Сайт "Коммерсанта" атаковали хакеры

Сайт "Коммерсанта" атаковали хакеры

Сайт издательского дома "Коммерсантъ" в районе полудня 1 декабря подвергся хакерской атаке. При заходе на главную страницу сайта http://kommersant.ru видно изображение медведя с флагом "Единой России" на Спасской башне и текст, призывающий прийти на "народный сход против фальшивых выборов".



Кроме того, подобное изображение появляется при заходе на любую страницу сайта, в адресе которой нет префикса www. Адреса с данным префиксом (к примеру, www.kommersant.ru) открываются корректно.

Помимо данного изображения на странице присутствует ссылка "на сайт kommersant.ru". Она открывает сайт издательского дома, однако вместо настоящего адреса все запросы перенаправляются на http://173.193.199.66/. Хостинг данного домена расположен в США, а его диапазон зарезервирован за техасской компанией Ucclouds.com.

Как заявил глава ИД "Коммерсантъ" Демьян Кудрявцев, произошедшее нельзя считать хакерской атакой. По его словам, это "хакерское действие", по поводу которого издательский дом уже направил запрос в правоохранительные органы, передает lenta.ru.

Кудрявцев добавил, что восстановление работы сайта - это вопрос считанных часов. Он отметил, что ему все равно, кто стоит за этими действиями. "У меня нет времени и желания разбираться в оттенках преступной деятельности", - подчеркнул глава издательского дома.

Вместе с тем он выразил удовлетворение тем фактом, что на сайте не появилось какое-либо изображение, более оскорбительное для читателей. Кудрявцев также отметил, что сайт издания не впервые подвергается таким действиям.

Ранее воздействие хакеров на сайт издательского дома в основном было связано с DDoS-атаками. В частности, серьезная блокировка ресурса злоумышленниками была отмечена в мае 2007 и марте 2008 годов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Ботнет из тысяч роутеров TP-Link мобилизован для брутфорса учеток Azure

С августа 2023 года в Microsoft фиксируют повышенную активность взломщиков аккаунтов Azure, использующих технику password spraying. Скрытные и зачастую успешные атаки удалось связать с ботнетом CovertNetwork-1658, он же xlogin и Quad7 (7777).

Данная бот-сеть составлена в основном из забэкдоренных SOHO-роутеров TP-Link, работающих как релеи. Период активности узла — в среднем 90 дней; в атаках password spraying одновременно задействованы около 8 тыс. IP-адресов, в 80% случаев каждый совершает одну попытку взлома в сутки.

Для внедрения бэкдора злоумышленники используют уязвимости — какие именно, доподлинно неизвестно. После отработки эксплойта происходит подготовка устройства к работе в качестве прокси:

 

Учетные данные, скомпрометированные с помощью CovertNetwork-1658, в дальнейшем используются для проведения целевых атак. Взлом аккаунтов мишени в облаке Azure позволяет злоумышленникам продвинуться вширь по сети, закрепиться с помощью RAT и приступить к краже данных.

В частности, плодами трудов прокси-ботнета охотно пользуется действующая в Северной Америке и Европе кибергруппа, которую в Microsoft отслеживают под именем Storm-0940.

Последние месяцы активность CovertNetwork-1658 заметно снизилась. Вероятно, ботоводов встревожило повышенное внимание со стороны ИБ-сообщества (публикации Team Cymru и Sekoia, посвященные Quad7), и они решили обновить инфраструктуру, сменив цифровые отпечатки, чтобы вновь уйти в тень.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru