Антивирусная защита *

Разведчики и люди, занимающиеся промышленным шпионажем, с помощью специального оборудования могут с расстояния в несколько сотен метров перехватить информацию с монитора своей цели. А почти в любую плату компьютера, в кулер или в настенные часы можно встроить устройство перехвата. 

Вместе с экспертами АКБ «Барьер» разбираемся, как защитить государственную тайну, коммерческую тайну и конфиденциальную информацию с помощью ЗАРМ, специальных исследований, аттестации объектов и поиска «жучков».

Компания работает в этой отрасли более 15 лет и занимается аттестацией различных объектов – в том числе Счётной палаты РФ, Генпрокуратуры и Министерства юстиции.

Некоторое время назад мы стали знакомить вас с нашими аналитическими исследованиями. Мы уже давно изучаем актуальные киберугрозы в России и мире и регулярно делимся важными для рынка цифрами и фактами, анализируем тренды и даже предсказываем будущее кибербезопасности. С недавних пор мы стали делать подробные исследования по странам Азии и Африки. (Спокойствие! Актуальные угрозы мира никуда не денутся из нашего поля зрения.) И, поверьте аналитику, там есть на что посмотреть: уникальные тренды кибербезопасности, специфика поведения атакующих, техники и тактики атак, особенный портрет жертв. Мы решили рассказывать вам об этом.

Для начала держите подборку самых интересных атак на Ближнем Востоке за последние полтора года. 🧭Идем на Восток!

В мае этого года мы запустили в опытно-промышленную эксплуатацию MaxPatrol O2 — наш автопилот для результативной кибербезопасности. В этом материале расскажем, что подтолкнуло нас к созданию этого метапродукта, как он влияет на метрики SOC и какие вызовы мы ставим перед ним в этом и следующем году.

В 2022 году одна промышленная компания пригласила нас, специалистов PT Expert Security Center, расследовать киберинцидент. В ее скомпрометированной инфраструктуре мы обнаружили образцы не встречавшегося ранее вредоносного ПО. Дальнейший анализ показал, что это сложный модульный бэкдор с хорошо проработанными архитектурой и транспортной системой. В его имени компиляции есть строка «MATA», а еще он может долго и незаметно работать в захваченных системах, поэтому мы дали ему имя MataDoor.

Стоящая за его созданием новая киберпреступная группировка, которую мы назвали Dark River, целенаправленно атакует промышленные предприятия. На данный момент известно всего четыре случая применения MataDoor в атаках, причем все жертвы этого опасного вредоноса связаны с оборонкой. По нашим данным, бэкдор нацелен на шпионаж и хищение секретов российского ОПК.

Подробнее о способах его доставки и устройстве, а также о том, как MataDoor внедряется в инфосистемы и действует, рассказываем в этом посте.

Подход Apple к информационной безопасности приводит к тому, что некоторые пользователи Mac не обращают внимание на то, что происходит с их компьютерами. В этом посте я старался разобраться в основных механизмах защиты macOS от вредоносных программ и выделить их недостатки, но в результате выяснилось, что «проблема» — это сама репутация macOS.

Киберпреступники постоянно совершенствуют методы атак, используя среди прочего знания о принципах работы систем защиты. Например, появилось целое направление техник обхода песочниц: такие методы позволяют определять, что вредоносное ПО выполняется в контролируемой виртуальной среде, и, исходя из этого, менять его поведение или завершать работу. К наиболее популярным техникам из указанной категории можно отнести проверки:

• бита гипервизора в регистре ECX инструкции CPUID(1);

• имени гипервизора в результате выполнения инструкции CPUID(0x40000000);

• имени текущего пользователя или компьютера по списку;

• MAC-адресов сетевых адаптеров, присутствующих в системе;

• количества ядер процессора, общего объема оперативной памяти, размера жесткого диска, разрешения экрана;

• наличия файлов, путей реестра, сервисов, драйверов и процессов, специфичных для виртуальных сред;

• времени, прошедшего с момента последнего запуска системы.

