Обзор инцидентов безопасности за прошлую неделю

0

Краткий обзор главных событий в мире ИБ за период с 30 октября по 5 ноября 2017 года.

С точки зрения кибербезопасности прошедшая неделя оказалась весьма беспокойной. В частности, увеличилось число инцидентов, связанных с майнингом криптовалюты. Предлагаем ознакомиться с кратким обзором главных событий в мире ИБ за период с 30 октября по 5 ноября 2017 года.

Начало прошлой недели ознаменовалось очередными обвинениями в адрес «русских хакеров». Шведский телеканал SVT сообщил об атаках на пользователей по всему миру с применением неназванного вымогательского ПО. Подробности об атаке журналисты не привели, однако сообщили, что в одной лишь Швеции фишинговые вредоносные письма получили 1,6 млн человек.

Как показывают недавние исследования, вымогательское ПО может использоваться не только по своему прямому назначению (для получения выкупа от жертв), но также для сокрытия кибершпионских операций. К примеру, программы-вымогатели ONI и MBR-ONI использовались в ходе кампании против ряда японских организаций с единственной целью – уничтожить следы хакеров.

На прошлой неделе появились новые сведения о деятельности киберпреступной группировки Fancy Bear (APT 28), часто связываемой с российскими спецслужбами. По данным Associated Press, хакеры пытались взломать электронные ящики украинских политиков, российских оппозиционеров и американских военных подрядчиков. В распоряжении информагентства оказался список объектов для атак, основная часть которых находилась в США, Украине, России, Грузии и Сирии. Список датируется периодом с марта 2015 года по май 2016 года.

Помимо прочего, стали известны новые подробности о причастности «русских хакеров» ко взлому Национального комитета Демократической партии США в 2016 году. Напомним, виновной в атаке считается все та же Fancy Bear. Как сообщило издание Wall Street Journal, ФБР собрало доказательства о причастности ко взлому шести представителей российских властей.

Как стало известно на прошлой неделе, мошенники зарегистрировали 250 доменных имен от лица компании Trump Organization. В 2013 году хакерам удалось получить доступ к учетной записи Trump Organization в сервисе GoDaddy, используемой организацией для регистрации доменных имен. Мошенники зарегистрировали множество теневых поддоменов, используемых ими для распространения вредоносного ПО.

Помимо русских, на прошлой неделе о себе дали знать северокорейские хакеры. Как сообщило информагентство Reuters, в апреле прошлого года киберпреступники взломали базу данных южнокорейской судостроительной компании Daewoo Shipbuilding & Marine Engineering и похитили чертежи военных кораблей. Утечка была обнаружена подразделением Минобороны Южной Кореи, специализирующимся на расследовании киберпреступлений. Вывод о причастности КНДР основывается на использовании в данной атаке методов взлома, применявшихся и в других атаках, с которыми связывают северокорейских хакеров.

Говоря об утечках, стоит упомянуть утечку данных абонентов всех крупнейших операторов связи Малайзии. Инцидент, в результате которого неизвестные похитили информацию более 46 млн малазийцев, имел место в 2014-2015 годах.

Хакерская группировка The Dark Overlord, ранее взявшая на себя ответственность за компрометацию компьютерной сети Netflix и утечку данных клиентов престижной лондонской клиники пластической хирургии, пригрозила опубликовать клиентскую базу данных голливудской студии звукозаписи Line 204. Список клиентов студии включает Apple, Netflix, Funny or Die, ABC, HBO, Hulu и пр. Хакеры пригрозили опубликовать похищенные данные, если Line 204 не выполнит их требования.

Эксперты «Лаборатории Касперского» сообщили о новых целевых атаках на финансовые организации. В основном это российские банки, однако жертвами хакеров также стали некоторые банки в Армении и Малайзии. В атаках используется троян Silence, распространяемый посредством вредоносных электронных писем.

Как уже упоминалось выше, прошедшая неделя ознаменовалась рядом инцидентов, связанных с майнингом криптовалюты. В начале недели стало известно о трех приложениях в Google Play, содержащих скрытые майнеры Monero. Как только пользователь открывал приложение, майнер начинал использовать ресурсы его устройства для добычи криптовалюты.

Скрытый майнер Monero также был обнаружен на сайте D-Link. При каждом открытии страницы загружался отдельный домен со скрытым элементом iframe, содержащий скрипт для генерирования криптовалюты непосредственно в браузере пользователя.

Помимо скрытого майнинга за счет чужих ресурсов исследователи безопасности рассказали еще об одной проблеме. По данным «Лаборатории Касперского», троян CryptoShuffler ворует криптовалюту прямиком из кошельков. Целью вредоноса являются Bitcoin, Ethereum, Zcash, Dash, Dogecoin и другие криптовалюты.

Киберпреступники научились воровать криптовалюту не только из кошельков. Как сообщают специалисты из Bitdefender, злоумышленники умеют похищать монеты еще до их попадания в кошелек. Киберпреступники сканируют интернет в поисках оборудования для майнинга Ethereum, работающего под управлением ethos с заводскими учетными данными SSH. С помощью этих данных они получают доступ к оборудованию и заменяют адрес Ethereum-кошелька его владельца на свой собственный. В результате вся полученная криптовалюта отправляется не владельцу оборудования, а киберпреступникам.