Теперь исследователи Microsoft представили новый отчет, согласно которому, хакеры Platinum используют аппаратную технологию Intel Active Management Technology (AMT) Serial-over-LAN (SOL) для обхода файрволлов.

Специалисты поясняют, что Intel AMT SOL является частью Intel ME (Management Engine) – подсистемы, встроенной во все современные решения Intel. Intel ME продолжает работать даже тогда, когда основной процессор отключен, и разработчики Intel предполагали, что это будет удобно для организации удаленного доступа в крупных компаниях, с большим парком устройств.

Так как интерфейс AMT SOL работает внутри Intel ME, он отделен от обычной операционной системы, где запущены файрволы и другие защитные решения. Фактически SOL работает все время, даже без ОС, когда устройство выключено, представляя виртуальный последовательный порт и позволяя принимать или получать данные. Не поможет и отключение всех сетевых функций, так как ME использует собственный сетевой стек, устройство продолжит вести себя так, будто подключено к сети.

Как работает AMT SOL

Хотя по умолчанию Intel AMT SOL отключен во всех продуктах Intel, зачастую системные администраторы активируют данную функцию, чем и стали пользоваться хакеры. При этом специалисты Microsoft сообщают, что группировка Platinum не обнаруживала каких-либо уязвимостей и способов активации Intel AMT SOL, в основном злоумышленники просто атакуют машины, где функция уже включена.

Злоумышленники адаптировали свой кастомный инструмент передачи данных для использования с Intel AMT SOL, что позволяет им оставаться незамеченными для файрволов, а также других защитных и мониторинговых продуктов.

Исследователи отмечают, что для осуществления атак через SOL злоумышленникам необходимы привилегии администратора, а также знание логина и пароля, которые затребует SOL-сессия. По словам специалистов, Platinum либо уже имеют эти учетные данные на момент начала сессии, либо злоумышленники сами активируют AMT SOL в сетях уже скомпрометированных организаций.

Разработчики Microsoft сообщают, что согласно их данным, малварь Platinum – первый вредонос, который использует AMT SOL. Специалисты компании уже задействовали машинное обучение и поведенческий анализ, чтобы научить Windows Defender ATP распознавать такие атаки. По словам исследователей, теперь защитное решение предупредит системных администраторов о нелегитимном использовании AMT SOL, так как способно отличить атаку от рутинных операций.

Windows Defender ATP обнаружил странную активность AMT SOL
 

ЦРУ использует приложение HighRise для перехвата SMS-сообщений

  

В марте 2017 года Wikileaks начала публикацию дампа под кодовым названием Vault 7, содержащего подробности работы Центрального разведывательного управления (ЦРУ) США. Бумаги, описывающие самые разные хакерские инструменты и техники правительства, были переданы в распоряжение ресурса неизвестным информатором.

Сегодня WikiLeaks обнародовала очередную порцию документов, рассказывающих о вредоносном Android-приложении HighRise, которым ЦРУ пользуется для перехвата и переадресации SMS-сообщений.

Согласно официальной инструкции (PDF), HighRise работает только для Android версий 4.0-4.3 (то есть от Ice Cream Sandwich до Jelly Bean), однако бумаги датированы декабрем 2013 года, и можно предположить, что с тех пор вредоносный инструмент обновили, и теперь он поддерживает и более свежие версии мобильной ОС.

Малварь скрывается внутри приложения TideCheck (tidecheck-2.0.apk, MD5: 05ed39b0f1e578986b1169537f0a66fe). При этом инструмент определенно не предназначен для атак с использованием социальной инженерии, то есть оперативники ЦРУ должны самостоятельно установить приложение на устройство жертвы и запустить его вручную, чтобы малварь укрепилась в системе.

После первого запуска приложения специалист ЦРУ должен ввести специальный код для доступа к настройкам малвари. По умолчанию кодом выступает слово «inshallah» («Иншаллах», в переводе с арабского — «если пожелает Аллах‎». Ритуальное молитвенное восклицание, междометие, используемое в арабских и других мусульманских странах, как знак смирения мусульманина перед волей Аллаха). После ввода кода, становятся доступы три кнопки, первая из которых отвечает за инициализацию приложения, вторая открывает файл конфигурации, и третья позволяет передать SMS-сообщения с зараженного устройства на удаленный сервер ЦРУ.

