Как стать автором
Обновить

Портабельная система анализа вредоносности на основе Buster Sandbox Analyzer — Sandboxie

Информационная безопасность *

Вероятно, читатели знакомы с программами Buster Sandbox Analyzer и Sandboxie. Суть их — запуск подозрительного файла в песочнице с отслеживанием изменений, вносимых в систему (при этом с реальную систему ничего не вносится). Кто совсем ничего не слышал — можете покинуть эту тему, Вам будет неинтересно. Или сходите сюда и просветитесь: bsa.isoftware.nl

О настройке системы было много сказано и на Хабре, в журнале «Хакер», и на ряде форумов. Основная проблема была в начальной настройке — как установить, что изменить, что прописать.

Поэтому я напрягся немного, попутно напряг ещё нескольких добрых людей — и сделал портабельную версию этого комплекса. Постоянно обновляемая ссылка на него находится здесь: tools.safezone.cc/gjf/Sandboxie-portable.zip

Честно признаться, разбирать как пользоваться Buster Sandbox Analyzer, что и как определять вредоносным в этой ветке я не буду. Обсуждаться будет исключительно портабельная сборка. По ней — всё просто.
Читать дальше →
Всего голосов 10: ↑7 и ↓3 +4
Просмотры 9.3K
Комментарии 28

0day Wednesday – исследование новейшего вредоноса

Информационная безопасность *
Из песочницы
Кто-то может назвать это безумие. Для меня это просто среда.

Она досталась мне вчера, и я разобрался с ней сегодня. Она пришла в нагрузку к java эксплойту от старого 2012 CVE (SecurityManager, я полагаю). Я называю её 0day[1], потому что её нету в базах VirusTotal / Malwr ни в каком виде — ни запакованном, ни распакованном.

Попытка анализа в IDA[2] завершается ошибкой:
image

Похоже, что тот засранец, который это делал, скорее всего знал, что некто вроде меня попытается провести анализ.
Читать дальше →
Всего голосов 149: ↑135 и ↓14 +121
Просмотры 68K
Комментарии 31

Анализ подозрительных PDF файлов

Блог компании Pentestit Информационная безопасность *
Несколько месяцев назад я столкнулся с интересной задачей по анализу подозрительного pdf файла. К слову сказать, обычно я занимаюсь анализом защищенности веб приложений и не только веб, и не являюсь большим экспертом в направлении malware analysis, но случай представился довольно любопытный.

Практически все инструменты представленные в данной статье содержаться в дистрибутиве Remnux, созданном специально в целях reverse engineering malware. Вы можете сами загрузить себе образ виртуальной машины для VirtualBox или Vmware.
Читать дальше →
Всего голосов 38: ↑35 и ↓3 +32
Просмотры 20K
Комментарии 4

Анализ Simplelocker-a — вируса-вымогателя для Android

Блог компании Pentestit Информационная безопасность *Реверс-инжиниринг *


Добрый день уважаемые хабрачитатели, сегодня специалисты нашей компании хотели бы представить вашему взору разбор одного попавшегося не так давно нам на глаза Android вируса, если можно его так назвать, SimpleLocker. Для того, чтобы узнать о нём побольше, мы проделали немалую работу, которою в общем можно разбить на 3 шага:

Шаг 1. Анализ манифеста и ресурсов
Шаг 2. Декомпиляция приложения
Шаг 3. Анализ кода
Читать дальше →
Всего голосов 18: ↑11 и ↓7 +4
Просмотры 14K
Комментарии 4

Open Source проекты Cisco по кибербезопасности

Блог компании Cisco Информационная безопасность *Open source *Антивирусная защита *Реверс-инжиниринг *
Когда речь заходит об open source проектах, развиваемых компанией Cisco в области кибербезопасности, то большинство специалистов вспоминает только популярный Snort, возможно еще ClamAV, да описанный на страницах Хабра инструмент OpenSOC. На самом деле Cisco, являясь достаточно открытой компаний (у нас куча API для работы с нашими решениями по ИБ), очень активно работает в сообществе open source и предлагает пользователям несколько десятков проектов, из которых немалое количество посвящено кибербезопасности. В этой заметке мне бы хотелось собрать воедино все open source проекты компании Cisco, которые имеют отношение именно к этой теме.
image
Читать дальше →
Всего голосов 18: ↑16 и ↓2 +14
Просмотры 16K
Комментарии 14

Новая информация о VPNFilter: проведение атаки на пользовательские устройства, расширен список сетевого оборудования

Блог компании Cisco Информационная безопасность *Антивирусная защита *Сетевые технологии *Сетевое оборудование
image

