#впо — Public Fediverse posts

Прислали видео ДТП, кажется ты его знаешь…

Мошенники адаптировались к ограничениям работы мессенджеров. С февраля пользователям многочисленных мессенджеров, включая MAX, Telegram и WhatsApp (принадлежит экстремистской организации Meta, запрещённой на территории РФ) всё чаще приходят сообщения от ранее взломанных контактов. В посланиях эмоциональный текст, ссылки на каналы в Telegram или вредоносные сайты. Потенциальную жертву активно убеждают установить приложение на телефон, ведь только так она сможет увидеть фотографии и видео, опознать знакомых. После установки приложения, которое на самом деле является вредоносным, телефон оказывается под контролем злоумышленников. Они получают доступ к приложениям для дальнейшего распространения ВПО и пытаются вывести все доступные средства со счетов жертвы. По смыслу это та же схема «Мамонт» , но с учётом новых реалий. Разберём, что поменялось, по шагам и расскажем, почему это всё ещё работает. Приведём рекомендации, как усложнить жизнь злоумышленникам. Ну и в конце — инструкция, что делать , если рекомендации не сработали.

https://habr.com/ru/companies/angarasecurity/articles/1015978/

#android #мошенничество #вредоносы #впо #mamont #telegram #max

Продам всё, что на фото. Недорого — часть 2

Продолжаем серию публикаций по вредоносным APK для Android. В новогодние праздники злоумышленники хорошо поработали: Angara MTDR обнаружила рассылку новых модификаций Mamont, которые исследовать гораздо сложнее, — они сразу выявляли запуск в песочницах и использование средств динамического анализа. Пришлось потратить пару дней, чтобы разобраться, в чём дело и что же добавили нового. В статье рассмотрим: - краткую историю возникновения ВПО семейства Mamont/«Мамонт»; - новые способы защиты и обхода средств анализа, которые появились в начале 2026 года; - некоторые рекомендации, как не заразиться и снизить опасность угрозы заражения; - советы, как удалить и что делать, если есть подозрения о заражении.

https://habr.com/ru/companies/angarasecurity/articles/992388/

#социальная_инженерия #мошенничество #вредоносы #киберразведка #впо #mamont #android

Беспокойный дух: шпионы PhantomCore провели новые атаки на российские компании

Аналитики Центра кибербезопасности F6 обнаружили новую волну вредоносных рассылок от группировки PhantomCore . 19 и 21 января 2026 года системой F6 Business Email Protection (BEP) была перехвачена и заблокирована рассылка, направленная на электронные адреса российских компаний из сфер ЖКХ, финансов, городской инфраструктуры и муниципальных услуг, аэрокосмической отрасли, потребительских цифровых сервисов (B2C), химической промышленности, строительства, производства потребительских товаров, а также электронной коммерции (e‑commerce) и маркетплейсов.

https://habr.com/ru/companies/F6/articles/987734/

#кибератаки #впо #вредоносные_рассылки #кибербезопасность #шпионаж

Когда легитимный Go-инструмент становится вредоносом: глубокий разбор open.exe (Openport)

За последние годы ландшафт вредоносного ПО заметно изменился. Всё реже атакующие пишут «классические» трояны с самописными протоколами и агрессивной обфускацией. Всё чаще они используют легитимные инструменты , написанные на современных языках и предназначенные для DevOps-задач, удалённого администрирования и проброса портов. Один из таких примеров — бинарник open.exe , написанный на Go и формально являющийся клиентом сервиса Openport . В рамках расследования инцидента этот файл был обнаружен в роли постоянного агента удалённого доступа, что делает его типичным представителем класса dual-use malware . В статье — подробный технический разбор бинарника, его архитектуры, сетевого взаимодействия и причин, по которым подобные инструменты становятся всё более популярными у злоумышленников.

https://habr.com/ru/articles/982758/

#реверсинжиниринг #впо #информационная_безопасность

Продам всё, что на фото. Недорого

Привет, с вами снова отдел реагирования и цифровой криминалистики Angara MTDR. Наш эксперт Александр Гантимуров, руководитель направления обратной разработки Angara MTDR, исследовал вредоносные APK-файлы, которые активно используют злоумышленники в социальных сетях и мессенджерах под видом срочной распродажи личных вещей.

https://habr.com/ru/companies/angarasecurity/articles/973630/

#социальная_инженерия #впо #мошенничество #вредоносы #киберразведка #osint

Шпион в твоем кармане

Мы обнаружили фишинговый ресурс крупной логистической компании, на котором пользователям предлагали установить фишинговый файл под видом приложения для отслеживания доставки грузов и изучили вредонос. Расскажем, как он выглядит со стороны пользователя, чем грозит его установка, и как ВПО работает внутри.

https://habr.com/ru/companies/angarasecurity/articles/972198/

#социальная_инженерия #впо #мошенничество #вредоносы #киберразведка #osint

Не Cobalt Strike и не Brute Ratel: почему злоумышленники выбрали AdaptixC2 и как его обнаружить

