Обзор инцидентов безопасности за прошлую неделю

Прошедшую неделю сложно назвать спокойной с точки зрения информационной безопасности. Фишинговые кампании, кибершпионаж, публикации хакерских инструментов АНБ и ЦРУ – только часть всех событий, произошедших за период  с 3 по 9 апреля 2017 года.

Прошлая неделя началась с очередного сообщения о проделках «русских хакеров». Согласно заявлению Международной ассоциации легкоатлетических федераций, в феврале текущего года к ее внутренним сетям пыталась получить доступ хакерская группировка Fancy Bear. Злоумышленников интересовали данные о запрещенных препаратах, прописанных спортсменам в терапевтических целях.

Эксперты Google и Lookout раскрыли подробности о шпионском ПО Chrysaor, представляющем собой Android-версию сложной вредоносной программы Pegasus для iOS-устройств. Chrysaor способен похищать данные из сервисов электронной почты (например, Gmail) и мессенджеров (в том числе WhatsApp и Facebook), записывать аудио и видео с микрофона и камеры зараженного устройства, выполнять функции кейлоггера, а также самоуничтожаться.

Как показывает практика, кибершпионам не ведом покой. Специализирующаяся на кибершпионаже китайская хакерская группировка APT 10 взяла на вооружение инновационный способ осуществления кибератак. Сначала злоумышленники взламывают сети провайдеров облачных сервисов, которыми пользуется атакуемая организация, и только потом с помощью одобренных провайдером каналов связи проникают в корпоративную сеть самой организации.

Исследователи Palo Alto Networks рассказали о целевых атаках на организации в странах Среднего Востока с использованием семейств вредоносного ПО KASPERAGENT и MICROPSIA для Windows, а также SECUREUPDATE и VAMP для Android. Атаки не отличаются большой сложностью, однако используемые темы, атакуемые организации и настойчивость хакеров свидетельствуют о решительном и достойном внимания противнике.

Эксперты Cisco Talos сообщили о вредоносной кампании против пользователей из Южной Кореи. В рамках операции злоумышленники распространяют новый троян для удаленного доступа Rokrat. Что интересно, в качестве C&C-серверов и платформы для извлечения данных вредонос использует Twitter и облачные сервисы «Яндекс» и Mediafire.

На прошлой неделе стало известно о спам-кампании по распространению кейлоггера Ursnif. Вредоносное ПО распространяется с помощью замаскированных под счет-фактуру электронных писем со вложенным документом Microsoft Word. Документ содержит встроенный VBScript-скрипт, загружающий и устанавливающий на компьютер жертвы кейлоггер.

Специалисты компании Malwarebytes обнаружили мошенническую кампанию, направленную на владельцев iOS-устройств. В рамках операции киберпреступники продвигают сомнительное бесплатное VPN-приложение My Mobile Secure через рекламу на популярных торрент-трекерах. Приложение собирает самые разнообразные данные, в том числе техническую информацию об устройстве (аппаратном обеспечении, установленных приложениях, объеме памяти и т.д.), сведения об операторе связи, контактные данные, информацию об активности в интернете, продолжительности звонков, содержании текстовых сообщений и заголовков электронных писем, загружаемых приложениях и файлах, использовании камеры и других утилит на устройстве и пр.

Поддерживающая террористическую организацию ДАИШ (ИГИЛ, запрещена в РФ) киберпреступная группировка «Объединенный Киберхалифат» (United Cyber Caliphate) опубликовала персональные данные 8 786 граждан США и Великобритании. Хакеры выпустили шокирующее видео с призывом уничтожить указанных в списке лиц.

На прошлой неделе не обошлось без сообщений о новом образце вредоносного ПО для IoT-устройств. Исследователи компании Radware обнаружили программу BrickerBot, превращающую уязвимые гаджеты в бесполезный «кирпич». В отличие от Mirai, вредонос не объединяет взломанные устройства в ботнет, а только блокирует их работу.

В последнее время программы-шифровальщики пользуются огромной популярностью у киберпреступников. Как правило, они применяютя для вымогательства денег у жертв, однако предназначение RensenWare совсем другое. Похоже, его автор преследовал цель хорошенько поразвлечься, поскольку вредонос восстанавливает зашифрованные данные только в случае, если пользователь наберет 0,2 млрд очков в игре TH12 - Undefined Fantastic Object.

В рамках проекта Vault 7 организация WikiLeaks опубликовала очередную порцию конфиденциальных документов Центрального разведывательного управления США. Новая публикация называется Grasshopper («Кузнечик») и содержит 27 документов, в которых идет речь об одноименной платформе, предназначенной для создания вредоносного ПО для Microsoft Windows.

В конце недели о себе снова заявила группировка The Shadow Brokers. Ушедшие было на покой хакеры вернулись и бесплатно опубликовали оставшуюся порцию инструментов для взлома, разработанных элитным хакерским подразделением АНБ США Equation Group.