Хакеры, взломы, вирусы ..

[Толян]

Хакеры прогрозили семье Обамы в Twitter журнала Newsweek

Хакеры взломали аккаунт в Twitte американского журнала Newsweek и разместили на нем угрозы в адрес семьи президента США Барака Обамы. Об этом сообщили местные СМИ.

На заставке хакеры разместили фото с подписью «Je suis IS». В одной из публикаций говорится, что атаки хакеров на сайт Пентагона будут продолжены.

В микроблоге хакеры пожелали «кровавого дня святого Валентина» Мишель Обаме, приписав, что они следят за ней самой, ее дочерьми и президентом США Бараком Обамой.

Кроме того, в твиттере были опубликованы документы, относящиеся к деятельности академии киберраследований DCITA, сотрудничающей с министерством обороны и другими силовыми ведомствами США.

Через несколько минут после взлома опубликованные хакерами твиты были удалены.

Нападение на сайт журнала было совершено группой, именующей себя "Киберхалифат" (Cyber Caliphate).

Расследованием взлома твиттера Newsweek займется ФБР, сообщает Reuters со ссылкой представителя Белого дома Джоша Эрнеста.

 

[Толян]

Trend Micro: Спамеры активно эксплуатируют тематику Дня святого Валентина во вредоносных рассылках

Спамеры начали активно эксплуатировать тематику Дня святого Валентина в рассылаемых ими письмах. Об этом сообщает издание Infosecurity Magazine со ссылкой на эксклюзивный материал от Trend Micro.

По данным специалистов компании, на протяжении одного дня было зафиксировано по меньшей мере 8 млн образцов вредоносных писем, эксплуатирующих тематику Дня святого Валентина. Отметим, что в некоторых сообщениях даже не указывалось название праздника – это означает, что мошенники используют более сложные методики рассылки, пытаясь избежать срабатывания спам-фильтров или антивирусов.
Вредоносная рассылка осуществляется с территории нескольких государств. По данным Trend Micro, более 12% «праздничного» спама было отправлено с территории Ирана. Пятерку «лидеров» по рассылке вредоносных сообщений замыкают США, Вьетнам, Испания и Аргентина.
Еще более угрожающей выглядела ситуация в социальных сетях. Как сообщает технический директор Blue Coat Хью Томпсон, праздник позволил злоумышленникам осуществить атаки на своих жертв якобы от имени их бывших пассий. Томпсон предупредил, что следует быть осторожным, получая сообщения от подобных контактов.
Вместе с этим пользователи сталкиваются с другими видами мошенничества, связанного с «любовной» темой. По словам Томпсона, британское Агентство по борьбе с организованной преступностью (Organized Crime Agency, OCA) заявляет, что по меньшей мере 2% населения Англии пострадало от подобного спама. Также жертвам часто приходят письма от вымышленных благотворительных фондов, влюбленных пар, якобы открывающих общий банковский счет и так далее.

 

[Volek]

«Доктор Веб» зафиксировал возвращение опасного трояна для Mac OS X

Специалисты компании «Доктор Веб» исследовали новую версию трояна-бэкдора для операционной системы Mac OS X, получившего наименование Mac.BackDoor.OpinionSpy.3.

Данная вредоносная программа предназначена для шпионажа за пользователями «маков»: она может собирать и передавать злоумышленникам сведения об открываемых в окне браузера веб-страницах, анализировать трафик, проходящий через сетевую карту компьютера, перехватывать сетевые пакеты, отправляемые программами для мгновенного обмена сообщениями, и выполнять некоторые другие опасные функции, сообщили сегодня в «Доктор Веб».

Семейство троянов Mac.BackDoor.OpinionSpy известно специалистам по информационной безопасности еще с 2010 г., однако недавно в вирусную лабораторию «Доктор Веб» попал новый экземпляр данной вредоносной программы. Эта версия бэкдора получила наименование Mac.BackDoor.OpinionSpy.3. Для своего распространения зловред использует трехступенчатую схему. На различных сайтах, предлагающих всевозможное ПО для Mac OS X, появляются с виду безобидные программы, в составе дистрибутивов которых, тем не менее, присутствует файл poinstall, запускаемый инсталлятором в процессе установки. Если во время инсталляции загруженного с такого сайта приложения пользователь соглашается предоставить ему права администратора, poinstall отправляет на сервер злоумышленников серию POST-запросов, а в ответ получает ссылку для скачивания пакета с расширением .osa, внутри которого располагается ZIP-архив. Рoinstall распаковывает этот архив, извлекая исполняемый файл с именем PremierOpinion и XML-файл с необходимыми для его работы конфигурационными данными, после чего запускает эту программу.

[spoil]Запустившись на атакуемом «маке», PremierOpinion также связывается с управляющим сервером и получает от него ссылку на скачивание еще одного .osa-пакета, из которого извлекается и устанавливается полноценное приложение с таким же названием — PremierOpinion. Это приложение содержит несколько исполняемых файлов: собственно программу PremierOpinion, в которой отсутствует какой-либо вредоносный функционал, и бэкдор PremierOpinionD, реализующий опасные для пользователя Mаc OS Х возможности.

Троян получает администраторские права в процессе установки и работает в системе с привилегиями администратора. При этом если на начальном этапе инсталляции выбрать в окне программы установки вариант «I Disagree», на компьютер будет помещена только программа, которую пользователь скачивал из интернета без каких-либо дополнительных шпионских компонентов, указали в «Доктор Веб». Соответственно, если пользователь выберет вариант «I Agree», помимо скачанного им приложения, на компьютер будет установлена программа PremierOpinion, значок которой появится в командной панели и списке установленных приложений.

Интерфейс программы PremierOpinion достаточно лаконичен. По щелчку мышью на значке приложения в командной панели запускается браузер, в окне которого открывается веб-страница с описанием приложения PremierOpinion, позиционируемого как утилита для проведения маркетинговых исследований. Однако на сайте разработчика не сообщается, что она собирает и передает на удаленный сервер информацию о компьютере Apple, на котором работает это приложение.

Разработчики утверждают, что программа PremierOpinion будет следить за историей покупок пользователя и время от времени станет предлагать ему принять участие в маркетинговом исследовании, для чего необходимо будет ответить на ряд вопросов специальной анкеты. Фактически же функциональные возможности Mac.BackDoor.OpinionSpy.3 намного шире заявленных и определяются получаемыми с управляющего сервера конфигурационными файлами. Троян устанавливается в папку /Library/LaunchDaemons/, благодаря чему обеспечивается его автоматический запуск при отказе программы или перезагрузке системы, рассказали в компании.

Затем Mac.BackDoor.OpinionSpy.3 устанавливает в браузеры Google Chrome и Mozilla Firefox специальное расширение, отслеживающее активность пользователя, и передает на управляющий сервер сведения о посещенных им сайтах (данные собираются по определенному набору правил), открываемых вкладках и ссылках, по которым осуществлялся переход. Помимо этого, Mac.BackDoor.OpinionSpy.3 встраивает собственную библиотеку в процессы браузеров и приложение iChat с целью перехвата некоторых функций работы с сетью, а также осуществляет мониторинг трафика, передаваемого через сетевую карту компьютера Apple. На всех доступных Ethernet-интерфейсах отслеживаются HTTP-пакеты, трафик клиентов для обмена мгновенными сообщениями (Microsoft Messenger, Yahoo! Messenger, AIM, iChat), RTMP-трафик.

Отдельный модуль трояна позволяет осуществлять сканирование жесткого диска и всех смонтированных в системе носителей, выполнять поиск файлов, соответствующих заданному вирусописателями правилу, и отправлять информацию об этих файлах на удаленный сервер. Также троянская программа отсылает злоумышленникам сведения об инфицированном компьютере, включая данные об аппаратной конфигурации, список запущенных процессов и т.д. Троян способен устанавливать собственные обновления незаметно для пользователя, скачивая их с управляющего сервера. Следует отметить, что в браузере Safari Mac.BackDoor.OpinionSpy.3 нарушает работу модуля его локализации.

При обмене информацией с управляющим сервером часть данных троян шифрует, часть — передает в открытом виде. Помимо прочего, Mac.BackDoor.OpinionSpy.3 может собирать и передавать злоумышленникам сведения о видеофайлах, просмотренных пользователем.

Сигнатура данной вредоносной программы добавлена в вирусную базу Dr.Web. Пользователям компьютеров, работающих под управлением Mac OS X, в «Доктор Веб» рекомендуют с осторожностью относиться к приложениям, загруженным из интернета.[/spoil]

 

[Толян]

На выходных "Дождь" снова атаковали хакеры

Qrator Labs сообщил о том, что сумел нейтрализовать длительную комбинированную DDoS-атаку на сайт телеканала «Дождь» (tvrain.ru), которая продолжалась в течение выходных. Защита все-таки позволила сайту продолжить работать в нормальном режиме.

Сайт «Дождя» атакуется достаточно регулярно.Так, предыдущая атака была зафиксирована 4 февраля 2015 года. Очередная DDoS-атака с использованием технологии NTP-amplification началась в субботу 28 февраля 2015 г. в 19.30 и закончилась утром 2 марта 2015 г. Пиковая скорость 1 марта 2015 г. составила 45 Гбит/с. Анализ IP-адресов показал, что она велась из Тайваня, Китая, Бразилии и России.
Через некоторое время к ней добавилась атака прикладного. Для ее проведения был задействован ботнет из 24 тыс. зараженных машин. На этот раз атака велась с территории Казахстана, Израиля, России и Латвии. Благодаря вовремя организованной защите со стороны Qrator, данная атака не возымела эффекта, поэтому через 25 минут была прекращена.
«Мы предоставляем свои инструменты противодействия атакам всем компаниям, которые ведут легальную деятельность. СМИ — одна из самых крупных категорий клиентов Qrator Labs. Мы видим рост числа атак на средства массовой информации, независимо от их политической ориентации», — пояснил руководитель Qrator labs Александр Лямин.
Комментарий руководителя интернет-редакции телеканала Дождь Елены Кирюшиной: «На этих выходных мы освещали убийство Бориса Немцова и ожидали, что не можем остаться без «внимания». Мы знаем, что DDoS-атаки практически всегда связаны с громкими событиями, и не раз убеждались в этом на своей практике. Сайт телеканала выдерживал мощные атаки и ранее, самая серьезная волна была в августе-сентябре 2013 г. — во время выборов мэра Москвы».

 

[Серый]

В России 64 % пользователей Интернета подвергались атакам хакеров

Россия. 8 марта. Letnews.ru – В России более половины пользователей сети Интернет когда-либо подвергались атакам со стороны киберзлоумышленников.В ходе исследования, проведенного Mail.Ru Group совместно с аналитическим центром Nielsen, было установлено, что атакам хакеров подвергались 64 процента пользователей Рунента. Несложно догадаться, что проведенное исследование касалось вопросов кибербезопасности.

Сообщается, что участие в исследовании принимали 1738 человек. В опросе были задействованы представители различных возрастных групп – от 15-ти до 64-х лет.

Также в ходе исследования было установлено, что многие пользователи сети Интернет не уделяют достаточного внимания кибербезопасности.

 

[Толян]

27-летняя канадка подсматривала за жертвами через web-камеры

Как сообщают канадские СМИ со ссылкой на федеральную полицию Канады, 29 апреля жительница провинции Квебек предстала перед судом по обвинению в получении несанкционированного доступа к компьютерам, подглядывании за пользователями через web-камеры и нанесении оскорблений через динамики скомпрометированных устройств.

По данным полиции,в своей деятельности 27-летняя Валери Жиньяк использовала ботнет и следила за пользователями через зараженные вредоносным ПО компьютеры.Преступница общалась с жертвами через динамики, авторизовывала их на порнографических сайтах и выводила на экраны компьютеров порнографические изображения просто для того, чтобы посмотреть на реакцию. В число жертв Жиньяк входят дети из Канады и из-за рубежа.
Кроме управления ботнетом,женщина владеет хакерским форумом,насчитывающим порядка 35 тысяч пользователей по всему миру.По словам адвоката Майкла Леклерка, его подзащитная не пыталась обмануть жертв с целью получения материальной выгоды.«Это просто неудачная шутка», - заявил юрист.
Жиньяк была отпущена из здания суда под подписку о неиспользовании компьютера и неполучении выхода в интернет.Продолжение слушаний по ее делу назначено на июнь нынешнего года.

 

[Толян]

Борьба с пиратством в Сети ставит под угрозу безопасность пользователей

В то время как развлекательные компании и официальные власти стараются всеми силами пресечь интернет-пиратство, методы, применяемые ими, зачастую ставят под угрозу безопасность пользователей. Блокировка пиратских сайтов, конфискация оборудования, снижение поискового ранга – все это способствует созданию менее безопасной online-среды, говорится в публикации издания The Torrent Freak.

Как правило, блокировка файлообменников, распространяющих противоправный контент, приводит к появлению множества «дочерних» торрент-сайтов. К примеру, в Великобритании крупные пиратские ресурсы блокируются операторами связи, однако эти ограничения достаточно легко обойти через VPN. Подобные блокировки касаются только основных web-сайтов, никак не затрагивая мгновенно появляющиеся десятки клонов, двойников или зеркал The Pirate Bay и KickassTorrents. Зачастую, такие ресурсы-имитаторы распространяют агрессивную или откровенно вредоносную рекламу, которая отсутствует на оригинальных порталах. Более того, по свидетельствам читателей The Torrent Freak, некоторые фальшивые Kickass-сайты не только требуют регистрации, но и запрашивают кредитную информацию пользователей.