В сентябре 2025 года исследователи из Angara MTDR обнаружили, что фреймворк AdaptixC2 стал использоваться в атаках на организации в Российской Федерации. Сегодня мы, Лада Антипова и Александр Гантимуров, расскажем, что представляет собой фреймворк постэксплуатации AdaptixC2, как выявлять следы его использования и чем отличается выявленный способ эксплуатации фреймворка от всех описанных публично ранее. В результате расследования компьютерного инцидента был выявлен инструмент злоумышленников, который использовался для закрепления в скомпрометированной системе. Он выгодно отличался от других видов типового и самописного ВПО, которые эти же злоумышленники использовали в ходе атаки. Образец обладал обширным набором команд, был хорошо спроектирован, а также имел широкие возможности по конфигурации. После непродолжительного исследования стало ясно, что перед нами агент Beacon от фреймворка постэксплуатации AdaptixC2. AdaptixC2 — это фреймворк для постэксплуатации, который часто сравнивают с такими известными инструментами, как Cobalt Strike и Brute Ratel. В отличие от них, AdaptixC2 полностью бесплатен и доступен на GitHub . Ранее о его применении в кибератаках на другие страны сообщали Symantec , Palo Alto и « Лаборатория Касперского ». Поэтому появление AdaptixC2 в арсенале злоумышленников, атакующих организации в России, было лишь вопросом времени.

https://habr.com/ru/companies/angarasecurity/articles/962088/

#фреймфорк #впо #cobaltstrike #кибератаки #автоматизация #вредоносы

«Evil»-бонус от банка, или как пройти опрос и потерять все деньги

Специалисты Angara MTDR выявили и исследовали новую волну кибермошенничества с установкой вредоносных приложений на телефон. В этот раз злоумышленники предлагают получить бонус от банка и предоставить доступ к своему телефону. Мы расскажем, как это выглядит со стороны пользователя, чем грозит и как это работает внутри. Введение В настоящее время банковский сектор остается одной из наиболее привлекательных целей для злоумышленников, в связи с чем банки и их клиенты постоянно сталкиваются с различными угрозами. Одна из таких угроз — вредоносное программное обеспечение (ВПО). Атаки с использованием ВПО могут проводиться при помощи рассылок в мессенджерах, SMS-сообщениях, по электронной почте, а также при помощи фишинговых сайтов, схожих с официальными банковскими ресурсами, где жертв под различными предлогами убеждают установить «официальное» приложение. В результате установки такого приложения на устройство пользователя внедряется вредоносная программа. Она может позволить злоумышленникам не только украсть личные данные и денежные средства со счета, но и получить полный доступ к управлению устройством. Так, по данным Банка России, в 2024 году атаки на клиентов финансовых организаций в 58% случаев проводились при помощи фишинговых ресурсов, на которых в том числе распространялось и вредоносное программное обеспечение. В последнее время был зафиксирован всплеск активности сайтов, на которых клиентам предлагали принять участие в опросе об удовлетворенности работой и услугами определенных банков. За прохождение подобного опроса пользователям обещали денежное вознаграждение в размере 6 тыс. руб.

https://habr.com/ru/companies/angarasecurity/articles/959476/

#кибермошенничество #mamont #впо #вредоносы #банковское_мошенничество #киберразведка #osint

«Evil»-бонус от банка, или как пройти опрос и потерять все деньги

Специалисты Angara MTDR выявили и исследовали новую волну кибермошенничества с установкой вредоносных приложений на телефон. В этот раз злоумышленники предлагают получить бонус от банка и предоставить доступ к своему телефону. Мы расскажем, как это выглядит со стороны пользователя, чем грозит и как это работает внутри. Введение В настоящее время банковский сектор остается одной из наиболее привлекательных целей для злоумышленников, в связи с чем банки и их клиенты постоянно сталкиваются с различными угрозами. Одна из таких угроз — вредоносное программное обеспечение (ВПО). Атаки с использованием ВПО могут проводиться при помощи рассылок в мессенджерах, SMS-сообщениях, по электронной почте, а также при помощи фишинговых сайтов, схожих с официальными банковскими ресурсами, где жертв под различными предлогами убеждают установить «официальное» приложение. В результате установки такого приложения на устройство пользователя внедряется вредоносная программа. Она может позволить злоумышленникам не только украсть личные данные и денежные средства со счета, но и получить полный доступ к управлению устройством. Так, по данным Банка России, в 2024 году атаки на клиентов финансовых организаций в 58% случаев проводились при помощи фишинговых ресурсов, на которых в том числе распространялось и вредоносное программное обеспечение. В последнее время был зафиксирован всплеск активности сайтов, на которых клиентам предлагали принять участие в опросе об удовлетворенности работой и услугами определенных банков. За прохождение подобного опроса пользователям обещали денежное вознаграждение в размере 6 тыс. руб.

https://habr.com/ru/companies/angarasecurity/articles/959476/

#кибермошенничество #mamont #впо #вредоносы #банковское_мошенничество #киберразведка #osint

«Evil»-бонус от банка, или как пройти опрос и потерять все деньги

Специалисты Angara MTDR выявили и исследовали новую волну кибермошенничества с установкой вредоносных приложений на телефон. В этот раз злоумышленники предлагают получить бонус от банка и предоставить доступ к своему телефону. Мы расскажем, как это выглядит со стороны пользователя, чем грозит и как это работает внутри. Введение В настоящее время банковский сектор остается одной из наиболее привлекательных целей для злоумышленников, в связи с чем банки и их клиенты постоянно сталкиваются с различными угрозами. Одна из таких угроз — вредоносное программное обеспечение (ВПО). Атаки с использованием ВПО могут проводиться при помощи рассылок в мессенджерах, SMS-сообщениях, по электронной почте, а также при помощи фишинговых сайтов, схожих с официальными банковскими ресурсами, где жертв под различными предлогами убеждают установить «официальное» приложение. В результате установки такого приложения на устройство пользователя внедряется вредоносная программа. Она может позволить злоумышленникам не только украсть личные данные и денежные средства со счета, но и получить полный доступ к управлению устройством. Так, по данным Банка России, в 2024 году атаки на клиентов финансовых организаций в 58% случаев проводились при помощи фишинговых ресурсов, на которых в том числе распространялось и вредоносное программное обеспечение. В последнее время был зафиксирован всплеск активности сайтов, на которых клиентам предлагали принять участие в опросе об удовлетворенности работой и услугами определенных банков. За прохождение подобного опроса пользователям обещали денежное вознаграждение в размере 6 тыс. руб.

https://habr.com/ru/companies/angarasecurity/articles/959476/

#кибермошенничество #mamont #впо #вредоносы #банковское_мошенничество #киберразведка #osint

«Evil»-бонус от банка, или как пройти опрос и потерять все деньги

Специалисты Angara MTDR выявили и исследовали новую волну кибермошенничества с установкой вредоносных приложений на телефон. В этот раз злоумышленники предлагают получить бонус от банка и предоставить доступ к своему телефону. Мы расскажем, как это выглядит со стороны пользователя, чем грозит и как это работает внутри. Введение В настоящее время банковский сектор остается одной из наиболее привлекательных целей для злоумышленников, в связи с чем банки и их клиенты постоянно сталкиваются с различными угрозами. Одна из таких угроз — вредоносное программное обеспечение (ВПО). Атаки с использованием ВПО могут проводиться при помощи рассылок в мессенджерах, SMS-сообщениях, по электронной почте, а также при помощи фишинговых сайтов, схожих с официальными банковскими ресурсами, где жертв под различными предлогами убеждают установить «официальное» приложение. В результате установки такого приложения на устройство пользователя внедряется вредоносная программа. Она может позволить злоумышленникам не только украсть личные данные и денежные средства со счета, но и получить полный доступ к управлению устройством. Так, по данным Банка России, в 2024 году атаки на клиентов финансовых организаций в 58% случаев проводились при помощи фишинговых ресурсов, на которых в том числе распространялось и вредоносное программное обеспечение. В последнее время был зафиксирован всплеск активности сайтов, на которых клиентам предлагали принять участие в опросе об удовлетворенности работой и услугами определенных банков. За прохождение подобного опроса пользователям обещали денежное вознаграждение в размере 6 тыс. руб.

https://habr.com/ru/companies/angarasecurity/articles/959476/

#кибермошенничество #mamont #впо #вредоносы #банковское_мошенничество #киберразведка #osint

Операция «Ликвидация»: аналитики F6 помогли заблокировать инфраструктуру киберпреступной группы NyashTeam

Специалисты компании F6 раскрыли сеть доменов группировки NyashTeam , которая распространяет вредоносное ПО и предоставляет злоумышленникам хостинг-услуги. Клиенты группировки атаковали пользователей как минимум в 50 странах мира, в том числе в России. Сейчас более 110 доменов в зоне .ru, которые использовала группировка, уже заблокированы.

https://habr.com/ru/companies/F6/articles/929904/

#кибербезопасность #киберразведка #киберпреступность #хостинг #впо

Вредоносы против песочницы на Standoff 15

Каждый год мы проводим масштабные международные соревнования по кибербезопасности Standoff, которые собирают сильнейших специалистов blue team и red team. Очередная кибербитва Standoff 15 проходила на киберфестивале Positive Hack Days 21–24 мая. Формат соревнований предполагает столкновение команд защитников и атакующих в рамках максимально реалистичной инфраструктуры, которая имитирует компании из различных отраслей. В ходе соревнования защитники используют средства защиты информации (СЗИ) не только для обнаружения и расследования, но и для реагирования и отражения атак. В числе средств защиты была и PT Sandbox — продвинутая песочница для защиты от неизвестного вредоносного программного обеспечения (ВПО), использующая почти все современные методы обнаружения вредоносов. На Standoff песочница подсвечивает почтовые угрозы и помогает остальным средствам защиты понять, является ли тот или иной файл, найденный в сети или на конечных точках, вредоносным. Кибербитва — это важное испытание для экспертизы PT Sandbox, своего рода ежегодный экзамен. На Standoff мы проверяем способность песочницы обнаруживать техники злоумышленников и корректируем ее экспертизу. А в этой статье мы решили поделиться с вами тем, что же наловила песочница и какие инструменты наиболее популярны у красных команд. Это интересно, потому что атакующие в ходе соревнований ограничены по времени, у них нет возможности месяцами готовить атаку на инфраструктуру, а значит, в соревновании точно будут задействованы самые надежные, ходовые инструменты и методы, доступные и реальным злоумышленникам. Покопаться

https://habr.com/ru/companies/pt/articles/919358/

#sandbox #песочница #вредоносы #впо #бэкдор #хакерские_инструменты #троян #банковский_троян #cobalt_strike #вебшелл