Детальнее о техниках обхода песочниц в таргетированных атаках — в другой нашей статье. А сегодня поговорим о более продвинутых временных атаках, использующих особенности работы гипервизора для детектирования виртуального окружения.

В одной из наших предыдущих статей (советую ознакомиться) мы рассматривали типовые механизмов защиты для операционных систем семейства Windows. В главе AMSI Bypass кратко рассмотрели принцип работы библиотеки и почему обход amsi.dll является одним из самых популярных среди злоумышленников. Сегодня мы погрузимся глубже в библиотеку и то, как она помогает антивирусному средству осуществить анализ подозрительных файлов. Рассмотрим известные реализации обхода и остановимся подробнее на новых методах лета 2023 года в Windows 11. Поехали!

В данной статье будут рассмотрены базовые методы уклонения ВПО от обнаружения методом внедрения в память легитимных процессов, основная изюминка которых заключается в том, что вредонос живет только в оперативной памяти, не оставляя никаких следов на ПЗУ. Эти методы хороши тем, что после перезагрузки рабочей машины ни один специалист по компьютерной криминалистике не скажет, что случилось, потому что все артефакты будут стерты.

В этой статье рассмотрены типовые механизмы современных антивирусных средств, виды нагрузок, используемые злоумышленниками и специалистами в области информационной безопасности, а также методы обхода защиты. Эти знания помогут специалистам по информационной безопасности лучше понять логику атакующих и повысить защищенность своей организации.

В конце прошлого года мы выяснили, что ИИ научился взламывать пароли по тепловым следам на клавиатуре. Шотландские ученые разработали систему ThermoSecure, за секунду с помощью тепловизора угадывающую пароли, которые ввели в банкоматах, компьютере или на смартфоне. Последовательность символов легко угадывается благодаря интенсивности теплового следа. Причем даже после минуты система показывает эффективность 62% (а если после ввода прошло несколько секунд — то 86%).

Если это научились делать ученые, то, без сомнения, подобные технологии есть и у злоумышленников. То есть оставлять без присмотра рабочее место было уже небезопасно (по крайней мере, если вы богатый человек, за паролями которого могут прицельно охотиться). И использование специальных символов или прописных букв тут ничуть не помогает.

Ну а теперь всё это вышло на следующий уровень. ИИ теперь может украсть ваши пароли почти со 100% точностью — и ему для этого не нужно никаких специальных инструментов. Достаточно послушать вас, пока вы сидите в Skype или Discord.

Недавно я хотел скачать с гитхаб файлы со своего первого репозитория ;) и внезапно оказалось, что Yandex brouser ругается, что они заражены вирусом.
 
 Не-не, дело не в гитхабе!

 Скачиваем репозиторий через Download.ZIP

Классифицировать вредоносное ПО возможно по многочисленным схемам, начиная с анализа вредоносной нагрузки и заканчивая способами распространения. Тем не менее, в данном случае меня более интересовала деструктуризация вредоносных ПО и их дальнейшее комбинирование. За счёт этого, был сформирован ещё один вид возможной классификации на основе композиций вредоносов.

Законы Природы применимы для любой предметной области, в том числе и для информационной безопасности. На протяжении длительного времени можно наблюдать эволюцию и совершенствование технологий и инструментов защиты, а также техник, тактик и процедур злоумышленников. В ответ на брошенный киберпреступниками вызов развиваются приемы обороны и отражения атак. Мы наблюдаем непрекращающееся противостояние и взаимное развитие сторон.

Описанный процесс точно повторяет законы биологической эволюции, сформулированные в теории Дарвина: внешняя угроза выводит систему из гомеостаза, заставляя адаптироваться к изменяющимся условиям окружающей среды. Присутствие злоумышленника (хищника, внешней угрозы) задаёт необходимое напряжение для роста и совершенствования системы (появления релевантной мутации). Отказ от изменений в рамках борьбы за существование и естественного отбора приводит к гибели популяции, и на ландшафте остаются только самые приспособленные особи.

