Bitdefender представил единую защиту всех клиентских терминалов

Bitdefender представил единую защиту всех клиентских терминалов

Подразделение корпоративных продуктов румынской компании Bitdefender сообщило о выпуске новаторского решения под названием GravityZone (можно вольно перевести, как «зона притяжения»). Этот продукт представляет собой централизованную систему безопасности для физических, виртуальных и мобильных оконечных устройств. Система GravityZone образует частное облако, откуда все пользователи корпоративной сети потребляют услуги безопасности для любого вида своих клиентских терминалов.

Облачная система GravityZone во многом является революционным решением, предлагая специалистам по безопасности, IT-отделам, управленцам и системным интеграторам централизованную систему контроля безопасности с высоким уровнем масштабируемости. Кроме того, платформа GravityZone хорошо интегрируется с технологиями виртуализации от VMware, Citrix и Microsoft. Огромную экономию времени и ресурсов обеспечивает возможность передачи на свободные мощности таких операций, как антивирусное сканирование и дедупликация данных. Еще одним немаловажным преимуществом является единая консоль для управления и физическими, и виртуальными средами.

Система GravityZone построена на уже известной фирменной архитектуре Gravity, которая, например, была использована в продукте Cloud Security for Endpoints. Облачный характер этой технологии позволяет защищать любое число терминалов — от нескольких десятков, до сотен тысяч. Отличие GravityZone заключается, в том, что эта система развертывается внутри частного облака заказчика: нужно только импортировать готовый виртуальный сервер для запуска в любом популярном гипервизоре. Интеграция со службой каталогов Microsoft Active Directory, консолью управления VMware vCenter и средой виртуализации Citrix XenServer сильно облегчает развертывание защиты для физических и виртуальных рабочих столов, включая мобильные клиентские терминалы.

По усмотрению заказчика в системе GravityZone можно запустить любой из трех ключевых сервисов безопасности или все сразу: 1) сервис защиты виртуализованных сред Security for Virtualized Environments, сервис Security for Endpoints для защиты клиентских ПК, а также сервис Security for Mobile Devices для защиты мобильных устройств. После начальной установки для включения нового сервиса достаточно выполнить быструю активацию нужного компонента в консоли.

Отдельного упоминания заслуживает антивирусный модуль, использованный в GravityZone — в нем есть традиционный поиск по сигнатурам вирусов, а также фирменные технологии эвристического обнаружения B-HAVE и AVC. Технологии Bitdefender с завидным постоянством получают первые места в независимых сравнительных испытаниях антивирусов. В частности, технология B-HAVE обеспечивает эвристический анализ в виртуальном контейнере для обнаружения вирусов, успешно прошедших через сигнатурный фильтр. Технология AVC помогает выявить вирусы, в которых применяются самые современные методики «ухода от радаров» — это достигается за счет анализа активности подозрительных процессов в реальном времени.

Linux-фреймворк DKnife годами следил за трафиком пользователей

Исследователи из Cisco Talos рассказали о ранее неизвестном вредоносном фреймворке под названием DKnife, который как минимум с 2019 года используется в шпионских кампаниях для перехвата и подмены сетевого трафика прямо на уровне сетевых устройств.

Речь идёт не о заражении отдельных компьютеров, а о компрометации маршрутизаторов и других устройств, через которые проходит весь трафик пользователей.

DKnife работает как инструмент постэксплуатации и предназначен для атак формата «атакующий посередине» («adversary-in-the-middle») — когда злоумышленник незаметно встраивается в сетевой обмен и может читать, менять или подсовывать данные по пути к конечному устройству.

Фреймворк написан под Linux и состоит из семи компонентов, которые отвечают за глубокий анализ пакетов, подмену трафика, сбор учётных данных и доставку вредоносных нагрузок.

 

По данным Talos, в коде DKnife обнаружены артефакты на упрощённом китайском языке, а сам инструмент целенаправленно отслеживает и перехватывает трафик китайских сервисов — от почтовых провайдеров и мобильных приложений до медиаплатформ и пользователей WeChat. Исследователи с высокой уверенностью связывают DKnife с APT-группировкой китайского происхождения.

Как именно атакующие получают доступ к сетевому оборудованию, установить не удалось. Однако известно, что DKnife активно взаимодействует с бэкдорами ShadowPad и DarkNimbus, которые уже давно ассоциируются с китайскими кибершпионскими операциями. В некоторых случаях DKnife сначала устанавливал подписанную сертификатом китайской компании версию ShadowPad для Windows, а затем разворачивал DarkNimbus. На Android-устройствах вредоносная нагрузка доставлялась напрямую.

 

После установки DKnife создаёт на маршрутизаторе виртуальный сетевой интерфейс (TAP) и встраивается в локальную сеть, получая возможность перехватывать и переписывать пакеты «на лету». Это позволяет подменять обновления Android-приложений, загружать вредоносные APK-файлы, внедрять зловреды в Windows-бинарники и перехватывать DNS-запросы.

Функциональность фреймворка на этом не заканчивается. DKnife способен собирать учётные данные через расшифровку POP3 и IMAP, подменять страницы для фишинга, а также выборочно нарушать работу защитных решений и в реальном времени отслеживать действия пользователей.

В список попадает использование мессенджеров (включая WeChat и Signal), картографических сервисов, новостных приложений, звонков, сервисов такси и онлайн-покупок. Активность в WeChat анализируется особенно детально — вплоть до голосовых и видеозвонков, переписки, изображений и прочитанных статей.

Все события сначала обрабатываются внутри компонентов DKnife, а затем передаются на командные серверы через HTTP POST-запросы. Поскольку фреймворк размещается прямо на сетевом шлюзе, сбор данных происходит в реальном времени.

RSS: Новости на портале Anti-Malware.ru