За грань netflow: что получается, если отказаться от ограничений

Здравствуй, Хабр! Уже как 4 года я веду свой небольшой pet-проект в области netflow и его практического применения, и вот сейчас решил поделиться своими результатами. Эта история началась снежным московским днём, когда один уважаемый коллега поделился следующий новостью: ребята прочитали научную публикацию , провели свои эксперименты и написали статью на Хабр . У обеих работ были схожие выводы: определённые вредоносные воздействия, такие как DDoS или сканирования, обнаруживаются с весьма высокой точностью, но что-то менее "грубое" обнаружить уже сложно. Ребята, благодарю вас, что вы мне рассказали про данные штуки! Это стало отправной точкой для моего исследования. Можно ли не поднимаясь выше транспортного уровня ЭМВОС по данным netflow в сетевом трафике обнаруживать работу определённого приложения, ВПО или применение инструментов redteam? Да, можно! Но есть нюансы. Что у меня получилось будет изложено в этой статье.

https://habr.com/ru/articles/871960/

#информационная_безопасность #netflow #машинное_обучение #обнаружение_атак #впо #malware

Срочно, фишинг! Как хакеры со стажем атакуют госорганы

В ноябре 2024 года сотрудники одной из российских государственных организаций обнаружили фишинговую рассылку и обратились за помощью к нашей команде. В ходе расследования мы выяснили, что атака – часть фишинговой кампании, нацеленной на сотрудников государственных организаций России и Белоруссии, за которой стоит небезызвестная группировка Cloud Atlas. Читать

https://habr.com/ru/companies/pt/articles/866236/

#apt #cybersecurity #cloudatlas #криминалистика #расследования_инцидентов #впо #хакеры #фишинг #шпионаж

Атаки киберпреступников на Ближнем Востоке: итоги и прогнозы

Страны Ближнего Востока вслед за экономическим ростом переживают период цифровой трансформации. Сосредоточение большого количества финансов и расширение ИТ-инфраструктуры привлекают не только инвестиции, но и хакеров. Некоторые из них включаются в противостояние государств в регионе, другие ищут материальную выгоду — так или иначе киберпреступники представляют серьезную угрозу. Каковы цели злоумышленников, какие методы они используют и как страны Ближнего Востока пытаются сдерживать нарастающий поток атак — рассказываем в этой статье.

https://habr.com/ru/companies/pt/articles/859814/

#cybersecurity #впо #уязвимости #ближний_восток #аналитика #apt #хакерские_атаки #израиль #палестина #прогнозы

Фальшивый аттач: Атаки на почтовые серверы Roundcube с использованием уязвимости CVE-2024-37383

Roundcube Webmail – клиент для электронной почты с открытым исходным кодом, написанный на PHP. Обширный функционал, а также возможность удобного доступа к почтовым аккаунтам из браузера без необходимости установки полноценных почтовых клиентов, обусловила его популярность в том числе среди коммерческих и государственных организаций многих стран. Это делает его привлекательной целью для злоумышленников, которые адаптируют эксплойты через достаточно короткое время, после появления сведений о них в открытом доступе, нацеливаясь на похищение учетных данных и почтовой переписки организаций. Пример одной из подобных атак мы хотим привести в этой статье. Так что с аттачем?

https://habr.com/ru/companies/pt/articles/845984/

#cybersecurity #fake #расследования_инцидентов #впо #svg #phishing #cve #roundcube

Разбор новых атак Buhtrap на российских финансистов и юристов

Спустя год после затишья зафиксированы новые кампании преступников, использующих Buhtrap. В ходе исследования инцидента, связанного с загрузкой вредоносного объекта на устройство одного из клиентов, экспертами Центра кибербезопаcности компании F.A.C.C.T. были обнаружены детали его распространения: вредоносный экземпляр, находящийся в архиве, был атрибутирован в системе F.A.C.C.T. Managed XDR как Buhtrap RAT.

https://habr.com/ru/companies/f_a_c_c_t/articles/847606/

#кибербезопасность #впо #buhtrap #rat

Атака с помощью нового Mythic-агента на PowerShell — «QwakMyAgent»

Во второй половине сентября 2024 года специалистами Центра Кибербезопасности компании F.A.C.C.T. была выявлена атака на российскую компанию с использованием ранее необнаруженного Mythic агента, написанного на PowerShell. К исследованию новой атаки подключились также специалисты F.A.C.C.T. Threat Intelligence . Обнаруженный агент был назван экспертами F.A.C.C.T “ QwakMyAgent ”. Агент получил название по причине того, что в случае получения команды для завершения своей работы, QwakMyAgent отправляет уникальную строку «Qwak!» на C2-сервер.

https://habr.com/ru/companies/f_a_c_c_t/articles/847884/

#threat_intelligence #киберразведка #впо #powershell

Постыдная книга оборотня, Или из коалы в капибары: кто атакует страны СНГ

Не так давно мы рассказывали про атаки киберпреступников в странах Юго-Восточной Азии. Регион СНГ не отстает по интересу к нему злоумышленников. Одна из основных угроз здесь — атаки кибершпионских групп. В 2023-м и первой половине 2024 года их доля составила 18% от общего числа успешных атак на СНГ в этот период. В этой статье мы расскажем про APT-группировки, «работающие» на территории СНГ, и методы, которые они используют в атаках, а также поделимся интересными инсайтами из большого исследования, полную версию которого можно найти на сайте . Кто же атакует страны СНГ?

