Уходящая неделя запомнилась нам новой ошибкой в Windows 10, вызывающей синий экран смерти, атаками на Linux-устройства с использованием нового вредоноса FreakOut и фишинговой кампанией, в результате которой злоумышленникам удалось похитить несколько тысяч учетных записей Microsoft Office 365. Подробности расскажем под катом.

На этой неделе в нашей подборке главных событий — новые детали нашумевшей в декабре прошлого года атаки на SolarWinds, разбор эксплуатации уязвимостей нулевого дня в реальных атаках от Google Project Zero и отключение в macOS Big Sur 11.2 возможности приложений Apple обходить политики сетевой фильтрации. Детали расскажем под катом.

Уходящая неделя запомнилась нам появлением нового PoC-эксплойта для ранее выявленной уязвимости Windows, обнаружением еще одного способа перехвата мастер-ключа BitLocker и сообщением о росте атак с использованием фреймворка SocGholish. Подробности расскажем под катом.

В тройке главных ИБ-новостей этой недели — вредоносная кампания с использованием легитимного ПО от компании SolarWinds, анонс крупной базы данных для ИБ-исследований и раскрытие мошенничества с применением эмуляторов мобильных телефонов. Подробнее читайте под катом.

На этой неделе в нашей подборке — кибератака на одного из ведущих поставщиков ИБ-решений FireEye, отчет об анализе пользовательских паролей и новый Android-шпион.

На этой неделе в тройку главных ИБ-новостей, по нашему мнению, попали новый веб-скиммер, подделывающий страницу PayPal на зараженных сайтах, атаки ботнета DarkIRC на серверы Oracle WebLogic и новый модуль ботнета TrickBot. Подробности расскажем под катом.

Самыми значимыми на этой неделе стали новости об атаках на компании Belden и E-Land, а также об обнаружении в открытом доступе внушительного списка IP-адресов уязвимых FortiGate SSL VPN-шлюзов. Подробнее о каждом событии — под катом.

Всем привет! Мы в Jet CSIRT постоянно следим за происходящим в мире ИБ и решили делиться главным в нашем блоге. Под катом — о критических уязвимостях в Cisco Webex и ряде систем АСУ ТП, а также о новой атаке группировки Lazarus.

Для запуска корпоративного SOC или ситуационного центра управления ИБ мало внедрить систему мониторинга (SIEM). Помимо этого, нужно предусмотреть кучу всего, что понадобится команде SOC в работе. Методики детектирования, правила корреляции, наработки по реагированию — всё это должно укладываться в единый подход к выявлению инцидентов. Без этих вещей рано или поздно в команде будут возникать рядовые вопросы на уровне, что и как работает, кто за что отвечает, какие есть белые пятна и куда развиваться, как показать результат работы и развития.

Я решил поделиться тем, как мы с командой Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT сами формировали такой сценарный подход и как используем его на практике для защиты наших клиентов. Сегодня расскажу, что мы взяли за основу, как решали сложности и к чему в итоге пришли. Забегая вперед, отмечу, что наш подход не следует воспринимать как абсолютную истину. В случае с корпоративным SOC он может быть в каких-то местах полезным, а в каких-то избыточным.

Всем привет! Меня зовут Маша, вместе с командой Jet CSIRT я помогаю крупным компаниям выстраивать защиту от злоумышленников. Помимо работы, учусь в Самарском национальном исследовательском университете им. Королева и помогаю в организации некоторых ИТ-мероприятий в своем городе. Недавно мне выдалась возможность побывать на Volga CTF — одном из крупнейших соревнований в области информационной безопасности, которые ежегодно проводятся в Самаре. В этом году мероприятие проходило с 14 по 18 сентября и отмечало свой 10-летний юбилей. На протяжении нескольких дней участники соревнования сражались за первенство, а представители бизнеса, образовательных учреждений, МИД РФ и ИБ-эксперты проводили для всех желающих семинары по актуальным вопросам и проблемам в сфере кибербезопасности. Под катом вас ждут подробности с мероприятия.

Threat Hunting, он же проактивный поиск угроз, регулярно становится предметом дискуссий ИБ-специалистов. Споры возникают как вокруг того, что именно считать хантингом, так и о том, какие методы и подходы лучше использовать. Под катом мы рассмотрим все эти элементы и поделимся видением Threat Hunting, которое прижилось у нас в Jet CSIRT.


