MEGANews. Самые важные события в мире инфосека за июнь

Антивирус с майнером

Раз­работ­чики ком­пании NortonLifeLock (быв­шая Symantec Corporation) оснасти­ли свой анти­вирус Norton 360 май­нером крип­товалю­ты Ethereum, стре­мясь защитить поль­зовате­лей от вре­донос­ных май­неров. Новая фун­кция получи­ла наз­вание Norton Crypto и была внед­рена в прог­рамму для ран­них поль­зовате­лей Norton 360.

Ес­ли Norton Crypto вклю­чен, анти­вирус будет исполь­зовать виде­окар­ту устрой­ства для май­нин­га Ethereum, и добытая крип­товалю­та затем будет перене­сена в облачный кошелек Norton. В ком­пании заяв­ляют, что эта фун­кция поз­волит поль­зовате­лям май­нить Ethereum, не жер­твуя сво­ей безопас­ностью, ведь май­нин­говое ПО зачас­тую про­воци­рует сра­баты­вание анти­виру­сов и дру­гих защит­ных решений.

Не­ясно, каж­дое ли устрой­ство с запущен­ным Norton Crypto будет занимать­ся май­нин­гом самос­тоятель­но, или поль­зовате­ли будут объ­еди­нены в пул для повыше­ния шан­сов на добычу бло­ка. Если пул есть и им управля­ет Norton, ком­пания смо­жет взи­мать неболь­шую пла­ту за добытый Ethereum, как это при­нято у опе­рато­ров пулов, а зна­чит, новая фун­кция ста­нет для ком­пании допол­нитель­ным источни­ком дохода.

«Пос­коль­ку крип­тоэко­номи­ка ста­новит­ся все более важ­ной частью жиз­ни наших кли­ентов, мы хотим дать им воз­можность май­нить крип­товалю­ту с помощью Norton, брен­да, которо­му они доверя­ют», — заявил Вин­сент Пилетт, гла­ва NortonLifeLock.

Тем вре­менем СМИ отме­тили, что часть поль­зовате­лей Norton 360, которые решат вклю­чить Norton Crypto, может ждать «сюр­приз» от налого­вой служ­бы. К при­меру, в США добытая крип­товалю­та под­лежит налого­обло­жению и ее необ­ходимо ука­зывать в налого­вых дек­лараци­ях.

Slilpp ликвидирован

Сов­мес­тны­ми уси­лиями пра­воох­ранитель­ных орга­нов США, Гер­мании, Нидер­ландов и Румынии был лик­видиро­ван мар­кет­плейс Slilpp, где прес­тупные груп­пы мно­го лет обме­нива­лись и тор­говали ворован­ными учет­ными дан­ными.

С 2012 года Slilpp работал на нес­коль­ких доменах, как в дар­кне­те, так и в обще­дос­тупном интерне­те. На сай­те кто угод­но мог зарегис­три­ровать учет­ную запись, а затем начать тор­говать взло­ман­ными учет­ными запися­ми.

По информа­ции Минюс­та США, за девяти­лет­нюю исто­рию Slilpp на сай­те было про­дано более 80 мил­лионов учет­ных дан­ных, при­над­лежав­ших более чем 1400 ком­паний. Так, на сай­те тор­говали акка­унта­ми PayPal, Wells Fargo, SunTrust, Amazon, Verizon Wireless, Xfinity, Walmart, а так­же кре­дит­ными кар­тами раз­личных бан­ков.

«Slilpp — это круп­ней­ший рынок взло­ман­ных учет­ных записей, ког­да‑либо сущес­тво­вав­ший в кри­миналь­ном под­полье. Тор­говая пло­щад­ка была ответс­твен­на за круп­ные потоки ском­про­мети­рован­ных дан­ных, которые при­носи­ли адми­нис­тра­торам мил­лионы дол­ларов незакон­ной при­были», — заявил гла­ва ком­пании Advanced Intelligence Виталий Кре­мез.

Сле­дова­тели сооб­щили, что убыт­ки, нанесен­ные потер­певшим, пре­выша­ют 200 мил­лионов дол­ларов толь­ко в Соеди­нен­ных Шта­тах, а общий ущерб от работы этой тор­говой пло­щад­ки еще толь­ко пред­сто­ит под­счи­тать.

ФБР обна­ружи­ло и кон­фиско­вало сер­веры и домен­ные име­на, на которых раз­мещалась инфраструк­тура Slilpp. Сооб­щает­ся, что более десяти человек, свя­зан­ных с тор­говой пло­щад­кой, были арес­тованы и обви­нены, но никаких под­робнос­тей об этих задер­жани­ях пока нет.

Первое интервью Ульбрихта

Росс Уль­брихт, быв­ший вла­делец Silk Road, одно­го из самых извес­тных под­поль­ных мар­кет­плей­сов в исто­рии, с 2015 года отбы­вает пожиз­ненное зак­лючение в аме­рикан­ской тюрь­ме. В этом месяце Уль­брихт дал свое пер­вое с 2013 года интервью, пооб­щавшись по телефо­ну с жур­налис­тами Bitcoin Magazine. В основном раз­говор зат­рагивал крип­товалю­ты, за раз­вити­ем которых Уль­брихт наб­люда­ет из тюрь­мы, но так­же беседа кос­нулась и Silk Road.

«Я думал, что с помощью бит­кой­на смо­гу поп­робовать и сде­лать что‑то, что дей­стви­тель­но изме­нит мир. Но тог­да я был нетер­пелив. Я пог­нался за сво­ей пер­вой иде­ей, которой был Silk Road… 26-лет­ний парень, который дума­ет, что он дол­жен спас­ти мир, пока кто‑нибудь его не опе­редил. Я понятия не имел, что Silk Road сра­бота­ет, но теперь мы все зна­ем, что он при­жил­ся. И его исполь­зовали для про­дажи нар­котиков, а теперь я в тюрь­ме.