https://habr.com/ru/companies/pt/articles/845052/

#cybersecurity #впо #уязвимости #снг #аналитика #apt #хакерские_атаки #lazy_coala #cobalt

Опасное лидерство: почему киберпреступники чаще всего атакуют госсектор и что вам нужно об этом знать

В России к 2030 году планируется вывести в онлайн абсолютно все государственные сервисы и обеспечить хранение 90% отчетных документов в электронном виде. С одной стороны, нам станет удобнее пользоваться услугами. С другой — это подольет масла в огонь с точки зрения кибербеза. Злоумышленники и так на протяжении последних шести лет чаще всего атакуют именно госсектор , а с развитием новых технологий у них появятся новые возможности для этого. Кроме того, у киберпреступников будет больше шансов дотянуться и до нас — конечных пользователей. Почему — рассказываем под катом: с цифрами, пруфами и примерами. Больше про кибератаки на госсектор →

https://habr.com/ru/companies/pt/articles/842172/

#кибератаки #госсектор #статистика #исследование #впо #шифровальщик #киберугрозы #утечки_данных

Атаки группировки Team46

Четвертого сентября вышел любопытный отчет о несостоявшейся кибератаке на российского оператора грузовых ж./д. перевозок. Мы решили добавить свои находки и дополнительную информацию о других атаках хакерской группировки, которую мы назвали Team46, потому что в своей сетевой инфраструктуре атакующие использовали домен cybers46.team . Подробности

https://habr.com/ru/companies/pt/articles/841176/

#cybersecurity #apt #dll_hijacking #атака #впо #team46 #fake #резюме

Катки без геймеров и слежка за ИИ: что умеют новые вредоносы

Привет, Хабр! С вами я, Дмитрий Стрельцов, и исследовательская группа департамента аналитики ИБ Positive Technologies. Да-да, та самая группа суперспецов, про которых так захватывающе рассказала Ирина в недавней публикации . В этой статье предлагаю углубиться в тренды, связанные с ВПО, и рассмотрим самые впечатляющие образцы и техники, которые только появились и имеют большие перспективы в киберпреступном мире. Поверьте, мы откопали много интересного. Злоумышленники постарались на славу: и геймеров обокрали, и дипфейками побаловались, и секреты ИИ выведали, и защиту Android обошли. Ну что, погнали под кат? Узнать актуальные киберугрозы →

https://habr.com/ru/companies/pt/articles/838032/

#cybersecurity #впо #киберугрозы #rat #геймеры #sharp_stealer #SugarGh0st #фишинг #Snowblind #google_play_protect

Pupy Rat — возможности Open Source трояна

Привет, Хабр! Меня зовут Борис Нестеров, я аналитик-исследователь угроз кибербезопасности в компании R-Vision. Сегодня я хочу рассказать о трояне Pupy Rat , и его модификациях Decoy Dog . Pupy Rat распространяется с помощью социальной инженерии или доставляется в инфраструктуру после компрометации одного из узлов и активно используется хакерскими группировками в атаках на российские компании. По данным различных источников, по меньшей мере 48 российских организаций в разных отраслях экономики пострадали от действий этого трояна. Об этом можно узнать из новостей на сайтах TheHackerNews , CisoClub , а также из других источников. Давайте более детально рассмотрим инструмент Pupy и выделим его наиболее интересные функции. Также мы обсудим, как можно обнаружить его использование.

https://habr.com/ru/companies/rvision/articles/834502/

#pupy_rat #троян #siem #windows #linux #впо

Цифровое Бали, или Как киберпреступники атакуют организации в Юго-Восточной Азии

Страны Юго-Восточной Азии с их вечным летом, теплыми морями и быстрорастущими экономиками, привлекают не только туристов и цифровых кочевников со всего мира, но и организованных киберпреступников. Это регион разительных контрастов: ультрасовременный Сингапур сильно опережает слаборазвитую Мьянму по уровню цифровизации и кибербезопасности. Мы всесторонне исследовали деятельность 20 APT-группировок, которые атаковали организации стран АСЕАН в период с января 2020 года по апрель 2024 (география APT-атак в исследовании представлена на рисунке ниже). В результате выяснилось, что больше всего киберпреступников в регионе интересуют такие страны, как Филиппины и Вьетнам, а тройка самых атакуемых отраслей включает госучреждения, телекоммуникации и ВПК. Читайте под катом подробнее о целях, подходах, техниках и инструментах киберпреступных групп, действующих на юго-востоке Азии. Полный текст нашего исследования доступен по ссылке на сайте . Больше о восточных кибермошенниках →

https://habr.com/ru/companies/pt/articles/834634/

#cybersecurity #впо #уязвимости #азия #аналитика #cobalt_strike #apt #страны_асеан #хакерские_атаки

Охота на змея: как обнаруживать эксплуатацию уязвимостей из арсенала группировки Shedding Zmiy

