057rus | Новости из мира вирусов

Любое USB-устройство, будь то флешка, внешний жесткий диск, мышь, клавиатура или даже смартфон с USB-интерфейсом, можно легко заразить вирусомпревратить в инструмент хакера, предупреждают эксперты германской консалтинговой фирмы Security Research Labs Карстен Ноль (Karsten Nohl) и Жакоб Лел Jakob Lell).

Дело в том, что, как они утверждают в официальном блоге, каждое периферийное USB-устройство содержит чип — контроллер интерфейса, — который можно легко перепрошить. Нет никакой защиты, которая бы препятствовала этому действию.

Перепрошив USB-контроллер, злоумышленник может, например, эмулировать USB-клавиатуру, после чего вводить команды от лица пользователя и устанавливать вредоносное ПО; проникнуть в сетевую плату и изменить DNS, чтобы интернет-трафик протекал через узел злоумышленника, или запустить вирус в операционную систему прямо во время загрузки ПК (при условии, что скомпрометированное устройство будет к нему подключено)
«На сегодняшний день мы не знаем эффективных средств защиты от подобных атак», — утверждают Ноль и Лел. Установленный на компьютере антивирус никогда не узнает, что у контроллера была сменена прошивка, просто потому что он не имеет доступа к этому чипу. Фаерволы, которые бы блокировали USB-устройства определенного класса, пока не существуют. Наконец, технологии поведенческого анализа в этом случае тоже не подходят — потому что эмуляция другого устройства будет просто-напросто воспринята как факт смены устройства самим пользователем.

Более того, если подобная «зараза» проникнет в систему, то ее будет очень сложно устранить, считают эксперты. Переустановка ОС не вычистит вирусы, так как они находятся внутри контроллеров — вне зоны досягаемости, — а не на жестком диске, где расположены системные файлы. Вирус также может заразить и другие устройства, подключенные к ПК по интерфейсу USB, например, веб-камеру или акустику.

«После заражения компьютеру и всем периферийным устройствам, подключенным к нему по USB, уже больше никогда нельзя будет доверять», — резюмируют аналитики.
источник anti-malware.ru

Специалисты «Лаборатории Касперского» провели расследование череды кибератак, нацеленных на множество банкоматов по всему миру. В ходе работы было обнаружено вредоносное ПО, заражающее банкоматы и позволившее преступникам опустошить машины уже на миллионы долларов.

Международная организация уголовной полиции Интерпол оповестила затронутые страны и оказывает содействие в продолжающемся расследовании. На данный момент вредоносная программа обнаружена в системах банкоматов стран Латинской Америки, Европы и Азии. Россия находится на первом месте по числу зафиксированных инцидентов.

Схема работы злоумышленников делится на две этапа. Для начала они получают физический доступ к банкомату и используют загрузочный диск, чтобы установить вредоносную программу, получившую название Tyupkin в классификации «Лаборатории Касперского». После перезапуска системы преступники получают контроль над банкоматом — вредоносная программа активируется и ожидает дальнейших указаний. Чтобы запутать следы, команды принимаются только в определенное ночное время по воскресеньям и понедельникам — именно в течение этих часов преступники имеют возможность опустошить зараженные терминалы.

Видеозапись, полученная с камер безопасности, наглядно демонстрирует действия злоумышленников. Не вставляя карточек в банкомат, они вводят секретную комбинацию цифр, после чего связываются со своим оператором для получения дальнейших инструкций. Оператор знает алгоритм получения ответного кода. После его ввода банкомат начинает выдавать наличность из выбранной кассеты. Такой порядок процедуры исключает попытки бесконтрольного проведения подобных операций членами группировки.

«На протяжении последних нескольких лет мы наблюдали всплеск атак, нацеленных на банкоматы с использованием скимеров и вредоносных программ, заражающих системы обычных пользователей. Теперь мы переживаем следующий виток эволюции этих атак, в результате которого злоумышленники подобрались к финансовым организациям вплотную. Это заключается в заражении самих банкоматов или выполнении целевых и высокоуровневых атак класса Advanced Persistent Threat против банков: так, вредоносная программа Tyupkin является примером использования слабых мест в инфраструктуре банкоматов. Со своей стороны мы настоятельно рекомендуем руководствам банков провести ревизию физической защиты своей инфраструктуры и обратить внимание на качественные защитные решения»,— отметил Висенте Диаз, ведущий антивирусный эксперт «Лаборатории Касперского».