Иро­ния ситу­ации в том, что я соз­дал Silk Road, потому что думал, что таким обра­зом прод­вигаю небез­различ­ные мне вещи: сво­боду, кон­фиден­циаль­ность, равенс­тво. Одна­ко, соз­дав Silk Road, я ока­зал­ся в мес­те, где все­го это­го не сущес­тву­ет»

— из интервью Уль­брих­та

Аресты, связанные с Clop

В середи­не июня 2021 года в резуль­тате сов­мес­тной опе­рации, про­веден­ной при содей­ствии и коор­динации Интерпо­ла пра­воох­ранитель­ными орга­нами США, Укра­ины и Южной Кореи, были задер­жаны шес­теро подоз­рева­емых, каким‑то обра­зом свя­зан­ных с шиф­роваль­щиком Clop. К сожале­нию, это мало пов­лияло на «работу» груп­пиров­ки.

Ук­раин­ские полицей­ские сооб­щали, что про­вели 21 обыск в сто­лице стра­ны и Киев­ской области, в домах фигуран­тов и в их авто­моби­лях. В резуль­тате были изъ­яты: компь­ютер­ная тех­ника, машины (Tesla, Mercedes и Lexus) и око­ло 5 мил­лионов гри­вен налич­ными (при­мер­но 13 400 000 руб­лей), которые, по мне­нию влас­тей, были получе­ны от жертв в качес­тве выкупов. На иму­щес­тво подоз­рева­емых наложи­ли арест.

Ис­точни­ки, близ­кие к рас­сле­дова­нию, сооб­щили СМИ, что южно­корей­ская полиция начала рас­сле­дова­ние в отно­шении хакеров в прош­лом году, пос­ле того как груп­пиров­ка ата­кова­ла сеть южно­корей­ско­го e-commerce-гиган­та E-Land в нояб­ре 2020 года. Из‑за этой ата­ки корей­ская ком­пания зак­рыла поч­ти все свои магази­ны.

При этом, по информа­ции ИБ‑ком­пании Intel 471, укра­инские влас­ти арес­товали людей, которые были при­час­тны толь­ко к отмы­ванию денег для опе­рато­ров Clop, тог­да как основные чле­ны хак‑груп­пы, ско­рее все­го, находят­ся в Рос­сии.

«Рей­ды пра­воох­ранитель­ных орга­нов в Укра­ине, свя­зан­ные с прог­раммой‑вымога­телем CLOP, свя­заны лишь с выводом/отмы­вани­ем денег для „биз­неса“ CLOP. Мы не счи­таем, что кто‑то из основных учас­тни­ков CLOP задер­жан, и полага­ем, что они, веро­ятно, живут в Рос­сии, — сооб­щали экспер­ты. — Мы ожи­даем, что вли­яние [этой опе­рации на работу] CLOP будет нез­начитель­ным, хотя вни­мание пра­воох­ранитель­ных орга­нов может при­вес­ти к тому, что [хакеры] отка­жут­ся от брен­да CLOP, что мы недав­но наб­людали в слу­чае с дру­гими вымога­тель­ски­ми груп­пами, такими как DarkSide и Babuk».

Крип­товалют­ная бир­жа Binance сооб­щила, что при­нима­ла учас­тие в опе­рации пра­воох­раните­лей и помог­ла иден­тифици­ровать прес­тупни­ков.

Пред­ста­вите­ли бир­жи рас­ска­зали, что отсле­жива­ли груп­пиров­ку FANCYCAT, которая занима­ется раз­личной кри­миналь­ной деятель­ностью, вклю­чая управле­ние «высоко­рис­ковым» крип­товалют­ным обменни­ком. Эта груп­па отмы­вала день­ги для таких вымога­телей, как Clop и Petya, и в целом ответс­твен­на за ущерб на сум­му более 500 мил­лионов дол­ларов, свя­зан­ный с шиф­роваль­щиками, а так­же отмы­ла мил­лионы дол­ларов для дру­гих хакеров.

Binance утвер­жда­ет, что обна­ружи­ла FANCYCAT сов­мес­тно с фир­мами TRM Labs и Crystal (BitFury), занима­ющи­мися блок­чейн‑ана­лизом, а затем переда­ла всю соб­ранную информа­цию пра­воох­ранитель­ным орга­нам, что и при­вело к арес­ту груп­пы в начале месяца.

Хо­тя пос­ле арес­тов «работа» Clop была при­оста­нов­лена при­мер­но на неделю, в ито­ге вымога­тели вновь акти­визи­рова­лись и в кон­це месяца опуб­ликова­ли на сво­ем сай­те в дар­кне­те дан­ные о двух новых жер­твах.

Доступы на продажу

Эк­спер­ты Positive Technologies про­ана­лизи­рова­ли, как раз­вивал­ся рынок дос­тупов в 2020 году и начале 2021 года, и обна­ружи­ли, что за это вре­мя количес­тво объ­явле­ний о про­даже дос­тупов уве­личи­лось более чем в семь раз.

• Толь­ко в пер­вом квар­тале 2021 года было обна­руже­но 590 новых объ­явле­ний о про­даже дос­тупа, а это 83% от чис­ла всех пред­ложений в 2020 году.

• По срав­нению с пер­вым квар­талом 2020 года, в пер­вом квар­тале 2021 года количес­тво поль­зовате­лей, раз­меща­ющих объ­явле­ния о про­даже/покуп­ке дос­тупов, а так­же о поис­ках напар­ников, уве­личи­лось в 3 раза.

• В сред­нем ежек­варталь­но про­дают­ся дос­тупы в кор­поратив­ные сети орга­низа­ций на сум­му око­ло 600 000 дол­ларов США. При этом доля «дорогих» дос­тупов (сто­имостью более 5000 дол­ларов США) сок­ратилась в 2 раза. Это может быть следс­тви­ем активно­го учас­тия зло­умыш­ленни­ков‑нович­ков.

• Ча­ще все­го зло­умыш­ленни­ки выс­тавля­ли на про­дажу дос­тупы к ком­пани­ям из сфе­ры услуг (17%), про­мыш­леннос­ти (14%), а так­же учрежде­ниям науки и обра­зова­ния (12%).

Принудительный COVID-трекер

Поль­зовате­ли Android обна­ружи­ли, что на их устрой­ствах без пре­дуп­режде­ния появи­лось при­ложе­ние MassNotify, которое исполь­зует­ся для отсле­жива­ния рас­простра­нения COVID-19 в Мас­сачусет­се. При этом люди не име­ли воз­можнос­ти открыть при­ложе­ние или най­ти его в катало­ге Google Play Store.

Другие статьи в выпуске:

Xakep #267. Эксплуатация ядра

• Содержание выпуска
• Подписка на «Хакер»-60%

Один из поль­зовате­лей в отзы­вах о при­ложе­нии в Google Play Store поделил­ся опы­том:

«При­ложе­ние было тихо уста­нов­лено на телефон моей дочери без сог­ласия или уве­дом­ления. Она не мог­ла уста­новить его сама, так как мы поль­зуем­ся Family Link и все уста­нов­ки при­ложе­ний дол­жны одоб­рять­ся. Я понятия не имею, как они это сде­лали, но это дол­жно было быть свя­зано с Google, или Samsung, или с ними обо­ими»

Еще один поль­зователь заявил:

«Обыч­ные при­ложе­ния не могут прос­то взять и уста­новить сами себя. Я не уве­рен, что здесь про­исхо­дит, но это точ­но нель­зя счи­тать „доб­роволь­ным“. Нам нуж­на информа­ция, народ, и она нуж­на нам сей­час»

Один из читате­лей YCombinator Hacker News свя­зал­ся со служ­бой под­дер­жки MassNotify, и ему отве­тили, что появ­ление при­ложе­ния MassNotify в спис­ке при­ложе­ний озна­чает, что оно уста­нов­лено на устрой­стве, одна­ко при этом оно не обя­затель­но активно.

«Появ­ление MassNotify в спис­ке при­ложе­ний не озна­чает, что MassNotify вклю­чен на вашем телефо­не. Наличие при­ложе­ния прос­то озна­чает, что MassNotify стал дос­тупен в качес­тве опции в нас­трой­ках вашего телефо­на, если вы хотите его вклю­чить. Для получе­ния допол­нитель­ной информа­ции читай­те статью спра­воч­ного цен­тра Google.

Вы можете узнать, акти­вен ли MassNotify, перей­дя в Settings → Google → COVID-19 Exposure Notifications. Перек­лючатель „Исполь­зовать уве­дом­ления“ в вер­хней час­ти стра­ницы покажет вам, акти­вен MassNotify или нет. На этом экра­не вы так­же можете вклю­чить или отклю­чить MassNotify в любое вре­мя», — сооб­щили раз­работ­чики.

Мно­гие поль­зовате­ли отме­чали, что не могут най­ти никаких ико­нок и сле­дов при­ложе­ния, оно не обна­ружи­вает­ся в Google Play Store при зап­росе MassNotify, а потому его не получа­ется уда­лить при­нуди­тель­но. Вмес­то это­го людям при­ходит­ся исполь­зовать для уда­ления пря­мой URL-адрес MassNotify в Google Play Store, где при­ложе­ние исполь­зует имя Exposure Notifications Settings Feature — MA.

Ин­терес­но, что в Google Play Store мож­но най­ти две вер­сии MassNotify. Похоже, одна из них не рас­простра­нялась авто­мати­чес­ки, она име­ла менее 1000 уста­новок и рей­тинг 4,1 звез­ды. Вто­рая вер­сия, отме­чен­ная как v3, уто­пает в негатив­ных отзы­вах (одна звез­да в нас­тоящее вре­мя), и поль­зовате­ли пишут, что при­ложе­ние было авто­мати­чес­ки уста­нов­лено на их устрой­ства, а некото­рые даже подоз­рева­ют, что это мал­варь.

Вско­ре на эту проб­лему обра­тили вни­мание СМИ и поп­росили Google про­ком­менти­ровать ситу­ацию. Вот что пред­ста­вите­ли ком­пании отве­тили жур­налис­там:

«Мы работа­ем с Минис­терс­твом здра­воох­ранения Мас­сачусет­са, что­бы поз­волить поль­зовате­лям акти­виро­вать сис­тему уве­дом­лений о воз­можном зараже­нии пря­мо в нас­трой­ках сво­его Android-телефо­на. Эта фун­кция встро­ена в нас­трой­ки устрой­ства и авто­мати­чес­ки рас­простра­няет­ся через Google Play Store, поэто­му поль­зовате­лям не нуж­но заг­ружать отдель­ное при­ложе­ние.

Уве­дом­ления о зараже­нии COVID-19 вклю­чают­ся толь­ко в том слу­чае, если поль­зователь заранее их акти­виро­вал. Поль­зовате­ли самос­тоятель­но реша­ют, акти­виро­вать ли эту фун­кцию и переда­вать ли информа­цию через сис­тему, что­бы пре­дуп­редить дру­гих о воз­можном рис­ке [зараже­ния]».

Джон Макафи найден мертвым

23 июня 2021 года Джон Макафи был най­ден мер­твым в сво­ей тюрем­ной камере. Осно­ватель ком­пании McAfee, один из пионе­ров в сфе­ре анти­вирус­ного ПО, а в пос­ледние годы извес­тный крип­товалют­ный энту­зиаст, Макафи был арес­тован в Испа­нии осенью 2020 года за укло­нение от упла­ты налогов и наруше­ние закона о цен­ных бумагах.

Сог­ласно обви­нитель­ному зак­лючению Минис­терс­тва юсти­ции США, Макафи не упла­тил налоги на средс­тва, которые зарабо­тал в пери­од с 2014 по 2018 год. Так­же аме­рикан­ское пра­витель­ство заяв­ляло, что Макафи дав­но укло­нял­ся от встреч с налого­выми инспек­торами и пытал­ся скрыть свои акти­вы, вклю­чая нед­вижимость и яхту (как пра­вило, переда­вая пра­ва собс­твен­ности дру­гим людям).

Вес­ной 2021 года аме­рикан­ские влас­ти выд­винули про­тив Макафи ряд новых обви­нений, свя­зан­ных с его активностью в Twitter. Дело в том, что, по дан­ным влас­тей, он зарабо­тал мил­лионы дол­ларов на сво­их мно­гочис­ленных под­писчи­ках, рек­ламируя крип­товалю­ты (и тоже не упла­тил с это­го никаких налогов). Кро­ме того, отме­чалось, что в пос­ледние годы Макафи регуляр­но получал гонора­ры за выс­тупле­ния и кон­суль­тации, а так­же зарабо­тал на про­даже прав на экра­низа­цию исто­рии сво­ей жиз­ни.

К при­меру, по сло­вам сле­дова­телей, мошен­ничес­тво и отмы­вание денег при­нес­ли Макафи более 13 мил­лионов дол­ларов США. Так­же в судеб­ных докумен­тах фигури­ровал и Джим­ми Гейл Уот­сон — млад­ший (Jimmy Gale Watson Jr.), который в пос­ледние годы отве­чал за лич­ную безопас­ность Макафи, а так­же вхо­дил в его «крип­товалют­ную коман­ду».

Офи­циаль­ные лица утвер­жда­ли, что Макафи ута­ивал информа­цию о плат­ных рекомен­даци­ях, которые он регуляр­но давал в Twitter, делая лож­ные заяв­ления на немалую ауди­торию сво­их под­писчи­ков. Так, в 2017–2018 годах Джон Макафи неод­нократ­но прод­вигал в сво­ем Twitter крип­товалют­ные ICO. По сути это была лишь плат­ная рек­лама, о чем Макафи умал­чивал и даже активно отри­цал этот факт, хотя под­писчи­ки регуляр­но спра­шива­ли его об этом. В ито­ге Макафи и его пар­тне­ры зарабо­тали более 11 мил­лионов дол­ларов на такой «рек­ламе», утвер­жда­ло Минис­терс­тво юсти­ции США.

Все это вре­мя Макафи находил­ся под стра­жей в Испа­нии, ожи­дая решения об экс­тра­диции, и толь­ко по «весен­ним» обви­нени­ям ему гро­зило до 30 лет лишения сво­боды. Так как Макафи было уже 75 лет, весь оста­ток жиз­ни ему пред­сто­яло про­вес­ти в тюрь­ме.

Ве­чером 23 июня 2021 года в испан­ских СМИ появи­лись мно­гочис­ленные сооб­щения о том, что Джон Макафи был най­ден мер­твым в сво­ей тюрем­ной камере. Эту информа­цию в ито­ге под­твер­дили в Минис­терс­тве юсти­ции Катало­нии, а так­же адво­каты Макафи.

По дан­ным СМИ, Макафи покон­чил с собой и «его наш­ли повешен­ным в камере». Так­же сто­ит отме­тить, что за нес­коль­ко часов до это­го суд одоб­рил его экс­тра­дицию в США.

Те­перь мно­гие пишут, что Макафи не мог покон­чить с собой. На про­тяже­нии мно­гих лет Макафи заяв­лял, что пра­витель­ство США хочет его убить, и не раз писал в Twitter, что, если его смерть будет пре­под­носить­ся как суицид, это­му не сле­дует верить. В 2019 году он даже пос­вятил это­му одну из сво­их тату­иро­вок.

Бо­лее недав­ний твит, уже написан­ный из тюрь­мы, и вов­се гла­сил: «Знай­те, если я повешусь а‑ля Эпштейн, в этом не будет моей вины».

Apple против сторонних приложений

В 2021 году Евро­комис­сия пред­ложила при­нять два закона для регули­рова­ния работы круп­ных IT-ком­паний: о регули­рова­нии циф­ровых рын­ков (Digital Markets Act) и циф­ровых сер­висов (Digital Services Act). Идея влас­тей сос­тоит в том, что­бы сде­лать плат­формы более откры­тыми для сто­рон­них раз­работ­чиков, а так­же внес­ти боль­ше упо­рядо­чен­ности на рынок онлайн‑рек­ламы.

DMA остро не пон­равил­ся ком­пании Apple, которую, по сути, могут вынудить раз­решить заг­рузку сто­рон­них при­ложе­ний на iPhone (в обход цен­тра­лизо­ван­ного App Store). Пред­ста­вите­ли Apple изло­жили свои аргу­мен­ты про­тив этой ини­циати­вы в 16-стра­нич­ном докумен­те:

«Раз­решение заг­рузки сто­рон­них при­ложе­ний сни­зит безопас­ность плат­формы iOS и под­вер­гнет поль­зовате­лей серь­езным рис­кам не толь­ко в сто­рон­них магази­нах при­ложе­ний, но и в App Store», — заяв­ляют в Apple.

В свою оче­редь, гла­ва Apple Тим Кук сооб­щил жур­налис­там CNBC сле­дующее:

«Если вам нужен при­мер того, почему я не счи­таю, что это дела­ется в наилуч­ших инте­ресах, то текущие фор­мулиров­ки DMA, о которых мы говорим, вынудят [Apple раз­решить] заг­рузку сто­рон­них при­ложе­ний на iPhone. Хотя это было бы аль­тер­натив­ным спо­собом заг­рузки при­ложе­ний на iPhone, по нашему мне­нию, это унич­тожило бы безопас­ность iPhone».

Блокировка VyprVPN и Opera VPN

17 июня 2021 года на сай­те Рос­комнад­зора появи­лось сооб­щение о бло­киров­ке VyprVPN и Opera VPN «в соот­ветс­твии с рег­ламен­том реаги­рова­ния на угро­зы обхо­да огра­ниче­ний дос­тупа к дет­ской пор­ногра­фии, суици­даль­ному, про­нар­котичес­кому и ино­му зап­рещен­ному кон­тенту».

«Дан­ные VPN-сер­висы отне­сены к угро­зам в соот­ветс­твии с Пос­танов­лени­ем Пра­витель­ства РФ от 12 фев­раля № 127.

Ог­раниче­ния не зат­ронут рос­сий­ские ком­пании, исполь­зующие VPN-сер­висы в неп­рерыв­ных тех­нологи­чес­ких про­цес­сах. В «белые спис­ки» вклю­чены более 200 тех­нологи­чес­ких про­цес­сов 130 рос­сий­ских ком­паний. В соот­ветс­твии с рег­ламен­том, ком­пании были про­информи­рова­ны о воз­можнос­ти вклю­чения в «белые спис­ки» 14 мая 2021 года, сооб­щают пред­ста­вите­ли ведомс­тва.

Су­дя по все­му, Рос­комнад­зор опи­рает­ся на закон, который всту­пил в силу в 2017 году. Он обя­зыва­ет ано­нимай­зеры и VPN-сер­висы филь­тро­вать тра­фик и не допус­кать поль­зовате­лей к заб­локиро­ван­ным в РФ сай­там. Спи­сок зап­рещен­ных ресур­сов содер­жится в федераль­ной госин­фор­мсис­теме (ФГИС). В 2019 году ведомс­тво уже нап­равля­ло вла­дель­цам сер­висов Hide My Ass!, NordVPN, Hola VPN, VyprVPN, OpenVPN, ExpressVPN, IPVanish, TorGuard, VPN Unlimited и Kaspersky Secure Connection тре­бова­ние о необ­ходимос­ти под­клю­чения к ФГИС.

Жур­налис­ты Рос­ком­сво­боды отме­чали, что речь в сооб­щении регуля­тора так­же может идти о прош­логод­нем пос­танов­лении каб­мина, в котором к угро­зам безопас­ности фун­кци­они­рова­ния сети «Интернет» и сети свя­зи обще­го поль­зования на тер­ритории Рос­сии, помимо про­чего, были отне­сены «угро­зы пре­дос­тавле­ния дос­тупа к информа­ции или информа­цион­ным ресур­сам в сети „Интернет“, дос­туп к которым под­лежит огра­ниче­нию в свя­зи с законо­датель­ством Рос­сий­ской Федера­ции».

Меж­ду тем раз­работ­чики бра­узе­ра Opera, в который интегри­рован Opera VPN, уже сооб­щили, что при­оста­нови­ли под­дер­жку VPN-сер­висов на тер­ритории Рос­сии.

«Ком­пания Opera стре­мит­ся пре­дос­тавить сво­им рос­сий­ским поль­зовате­лям пре­вос­ходный опыт исполь­зования бра­узе­ров. Мы решили при­оста­новить под­дер­жку сер­висов VPN в наших бра­узе­рах на тер­ритории РФ в той фор­ме, в которой она ока­зыва­лась ранее», — про­ком­менти­рова­ла стар­ший менед­жер по свя­зям с общес­твен­ностью ком­пании Opera Юлия Син­дзе­лорц.

Фишинговый антирекорд

Ин­терес­ный док­лад пред­ста­вила отрасле­вая коали­ция по борь­бе с фишин­гом — APWG, в которую вхо­дят более 2200 орга­низа­ций из сек­тора безопас­ности, пра­витель­ства, пра­воох­ранитель­ные орга­ны и неп­равитель­ствен­ные орга­низа­ции, а так­же извес­тные ком­пании, вклю­чая Microsoft, Facebook, PayPal, ICANN, AT&T, Cloudflare, Cisco, Salesforce, RSA, Verisign, ESET, McAfee, Avast, Symantec, Trend Micro. По дан­ным APWG, количес­тво активных фишин­говых сай­тов дос­тигло рекор­да в янва­ре 2021 года.

• В янва­ре 2021 года был обна­ружен 245 771 фишин­говый сайт, и это худ­ший резуль­тат за всю исто­рию наб­людений.

• Хо­тя в фев­рале количес­тво фишин­говых сай­тов сни­зилось, в мар­те оно сно­ва пре­выси­ло 200 000, а это дела­ет март чет­вертым худ­шим месяцем за всю исто­рию отче­тов APWG.

• Боль­ше все­го таких атак приш­лось на фи­нан­совый сек­тор (поч­ти чет­верть всех попыток фишин­га). Далее сле­дуют со­циаль­ные сети и SAAS.

• 83% фишин­говых сай­тов, замечен­ных в пер­вом квар­тале 2020 года, исполь­зовали HTTP-соеди­нения.

Фальшивые Ledger

По­хоже, раз­бра­сыва­ние фле­шек на пар­ковках уже уста­рело — теперь прес­тупни­ки сра­зу при­сыла­ют вре­донос­ные гад­жеты по поч­те.

В середи­не месяца жур­налис­ты Bleeping Computer пре­дуп­редили, что поль­зовате­ли получа­ют по поч­те фаль­шивые крип­товалют­ные кошель­ки Ledger, которые зло­умыш­ленни­ки при­сыла­ют жер­твам от лица ком­пании, яко­бы для замены ста­рых устрой­ств «в целях безопас­ности».

Фо­тог­рафи­ями одной из таких под­делок, фаль­шивым Ledger Nano X, один из пос­тра­дав­ших поделил­ся на Reddit. Устрой­ство приш­ло в брен­дирован­ной упа­ков­ке и соп­ровож­далось пло­хо написан­ным пись­мом, гла­сящим, что устрой­ство отправ­лено поль­зовате­лю для замены текуще­го кошель­ка, который более не безопа­сен, так как информа­ция о кли­ентах ком­пании утек­ла в сеть и была опуб­ликова­на на хакер­ском форуме RaidForum.

«В целях безопас­ности мы отпра­вили вам новое устрой­ство, на которое вы дол­жны перей­ти, что­бы оста­вать­ся в безопас­ности. В короб­ке есть руководс­тво, которое вы можете про­читать, что­бы узнать, как нас­тро­ить новое устрой­ство», — гла­сило пос­лание мошен­ников.

Хо­тя пись­мо написа­но с ошиб­ками и, воз­можно, англий­ский язык не явля­ется род­ным для его авто­ра, утеч­ка дан­ных, на которую ссы­лают­ся мошен­ники, дей­стви­тель­но име­ла мес­то. В декаб­ре 2020 года дан­ные 272 853 человек, при­обре­тав­ших устрой­ства Ledger, дей­стви­тель­но по­яви­лись на RaidForums.

Са­ма утеч­ка про­изош­ла еще летом 2020 года, ког­да пос­торон­ний получил дос­туп к мар­кетин­говой базе ком­пании. Извес­тно, что ском­про­мети­рован­ная база дан­ных исполь­зовалась для отправ­ки под­твержде­ний заказов и рек­ламных писем и в основном сос­тояла из email-адре­сов, но так­же вклю­чала кон­так­тные дан­ные и све­дения о заказах, в том чис­ле име­на и фамилии, поч­товые адре­са, адре­са элек­трон­ной поч­ты и номера телефо­нов.

Так как получив­ший фаль­шив­ку поль­зователь заподоз­рил под­вох, он разоб­рал прис­ланный Ledger Nano X и опуб­ликовал фотог­рафии стран­ного устрой­ства на Reddit. В срав­нении с нас­тоящим кошель­ком вид­но, что мошен­ничес­кая вер­сия была модифи­циро­вана.

ИБ‑эксперт Майк Гро­вер, так­же извес­тный под ником _MG_, сооб­щил жур­налис­там, что зло­умыш­ленни­ки явно добави­ли к кошель­ку флеш­ку и под­клю­чили ее к USB:

«Похоже, это прос­то флеш­ка, прик­реплен­ная к Ledger с целью дос­тавки какого‑то вре­донос­ного ПО. Все ком­понен­ты находят­ся на дру­гой сто­роне, поэто­му я не могу под­твер­дить, что туда встро­ено ТОЛЬ­КО запоми­нающее устрой­ство, но... Судя по пай­ке, которая выда­ет нович­ка, ско­рее все­го, это лишь готовая мини‑флеш­ка без кор­пуса».

Как мож­но заметить выше, для наг­ляднос­ти Гро­вер выделил на фото имплант, под­клю­чен­ный к USB, крас­ным цве­том.

В руководс­тве к фаль­шивому устрой­ству жер­тве пред­лагали под­клю­чить такой девайс к компь­юте­ру, открыть появив­ший­ся диск и запус­тить при­ложе­ние, которое шло в ком­плек­те. Затем человек дол­жен был ввес­ти фра­зу вос­ста­нов­ления Ledger, что­бы импорти­ровать кошелек на новое устрой­ство.

Лю­бой человек, кому извес­тна эта фра­за, может импорти­ровать кошелек и получить дос­туп к содер­жащей­ся в нем крип­товалю­те. Поэто­му пос­ле вво­да фра­зы вос­ста­нов­ления она отправ­лялась зло­умыш­ленни­кам, которые таким обра­зом мог­ли воровать чужие средс­тва.

Нуж­но отме­тить, что раз­работ­чикам Ledger извес­тно об этой мошен­ничес­кой схе­ме: в мае 2021 года ком­пания пре­дуп­редила о ней поль­зовате­лей. Раз­работ­чики в оче­ред­ной раз под­черки­вали, что фра­зу для вос­ста­нов­ления нель­зя сооб­щать никому и никог­да, она дол­жна вво­дить­ся лишь непос­редс­твен­но на устрой­стве Ledger, которое нуж­но вос­ста­новить. Если устрой­ство не поз­воля­ет ввес­ти фра­зу нап­рямую, нуж­но исполь­зовать толь­ко офи­циаль­ное при­ложе­ние Ledger Live, заг­ружен­ное непос­редс­твен­но с Ledger.com.

55-летняя разработчица TrickBot

Ми­нис­терс­тво юсти­ции США сооб­щило о предъ­явле­нии обви­нений 55-лет­ней граж­данке Лат­вии Алле Вит­те (Alla Witte). Счи­тает­ся, что жен­щина вхо­дила в коман­ду раз­работ­чиков мал­вари TrickBot, где писала код для управле­ния вре­доно­сом и раз­верты­вания вымога­теля на заражен­ных машинах.

Как ста­ло извес­тно теперь, Вит­те была арес­тована еще 6 фев­раля 2021 года в Май­ами, Фло­рида. По дан­ным следс­твия, в сети жен­щина была извес­тна под ником Max и сот­рудни­чала с соз­дателя­ми TrickBot с самого начала, то есть с нояб­ря 2015 года (ког­да остатки хак‑груп­пы Dyre соз­дали новую вер­сию одно­имен­ной мал­вари, а затем пере­име­нова­ли ее в TrickBot).

Сог­ласно судеб­ным докумен­там, Вит­те — одна из 17 воз­можных раз­работ­чиков TrickBot. Пра­воох­раните­ли счи­тают, что Вит­те отве­чала за сле­дующие аспекты мал­вари: соз­дание кода, свя­зан­ного с монито­рин­гом и отсле­жива­нием авто­ризо­ван­ных поль­зовате­лей TrickBot, кон­троль и раз­верты­вание вымога­теля, получе­ние пла­тежей от жертв, раз­работ­ка инс­тру­мен­тов и про­токо­лов для хра­нения укра­ден­ных учет­ных дан­ных.

Вит­те — пер­вый человек, арес­тован­ный за учас­тие в раз­работ­ке TrickBot. Влас­ти США заяв­ляют, что дру­гие подоз­рева­емые еще находят­ся на сво­боде в Рос­сии, Белару­си, Укра­ине и Сурина­ме.

Жен­щине предъ­яви­ли обви­нения по 19 пун­ктам, а ИБ‑сооб­щес­тво обсужда­ет, что Вит­те, похоже, не слиш­ком стре­милась скрыть свою лич­ность и даже раз­мещала на лич­ном сай­те вер­сии TrickBot, находя­щиеся в раз­работ­ке.

Интернет как NTF

«Отец» интерне­та, сэр Тим Бер­нерс‑Ли выс­тавил исходный код веба на аук­цион Sotheby’s в виде нев­заимо­заме­няемо­го токена (NFT), в который вош­ли фай­лы поч­ти с 10 тысяча­ми строк кода, «ани­миро­ван­ная визу­али­зация» это­го кода и ком­мента­рии авто­ра.

В сущ­ности, это ста­нет пер­вым слу­чаем, ког­да Бер­нерс‑Ли нап­рямую получит какую‑то выгоду от одно­го из величай­ших изоб­ретений сов­ремен­ности, и выручен­ные средс­тва пой­дут на реали­зацию ини­циатив, которые под­держи­вают он сам и его суп­руга Роз­мари.

«Три десяти­летия назад я соз­дал неч­то, что ста­ло мощ­ным инс­тру­мен­том для все­го челове­чес­тва, при пос­леду­ющей помощи огромно­го чис­ла соав­торов по все­му миру. Для меня луч­шее в интерне­те — это дух сот­рудни­чес­тва. Хотя я не делаю прог­нозов отно­ситель­но будуще­го, искрен­не наде­юсь, что исполь­зование интерне­та, его зна­ний и потен­циала оста­нет­ся откры­тым и дос­тупным для всех нас, что­бы мы про­дол­жали внед­рять нов­шес­тва, соз­давать и запус­кать сле­дующие тех­нологи­чес­кие пре­обра­зова­ния, которые пока даже не можем себе пред­ста­вить.

NFT, будь это про­изве­дения искусс­тва или подоб­ные циф­ровые арте­фак­ты, явля­ются пос­ледни­ми шут­ливыми воп­лощени­ями дан­ной области и пред­став­ляют собой наибо­лее под­ходящее пра­во собс­твен­ности из всех сущес­тву­ющих. Это иде­аль­ный спо­соб упа­ковать исто­ки интерне­та»

— объ­ясня­ет Тим Бер­нерс‑Ли

Малварь в профилях Steam

Ана­лити­ки ком­пании G Data рас­ска­зали о вре­доно­се SteamHide, опе­рато­ры которо­го пря­чут мал­варь в метадан­ных изоб­ражений в про­филях Steam.

Впер­вые стран­ные кар­тинки в Steam заметил ИБ‑иссле­дова­тель Miltinhoc, рас­ска­зав­ший о сво­ей наход­ке в Twitter в кон­це мая 2021 года.

Ис­сле­дова­тели G Data пишут, что на пер­вый взгляд такие кар­тинки неопас­ны. Стан­дар­тные EXIF-инс­тру­мен­ты не обна­ружи­вают в них ничего подоз­ритель­ного, раз­ве что пре­дуп­режда­ют о том, что дли­на дан­ных в ICC-про­филе некор­рек­тна.

Од­нако на самом деле вмес­то ICC-про­филя (который обыч­но исполь­зует­ся для отоб­ражения цве­тов на внеш­них устрой­ствах, нап­ример прин­терах) такие изоб­ражения содер­жат мал­варь в зашиф­рован­ном виде (внут­ри зна­чения PropertyTagICCProfile).

В целом сок­рытие мал­вари в метадан­ных изоб­ражений — это вов­се не новое явле­ние, приз­нают иссле­дова­тели. Одна­ко исполь­зование круп­ной игро­вой плат­формы, такой как Steam, для раз­мещения вре­донос­ных кар­тинок сущес­твен­но усложня­ет ситу­ацию. Зло­умыш­ленни­ки получа­ют воз­можность в любой момент заменить вре­донос­ную прог­рамму с такой же лег­костью, с которой меня­ется файл изоб­ражения в про­филе.

При этом Steam прос­то слу­жит для хакеров средс­твом и исполь­зует­ся для раз­мещения мал­вари. Вся основная работа, свя­зан­ная с заг­рузкой, рас­паков­кой и выпол­нени­ем такой полез­ной наг­рузки, выпол­няет­ся внеш­ним ком­понен­том, который обра­щает­ся к изоб­ражению из про­филя Steam. Такую полез­ную наг­рузку мож­но рас­простра­нять и обыч­ными спо­соба­ми, в элек­трон­ных пись­мах или через взло­ман­ные сай­ты.

Эк­спер­ты под­черки­вают, что сами изоб­ражения из про­филей Steam не явля­ются ни «зараз­ными», ни исполня­емы­ми. Они пред­став­ляют собой лишь средс­тво для перено­са фак­тичес­кой мал­вари, для извле­чения которой нуж­на вто­рая вре­донос­ная прог­рамма.

Вто­рой вре­донос, о котором идет речь, был най­ден на VirusTotal и пред­став­ляет собой заг­рузчик. Он име­ет жес­тко закоди­рован­ный пароль {PjlD \\ bzxS #; 8 @ \\ x.3JT & <4 ^ MsTqE0 и исполь­зует TripleDES для дешиф­рования пей­лоадов из кар­тинок.

В сис­теме жер­твы мал­варь SteamHide сна­чала зап­рашива­ет Win32_DiskDrive для VMware и VBox и завер­шает работу, если они сущес­тву­ют. Затем вре­донос про­веря­ет, есть ли у него пра­ва адми­нис­тра­тора, и пыта­ется повысить при­виле­гии с помощью cmstp.exe.

При пер­вом запус­ке он копиру­ет себя в пап­ку LOCALAPPDATA, исполь­зуя имя и рас­ширение, ука­зан­ные в кон­фигура­ции. SteamHide зак­репля­ется в сис­теме, соз­давая в реес­тре сле­дующий ключ: \Software\Microsoft\Windows\CurrentVersion\Run\BroMal.

IP-адрес управля­юще­го сер­вера SteamHides хра­нит на Pastebin, а обновлять­ся может через опре­делен­ный про­филь Steam. Как и заг­рузчик, он извле­кает исполня­емый файл из PropertyTagICCProfile. При­чем кон­фигура­ция поз­воля­ет ему изме­нять ID свой­ства изоб­ражения и стро­ку поис­ка, то есть в будущем для сок­рытия мал­вари в Steam могут исполь­зовать­ся дру­гие парамет­ры изоб­ражения.

По­ка SteamHide не име­ет какой‑либо дру­гой фун­кци­ональ­нос­ти и, похоже, мал­варь еще находит­ся в раз­работ­ке: иссле­дова­тели наш­ли нес­коль­ко сег­ментов кода, которые на дан­ный момент не исполь­зуют­ся. К при­меру, вре­донос узна­ет, уста­нов­лен ли Teams, про­веряя наличие SquirrelTemp\SquirrelSetup.log, но пос­ле с этой информа­цией ничего не про­исхо­дит. Воз­можно, это нуж­но для про­вер­ки уста­нов­ленных при­ложе­ний в заражен­ной сис­теме, что­бы поз­же их мож­но было ата­ковать.

Так­же спе­циалис­ты обна­ружи­ли заг­лушку ChangeHash(). Похоже, раз­работ­чик мал­вари пла­ниру­ет добавить полимор­физм в сле­дующие вер­сии. Еще мал­варь уме­ет отправ­лять зап­росы в Twitter, что в будущем может исполь­зовать­ся для получе­ния команд через Twitter, либо вре­донос смо­жет дей­ство­вать как Twitter-бот.

Отказ от урезания URL

Эк­спе­римент Google, в рам­ках которо­го из адресной стро­ки Chrome скры­вали час­ти URL-адре­сов, окон­чатель­но про­валил­ся и был завер­шен.

В пос­ледние годы раз­работ­чики Chrome не раз воз­вра­щались к этой теме. К при­меру, еще в 2018 году они пытались в оче­ред­ной раз сде­лать интерфейс бра­узе­ра про­ще и удоб­нее, отка­зав­шись от «слож­ных и ненуж­ных» час­тей URL, которые лишь запуты­вают поль­зовате­лей. Так, по мне­нию раз­работ­чиков, чте­ние URL-адре­сов усложня­ли отоб­ража­ющиеся в стро­ке адре­са мобиль­ные под­домены, WWW и про­чие эле­мен­ты. Яко­бы людям слож­но понять, какой имен­но час­ти адре­са нуж­но доверять и уде­лять вни­мание, чем, в час­тнос­ти, поль­зуют­ся фишеры и дру­гие прес­тупни­ки.

По­доб­ное «упро­щение» не пон­равилось мно­гим само по себе, но спе­циалис­ты так­же обна­ружи­ли мно­жес­тво багов, свя­зан­ных с реали­заци­ей новой фун­кци­ональ­нос­ти. Нап­ример, subdomain.www.domain.com не дол­жен прев­ращать­ся в subdomain.domain.com, а http://www.example.www.example.com не дол­жен схла­пывать­ся до example.example.com, одна­ко про­исхо­дило имен­но это.

С июня 2020 года по июнь 2021 года спе­циалис­ты Google про­води­ли оче­ред­ную фазу это­го экспе­римен­та. На стра­ницу парамет­ров chrome://flags добави­ли ряд парамет­ров, пос­ле вклю­чения которых в адресной стро­ке отоб­ражалось толь­ко основное домен­ное имя сай­та.

Обос­новани­ем для это­го экспе­римен­та вновь ста­ло то, что, по мне­нию экспер­тов Google, отоб­ражение пол­ных URL-адре­сов меша­ет поль­зовате­лям раз­личать легитим­ные и вре­донос­ные сай­ты, мно­гие из которых исполь­зуют слож­ные и длин­ные URL-адре­са в попыт­ках запутать жертв. Если поль­зовате­ли хотели уви­деть пол­ную ссыл­ку, они мог­ли клик­нуть или навес­ти ука­затель на адресную стро­ку Chrome.

Как и в прош­лые годы, экспе­римент не удал­ся, выз­вав вол­ну кри­тики как ИБ‑экспер­тов, так и обыч­ных поль­зовате­лей, которые час­то жалова­лись, если Google мол­ча акти­виро­вала новов­ведение в избран­ных бра­узе­рах для сбо­ра ста­тис­тики.

Те­перь экспе­римент офи­циаль­но закон­чен, и упро­щен­ные парамет­ры отоб­ражения доменов уда­лены из всех вер­сий Chrome, вклю­чая ста­биль­ную, бета‑вер­сию и Canary.

«Дан­ный экспе­римент не пов­лиял на соот­ветс­тву­ющие показа­тели безопас­ности, поэто­му мы не собира­емся запус­кать [эти изме­нения на пос­тоян­ной осно­ве]», — пишет Эми­ли Старк, инже­нер по безопас­ности Chrome и одна из основных сто­рон­ниц идеи упро­щения URL-адре­сов.