Наш блог центра исследования киберугроз Solar 4RAYS, запущенный в конце 2023 года, продолжает радовать новыми исследованиями активных кибергруппировок с техническим анализом их инструментария, тактик и техник. Некоторые статьи из блога, как эта , мы публикуем и здесь. Сегодня мы решили поделиться своим опытом разработки детектирующей логики, позволяющей своевременно выявлять эксплуатацию уязвимостей, которые злоумышленники использовали, действуя в атакованной инфраструктуре. Опираясь на информацию из статьи « Распутываем змеиный клубок: по следам атак Shedding Zmiy » мы выделим артефакты, на которые можно (и нужно!) обращать внимание при мониторинге защищаемой инфраструктуры. Отправиться на охоту за змеем

https://habr.com/ru/companies/solarsecurity/articles/829748/

#впо #кибербезопасность #киберугрозы #исследование #киберпреступность #кибератаки #уязвимости #хакеры

Приглашение на свадьбу, новое приложение банка и статья про изучение английского языка: как теперь воруют СМС

В последнее время злоумышленники все чаще используют в качестве управляющего сервера (C2) Telegram. Вспомним хотя бы группировку Lazy Koala , о которой рассказывали здесь недавно. Колоссальное количество сообщений, огромное число жертв и каждодневное появление новых ботов и чатов в Telegram привлекли наше внимание, и мы занялись исследованием этого «всплеска». В ходе исследования мы обнаружили связанные с чатами СМС-стилеры из Индонезии. Подробнее об этом можно почитать Подробнее

https://habr.com/ru/companies/pt/articles/829464/

#телеграм #фишинг #telegram #telegrambot #хакерские_атаки #впо #cybersecurity #стилер #кража_данных #google_play

Группировка ExCobalt снова в обойме и обзавелась новым бэкдором на Go

Спустя месяц в копилку расследований экспертного центра безопасности Positive Technologies (PT Expert Security Center) добавилось еще одно, причем о группировке ExCobalt, за которой мы следим с ноября прошлого года. Напомним: тогда наша команда выяснила, что в составе ExCobalt есть участники небезызвестной APT-группы Cobalt (ее профайл можно посмотреть здесь ), которые активны как минимум с 2016 года. ExCobalt поменяла сферу интересов и, в отличие от предшественника, специализируется на кибершпионаже и краже данных. Этой весной группировка вновь стала заметна на киберпреступной арене и занесла в актив любопытную вредоносную программу, ранние версии которой нам уже встречались во время реагирования на инциденты в ряде российских компаний. Мы назвали найденный бэкдор GoRed — такое имя носил его первый образец, обнаруженный нашей командой. О главных особенностях хакерского инструмента по традиции рассказываем здесь, на Хабре, а за подробностями приглашаем вас в полный отчет . Больше о бэкдоре

https://habr.com/ru/companies/pt/articles/825256/

#apt #cybercrime #бэкдор #расследование #cobalt_strike #c2 #go #кибершпионаж #впо #хакеры

Как использовать EDR-систему для расследования и реагирования на инциденты безопасности: кейс Armitage для Metasploit

Привет! Меня зовут Валерий Слезкинцев. В Positive Technologiesя руковожу направлением реагирования на конечных точках в отделе обнаружения вредоносного ПО в PT Expert Security Center (PT ESC). Наша команда мониторит свежие атаки и воспроизводит их на лабораторных стендах, чтобы убедиться, что наш EDR успешно обнаруживает актуальные угрозы и позволяет защитить от них клиентов. Вы могли читать ранее мою статью о трояне RADX . На этот раз хочу поделиться с вами подробным разбором того, как использовать новые модули MaxPatrol EDR . Сначала я покажу, как может действовать злоумышленник, далее расскажу о консоли EDR, а в конце статьи поделюсь рекомендациями по реагированию. За подробностями

https://habr.com/ru/companies/pt/articles/818575/

#впо #edr #metalsploit #armitage #sandbox #песочница #cybersecurity

Как использовать EDR-систему для расследования и реагирования на инциденты безопасности: кейс Armitage для Metasploit

Привет! Меня зовут Валерий Слезкинцев. В Positive Technologiesя руковожу направлением реагирования на конечных точках в отделе обнаружения вредоносного ПО в PT Expert Security Center (PT ESC). Наша команда мониторит свежие атаки и воспроизводит их на лабораторных стендах, чтобы убедиться, что наш EDR успешно обнаруживает актуальные угрозы и позволяет защитить от них клиентов. Вы могли читать ранее мою статью о трояне RADX . На этот раз хочу поделиться с вами подробным разбором того, как использовать новые модули MaxPatrol EDR . Сначала я покажу, как может действовать злоумышленник, далее расскажу о консоли EDR, а в конце статьи поделюсь рекомендациями по реагированию. За подробностями

https://habr.com/ru/companies/pt/articles/818575/

#впо #edr #metalsploit #armitage #sandbox #песочница #cybersecurity

Как использовать EDR-систему для расследования и реагирования на инциденты безопасности: кейс Armitage для Metasploit