Введение


Аналитическое подразделение Cisco Talos, совместно с технологическими партнерами, выявило дополнительные подробности, связанные с вредоносным ПО «VPNFilter». С момента первой публикации по данной тематике мы обнаружили, что вредоносное ПО VPNFilter нацелено на большее количество моделей устройств и расширили список компаний, продукция которых может быть инфицирована. Кроме того, мы установили, что вредоносное ПО обладает дополнительными функциями, включая возможность реализации атак на пользовательские оконечные устройства. В недавней публикации в блоге Talos рассматривалась крупномасштабная кампания по распространению VPNFilter на сетевые устройства для дома или малого офиса, а также на ряд сетевых систем хранения данных. В той же публикации упоминалось, что исследование угрозы продолжается. После выпуска первой публикации несколько отраслевых партнеров предоставили нам дополнительные сведения, которые помогли нам продвинуться в расследовании. В рамках данной публикации мы представляем результаты этого расследования, полученные в течение последней недели.
Читать дальше →
Всего голосов 16: ↑16 и ↓0 +16
Просмотры 18K
Комментарии 48

Карьера новичка в «ЛК»: Семимильными шагами потихоньку расти вперед

Блог компании «Лаборатория Касперского» Информационная безопасность *Учебный процесс в IT Карьера в IT-индустрии
Некоторые хабровчане считают, что сотрудников «Лаборатории Касперского» клонируют в секретных лабораториях или с детства воспитывают сами знаете где. Мы решили исследовать этот вопрос подробнее и отловили нескольких молодых коллег на предмет интервьюирования. Оказалось, что нет, это вполне живые люди и среди них попадаются крайне любопытные экземпляры. Вот, например, Никита Курганов — недавнее пополнение команды AMR (Anti-Malware Research) — энтузиаст-безопасник, пришедший в профессию прямо с четвертого курса Бауманки.



Меньше чем за год он из любителя соревнований типа capture the flag (CTF) стал профессиональным исследователем угроз и не планирует на этом останавливаться. Сейчас этот безумец (в хорошем смысле этого слова) сочетает учебу на дневном отделении университета с полноценной сорокачасовой рабочей неделей вирусного аналитика. Вот мы и решили поинтересоваться, как он докатился до жизни такой, — на случай если его опыт понадобится еще кому-то из здешних читателей. Кстати заголовок — цитата из Никиты. Так он ответил на вопрос «как вы видите дальнейшую карьеру».
Читать дальше →
Всего голосов 52: ↑27 и ↓25 +2
Просмотры 8.1K
Комментарии 8

Новый загрузчик Silence

Блог компании BI.ZONE Информационная безопасность *Реверс-инжиниринг *
Silence — группировка, которая специализируется на краже средств у клиентов банков и атаках на банковские системы. В отличие от других группировок (RTM, Carbanak, Buhtrap) Silence наиболее избирательно подходит к выбору жертвы, а также имеет богатый арсенал инструментов, который использует в зависимости от ситуации и жертвы. 6 февраля мы зафиксировали интересную рассылку вредоносного ПО (ВПО), нацеленную на клиентов банков. В результате анализа цепочки заражения нами была получена и проанализирована новая версия загрузчика Silence.
Читать дальше →
Всего голосов 10: ↑10 и ↓0 +10
Просмотры 3.2K
Комментарии 0

Исследование одного вредоноса

Информационная безопасность *Реверс-инжиниринг *
image

Попался мне недавно вредоносный doc файл, который рассылали с фишинговыми письмами. Я решил, что это неплохой повод поупражняться в реверс-инжиниринге и написать что-то новое на Хабр. Под катом — пример разбора вредоносного макроса-дроппера и не менее вредоносных dll.
Читать дальше →
Всего голосов 26: ↑26 и ↓0 +26
Просмотры 12K
Комментарии 21

Вскрываем ProLock: анализ действий операторов нового вымогателя по матрице MITRE ATT&CK

Блог компании Group-IB Информационная безопасность *IT-инфраструктура *Реверс-инжиниринг *Исследования и прогнозы в IT *


Успех атак вирусов-шифровальщиков на организации по всему миру побуждает все больше новых злоумышленников «вступить в игру». Один из таких новых игроков — группа, использующая шифровальщик ProLock. Он появился в марте 2020 года как преемник программы PwndLocker, которая начала работать с конца 2019 года. Атаки шифровальщика ProLock, прежде всего, нацелены на финансовые и медицинские организации, государственные учреждения и сектор розничной торговли. Недавно операторы ProLock успешно атаковали одного из крупнейших производителей банкоматов — компанию Diebold Nixdorf.

