Microsoft рассказала, как атаковавшим SolarWinds удалось скрыть операции

Microsoft рассказала, как атаковавшим SolarWinds удалось скрыть операции

Microsoft рассказала, как атаковавшим SolarWinds удалось скрыть операции

Специалисты продолжают публиковать новую информацию о методах крайне подготовленных киберпреступников, скомпрометировавших цепочку поставок SolarWinds. На этот раз исследователи из Microsoft рассказали об уловках группировки, позволивших им ускользнуть от обнаружения и оставаться незамеченными на протяжении долгого времени.

В декабре Microsoft и FireEye обнаружили бэкдор, который использовался  в атаке на SolarWinds. Он получил имя Sunburst (или Solorigate). Чуть позже эксперты Crowdstrike доложили о ещё нескольких вредоносах: Sunspot, Teardrop.

«Есть одна упущенная деталь в сложной цепочке атак — передача процесса от бэкдора Solorigate к загрузчику Cobalt Strike», — гласит новый пост Microsoft. — «Как показало наше расследование, атакующие убедились в том, что эти два компонента максимально разделены. Так они хотели уйти от детектирования».

Специалисты также считают, что киберпреступная группировка начала деятельность в мае 2020 года и при этом «потратила месяц на выбор жертвы и подготовку вредоносных семплов и инфраструктуры командных центров (C2)».

В Microsoft подчеркнули, что злоумышленники уделили особое внимание скрытности — каждая деталь учитывалась и обдумывалась с целью избежать обнаружения своего присутствия в системах жертв. Именно по этой причине атакующие максимально разделили выполнение загрузчика Cobalt Strike и процесс SolarWinds.

«Расчёт киберпреступников был следующим: даже если бы они потеряли имплант Cobalt Strike из-за детектирования, бэкдор SolarWinds всё равно остался бы в тени», — продолжает Microsoft.

Эксперты добавили, что каждый образец библиотеки Cobalt Strike был уникальным, злоумышленники старались всеми силами избегать повторного использования имени файла или директории. Этого же принципа атакующие строго придерживались в отношении имён функций, HTTP-запросов, C2-доменов, временных меток, метаданных файлов и т. п.

Бинарники преступники переименовывали и пытались замаскировать под уже установленные в системе программы.

Бесплатные VPN: чем на самом деле платят пользователи за халяву

VPN давно стали привычной частью цифровой жизни: они помогают скрывать трафик от провайдеров и рекламщиков, а заодно дают доступ к контенту из других регионов. Но когда дело доходит до выбора сервиса, многие автоматически смотрят в сторону бесплатных VPN. И делают это зря.

Эксперты по кибербезопасности предупреждают: если вы не платите за VPN деньгами, скорее всего, вы платите своими данными.

Достаточно открыть Google Play и вбить в поиск «VPN», чтобы увидеть десятки «бесплатных» сервисов. Они обещают анонимность, защиту и свободу от слежки, но на практике часто делают ровно противоположное.

Многие такие VPN собирают пользовательские данные и продают их рекламодателям — тем самым, от кого пользователи как раз пытаются спрятаться. Получается парадокс: человек включает VPN, чтобы избежать трекинга, а в итоге добровольно отдаёт свои данные третьим лицам.

Даже если VPN нужен лишь для обхода региональных ограничений, риск утечки персональной информации вряд ли стоит просмотра эксклюзивного сериала.

Одна из главных причин, почему люди выбирают бесплатные VPN, — уверенность, что платные сервисы стоят дорого.

Пользователи часто идут ещё дальше: пользуются акционным тарифом пару лет, затем просто переходят на другой сервис с новой скидкой. Немного хлопот — и никакого риска для данных.

Если вы всерьёз задумываетесь о конфиденциальности, бесплатный VPN — не лучший выбор. Вместо того чтобы тратить время на проверку сомнительных приложений, эксперты советуют вложиться в недорогой платный сервис и забыть о проблеме на несколько лет.

Вопрос тут не в удобстве и даже не в скорости. А в том, кто именно получает доступ к вашим данным — вы сами решаете или это делают за вас.

RSS: Новости на портале Anti-Malware.ru