Привет! Меня зовут Валерий Слезкинцев. В Positive Technologiesя руковожу направлением реагирования на конечных точках в отделе обнаружения вредоносного ПО в PT Expert Security Center (PT ESC). Наша команда мониторит свежие атаки и воспроизводит их на лабораторных стендах, чтобы убедиться, что наш EDR успешно обнаруживает актуальные угрозы и позволяет защитить от них клиентов. Вы могли читать ранее мою статью о трояне RADX . На этот раз хочу поделиться с вами подробным разбором того, как использовать новые модули MaxPatrol EDR . Сначала я покажу, как может действовать злоумышленник, далее расскажу о консоли EDR, а в конце статьи поделюсь рекомендациями по реагированию. За подробностями

https://habr.com/ru/companies/pt/articles/818575/

#впо #edr #metalsploit #armitage #sandbox #песочница #cybersecurity

Hellhounds: Операция Lahat. Атаки на ОС Windows

Привет, Хабр. С небольшим перерывом на связи снова специалисты из экспертного центра безопасности Positive Technologies. Если помните, в ноябре мы рассказывали об атаках ранее неизвестной группировки Hellhounds на инфраструктуру российских компаний. Статья была посвящена атакам группировки на узлы под управлением ОС Linux с использованием нового бэкдора Decoy Dog. Так вот, Hellhounds продолжают атаковать организации на территории России. Причем команде PT ESC CSIRT в процессе реагирования на инцидент в одной из компаний удалось обнаружить успешные атаки на Windows-инфраструктуру, о которых ранее не сообщалось. Рассказываем о ранее неизвестном инструментарии группировки. К расследованию

https://habr.com/ru/companies/pt/articles/816455/

#decoy_dog #hellhounds #windows #linux #pupy_rat #троян #бэкдор #впо #itкомпании #госсектор

Под капотом DarkGate: разбираем ВПО-мультитул

Исследователи кибербезопасности обнаружили вредоносное ПО, которое сочетает в себе функции загрузчика, стилера и RAT. Рассказываем, как оно было разработано, для чего используется и почему применяется в атаках на российские компании вопреки ограничению от разработчика. Читать

https://habr.com/ru/companies/bizone/articles/814899/

#darkgate #впо #вредоносное_программное_обеспечение #реверс_инжиниринг #исследование_безопасности #rat #стилер #загрузчик

10 видов угроз, с которых надо начинать мониторинг ИБ в АСУ ТП

Коллеги, всем привет! Меня зовут Илья Косынкин. В компании Positive Technologies я руковожу разработкой продукта для глубокого анализа трафика в технологических сетях — PT ISIM. На проектах в различных компаниях мы много сталкиваемся с практическими вопросами о том, как выстроить мониторинг ИБ в АСУ ТП. И это закономерно, ведь наша система решает именно эту задачу. Появилась идея описать, какую пользу может принести мониторинг ИБ в АСУ ТП, не уходя глубоко в детали функциональности продуктов, их классов и возможной архитектуры внедрения в инфраструктуру компании. Только value от этого процесса, без описания cost. При этом постараюсь рассказать вам научно-популярно, без воды. А для наглядности я буду использовать в статье скрины интерфейсов наших решений. Если интересно — добро пожаловать под кат

https://habr.com/ru/companies/pt/articles/814325/

#cybersecurity #софт #кибератаки #впо #инженерное_по #асу_тп #windows #linux #плк #технологическая_сеть

Ландшафт угроз информационной безопасности последних лет. Часть 1

Начнем с определения угроз. Кому-то из круга читателей это будет излишним, но пусть здесь полежит – вдруг пригодится. Итак, угроза – это всевозможные действия или события, которые могут вести к нарушениям информационной безопасности, что может привести к нанесению ущерба или нарушению чьих-либо интересов. По результату наших исследований (на основании огромного количества TI-отчетов, которые мы на регулярной основе изучаем в контексте Threat intelligence), за предыдущий год ландшафт угроз не сильно видоизменился в целом, но появилось много достаточно интересных изменений в частности. Кстати, в качестве одного из документов к ознакомлению мы рекомендуем ENISA Threat Landscape 2022/2023 – достаточно основательное исследование, которое ежегодно выпускает аналитическое агентство, покрывающее большую часть интересных тем в контексте современных угроз и их примеров. Что не исключает, конечно, ознакомления с угрозами через вендорские отчеты, бюллетени (IBM, Microsoft, Elastic, Acronis, SonicWALL и т.д.) и через отчеты непосредственно исследователей (такие как The DFIR Report и другие). В целом TI (Threat intelligence) – это всегда огромное количество информации, причем совершенно разноплановой с точки зрения специализаций (тут вам и сетевые технологии, если атака на слабость протокола; и крипта, если угроза связана с кастомным шифрованием и даже программирование, если мы хотим понять, как работает rootkit). При этом только через TI-отчеты мы можем разобраться, как работают группировки, прокачиваются, как атакуют с конкретного вредоносного ПО, как используют техники и что сейчас актуально. Поэтому делюсь с вами частью своих агрегаторов TI-отчетов со всего мира: https://t.me/threatinteltrends и https://t.me/secvisionnews, вы найдете там много интересного. Ну что ж, приступим.

https://habr.com/ru/companies/securityvison/articles/810087/

#malware #analytics #trends #security #security_awareness #аналитика #впо #тренды

Как мы выследили новую APT-группу, которая похищает пароли и передает их телеграм-ботам

При отслеживании киберугроз мы, специалисты экспертного центра безопасности Positive Technologies , в очередной раз засекли ранее неизвестную APT-группу. Хакеры орудуют в России, Беларуси, Казахстане и Армении, а также в Средней Азии (Узбекистане, Кыргызстане и Таджикистане). По нашим данным, от их атак пострадали организации в государственном и финансовом секторах, в сфере образования и медицины. Всего было скомпрометировано около 870 учетных записей сотрудников . На этот раз нас удивил почерк группировки, который можно описать как «сложно не значит лучше». Киберпреступники выделяются тем, что добиваются успеха, не прибегая к сложному инструментарию, сложным тактикам и техникам. Ознакомиться с полным отчетом, как обычно, можно Подключайтесь к расследованию

https://habr.com/ru/companies/pt/articles/805087/

#стилер #telegram #apt #расследование #учетные_данные #pyinstaller #кибергруппировки #cybercrime #государственные_учреждения #впо

SafeRAT: так ли он безопасен?