В этом посте Олег Скулкин, ведущий специалист Лаборатории компьютерной криминалистики Group-IB, рассказывает об основных тактиках, техниках и процедурах (TTPs), используемых операторами ProLock. В конце статьи — сопоставление с матрицей MITRE ATT&CK, публичной базой данных, в которой собраны тактики целевых атак, применяемые различными киберпреступными группами.
Читать дальше →
Всего голосов 3: ↑3 и ↓0 +3
Просмотры 2.1K
Комментарии 1

RATKing: новая кампания с троянами удаленного доступа

Блог компании BI.ZONE Информационная безопасность *Антивирусная защита *Реверс-инжиниринг *
В конце мая мы обнаружили кампанию распространения ВПО класса Remote Access Trojan (RAT) — программ, которые позволяют злоумышленникам удаленно управлять зараженной системой.

Рассматриваемая нами группировка отличилась тем, что она не выбрала для заражения какое-то определенное семейство RAT. В атаках в рамках кампании были замечены сразу несколько троянов (все в широком доступе). Этой чертой группировка напомнила нам о крысином короле — мифическом животном, которое состоит из грызунов с переплетенными хвостами.


Оригинал взят из монографии К. Н. Россикова «Мыши и мышевидные грызуны, наиболее важные в хозяйственном отношении» (1908 г.)

В честь этого существа мы назвали рассматриваемую нами группировку RATKing. В этом посте мы расскажем подробно о том, как злоумышленники проводили атаку, какие инструменты они использовали, а также поделимся своими соображениями относительно атрибуции этой кампании.
Читать дальше →
Всего голосов 9: ↑9 и ↓0 +9
Просмотры 3K
Комментарии 0

Крошка Енот: как операторы JS-сниффера FakeSecurity распространяли стилер Raccoon

Блог компании Group-IB Информационная безопасность *


Летом 2020 года специалисты Group-IB обратили внимание на необычную кампанию по распространению стилера Raccoon. Сам стилер хорошо известен: он умеет собирать системную информацию, данные учетных записей в браузерах, данные банковских карт, а также ищет информацию о крипто-кошельках.

Сюрприз оказался в другом. Никита Ростовцев, аналитик Group-IB Threat Intelligence & Attribution, рассказывает, как в ходе исследования удалось восстановить хронологию вредоносной кампании, установить связи с другими элементами инфраструктуры злоумышленников. Забегая вперед, отметим, что «енот» оказался прикормленным уже известной нам группой.
Читать дальше →
Всего голосов 3: ↑3 и ↓0 +3
Просмотры 2.8K
Комментарии 1

Обновки AgentTesla: командный центр в Telegram, TorProxy, стилер паролей и другие новые фичи

Блог компании Group-IB Информационная безопасность *Реверс-инжиниринг *Исследования и прогнозы в IT *IT-компании

Недавно мы писали про протектор, который скрывает вредоносную программу AgentTesla, заслуженного пенсионера на рынке вредоносного ПО. Однако AgentTesla и не думает уходить со сцены, своей популярностью он обязан в том числе постоянной поддержке продукта разработчиками — в этом году авторы AgentTesla снова обновили свой стилер. Илья Померанцев, руководитель группы исследований и разработки CERT-GIB, рассказывает о новых возможностях AgentTesla.
Читать дальше →
Всего голосов 4: ↑4 и ↓0 +4
Просмотры 2.3K
Комментарии 0

Анализ вредоносных программ. Интересные трюки

Информационная безопасность *Реверс-инжиниринг *
Из песочницы
✏️ Технотекст 2021

Решил сделать серию публикаций про интересные трюки и оригинальные идеи, выявленные при анализе вредоносных программ, а также и про подходы, которые использовались при анализе. Надеюсь, что публикации будет интересными, а возможности и желания хватит на большую серию, а там уже увидим…

В качестве первой публикации решил выбрать одну из любимых находок, которая попалась мне в октябре 2016 года. Речь идет об одной из первых реализаций интересной техники закрепления с помощью WMI "Event Triggered Execution: Windows Management Instrumentation Event Subscription" (T1546.003).

Читать далее
Всего голосов 29: ↑29 и ↓0 +29
Просмотры 13K
Комментарии 16

Средства автоматизации анализа вредоносных программ

Информационная безопасность *Реверс-инжиниринг *

На примере программы-вымогателя REvil рассматривается использование при анализе вредосного программного обеспечения таких средств автоматизации, как Python, IDAPython, x64bgpy. Демонстрируются их возможности по расшифровке конфигурационных данных, деобфускации строк и вызовов функций API для проведения дальнейшего статического анализа.