Адаптация

Успешная адаптация возможна при условии своевременного получения исчерпывающей информации об изменениях в окружающей среде, а также при наличии возможностей для быстрой трансформации в соответствии с внешней картиной.

В 2014 году вице-президент Gartner Нил Макдональд описал идею адаптивной архитектуры безопасности (Adaptive Security Architecture, ASA), в основе которой лежит концепция скорейшей «акклиматизации» к новым видам атак с помощью циклического повторения четырёх этапов – Prevent, Detect, Respond и Predict.

В этом хабропосте рассказываем, что скрывается за аббревиатурой TI, зачем он нужен, какие данные о киберугрозах собирает Positive Technologies и какую пользу они приносят компаниям в предупреждении киберугроз. На примере четырех сценариев покажем, как компании могут использовать PT Threat Intelligence Feeds для обнаружения вредоносной активности и предотвращения атак.

Всё началось с того, как один мой друг пожаловался, что его телефон каждые несколько секунд выполняет запрос к одному и тому же приложению. Сначала я предположил, что телефон заражён вирусом, но через пару минут стало ясно, что все запросы поступали от приложения Swing VPN, которое было обычным образом установлено в телефон как VPN-сервис. Оно делало запросы к одному веб-сайту, которым мой друг никогда не пользовался, а в полезной нагрузке запроса находились конкретные данные с целью отправки запросов к конечной точке, требующей большого объёма ресурсов этого сайта.

Студенты-первокурсники колледжа вполне обоснованно могут быть раздражены тем, что им не удаётся выбрать популярные факультативные дисциплины. Но обычно они лишь ворчат. Парас Джа стал исключением. Разгневанный тем, что старшекурсникам отдаётся приоритет при выборе курса computer science в Ратгерского университета, Парас решил обвалить веб-сайт регистрации, чтобы записаться не смог никто.

«Ваши ученые так сильно беспокоились о своих талантах, что даже забыли подумать, стоит ли вообще это делать».

Эта цитата принадлежит доктору Иэну Малкольму (математику из «Парка юрского периода» в кожаном пиджаке), однако вполне применима не только к возрождению велоцирапторов, но и к недавнему взрыву популярности инструментов на основе ИИ.

На самом деле, современная ситуация с ИИ может быть даже более угрожающей, чем “Парк юрского периода”. По крайней мере, в фильме возвращение динозавров ограничилось одним островом и управлялось одной корпорацией. В нашей же реальности динозавры вырвались на свободу и с ними может поиграть любой желающий.

Спустя шесть месяцев после публичного релиза ChatGPT появилось множество браузерных расширений на основе ИИ. Их уже сотни — поищите по запросу «AI» в Chrome web store, и вы утомитесь скроллить, ещё не добравшись до конца списка.

Так как я сам новичок в программировании и сидячая многочасовая работа уткнувшись в монитор для меня вообще-то была нетипична, то через совсем короткое время я заметил небольшие изменения в своем здоровье... Появилась мысль, что несмотря на приличный заработок, со временем, придется значительно тратиться на лечение и поддержание своего здоровья. И тогда я задался вопросом: а можно ли организовать свою работу так, чтобы здоровье мое не ухудшалось, а наоборот - улучшалось? Часто, мы все время откладываем "на потом" тему здоровья, поэтому, надеюсь, что моя статья привлечет внимание и поможет вам сохранить его до глубокой старости!

Моя статья будет состоять из двух частей:

Привет, Хабр! Меня зовут Сергей Куценко, я являюсь экспертом направления информационной безопасности в К2Тех. Рынок решений информационной безопасности динамично развивается. В последнее время все больше на слуху концепции EDR (Endpoint Detection and Response) и XDR (Extended Detection and Response), и, несмотря на то, что в интернете достаточно много материалов по данной теме, нет четкого ответа на вопросы: что это такое, зачем это нужно, в чем отличие от SIEM или SOAR?

В этой статье мы попробуем в этом разобраться.