Большой хабросалют всем! С вами на связи я, Ксения Наумова, и мой коллега Антон Белоусов. Мы работаем в компании Positive Technologies, в отделе обнаружения вредоносного ПО. В декабре 2023 года, в ходе постоянного отслеживания новых угроз ИБ, изучая в PT Sandbox и других песочницах вредоносные образцы и генерируемый ими трафик, мы обнаружили подозрительное сетевое взаимодействие, с которого наше дальнейшее исследование и началось. Надо сказать, обратили мы внимание на это еще и благодаря внезапно увеличившемуся количеству похожих семплов. Сами злоумышленники, видимо призрачно надеясь на убедительность, назвали в коде свой троян удаленного действия SafeRAT, с именованием которого мы, конечно, не согласны, но довольно спойлеров! Ниже мы постарались детально описать вредонос, который ранее исследователям не встречался, чтобы показать его НЕбезопасность. Залетайте под кат

https://habr.com/ru/companies/pt/articles/793440/

#rat #cybersecurity #sandbox #стилер #кража_данных #malware #шифрование_данных #сетевой_трафик #впо #загрузчик

(Ex)Cobalt в новом обличье: команда Solar 4RAYS исследовала последнюю атаку известной группировки

Недавно мы запустили блог центра исследования киберугроз Solar 4RAYS, где делимся аналитикой об актуальных угрозах, результатами расследований инцидентов, полезными инструментами для реагирования на кибератаки и другими практическими материалами. Некоторые исследования из блога мы будем размещать и здесь, и это – одно из них. В ходе расследования атаки на одно из госучреждений в декабре этого года мы обнаружили новые индикаторы, которые с высокой долей вероятности можно атрибутировать преступной группировке (Ex)Cobalt (также известной как Comet/Shadow/Twelve). Группировка ранее преследовала финансовую выгоду, но затем сменила вектор и стала заниматься атаками, свойственными кибершпионам. Мы выяснили, что с недавних пор злоумышленники стали использовать новую сетевую инфраструктуру и изменили технику развертывания главной вредоносной нагрузки. Также нам удалось обнаружить несколько новых доменов, потенциально связанных с группировкой. Они пока не использовались в атаках, но требуют пристального внимания, так как злоумышленники могут задействовать их в ближайшем будущем. Узнать подробности

https://habr.com/ru/companies/solarsecurity/articles/783838/

#впо #кибербезопасность #киберугрозы #исследование #киберпреступность #кибератаки

Айтишники против шифровальщиков: как победить злосчастный вирус

Всем привет. На связи снова Александр Грачев. Как и обещал , возвращаюсь с новыми рассказами о внутренней кухне технической поддержке песочницы PT Sandbox и том, как мы делаем мир безопаснее и лучше благодаря нашему продукту. Все мы знаем о таких распространенных вирусах, как шифровальщики. И да, когда-то о них было слышно «из каждого утюга», а потом шумиха улеглась и вроде как все прошло. Но наши исследования показывают, что они никуда не делись. Предположу, что от слова «шифровальщик» у любого IT-специалиста начинает дергаться глаз. И я понимаю эти эмоции. В мир ИБ я, как многие в этой сфере, попал из ИТ (и это несмотря на то, что многие айтишники не любят безопасников и наоборот). Так вот, злосчастные шифровальщики — это страшный сон IT-специалиста, о котором мечтаешь забыть. Да, сейчас стало легче и проще, способов защиты стало больше, а вот раньше… В любой момент мог раздаться звонок со словами: «У меня тут на рабочем столе появился текстовый файл „Открой меня“, а внутри просят деньги. Что делать?» И начинается череда приключений. Дальше

https://habr.com/ru/companies/pt/articles/779958/

#техподдержка #операционные_системы #почта #cybersecurity #песочница #впо #шифровальщик #сигнатурный_анализ #development #itинфраструктура

Итоги расследований инцидентов ИБ в 2021–2023 годах
Привет, на связи команда по расследованию инцидентов экспертного центра безопасности Positive Technologies (PT Expert Security Center, PT ESC). Вероятно, вы уже читали наши расследования здесь, на Хабре, а может быть, даже заглядывали к нам в блог . В последние два года число расследований у нашей команды выросло более чем вдвое, и в этот раз мы решили проанализировать 100+ последних своих проектов по расследованию, чтобы понять, как действуют злоумышленники и сколько в среднем по времени находятся в инфраструктуре компаний. Читать
#инциденты_иб #расследования #apt #впо #pt_esc #фишинг #кибератаки #microsoft_exchange #jira #компрометация
https://habr.com/ru/companies/pt/articles/774060/