Также обнародованные Wikileaks документы свидетельствуют о том, что HighRise умеет использовать TLS/SSL для защиты соединений; может пересылать копии всех входящих SMS-сообщений на подконтрольный ЦРУ сервер; отправлять сообщения с зараженного устройства; использоваться не только в качестве малвари, но также может служить каналом связи между полевыми оперативниками ЦРУ и их «кураторами».

 

Торговую площадку AlphaBay закрыли правоохранители, один из админов покончил с собой

  

Крупнейшая торговая площадка в даркнете, AlphaBay, где продавали самые разные незаконные товары и услуги, от наркотиков, до краденных банковских карт, неожиданно ушла в оффлайн неделю тому назад.

Как мы уже писали ранее, испуганные пользователи даркнет-маркета почти сразу начали подозревать самое худшее. Сначала пользователи предположили, что происходит так называемый exit scam, то есть операторы ресурса решили скрыться со всеми деньгами (что в даркнете случается не так уж редко). Однако люди, связанные с администрацией AlphaBay, вышли на связь, кратко сообщили, что все в порядке и происходит обновление серверов.

Спустя еще несколько дней, когда AlphaBay так и не вернулся в строй, пользователи заговорили о возможной полицейской операции, то есть заподозрили, что торговую площадку могли закрыть власти. На сабреддите AlphaBay начали появляться предположения, что верить сообщениями админов больше нельзя, так как с их аккаунтов могут писать представители правоохранительных органов.

Сегодня, 14 июля 2017 года, издание Wall Street Journal сообщило, что опасения пользователей были не напрасны. По данным журналистов, которые ссылаются на собственные источники близкие к следствию, AlphaBay закрыли правоохранительные органы США, Канады и Таиланда, проведшие совместную операцию на прошлой неделе.

Сообщается, что в результате операции были не только произведены обыски, также на территории Таиланда 5 июля 2017 года был арестован гражданин Канады Александр Каз (Alexandre Cazes), который являлся одним из руководителей ресурса. По информации таиландских СМИ, Каз проживал в стране восемь лет и после ареста власти конфисковали четыре принадлежавших ему автомобиля Lamborghini, а также три дома, общей стоимостью 11,7 млн долларов.

Каза должны были экстрадировать в США, однако 12 июля 2017 года его нашли повешенным в камере таиландской тюрьмы. Согласно официальным сообщениям, он покончил с собой.

Никаких официальных комментариев и заявлений от правоохранительных органов пока не поступало, но ][ продолжит следить за ситуацией.

 

 

Каждый компьютер, зараженный трояном Magala, приносит кликфродерам около $350

  

Исследователи «Лаборатории Касперского» рассказали об обнаружении кликера Magala (Trojan-Clicker.Win32.Magala), который создан для накрутки рекламы за счет имитации клика пользователя на заданной странице. Вредонос заражает устройства под управлением Windows, с Internet Explorer не ниже девятой версии на борту.

«Стоит заметить, что за вычетом потребления ресурсов зараженного компьютера, Magala не представляет вреда для пользователя. Его жертвами, по сути, являются люди, заказывающие рекламу у соответствующего распространителя. Это, как правило, владельцы малого бизнеса, вступившие в деловые отношения с неблагонадежным рекламодателем», — пишет специалист «Лаборатории Касперского» Сергей Юнаковский.

Если компьютер жертвы соответствует всем условиям и содержит IE нужной версии, происходит инициализация рабочего стола, скрытого от глаз пользователя – все дальнейшие операции проводятся именно там. Далее происходит ряд утилитарных операций, встречающихся у данного семейства повсеместно – установка автозагрузки, отправка отчета об установке по зашитому внутри адресу и установка необходимого рекламного ПО.