Choose your hunting weapon

29 августа группа Project Zero после тщательного исследования опубликовала детальную информацию об обнаруженных векторах атак в ходе массовой кампании по похищению данных пользователей iPhone.

Результатом успешной атаки на пользователя являлся запуск агента слежения («импланта») с привилегированными правами в фоновом режиме.

В процессе исследования в рамках векторов атак было обнаружено 14 используемых уязвимостей:

• 7 уязвимостей браузера iPhone;
• 5 уязвимостей ядра;
• 2 уязвимости обхода песочницы.

Компания Apple активно внедряет в массы идею о том, что теперь-то с приватностью данных пользователей их продукции всё в порядке. Но исследователи из Hexway выяснили, что стандартный и активно используемый механизм Bluetooth LE (BLE) позволяет узнать довольно много о твоем айфончике.

Если Bluetooth включен, то любой человек в радиусе действия сигнала может узнать:

• состояние устройства;
• информацию о заряде;
• имя устройства;
• состояние Wi-Fi;
• доступность буфера;
• версию iOS;
• номер телефона.

16 июля компания Offensive Security сообщила о создании Kali Net Hunter App Store с бесплатными приложениями, связанными с информационной безопасностью.

Google удаляет XSS Auditor из браузера Chrome после серии уязвимостей, подвергших сомнению эффективность данной функции.

На определенном этапе зрелости ИБ многие компании начинают задумываться о том, как получить и использовать сведения об актуальных для них киберугрозах. В зависимости от отраслевой специфики организации, интерес могут вызывать разные типы угроз. Подход к применению таких сведений был сформирован ещё компанией Lockheed Martin в материале Intelligence Driven Defence.

Благо сейчас у служб ИБ есть масса источников для их получения и даже отдельный класс решений – Threat Intelligence Platform (TIP), который позволяет управлять процессами их получения, генерации и интеграции в средства защиты.

Для нас как центра мониторинга и реагирования на инциденты ИБ крайне важно, чтобы сведения о киберугрозах, которые мы получаем и генерируем, были актуальными, применимыми и, что немаловажно, управляемыми. Ведь от этого зависит безопасность организаций, вверивших нам защиту своей инфраструктуры.

Мы решили поделиться своим видением TI в Jet CSIRT и рассказать о попытках адаптации различных потенциально полезных подходов к управлению сведениями о киберугрозах.

Киберпреступники активно эксплуатируют уязвимость в MacOS Mojave, которая позволяет обойти Gatekeeper — технологию, обеспечивающую запуск только доверенного программного обеспечения.

Приветы! Увидев на PHDays 9 достаточный интерес к тому, что происходит на The Standoff в рядах защитников, мы решили рассказать о том, как происходила подготовка и само «Противостояние» глазами Jet CSIRT как части команды Jet Security Team.

Совсем скоро Positive Hack Days в очередной раз устроит зарубу, столкнув лицом к лицу хакеров, безопасников, аналитиков и экспертов ИБ на The Standoff.

В этом году мы, смелые и решительные парни из Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT, усилим команду Jet Security Team — будем помогать нашим защитникам давать отпор атакующим. Обычно наши будни состоят из непрерывного контроля, анализа и поддержания уровня ИБ защищаемого сегмента, но челлендж в виде крутой кибербитвы нам тоже не помешает.

Мы идем на «Противостояние» впервые, однако в целом задачи, поставленные на соревновании, приближены к нашей повседневной работе: необходимо на неизвестной инфраструктуре выстроить и наладить процессы по обнаружению и расследованию инцидентов, а также по реагированию на них. Под настройку инфраструктуры нам дается крайне мало времени – всего лишь месяц. А это значит, что все майские удовольствия – шашлыки, посадку картошки и другие приключения – нам придется отложить. Сегодня нам хочется поделиться ожиданиями от предстоящей кибербитвы.

Как сообщает «Лаборатория Касперского», хакеры из APT-группировки ShadowHammer 5 месяцев контролировали сервис обновлений ASUS Live Update и заразили более полумиллиона компьютеров по всему миру.