[spoil]В течение долгого времени правообладатели требовали от Google удалить пиратские ресурсы из поисковой выдачи. В итоге компания пошла на уступки и изменила алгоритм поискового движка. Однако эти действия привели к тому, что теперь при вводе запроса «KickassTorrents» поисковик выдает список мошеннических сайтов, которые не имеют никакого отношения к оригинальному ресурсу.
Насколько действенными окажутся анти-пиратские меры в долгосрочной перспективе – вопрос спорный. Тем не менее, факт остается фактом: каждая новая блокировка, конфискация оборудования и дезактивация пиратских ресурсов создает широкое поле деятельности для мошенников и увеличивает риск инфицирования вредоносным ПО, которое распространяется подложными сайтами.[/spoil]

 

[Толян]

Хакеры активно эксплуатируют XSS-брешь в популярных плагинах WordPress

Как сообщают специалисты компании Sucuri, злоумышленники активно эксплуатируют уязвимость в двух популярных плагинах WordPress, чем подвергают значительной угрозе пользователей web-ресурса.
Речь идет о плагинах JetPack - инструменте, используемом для кастомизации и производительности и Twenty Fifteen, применяемом для осуществления бесконечной прокрутки. Последний WordPress устанавливает по умолчанию, что повышает число уязвимых сайтов. Оба плагина используют пакеты иконического web-шрифта genericons, созданного из векторных символов. В пакете содержится незащищенный файл под названием example.html, из-за которого сам пакет становится уязвимым.
По словам исследователя Sucuri Дэвида Деде, уязвимость в genericons достаточно сложно обнаружить. Она представляет собой XSS-брешь в DOM-модели, которая реализуется через DOM (Document Object Model) - не зависящий от платформы и языка программный интерфейс, позволяющий программам и сценариям получать доступ к содержимому HTML и XML-документов, а также изменять контент, структуру и оформление таких документов. Как отметил Деде, это значит, что код исполняется исключительно в браузере, поэтому межсетевые экраны не могут обнаружить и остановить его.
Специалисты Sucuri нашли виртуальный способ исправления бреши, но, как они сами признаются, XSS-уязвимости в DOM довольно коварны и заблокировать их не так легко. Отмечается, что атака будет успешной только в том случае, если жертва перейдет по вредоносной ссылке.

 

[Толян]

Злоумышленники использовали новый вредонос Grabit для кибератак на предприятия малого бизнеса

ИБ-исследователь «Лаборатории Касперского» Идо Ноар сообщил,что злоумышленники осуществили сотни кибератак на американские предприятия малого бизнеса. Атакующие похитили около 10 тысяч важных файлов у компаний в сфере нанотехнологий, образования и медиа, используя новый вид вредоносного ПО под названием Grabit.

Ноар заявил, что мошенническая кампания началась в конце февраля 2015 года и закончилась в середине марта. Вредоносное ПО начало распространяться по всему миру из Индии, США и Израиля. Вредонос использует несколько троянов удаленного доступа для отслеживания действий жертв. Одна из успешных реализаций злоумышленников содержала известный троян DarkComet.
Злоумышленники не скрывали свои C&C серверы и не прятались от локальной сети. Функционал обратной связи вредоносного ПО обеспечивал обмен данными с атакующим через очевидные каналы связи. Ноар обнаружил местоположение серверов, просто открыв вредоносный файл документа Grabit в редакторе. Файл не был запрограммирован на какие-либо манипуляции с реестром ОС, которые позволили бы скрыть его в Windows Explorer.

 

[Серый]

Новый вредонос угрожает клиентам услуги интернет-банкинга от Сбербанка России

ИБ-эксперты компании «Доктор Веб» обнаружили новое вредоносное ПО, предназначенное для похищения денежных средств с банковских счетов пользователей Android-устройств.

Основная особенность трояна, названного специалистами Android.BankBot.65.origin, заключается в том, что злоумышленники инфицировали им официальное приложение для доступа к online-банкингу от Сбербанка России и распространяют его в интернете под видом оригинального ПО.
Злоумышленники модифицировали приложение, добавив к нему вредоносную надстройку, и разместили на одном из популярных интернет-порталов, посвященных мобильным устройствам. Главная опасность данной ситуации заключается в том, что скомпрометированная версия банковского клиентского ПО сохраняет все свои оригинальные функции, в результате чего у пользователей нет причины ожидать подвоха. Специалисты «Доктор Веб» сообщили, что на момент публикации данных о новом вредоносе более 70 владельцев Android-устройств уже успели загрузить модифицированную злоумышленниками версию приложения.

