Киберпреступники снова взялись за спуфинг

Киберпреступники снова взялись за спуфинг

Киберпреступники снова взялись за спуфинг

Спуфинг стал самой популярной техникой атак с отправкой вредоносных писем, выяснили эксперты F.A.С.С.T. Речь о данных за первый квартал 2023 года. Чаще всего “на борту” опасных рассылок находились стилеры и программы-шпионы.

Специалисты компании F.A.С.С.T. (теперь так называется российский бизнес компании Group-IB) проанализировали вредоносные рассылки, обнаруженные системой Managed XDR и выявили, что спуфинг использовался злоумышленниками в электронных рассылках в 67,5% атак.

Эта популярная у киберпреступников техника эксплуатирует проблему почтового протокола SMTP, которая позволяет с помощью множества доступных инструментов — подходящего почтового клиента, скрипта или утилиты — подделать адрес отправителя. 

В итоге пользователь считает, что письмо отправлено с легитимного адреса. Таким образом преступники быстро входят в доверие к получателям сообщений и убеждают открыть вложение или перейти по ссылке, тем самым загрузив на свое устройство вредоносную программу. 

Спуфинг использовался при точечных атаках на российские благотворительные фонды еще в 2020-2021 годах. Тогда сотрудники получили поддельные письма от руководства с просьбой перевести средства по указанным реквизитам. 

За прошедший год спуфинг был замечен в рассылках по российским компаниям шпионов и стилеров с зараженных компьютеров и смартфонов пользователей. В некоторых случаях злоумышленники подставляли в поле “отправитель” почтовые адреса компаний, в которых работали получатели.

Второй по популярности техникой при рассылке вредоносных писем (18,7% случаев) в начале 2023 года стала регистрация почтовых доменов, похожих на адреса электронных ящиков реальных компаний (пример: hotemail[.]top вместо легитимного hotmail[.]com). 

Создание собственных доменных имен позволяет письмам злоумышленников обходить базовую проверку протоколов электронной почты.

Взломанные, то есть скомпрометированные почтовые учетные записи или доменные имена, были замечены в 8% атак по электронной почте. Этот способ, как правило, наиболее опасен для получателей писем, так как отправитель кажется абсолютно легитимным как для получателя, так и для большинства стандартных средств фильтрации электронной почты.

Меньше всего злоумышленники используют рассылку писем с помощью бесплатных почтовых сервисов — их замечено в 5,8% обнаруженных писем с вредоносным содержанием. Чаще всего берут сервисы: Gmail — 41,1% случаев, HotMail (28,8%) и Yahoo (9,9%).

“Электронная почта остается одним из основных векторов атак на компании, особенно когда речь идет о распространении программ-шпионов или стилеров”, — комментирует цифры руководитель Security operations center (SOC) компании F.A.С.С.T. Ярослав Каргалев. По его словам, злоумышленники стали тщательно готовить рассылки и внимательнее относиться к оформлению писем. При этом относительно простой спуфинг остается техникой номер один для маскировки вредоносных рассылок.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

12 пиратских CDN кормят 90% онлайн-пиратов в России

Компания F6, специализирующаяся на технологиях борьбы с киберпреступностью, провела большое исследование онлайн-пиратства в России — и картина, скажем так, получилась живописная.

Как выяснилось, до 90% всего пиратского видеоконтента у нас «разливается» через 12 основных CDN — это такие себе видеобалансеры, которые доставляют «кино по подписке» без всяких подписок.

Причём хостятся эти схемы не в России, а в Нидерландах, США, Германии, Франции и на Украине — блокировать их сложно, а они только рады.

По данным F6, пиратский бизнес в рублёвом эквиваленте падает: за шесть лет доходы «теневого Netflix» снизились с $87 млн до $36 млн. Но вот объём пиратского контента — наоборот, растёт. Только в 2024 году было заблокировано 12,5 млн единиц контента — это почти на 42% больше, чем годом ранее. Заблокировано также 110 тысяч доменов, и это далеко не предел.

Кто разливает «пиратку» по Cети?

Вот топ любимых CDN у российских пиратов:

  • Alloha — 61% пиратских сайтов пользуются её услугами.
  • Rewall — 42%.
  • Lumex — 11%.
  • Kodik — 9%.
  • HDVB — 7%.

Одна такая платформа может хранить больше 550 тысяч видеофайлов — от фильмов до трейлеров. Всего в инфраструктуре крупнейших CDN — более 4400 доменов, включая плееры и потоковые адреса. Причём передача видео может идти не только через обычный HTTP, но и через WebSocket — например, так делают HDVB и Rewall.

Особая любовь у пиратов к доменной зоне .ru — 22,8% всех пиратских сайтов регистрируются именно там. Видимо, за простоту и копеечную стоимость регистрации.

Любителям бесплатного кино стоит быть осторожнее. Специалисты F6 проверили 500 популярных пиратских сайтов и выяснили, что почти 40% из них небезопасны — либо содержат вирусы, либо «дыры», либо уже в «чёрных списках» антивирусов и поисковиков.

И это неудивительно: веб-мастера гонятся за трафиком и деньгами, не особо заботясь о безопасности. А денег, между прочим, немало: 36% всей рекламы на пиратских ресурсах — это видеоролики in-stream, которые запускаются через партнёрские сети или прямо через CDN.

Почему блокировать одни сайты — мало

Сами сайты с фильмами — это лишь витрина. Настоящая «начинка» — это как раз те самые CDN, через которые и льётся весь поток. По словам Станислава Гончарова, главы департамента Digital Risk Protection компании F6, именно видеобалансеры — ключевые фигуры в пиратском бизнесе.

«Бороться с ними сложно, но возможно. Мы это уже показывали в 2019 году, когда после закрытия Moonwalk CDN обрушились ещё два крупных игрока — HDGO и Kodik. Тогда их база насчитывала 75 тысяч фильмов и сериалов, и они контролировали до 90% пиратских кинотеатров в России и СНГ», — напомнил Гончаров.

Сейчас вся собранная информация, включая технические детали и доказательства нарушений авторских прав, уже направлена в правоохранительные органы и регуляторам. Работа по зачистке продолжается, но пираты, как известно, живучи. Так что эта история ещё не закончена.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru