В рунете зафиксирован рост числа DDoS-атак, используемых как дымовая завеса

В рунете зафиксирован рост числа DDoS-атак, используемых как дымовая завеса

В рунете зафиксирован рост числа DDoS-атак, используемых как дымовая завеса

Эксперты StormWall обнаружили, что авторы DDoS-атак на российские организации все чаще используют их, чтобы отвлечь внимание от взлома систем и кражи данных. В январе 2023 года количество таких инцидентов по клиентской базе ИБ-компании увеличилось на 35% в сравнении с показателем годовой давности.

Согласно наблюдениям, основной целью авторов атак с DDoS-прикрытием является вывод из строя ИТ-инфраструктуры либо получение несанкционированного доступа к клиентским и корпоративным данным. Краденая информация впоследствии может использоваться для вымогательства или шантажа.

В прошлом месяце от подобных DDoS-атак больше прочих страдали финтех-компании (прирост на 83% в сравнении с январем 2022 года), ретейлеры (+62%) и представители игровой индустрии (+53%). Рост DDoS-активности, связанной с хакерскими атаками, наблюдался также в сфере образования, здравоохранения и телекоммуникаций (прирост на 18, 14 и 10% соответственно).

Большинство DDoS-атак на финтех-компании провели политически мотивированные хактивисты. Пустив дымовую завесу, злоумышленники с помощью вредоносных программ пытались взломать внутренние системы и сайты организаций.

Жертвам, вооруженным профессиональным Anti-DDoS решением, удалось успешно отразить DDoS-атаку и сконцентрироваться на защите от других угроз. В остальных случаях была зафиксирована утечка клиентских ПДн, иногда хактивисты также прибегали к дефейсу.

«Чтобы предотвратить инциденты взлома под прикрытием DDoS-атаки, мы рекомендуем компаниям подключить профессиональную защиту от DDoS-атак, чтобы отдел информационной безопасности мог сосредоточиться на обороне ИТ-инфраструктуры от других более сложных атак, — заявил Рамиль Хантимиров, исполнительный директор и сооснователь StormWall. — Кроме того, необходимо регулярно проводить аудит безопасности ИТ-инфраструктуры для выявления узких мест, которые повышают риски DDoS-атак».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Российский хостинг Proton66 используют для атак и раздачи зловредов

С 8 января в Trustwave SpiderLabs фиксируют активизацию сканов, попыток брутфорса и эксплойта, исходящих с IP-адресов российского хостера Proton66. Расследование выявило в AS-сети также командные серверы ряда вредоносов.

Эксперты полагают, что Proton66, как и другой российский сервис-провайдер, Prospero, вовлечен в схемы предоставления услуг bulletproof-хостинга, продвигаемые в даркнете как Securehost и BEARHOST.

Закрепленная за Proton66 сеть AS198953 состоит из пяти блоков IP-адресов, которые в настоящее время числятся в черных списках Spamhaus и других борцов за чистоту интернета. В период с января по март вредоносную активность в основном проявляли два из них; мишенями чаще всего становились финансовые и ИТ-организации.

 

Из уязвимостей, которые пытались эксплуатировать злоумышленники, удалось идентифицировать следующие:

Две последние, по словам экспертов, обычно используются в атаках, нацеленных на внедрение в сеть шифровальщика SuperBlack (итерация LockBit 3.0).

Один из IP-адресов Proton66 засветился в связи с кампанией по внедрению на WordPress-сайты редиректоров на поддельные страницы магазина Google Play.

Оба выявленных источника вредоносных JavaScript-инъекций в рамках атак на Android-устройства до недавних пор размещались на московском сервере, а теперь перенесены к гонконгскому хостеру Chang Way Technologies.

 

Во владениях Proton66 также были обнаружены C2-серверы и хранилища файлов XWorm, StrelaStealer, WeaXor (усовершенствованный вариант шифровальщика Mallox).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru