Новые алгоритмы сканирования Gmail ловят 99,9% вредоносных вложений

Олег Иванов 27 Февраля 2020 - 11:29

Домашние пользователи

...

Google оснастил сервис электронной почты Gmail усовершенствованными возможностями сканирования. По словам поискового гиганта, этот шаг помог существенно увеличить общий процент детектирования вредоносных документов.

Специалисты Google утверждают, что существующие модели машинного обучения вкупе с другими защитными мерами помогают заблокировать «более 99,9% киберугроз, пытающихся пробраться в ящики пользователей Gmail».

При этом уточняется, что сканер сервиса электронной почты покрывает огромные объёмы, обрабатывая более 300 миллиардов вложений каждую неделю.

Около 63% от общего числа обнаруженных вредоносных документов меняются каждый день, поэтому Google решил внедрить сканеры нового поколения, которые помогут повысить процент детектирования злонамеренных вложений с помощью глубокого обучения.

«С конца 2019 года работа новых сканеров помогла повысить на 10% число ежедневно детектируемых документов Office, содержащих вредоносные скрипты», — заявили сотрудники Google.

В особенности сканеры зарекомендовали себя в случае обнаружения «взрывных» атак (DDoS с высокой частотой) — детектирование увеличилось на 150%.

Как объяснил Google, в Gmail используется модель глубокого обучения, известная как TensorFlow, ему в помощь работает кастомный анализатор документа для каждого типа файлов. Их задача — парсить документы, искать типичные признаки вредоносных составляющих, извлекать макросы, деобфусцировать контент и так далее.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 31 Января 2025 - 10:46

Трояны Уязвимости программ Домашние пользователи

Syncjacking позволяет получить контроль над устройством через Chrome-аддоны

Исследователи из SquareX обнаружили новый вектор атаки под названием «Browser Syncjacking»: злоумышленники могут использовать с виду легитимное расширение браузера Google Chrome для получения полного контроля над устройством жертвы.

Описанная техника включает несколько этапов: сначала злоумышленник перехватывает контроль над Google-аккаунтом жертвы, затем — над браузером, а в конечном счёте — над самим устройством.

Несмотря на многоступенчатую структуру, вектор можно использовать незаметно, поскольку он требует минимальных разрешений в системе и практически исключает взаимодействие с жертвой, кроме установки якобы легитимного расширения.

Общая схема Syncjacking делится на четыре этапа:

Создание вредоносного домена Google Workspace. Злоумышленник настраивает несколько профилей, отключая у них защитные меры, (например, многофакторную аутентификацию). Этот домен используется для создания управляемого профиля на устройстве жертвы.
Публикация вредоносного расширения. Аддон маскируется под полезный софт с легитимными функциями и размещается в Chrome Web Store.
Обман жертвы с помощью социальной инженерии. Жертва устанавливает расширение, после чего оно тайно регистрирует ее в одном из управляемых злоумышленником профилей Google Workspace. Это происходит в скрытом окне браузера, работающем в фоновом режиме.
Включение синхронизации Chrome. Расширение открывает страницу поддержки Google и, используя разрешение на чтение и запись веб-страниц, внедряет в нее сообщение, побуждающее жертву включить синхронизацию. После активации злоумышленник получает доступ ко всем сохранённым данным пользователя, включая пароли, историю просмотров и другую конфиденциальную информацию.

После компрометации профиля злоумышленники используют поддельное обновление Zoom для получения полного контроля над браузером.

Жертва получает фальшивое приглашение на конференц-связь.
При переходе по ссылке расширение подменяет содержимое страницы, предлагая обновить клиент Zoom.
На деле загружается исполняемый файл с токеном регистрации, который передает злоумышленнику полный контроль над браузером жертвы.

После успешного взлома злоумышленники могут:

Незаметно получать доступ ко всем веб-приложениям жертвы.
Устанавливать дополнительные вредоносные расширения.
Перенаправлять пользователя на фишинговые сайты.
Отслеживать и модифицировать загрузки файлов.
Фиксировать нажатия клавиш, включая пароли.
Активировать веб-камеру и микрофон.

SquareX подчеркивает, что этот метод особенно сложен для обнаружения. В отличие от традиционных атак, использующих сложную социальную инженерию, здесь злоумышленникам требуются лишь минимальные разрешения и немного социальной инженерии.