[spoil]Сразу после установки и запуска вредоносного приложения Android.BankBot.65.origin создает специальный конфигурационный файл, в котором заданы основные параметры работы трояна. В соответствии с данными настройками вредоносное приложение соединяется с управляющим сервером, куда при помощи POST-запроса отправляет следующую информацию: IMEI-идентификатор устройства; наименование мобильного оператора; MAC-адрес встроенного Bluetooth-адаптера; наличие приложения платежной системы QIWI; версия API операционной системы; версия троянского приложения; название пакета троянского приложения и текущая выполняемая команда.
Если в ответ от удаленного узла вредонос получает команду «hokkei», то сразу после этого он отправляет на сервер зашифрованный список контактов пользователя, а также по команде злоумышленников обновляет конфигурационной файл.
Благодаря возможности незаметно выполнять отправку и перехват SMS-сообщений по команде злоумышленников троян способен осуществлять хищение денег с банковских счетов пользователей.[/spoil]

 

[Толян]

Файлы PowerPoint начали использоваться в фишинговых атаках

Исследователи из Fidelis Cybersecurity проанализировали зафиксированные в 2014 году инциденты безопасности, в ходе которых эксплуатировалась уязвимость в Windows (CVE-2014-4114). По словам специалистов, при помощи файлов PowerPoint с внедренным вредоносным кодом злоумышленники довольно эффективно обходят антивирусную защиту своих жертв.

Для успешной атаки достаточно, чтобы пользователь целевой системы открыл документ в формате слайдшоу.
В Fidelis Cybersecurity также напоминают, что в июне-октябре прошлого года брешь в Windows фигурировала только в атаках группировки Sandworm Team. Однако сейчас информация об уязвимости стала доступна широкой общественности, и соответствующие эксплоиты начали использоваться в ходе фишинговых кампаний. В большинстве случаев потенциальные жертвы получают электронные письма со вложенными файлами в расширении .PPS.
Напомним, что указанная брешь позволяет удаленное выполнение кода и затрагивает операционные системы Windows Vista, Windows Server 2008, Windows 7, Windows 8, Windows 8.1, Windows Server 2012, а также Windows RT 8.1.

 

[Толян]

WikiLeaks опубликовал 276 тыс. документов, похищенных в ходе кибератаки на Sony

Ресурс WikiLeaks обнародовал 276,394 тыс. документов, похищенных в результате взлома корпоративной сети Sony Pictures Entertainment.

WikiLeaks заявил, что документы вызовут общественный интерес, так как Sony тесно связана с Белым домом США и с американским военно-промышленным комплексом, а также из-за влияния компании на принятие законов, касающихся интернет-политики.
Напомним, скандально известный портал WikiLeaks в апреле 2015 года опубликовал online-архив файлов, похищенных в ходе кибератаки на Sony в ноябре прошлого года. Архив содержит порядка 30 тыс. рабочих документов и более 170 тыс. писем, входящих и исходящих с 2,2 тыс. адресов электронной почты, принадлежащих сотрудникам компании.
Белый дом США обвинил в кибернападении Пхеньян, так как первая часть похищенных данных была обнародована после выхода комедии «Интервью», в которой ЦРУ пытается убить лидера Северной Кореи. В свою очередь, Пхеньян отрицает свое причастие к инциденту.
Стоит отметить, из-за кибератаки Sony пришлось отменить публичную премьеру скандального кинофильма, а председатель совета директоров компании Эми Паскаль подала в отставку, в связи с появлением в интернете ее электронной переписки с расистскими шутками о президенте США Бараке Обаме.

 

[Серый]

Американский хакер предстал перед судом по делу о «порно из мести»

Американский хакер Чарли Эвенс предстал перед судом штата Калифорния по делу о «порно из мести».

Об этом сообщает телеканал CNN. Эвенс получал доступ к электронной почте жертв и извлекал оттуда их интимные снимки, чтобы затем продать владельцу сайта IsAnybodyUp.com, который публиковал их по заказу рассерженных бывших любовников.
Эвенс обвиняется в незаконном проникновении в почтовые аккаунты с целью кражи интимных фотоснимков пользователей и их передачи для публикации на сайте, которым владел Хантер Мур.
Как сообщает Arstechnica, представитель обвинения Венди Ву заявила, что иногда Эвенс получал доступ к электронной почте, выдавая себя в соцсетях за друга жертвы и вытягивая информацию, которая могла пригодиться для того, чтобы проникнуть в почту. Предполагается, что от его действий пострадали несколько тысяч человек.

 

[Серый]

ICANN стала жертвой хакерской атаки

Как сообщили представители ICANN, в связи с недавней хакерской атакой на официальный web-сайт компании администрация ресурса была вынуждена сбросить пароли пользователей.

Несмотря на то, что в руках злоумышленников оказались учетные данные клиентов организации, их финансовая информация не была затронута.
Из сообщения также следует, что хакерам также удалось похитить адреса электронной почты, зашифрованные пароли и некоторые другие данные, включая подробности новостной рассылки и указанные при регистрации интересы. Внутренние сети ICANN в ходе инцидента не пострадали.
Интересно также, что, по предварительным данным, атака стала возможной за счет компрометации компьютерных систем «внешнего поставщика услуг». Название этого поставщика не раскрывается.
Напомним, что в марте этого года разработчики ICANN обнаружили в своих сетях опасную уязвимость. Брешь позволяла сторонним пользователям раскрывать определенную конфиденциальную информацию об организациях, желающих приобрести тот или иной домен. Эксплуатация этой уязвимости позволяла, к примеру, участвующим в gTLD-аукционах конкурентам вести слежку друг за другом.

 

[Серый]

Ботнет Mirai использовался для отключения интернета в целом государстве

Неизвестные попытались отключить интернет во всей стране, используя мощные DDoS-атаки, осуществленные с помощью ботнета Mirai.

Как сообщил исследователь безопасности Кевин Бомон, на этой неделе были зафиксированы непрерывные непродолжительные атаки на интернет-инфраструктуру небольшого африканского государства Либерия.
По словам Бомона, злоумышленники использовали сеть из IoT-устройств, зараженных трояном Mirai, известную как Ботнет 14. Данная сеть является наибольшим из всех ботнетов Mirai и одним из самых масштабных ботнетов для DDoS-атак в истории. Учитывая мощность атак, осуществляемых с помощью Ботнета 14, можно сделать вывод, что он использовался в атаках на DNS-провайдера Dyn.
Как пояснил Бомон, Ботнет 14 (исследователь назвал его Shadows Kill) начал атаковать сети телекоммуникационной компании Lonestar Cell MTN – единственного интернет-провайдера во всей Либерии. Доступ к интернету в стране обеспечивается всего одним подводным оптоволоконным кабелем с единственной точкой отказа, установленным в 2011 году. В ходе атак либерийские сайты стали недоступны, а источник в компании подтвердил нестабильность интернет-подключения.
В четверг, 3 ноября, злоумышленники продолжали атаковать компании, являющиеся совладельцами кабеля. По мнению Бомона, DDoS-атаки на интернет-инфраструктуру Либерии являются тренировкой перед гораздо более серьезными действиями.

 

[Carolina]

Россия: 78% пользователей сталкивались с троянами-вымогателями

78% российских пользователей пострадали от программ-вымогателей, в частности, шифраторов, сообщили в Eset.

[spoil]Компания это выяснила, опросив больше 800 посетителей ИТ-портала «Мы Eset» в октябре 2016 г.Программы-вымогатели блокируют доступ к личным файлам и требуют выкуп за его восстановление. Шифраторы, их наиболее опасная разновидность, выбирают на зараженном компьютере документы, фото, аудио и видео в популярных форматах .mov, .jpg, .zip, .ppt, .xls, .doc — десятки и сотни типов файлов.
После обработки эти файлы сохраняются с новым расширением и не открываются. Сумма выкупа достигает десятков тысяч рублей.
42% участников опроса Eset сталкивались с шифраторами и другим вымогательским ПО один раз, еще 36% — неоднократно. Только 22% респондентов пока не имеют подобного опыта. Всем пострадавшим от вымогателей был адресован второй вопрос теста. Им предложили перечислить все меры, испробованные для разблокировки.
Выяснилось, что самый популярный способ решения проблемы — переустановка операционной системы. К нему прибегли 42% респондентов. В большинстве ситуаций это поможет удалить вредоносную программу с компьютера, но в случае заражения шифратором файлы не спасет.
Еще один распространенный способ решения проблемы — призвать на помощь профессионалов. 22% опрошенных обратились в техподдержку своего антивирусного продукта.
17% утверждают, что разблокировали систему при помощи скачанного в интернете генератора кодов. Если это так, респондентам повезло — современные шифраторы используют стойкие алгоритмы шифрования, практически исключающие шанс подобрать ключ.
14% пользователей обратились за помощью к компьютерному мастеру. Справился ли он с задачей, участники опроса не уточнили.
Только 6% решили заплатить выкуп хакерам. Метод не рекомендуется категорически, поскольку мотивирует мошенников продолжать свою деятельность, а также не гарантирует восстановление данных.
В Eset советуют игнорировать спам-письма, в которых чаще всего распространяются программы-вымогатели, регулярно делать резервные копии важных файлов и защитить компьютер современным антивирусным ПО.[/spoil]​

 

[Carolina]

Мошенники распространяют вредонос для macOS через Google AdWords

Специалисты Cylance обнаружили мошенническую кампанию по распространению вредоносного ПО для macOS через сервис контекстной рекламы Google AdWords.

В рамках кампании злоумышленники разместили рекламное объявление в верхних позициях AdWords, отображающееся при вводе в поисковую строку фразы «Google Chrome». На первый взгляд ссылка в объявлении вела на сайт google.com/chrome, однако на деле через серию перенаправлений отправляла пользователей macOS на фальшивую страницу googlechromelive.com, предлагающую бесплатно скачать браузер Google Chrome.
Однако вместо интернет-обозревателя на компьютер пользователя загружался вредоносный файл FLVPlayer.dmg.
«При каждой загрузке хэш вредоносного ПО изменяется, что усложняет его обнаружение и отслеживание. Пользователи Windows в конечном итоге перенаправляются на сайт admin.myfilessoft.com, при переходе на который на экране отображается сообщение об ошибке», - отмечают исследователи.
Вредоносное ПО, получившее название OSX/InstallMiez или OSX/InstallCore, имитирует запуск файла FLV Player, но в действительности загружает лжеантивирус Macpurifier, информирующий пользователя о наличии вредоносного ПО на системе и необходимости загрузить дополнительные файлы.
Эксперты Cylance проинформировали Google о проблеме 25 октября. Вредоносное объявление уже удалено из AdWords.​

 

[Carolina]

Жертвы вымогателя Locky получили предупреждение вместо вируса

У опeраторов ботнета Dridex, который в последнее время занимается распространением шифровальщика Locky, определенно выдaлся плохой месяц. Инфраструктуру ботнета опять взломал неизвестный gray hat дoброжелатель, подменив вредоносный пейлоад на пpедупреждение о малвари.

Этот взлом стал для Dridex четвертым с начала года. Инфраструктура ботнeта, ранее распространявшего одноименный банковский троян, а теперь зaнимающегося дистрибуцией вымогателя Locky, подвергается издевaтельским атакам раз за разом. Пару недель назад, в начале мая 2016 года, нeизвестные хакеры полностью удалили исходные коды вымогателя с сервeров, подменив их всего двумя словами: «Дурацкий Locky» (Stupid Locky).

Еще чуть раньше, в апреле 2016 года, в панель управлeния одного из подконтрольных Dridex ботнетов сумели проникнуть специалисты компании Buguroo. По итогам исследователи опубликовали интереcный отчет об устройстве бекэнда Dridex, а также сумели собрать много полезных данных.

В феврале 2016 года Dridex взлoмали еще раз, подменив загрузчик банковского трояна Dridex (тогда ботнeт еще не переключился на распространение Locky) на оригинальную и самую свежую версию инcталлятора бесплатного антивируса Avira.

17 мая 2016 года специалисты кoмпании F-Secure сообщили о новом инциденте. На этот раз исследователи обнаружили вмeсто пейлоада Locky файл, который учит пользователей азам компьютеpной безопасности. JScript, который загружается с сеpверов ботнета, оказался вовсе не малварью, а пpедупреждением о том, что не следует открывать подозрительные файлы.

«Вы читаете это сообщение, потому что открыли вредоносный файл.
Ради вашей собственной бeзопасности: не открывайте почтовые вложения из неизвестных иcточников», — гласит сообщение.

Специалисты F-Secure саркастично отмечают, что неизвeстному gray hat’у, пожалуй, не стоило использовать термин «вредонoсный файл», потому что большинство пользователей все равно не поймут, что это такое. По мнeнию аналитиков, нужно было написать проще: «Вы читаете это сообщение, потому что кликнули на компьютерный виpус, но я (мы?) взломал хакеров, чтобы они не могли взломать вас. В следующий раз удача можeт не быть к вам так благосклонна. Впредь будьте осторожнее».​

 

[Серый]

Хакеры распространяют банковские трояны через OneDrive for Business

Киберпреступники все время ищут новые способы заставить жертв открыть вредоносный сайт или загрузить файл.

Как сообщают исследователи компании Forcepoint, с целью выдать вредоносные ссылки за легитимные, мошенники взяли на вооружение сервисы от Microsoft.
Эксперты зафиксировали новую волну с использованием облачного хранилища OneDrive for Business. Злоумышленники размещают в облаке вредоносное ПО, а затем рассылают жертвам ссылку на него с помощью электронных писем. По мнению хакеров, поскольку домен принадлежит Microsoft, у пользователей не должно возникнуть никаких подозрений.
Как сообщают эксперты, таким образом злоумышленники распространяют вредоносное ПО семейств Dridex и Ursnif. Вредоносные письма в основном содержат исполняемые файлы или архивы с JavaScript-загрузчиком. К настоящему времени жертвами кампании стали пользователи в Австралии и Великобритании.
Экспертам пока не удалось выяснить, каким образом злоумышленники взломали учетные записи OneDrive for Business. Следовательно, угрозе подвергаются не только получатели вредоносных писем, но и сами владельцы учетных записей. Имея доступ к аккаунту какой-либо компании в OneDrive for Business, хакеры могут получить всю хранящуюся в нем корпоративную информацию.​

 

[vovan72]

ПОЛТАВСЬКИЙ СУД ВІДПУСТИВ КІБЕРЗЛОЧИНЦЯ, ЯКОГО 4 РОКИ ШУКАЛИ ПРАВООХОРОНЦІ 30 КРАЇН СВІТУ.

Його шукали ФБР, Європол та поліція 30 країн світу протягом 4 років. Для його затримання задіяли елітний спецназ. Він відстрілювався та намагався втекти через балкон четвертого поверху. Врешті-решт полтавський суд його відпустив.

Октябрський райсуд Полтави відмовився дати дозвіл на арешт підозрюваного у кіберзлочинах Геннадія Капканова, якого протягом 4 років шукали правоохоронні органи 30 країн світу. Про це «Полтавщині» стало відомо з власних джерел.

Нагадаємо, зранку 30 листопада у Полтаві «КОРД», кіберполіція та Генпрокуратура провели спецоперацію. В ході неї правоохоронці затримали одного з організаторів злочинного угруповання «Avalanche». Група розповсюджувала шкідливі програми, що використовувалися для розсилки спаму, крадіжки паролів, даних кредитних карт, DoS-атак тощо. Злочинці контролювали 500 тисяч заражених комп’ютерів у 180 країнах світу. За даними Європолу, через роботу «Avalanche» фінансові втрати у світі можуть сягати сотень мільйонів євро.
Під час обшуку у квартирі затриманого правоохоронці вилучили комп’ютерну техніку, телефони, готівку, банківські карти, документи тощо.
Підозрюваного не взяли під арешт, бо не збираються віддавати українця іншим країнам.

Вчора, 1 грудня, в Октябрському райсуді Полтави розглянули клопотання прокурора Сьоміча. Він просив призначити підозрюваному 40 діб тимчасового арешту. Аргументував він це тим, що справа міжнародна, а тому Геннадія Капканова треба тримати під арештом, щоб потім передати іншій країні.
Затримання Геннадія Капканова було частиною міжнародної спецоперації, яка координувалася з офісу Європолу в Гаазі. Розслідування цієї справи проводила німецька поліція у співпраці з правоохоронними органами 30 країн світу. Звісно, іноземні слідчі можуть запросити видачу злочинця.

Слідчий суддя Лариса Кулешова не задовольнила клопотання прокурора. Аргументувала це тим, що Капканов є громадянином України. За законом, за таких злочинів, українців не видають іншим країнам. Тому у даному випадку немає необхідності тримати підозрюваного під арештом.

Капканов разом із спільниками використовував вірус, який маскує данні від власників

Слідство за справою Геннадія Капканова веде прокуратура німецького міста Ферден. Згідно з європейським ордером на арешт, йому інкримінують 1152 злочини, якими він завдав збитків на 6 мільйонів євро.

За місцевими законами, згідно з обвинуваченням, йому загрожує 10 років позбавлення волі. Місцеві слідчі з’ясували, що за його участі злочинна група розповсюджувала банківський троян URLZone протягом 4 років (з квітня 2012-го по 25 серпня 2016-го).
За допомогою цього трояна, який має гнучкі шахрайські і маскувальні можливості, злочинці крали гроші з банківських рахунків або акаунтів користувачів онлайнових платіжних систем. Вкрадені реквізити зловмисники використовували, щоб задавати суми для переказу, визначати поріг спустошення рахунку і здійснювати транзакції таким чином, щоб не викликати підозр у банківської системи захисту. URLZone може приховувати сліди своєї діяльності навіть від власника акаунта: при спробі перевірки рахунку та інформації про транзакції троян підміняє дані, ховаючи від жертви справжні розміри переказів.

Ще у вересні 2009 року спеціалісти з кібербезпеки припускали, що контрольний центр трояна URLZone розташований в Україні.​