SecureTower теперь записывает телефонные переговоры IP-телефонии по SIP протоколу

SecureTower теперь записывает телефонные переговоры по SIP протоколу

В новой версии SecureTower была добавлена возможность контроля голосовых и текстовых сообщений, передаваемых посредством протокола SIP. Также в системе был реализован функционал для защиты сетевых ресурсов от утечек данных.

По статистике ежедневно сотрудники компаний, вне зависимости от их сферы деятельности, в среднем используют от трех до семи каналов передачи данных, каждый из которых может стать путем для преднамеренной или непреднамеренной утечки информации. Именно поэтому одним из важнейших направлений развития системы SecureTower является постоянное увеличение количества контролируемых каналов передачи данных.

Среди коммуникационных каналов в бизнесе одним из самых популярных является телефония. При этом, в последнее время наметилась тенденция, когда организации все меньше используют классические телефоны, а переходят на SIP-телефонию, использующую для передачи данных сеть интернет. В отличие от стационарных городских или мобильных сетей, SIP-операторы предлагают более гибкие тарифы на местную и международную связь, что делает их более привлекательными.

Учитывая данную тенденцию, в систему SecureTower была добавлена возможность контроля информации, передаваемой посредством протокола SIP. Причем речь идет не только о контроле голосовых переговоров и текстовых сообщений, но и голосовых сообщений, передаваемых в рамках видеоконференций, которые являются достаточно популярной опцией в тарифных планах SIP-операторов.

Теперь в организациях, использующих средства IP-телефонии (например, программные телефоны X-Lite, Sippoint, Linphone, Express Talk и др.), при возникновении каких-либо спорных ситуаций можно прослушать перехваченные голосовые сообщения сотрудников и сделать выводы о причастности того или иного специалиста к произошедшему инциденту или же проверить их уровень компетенции и соответствие занимаемой должности. С помощью «Центра отчетности» SecureTower собирает статистические данные, на основе которых можно сделать вывод о количестве и продолжительности звонков, совершенных специалистом за определенный промежуток времени. Эта функция является полезной для оценки эффективности работы сотрудников call-центра, службы техподдержки или менеджеров по продажам.

В рамках расширения количества контролируемых путей передачи данных специалисты компании Falcongaze создали действенный инструмент, позволяющий контролировать работу пользователей с сетевыми дисками и папками, а также разграничивать права доступа к сетевым ресурсам для отдельных сотрудников, компьютеров или для целых групп пользователей.

При необходимости система позволяет запретить копирование на сетевые ресурсы файлов с определенными расширениями. Для оптимизации процесса анализа разнородной информации система позволяет исключить из перехвата слишком объемные данные или файлы с определенными расширениями, например, видеофайлы (.mp4, .avi, .mkv, .mpg и т.д.), образы дисков (.bin, .dat, .dmg, .iso, .mdf, .mds, .nrg) и прочее. Кроме того, SecureTower создает теневые копии всей информации, пересылаемой на сетевые ресурсы и папки, для последующей проверки на соответствие действующей политике безопасности компании.

Linux-фреймворк DKnife годами следил за трафиком пользователей

Исследователи из Cisco Talos рассказали о ранее неизвестном вредоносном фреймворке под названием DKnife, который как минимум с 2019 года используется в шпионских кампаниях для перехвата и подмены сетевого трафика прямо на уровне сетевых устройств.

Речь идёт не о заражении отдельных компьютеров, а о компрометации маршрутизаторов и других устройств, через которые проходит весь трафик пользователей.

DKnife работает как инструмент постэксплуатации и предназначен для атак формата «атакующий посередине» («adversary-in-the-middle») — когда злоумышленник незаметно встраивается в сетевой обмен и может читать, менять или подсовывать данные по пути к конечному устройству.

Фреймворк написан под Linux и состоит из семи компонентов, которые отвечают за глубокий анализ пакетов, подмену трафика, сбор учётных данных и доставку вредоносных нагрузок.

 

По данным Talos, в коде DKnife обнаружены артефакты на упрощённом китайском языке, а сам инструмент целенаправленно отслеживает и перехватывает трафик китайских сервисов — от почтовых провайдеров и мобильных приложений до медиаплатформ и пользователей WeChat. Исследователи с высокой уверенностью связывают DKnife с APT-группировкой китайского происхождения.

Как именно атакующие получают доступ к сетевому оборудованию, установить не удалось. Однако известно, что DKnife активно взаимодействует с бэкдорами ShadowPad и DarkNimbus, которые уже давно ассоциируются с китайскими кибершпионскими операциями. В некоторых случаях DKnife сначала устанавливал подписанную сертификатом китайской компании версию ShadowPad для Windows, а затем разворачивал DarkNimbus. На Android-устройствах вредоносная нагрузка доставлялась напрямую.

 

После установки DKnife создаёт на маршрутизаторе виртуальный сетевой интерфейс (TAP) и встраивается в локальную сеть, получая возможность перехватывать и переписывать пакеты «на лету». Это позволяет подменять обновления Android-приложений, загружать вредоносные APK-файлы, внедрять зловреды в Windows-бинарники и перехватывать DNS-запросы.

Функциональность фреймворка на этом не заканчивается. DKnife способен собирать учётные данные через расшифровку POP3 и IMAP, подменять страницы для фишинга, а также выборочно нарушать работу защитных решений и в реальном времени отслеживать действия пользователей.

В список попадает использование мессенджеров (включая WeChat и Signal), картографических сервисов, новостных приложений, звонков, сервисов такси и онлайн-покупок. Активность в WeChat анализируется особенно детально — вплоть до голосовых и видеозвонков, переписки, изображений и прочитанных статей.

Все события сначала обрабатываются внутри компонентов DKnife, а затем передаются на командные серверы через HTTP POST-запросы. Поскольку фреймворк размещается прямо на сетевом шлюзе, сбор данных происходит в реальном времени.

RSS: Новости на портале Anti-Malware.ru