«Злоумышленники постоянно находят новые способы обогатить набор своих инструментов для того, чтобы совершить очередное преступление, и очень важно, чтобы правоохранительные органы были осведомлены о новых трюках», — сказал Санджай Вирмани, глава центра расследования киберпреступлений Интерпола.
Источник pcweek.ru

Правительство КНР исключило «Лабораторию Касперского» из списка поставщиков программного обеспечения. Помимо российской компании свое место в списке потерял американский разработчик ПО Symantec, ему принадлежит программа Norton Antivirus.
источник sitv.ru

Более 2800 предприятий, значительная часть которых связана с энергетикой и машиностроением, пострадали от глобальной кампании кибершпионажа Crouching Yeti (также известной как Energetic Bear) – предположительно похищена конфиденциальная информация, составлявшая коммерческую тайну, в том числе некоторых российских предприятий. Специалисты «Лаборатории Касперского» провели расследование, в ходе которого установили, что злоумышленники, стоящие за Crouching Yeti, участвовали в организации ряда других сложных целевых атак. Одной из особенностей кампании является нацеленность на индустриальные IT-инфраструктуры и системы.

Первые действия в рамках кампании были предприняты еще в 2010 году, и ежедневные атаки продолжаются до сих пор. В числе жертв – предприятия отрасли машиностроения, энергетики, промышленного производства, строительства, фармацевтические организации, IT-компании и образовательные учреждения. Большая часть из них находится в США и Испании. Ранее сообщалось, что кампания была направлена на энергетические структуры, но список жертв, идентифицированных «Лабораторией Касперского» указывает, что интересы киберпреступников гораздо шире. Специалисты «Лаборатории Касперского» допускают, что речь идет не об узкоспециализированной операции, а о широкой кампании шпионажа, затрагивающей различные секторы.

«Ряд аналитиков посчитал Energetic Bear разработкой российских хакеров, но мы пока не нашли этому подтверждения. Делать этот вывод, подобно другим исследователям, на основании времени сборки программ, на наш взгляд, некорректно – в смежных часовых поясах находится много других стран Восточной Европы, а сами временные метки легко изменяются. А в найденных исполняемых файлах не содержится намека на кириллицу, что отличается от почерка российских злоумышленников, которые стояли за Red October, Miniduke, Snake и рядом других кампаний. Напротив, мы нашли улики, указывающие на знание авторами французского и шведского языков. Поэтому мы решили дать группе другое имя, у йети есть что-то общее с медведями, но их происхождение – тайна за семью печатями», – отметил Николя Брюле, ведущий антивирусный эксперт «Лаборатории Касперского».

Crouching Yeti не относится к ряду технически сложных кампаний. Злоумышленники не использовали уязвимости нулевого дня – ими были применены распространенные эксплойты. Однако это не мешало проводить операцию в течение многих лет без привлечения внимания. В общей сложности эксперты «Лаборатории Касперского» смогли собрать доказательства использования троянцев и бэкдора для кражи ценной информации из зараженных систем. Самым распространенным из них является троянец Havex – было найдено 27 различных версий этого зловреда, в том числе дополнительные модули, нацеленные на сбор данных из индустриальных систем. Один из них искал в локальной сети OPC-серверы, обычно использующиеся совместно с множеством индустриальных систем автоматизации, и собирал чрезвычайно подробную информацию об их работе.

Для управления использовалась широкая сеть взломанных веб-сайтов, находящаяся большей частью на территории США, России и Германии. На них хранилась украденная информация, а также дополнительные вредоносные модули, которые доставлялись на зараженные системы. Среди этих модулей – инструменты для кражи паролей и почтовых контактов, снятия снимков экрана и поиска текстовых документов, таблиц, баз данных, носителей информации, защищенных файлов, электронных ключей и прочих ценных данных.
источник anti-malware.ru

На официальном сайте Госзакупок размещена информация о проведении очень любопытного тендера. Объявление о проведении закрытом конкурса размещено от лица федерального казенного учреждения "Научно-производственное объединение "Специальная техника и связь" Министерства внутренних дел Российской Федерации. От исполнителя требуется выполнение ни много ни мало «Исследования возможности получения технической информации о пользователях (пользовательском оборудовании) анонимной сети ТОR», шифр «ТОР (Флот)» (цитата).

Говоря нормальным языком, МВД требуется исполнитель для взлома самой популярной на данный момент сети, использующейся для сокрытия информации от МВД. За выполнение этого эпичного задания обещана сумма в размере 3900000 рублей. Срок выполнения - 30 ноября 2014 года. Отметим, что эта задача далеко не тривиальная, но на случай, если вдруг у МВД получится, существует такая вещь как I2P.

Напомним, сеть TOR (The Onion Router) представляет собой систему прокси-серверов, позволяющих устанавливать анонимное сетевое соединение, и предоставляющая передачу данных в зашифрованном виде.
источник anti-malware.ru