Читать далее
Всего голосов 13: ↑13 и ↓0 +13
Просмотры 3.6K
Комментарии 6

Средства автоматизации анализа вредоносных программ

Информационная безопасность *Реверс-инжиниринг *

На примере программы-вымогателя REvil рассматривается использование при анализе вредосного программного обеспечения таких средств автоматизации, как Python, IDAPython, x64bgpy.

Во 2-ой части статьи демонстрируются возможности IDAPython по деобфускации строк для дальнейшего статического анализа.

Читать далее
Всего голосов 7: ↑7 и ↓0 +7
Просмотры 2.2K
Комментарии 0

Средства автоматизации анализа вредоносных программ

Информационная безопасность *Реверс-инжиниринг *

Заключительная часть статьи, посвященной средствам автоматизации анализа вредоносных программ. В этой части рассматриваются способы деобфускации вызовов функций API на примере программ-вымогателей REvil и BlackMatter.

Читать далее
Всего голосов 5: ↑5 и ↓0 +5
Просмотры 1.7K
Комментарии 4

По следам TeamBot: как мы столкнулись с новыми функциями знакомого ВПО

Блог компании Ростелеком-Солар Информационная безопасность *

В октябре 2021 года к нам в Solar JSOC CERT поступил запрос: одна крупная технологическая компания попросила помочь в расследовании инцидента. В процессе работы мы обнаружили старую знакомую - вредоносную DLL TeamBot (aka TeamSpy, TVSPY, TeamViewerENT, TVRAT), которая загружалась легитимной утилитой TeamViewer. Это ВПО уже лет 10 фигурирует в отчетах как отечественных, так и зарубежных ИБ-компаний. Но за эти годы TeamBot научился кое-чему новому,  о чем мы и расскажем в этом посте.

Читать далее
Всего голосов 9: ↑9 и ↓0 +9
Просмотры 2.2K
Комментарии 0

Расщепляем Malware PDF. Практический разбор фишинга на примере GetPDF от Cyberdefenders.com

Блог компании R-Vision Информационная безопасность *
Tutorial

Привет, Хабр! Меня зовут Антон, я ведущий инженер по ИБ в компании R-Vision, принимаю активное участие в развитии экспертизы в части расследования инцидентов и реагирования на них. А в свободное время я увлекаюсь расследованиями в направлении Digital Forensics & Incident Response (DFIR), Malware Analysis.

В последнее время публичное пространство пестрит новостями о резонансных инцидентах в России и мире, связанных с фишинговыми атаками на крупные компании и государственный сектор.

Замечу, что одной из самых популярных техник взлома крупных мировых корпораций был и остается фишинг с вредоносным вложением T1566.001. Пожалуй, яркий тому пример – взлом Garmin в июле 2020 года, когда известный производитель умных устройств подвергся атаке хакеров-вымогателей. Преступники атаковали системы Garmin с помощью малвари WastedLocker. В результате, сервисы компании на три дня вышли из строя, так как авторы малваря зашифровали данные и требовали выкуп в размере $10 млн за ключи дешифровки.

Как известно, логика подобного проникновения в инфраструктуру довольно проста: атакующие проводят таргетированную фишинговую кампанию – targetor sprear[T1566.001], доставляют в корпоративную среду зловреды с помощью рассылки электронных писем с вредоносными вложениями и ссылками. Пользователь открывает файл (pdf, xlsx, docx и др.), тем самым запуская вложенный туда вредоносный код, который подгружает недостающие для атаки компоненты (вирусы, трояны, шифровальщики, бэкдоры и тд.).

В этой статье я не буду углубляться в тактики и инструменты фишинговых атак, а хочу поделиться с вами личным опытом разбора техники с фишингом вредоносного файла * pdf и наглядно продемонстрировать ход расследования подобного инцидента на примере лабораторного задания GetPDF с ресурса Cyberdefenders.

Читать далее
Всего голосов 7: ↑7 и ↓0 +7
Просмотры 2.9K
Комментарии 7

Ресерч свежего Excel документа с Loki malware внутри

Информационная безопасность *
Из песочницы

Вечер добрый, Хабр!

Решил немного изучить свежий сэмпл малваря LokiBot (31.08), который содержится в Excel документе и используется для фишинговой рассылки. В этой небольшой статье основное внимание уделено практической части поиска, извлечения и небольшого разбора поведения вредоноса. Надеюсь, что данная статья будет полезной с теоретической и практической точек зрения.

Читать далее
Всего голосов 20: ↑18 и ↓2 +16
Просмотры 6K
Комментарии 14