Проверка версии IE, инициализация виртуального рабочего стола

Для взаимодействия с содержимым открытой страницы Magala задействует стандартный интерфейс Windows IHTMLDocument2, позволяющий удобно использовать DOM-дерево. С его помощью троян выгружает Maps Galaxy Toolbar, устанавливает его в систему и прописывает в реестре сайт hxxp://hp.myway.com, также относящийся к Maps Galaxy, на открытие в качестве домашней страницы браузера. После Magala запрашивает с удаленного сервера список поисковых запросов, для выдачи которых необходимо поднять количество кликов.

Получение списка поисковых запросов

По данным исследователей, CPC (Cost-Per-Click) для подобной кампании в среднем равен $0,07. CPM (Cost-Per-Thousand) составляет $2,2. При этом специалисты отмечают, что сами по себе кликеры — это далеко не самый популярный способ продажи рекламы. Наибольшим спросом пользуется показ фиксированной стартовой страницы, где каждая установка стоит все те же $0,07.

Несложно подсчитать, что ботнет в тысячу машин, прокликивающий выдачу из десяти сайтов и делающий порядка 500 запросов при полном отсутствии пересечений по выдаче, в идеальной ситуации приносит своим операторам до $350 с одной зараженной машины. Но стоит понимать, что эта цена является аппроксимацией и, как правило, не встречается в реальном мире. Стоимость различных запросов может сильно варьироваться, и указанная сумма в $0,07 за клик является усредненной величиной.

Список запросов

В настоящее время основной процент заражений Magala приходится на Германию и США. Это так же подтверждается характером запросов, для которых необходимо осуществлять накрутку. На иллюстрации ниже представлен период с марта по начало июня 2017 года.

Иллюстрации: «Лаборатория Касперского»

 



«Доктор Веб» предупреждает: портал gosuslugi.ru скомпрометирован

  

Специалисты компании «Доктор Веб» предупредили о компрометации портала государственных услуг РФ (gosuslugi.ru). Исследователям удалось обнаружить на сайте внедренный неизвестными лицами потенциально вредоносный код. «В связи с отсутствием реакции со стороны администрации сайта мы вынуждены прибегнуть к публичному информированию об угрозе»,— пишут специалисты. Дату начала компрометации пока установить не удалось, равно как и понять, наблюдалась ли ранее какая-то активность по этому вектору атаки.

Вредоносный код заставляет браузер любого посетителя сайта незаметно связываться с одним из не менее 15 доменных адресов, зарегистрированных на неизвестное частное лицо. В ответ с этих доменов может поступить любой независимый документ, начиная от фальшивой формы ввода данных банковской карты и заканчивая перебором набора уязвимостей с целью получить доступ к компьютеру посетителя.

В процессе динамического генерирования страницы сайта, к которой обращается пользователь, в код сайта добавляется контейнер <iframe>, позволяющий загрузить или запросить любые сторонние данные у браузера пользователя.

На текущий момент специалисты обнаружили не менее 15 доменов, среди которых: m3oxem1nip48.ru, m81jmqmn.ru и другие адреса с намеренно неинформативными названиями. Как минимум для пяти из них диапазон адресов принадлежит компаниям, зарегистрированным в Нидерландах.

За последние сутки запросы к этим доменам либо не завершаются успехом, так как сертификат безопасности большинства этих сайтов просрочен, либо ответ не содержит вредоносного кода, однако ничего не мешает владельцам доменов в любой момент обновить сертификаты и разместить на этих доменах вредоносный программный код.

По данным «Доктор Веб», на данный момент портал госуслуг по-прежнему скомпрометирован. Информация о проблеме передана в техническую поддержку сайта, но подтверждения принятия необходимых мер по предотвращению инцидентов в будущем и расследования в прошлом не получено. Специалисты рекомендуют пользователям проявлять осторожность при использовании портала до разрешения ситуации, и настоятельно советуют администрации сайта и компетентным органам осуществить проверку безопасности сайта.

Любой пользователь может проверить наличие кода самостоятельно, с помощью поискового запроса: site:gosuslugi.ru «A1996667054».