем о популярном стилере, жертвами которого становятся сотрудники российских компаний.
Импортозамещение для кибератак: новая группировка Quartz Wolf использует старое отечественное ПО
К классическому комбо «фишинг + программа для получения удаленного доступа» злоумышленники решили добавить изюминку: они стали внедрять легитимное отечественное ПО. Атаку с использованием такого метода, направленную на гостиничный бизнес, отследил и отразил сервис BI.ZONE CESP. Рассказываем, как это было и почему пользователи не могли обнаружить инцидент сами.
Волк-шпион, выйди вон! BI.ZONE вышла на новый след группировки Red Wolf
Фишинговые кибершпионы, которых не видели с 2022 года, неожиданно вернулись. Red Wolf проникала в инфраструктуры компаний ради промышленного шпионажа. Она продвигалась медленно и поэтапно, но зато оставалась незамеченной до полугода.
Core Werewolf: легитимное ПО против ОПК и критической инфраструктуры
Группировка Core Werewolf — один из новых представителей той части киберпреступности, которая в сегодняшней обстановке занимается активным шпионажем. Как минимум с 2021 года она предпринимала атаки на российские организации, связанные с оборонно-промышленным комплексом (ОПК) и критической информационной инфраструктурой (КИИ).
Всем по зловреду: анализ open-source-стилера Umbral
Недавно мы обнаружили атаки с новым стилером Umbral. От них уже пострадали российские компании из нескольких отраслей. Особенность вредоноса в том, что его исходники в открытом доступе размещены на GitHub. Мы исследовали код и разобрались, как работает Umbral Stealer, что умеет и за какими данными охотится.
Видишь руткит? А он есть. Разбор атаки от Sneaking Leprechaun
Жадные и ленивые: за эти качества группировка получила название Sneaking Leprechaun. Злоумышленники крали данные с помощью руткита, который не проявлял никакой подозрительной активности. Рассказываем, как Kitsune собирал реквизиты доступа к хостам и распространялся в системе.