При расследовании инцидентов и вирусных атак для реконструкции событий, происходивших в компьютере пользователя, криминалисты часто используют различные виды таймлайна. Как правило, таймлайн представляет собой огромный текстовый файл или таблицу, в которой в хронологической последовательности содержится представленная информация о событиях, происходивших в компьютере.

Обработка носителей информации для подготовки таймлайна (например, с помощью Plaso) — это процесс, отнимающий много времени. Поэтому компьютерные криминалисты сильно обрадовались, узнав, что в очередном обновлении Windows 10 появился новый функционал — Windows 10 Timeline.

«Когда я впервые узнал о новой функции Windows, я подумал: «Здорово! Теперь не придется тратить время на генерацию таймлайнов». Однако, как оказалось, радость моя была преждевременна», — признается Игорь Михайлов, специалист Лаборатории компьютерной криминалистики Group-IB. Специально для читателей «Хабра» Игорь рассказывает, какое отношение Windows 10 Timeline — новый вид артефактов Windows 10 — имеет к традиционным видам таймлайна и какие сведения в нем содержатся.

Если вы следите за новостями, то наверняка знаете о новой масштабной атаке на российские компании вируса-шифровальщика Troldesh (Shade), одного из самых популярных у киберпреступников криптолокеров. Только в июне Group-IB обнаружила более 1100 фишинговых писем с Troldesh, отправленных от имени сотрудников крупных авиакомпаний, автодилеров и СМИ.

В этой статье мы рассмотрим криминалистические артефакты, которые можно найти после атаки Shade/Troldesh на носителе информации скомпрометированного устройства, а также сопоставим используемые атакующими тактики и техники с «MITRE ATT&CK».

Автор - Олег Скулкин, ведущий специалист по компьютерной криминалистике Group-IB

Более 80% компаний подверглись социоинженерным атакам в 2018 году. Отсутствие отработанной методики обучения персонала и регулярной проверки его готовности к социотехническим воздействиям приводят к тому, что сотрудники все чаще становятся жертвами манипуляций злоумышленников.

Cпециалисты направление Аудита и Консалтинга Group-IB, международной компании, специализирующейся на предотвращении кибератак, подготовили вебинар на тему «Противодействие социоинженерным атакам: как распознать уловки хакеров и защититься от них?».

Вебинар начнется 27-го июня 2019 года в 11:00 (МСК), проведет его Андрей Брызгин, руководитель направления Аудита и Консалтинга.

Что интересного будет на вебинаре?

На вебинаре вы узнаете:

• Основные направления социоинженерных атак: оценка подготовленности сотрудников и средств защиты;
• Как распознать признаки социальной инженерии и защититься от нее;
• Реальные кейсы Group-IB по имитации социоинженерных атак на персонал.

Вот так раньше выглядела одна из визиток Игоря Михайлова, специалиста Лаборатории компьютерной криминалистики Group-IB. На ней — аппаратные ключи программ, которыми пользовался эксперт при проведении криминалистических экспертиз. Стоимость только этих программных продуктов превышает 2 миллиона рублей, а ведь есть еще бесплатное программное обеспечение и другие коммерческие продукты. Какой инструментарий выбрать для работы? Специально для читателей «Хабра» Игорь Михайлов решил рассказать о лучших программных и аппаратных средствах для компьютерной криминалистики.

У иранских прогосударственных хакеров — большие проблемы. Всю весну неизвестные публиковали в Telegram «секретные сливы» — информацию о связанных с правительством Ирана APT-группах — OilRig и MuddyWater — их инструментах, жертвах, связях. Но не о всех. В апреле специалисты Group-IB обнаружили утечку почтовых адресов турецкой корпорации ASELSAN A.Ş, занимающуюся производством тактических военных радиостанций и электронных систем обороны для вооруженных сил Турции. Анастасия Тихонова, руководитель группы исследования сложных угроз Group-IB, и Никита Ростовцев, младший аналитик Group-IB, описали ход атаки на ASELSAN A.Ş и нашли возможного участника MuddyWater.

Практически каждый из нас пользуется услугами онлайн-магазинов, а значит, рано или поздно рискует стать жертвой JavaScript-снифферов — специального кода, который злоумышленники внедряют на сайт для кражи данных банковских карт, адресов, логинов и паролей пользователей.

От снифферов уже пострадали почти 400 000 пользователей сайта и мобильного приложения авиакомпании British Airways, а также посетители британского сайта спортивного гиганта FILA и американского дистрибьютора билетов Ticketmaster.

Аналитик Threat Intelligence Group-IB Виктор Окороков рассказывает о том, как снифферы внедряются в код сайта и крадут платежную информацию, а также о том, какие CRM они атакуют.

Об атаках банковского трояна RTM на бухгалтеров и финансовых директоров писали довольно много, в том числе и эксперты Group-IB, но в публичном поле пока еще не было ни одного предметного исследования устройств, зараженных RTM. Чтобы исправить эту несправедливость, один из ведущих специалистов Group-IB по компьютерной криминалистике — Олег Скулкин подробно рассказал о том, как провести криминалистическое исследование компьютера, зараженного банковским трояном в рамках реагирования/расследования инцидента.

В этом квартале клиентам Group-IB Threat Intelligence стал доступен новый аналитический инструмент, позволяющий выявлять связанную сетевую инфраструктуру на основе графового анализа.

Хотите узнать, какие типы криминалистических артефактов WhatsApp существуют в различных операционных системах и где именно они могут быть обнаружены — тогда вам сюда. Этой статьей специалист Лаборатории компьютерной криминалистики Group-IB Игорь Михайлов открывает серию публикаций о криминалистическом исследовании WhatsApp и о том, какие сведения можно получить при анализе устройства.

Буквально на днях Group-IB сообщала об активности мобильного Android-трояна Gustuff. Он работает исключительно на международных рынках, атакуя клиентов 100 крупнейших иностранных банков, пользователей мобильных 32 криптокошельков, а также крупных e-commerce ресурсов. А вот разработчик Gustuff — русскоязычный киберпреступник под ником Bestoffer. Еще недавно он нахваливал свой троян как «серьезный продукт для людей со знаниями и опытом».

Специалист по анализу вредоносного кода Group-IB Иван Писарев в своем исследовании подробно рассказывает о том, как работает Gustuff и в чем его опасность.

Знания в сфере информационной безопасности – сила. Актуальность непрерывного процесса обучения в этой области обусловлена стремительно меняющимися тенденциями киберпреступлений, а также потребностью в новых компетенциях.

Cпециалисты Group-IB, международной компании, специализирующейся на предотвращении кибератак, подготовили вебинар на тему «Подход Group-IB к киберобразованию: обзор актуальных программ и практических кейсов».

Вебинар начнется 28-го марта 2019 года в 11:00 (МСК), проведет его Анастасия Баринова, ведущий тренер по компьютерной криминалистике.

Что интересного будет на вебинаре?

На вебинаре мы расскажем о:

• Современных трендах киберобразовательных программ;
• Популярных темах и форматах для технических специалистов и других подразделений;
• Курсах по информационной безопасности от Group-IB – программа, результаты, сертификация.

Настал тот самый момент, когда вы подали списки о категорировании объектов КИИ во ФСТЭК и приступаете к перенастройке сети?

Cпециалисты Group-IB, международной компании, специализирующейся на предотвращении кибератак, подготовили вебинар на тему «Взгляд криминалиста на защиту объектов критической инфраструктуры в 2019 году».

Вебинар начнется 13-го марта 2019 года в 11:00 (МСК), проведет его Веста Матвеева, ведущий специалист отдела Расследований.

Что интересного будет на вебинаре?

Данный вебинар не будет посвящен рассказу о формальном выполнении требований ФЗ-187 или необходимых для этого средствах защиты.

1. Криминалист Group-IB расскажет, от чего стоит защищаться сегодня и как не потерять контроль над собственной сетью при атаке.
2. Также мы поделимся собственным взглядом на проблему защиты инфраструктуры на основании обширного опыта расследований компьютерных атак на объекты КИИ.

Cпециалисты Group-IB и «Инфосистемы Джет» подготовили вебинар на тему «167-ФЗ: Как банки могут выполнить требования ЦБ к антифрод-системам».

Вебинар состоится 26 февраля 2019 года в 11:00 (МСК), проведут его Павел Крылов, руководитель направления по защите от онлайн-мошенничества Group-IB, и Алексей Сизов, руководитель направления противодействия мошенничеству Центра прикладных систем безопасности, Инфосистемы Джет.

Что интересного будет на вебинаре?

Вы узнаете:

1. Почему банкам важно следовать 167-ФЗ;
2. Какие антифрод-технологии выявляют признаки мошеннических платежей, установленные Банком России;
3. Как банки могут выполнить требования регулятора.

Как повысить готовность вашей организации противостоять масштабным атакам и получить более реалистичное понимание рисков для вашей инфраструктуры?

Cпециалисты Group-IB, международной компании, специализирующейся на предотвращении кибератак, подготовили вебинар на тему «Red Team или Пентест: что нужно вашей инфраструктуре?». Вебинар начнется 12-го февраля 2019 года в 11:00 (МСК), проведет его Андрей Брызгин, руководитель направления Аудита и Консалтинга.

Что интересного будет на вебинаре?

На вебинаре вы узнаете:

1. Чем редтиминг отличается от пентеста;
2. Использование каких инструментов и векторов атак предполагают оба исследования;
3. Как в рамках редтиминга удавалось проникнуть в периметр Заказчика на примере реальных кейсов из практики Group-IB.

Cпециалисты отдела мониторинга и реагирования на инциденты Group-IB, международной компании, специализирующейся на предотвращении кибератак, подготовили вебинар на тему «Intelligence-driven SOC и можно ли без него обойтись?». Вебинар начнется 18-го декабря 2018 года в 11:00 (МСК), проведет его Александр Калинин, руководитель отдела мониторинга и реагирования на инциденты CERT-GIB.

Почему стоит присоединиться к вебинару?

На вебинаре вы узнаете, как работает с инцидентами информационной безопасности разной степени тяжести CERT-GIB — центр круглосуточного реагирования.

Мы на реальных примерах продемонстрируем:

1. на самом ли деле нужны Intelligence системы и штат высококвалифицированных специалистов, или развитие текущих систем обеспечения безопасности уже достаточно шагнуло вперед для того, чтобы в автоматическом режиме принимать решения о критичности того или иного инцидента;
2. общую схему работы CERT-GIB в части поддержки клиентов TDS;
3. каких ключевых вещей может не хватать традиционному SOC.

А также разберем разберем кейсы с рассылками от MoneyTaker и Silenсe, и какую роль сыграли технологии в защите инфраструктуры клиентов.

Этой осенью Group-IB зафиксировала массовую вредоносную рассылку по финансовым учреждениям и предприятиям. Злоумышленники отправили более 11 000 писем с фейковых почтовых адресов российских госучреждений — все они содержали троян RTM, предназначенный для кражи денег из сервисов дистанционного банковского обслуживания (ДБО) и платежных систем. В среднем, одно успешное хищение такого типа приносит злоумышленникам около 1,1 млн рублей.

Текст: Семен Рогачев, младший специалист по анализу вредоносного кода Group-IB

Специалисты Лаборатории компьютерной криминалистики Group-IB, международной компании, специализирующейся на предотвращении кибератак, подготовили вебинар об исследовании RDP артефактов в Windows. Вебинар начнется 27-го ноября 2018 года в 11:00 (мск), проведет встречу Александр Иванов, ведущий эксперт Group-IB по компьютерной криминалистике.


Всем привет!

Специалисты Group-IB, одной из ведущих международных компаний по предотвращению и расследованию киберпреступлений и мошенничеств с использованием высоких технологий, подготовили осенний двухмесячный курс про уязвимости мобильных приложений. Мы приглашаем всех, кто интересуется информационной безопасностью мобильных технологий, подать заявку на обучение.

Курс стартует 4 октября 2018 года. Прием заявок до 15 сентября.

В последнее время фишинг является наиболее простым и популярным у киберпреступников способом кражи денег или информации. За примерами далеко ходить не нужно. В прошлом году ведущие российские предприятия столкнулись с беспрецедентной по масштабу атакой — злоумышленники массово регистрировали фейковые ресурсы, точные копии сайтов производителей удобрений и нефтехимии, чтобы заключать контракты от их имени. Средний ущерб от такой атаки — от 1,5 млн рублей, не говоря уже про репутационный ущерб, который понесли компании. В этой статье мы поговорим о том, как эффективно детектировать фишинговые сайты с помощью анализа ресурсов (изображений CSS, JS и т.д.), а не HTML, и как специалист по Data Science может решить эти задачи.

Эксперты Group-IB проанализировали троян, атакующий клиентов банков США, и выложили в публичный доступ результаты глубокого разбора формата динамических конфигурационных данных с Python-скриптами и информацию по CnC-серверам.


В ноябре 2017 года команда исследователей из IBM X-Force опубликовала отчет по новому трояну — IcedID, который нацелен преимущественно на клиентов американских банков. Бот обладает многими возможностями печально известного вредоносного ПО Zeus, в том числе: загружает и запускает модули, собирает и передает на сервер аутентификационные данные, информацию о зараженном устройстве, осуществляет атаку man-in-the-browser (MITB). Несмотря на то, что по своим функциональным возможностям новый троян оказался похож на другие популярные банкеры — Trickbot, GOZI, Dridex, активно атакующие клиентов банков, IcedID использует нестандартный бинарный формат хранения конфигурационных данных. Другой отличительной особенностью этого вредоносного ПО является возможность развертывания прокси-сервера прямо на зараженной машине для проведения атаки MITB.