29 января, 13:31
Безопасность
Фото: depositphotos/minervastock
В России выявили новую кибергруппировку, которая отключает антивирусы при атаках на компании. Об этом сообщает газета "Известия".
Как рассказали эксперты одного из центров исследования киберугроз, такой метод начинает все чаще встречается при расследовании подобных инцидентов. К примеру, при атаке на промышленную организацию хакеры использовали метод, который позволяет отключить решение любого вендора.
Расследование показало, что злоумышленники проникли в корпоративную сеть через уязвимость в ПО DameWare Mini Remote Control. Оно используется для удаленного управления компьютером. Выяснилось, что порт был доступен для отдельных систем из внешней сети со времен пандемии.
В результате хакеры разместили вредоносный файл в директории агента администрирования антивирусного решения и отключили антивирус "Лаборатории Касперского". После компания оперативно доработала механизмы защиты и выпустила соответствующие обновления.
Отмечается, что одной из функций вредоносного файла было отключение технологии фильтрации файловой системы в Windows. Компоненты безопасности многих защитных решений используют MiniFilter для сбора информации об операциях в файловой системе и анализа потенциальных угроз.
Вредоносный драйвер создает и регистрирует собственный MiniFilter, после чего блокирует антивирусу возможность мониторинга. Это в свою очередь позволяет злоумышленникам загружать любой вредоносный софт.
Эксперт центра исследования киберугроз Дмитрий Маричев отметил, что хакеры все чаще прибегают к подобным инструментам.
"Подходы и техническая реализация уклонения и деактивации защитных решений отличаются лишь деталями, например именами файлов их компонентов", – пояснил он.
Как, в свою очередь, добавил руководитель лаборатории антивирусных исследований "Лаборатории Касперского" Владимир Кусков, злоумышленники могут использовать уязвимые или вредоносные драйверы, код которых может угрожать целостности механизмов безопасности ОС.
Кусков также подчеркнул, что пользователям необходимо своевременно и регулярно обновлять операционную систему и установленное ПО. Кроме того, нужно проверять защиту и корректную настройку всех необходимых компонентов и решений.
В одной из атак хакеры вывели из строя IT-инфраструктуру российской промышленной компании после отключения антивируса. Им удалось проникнуть в сеть организации через взломанную учетную запись подрядчика. Это удалось сделать из-за изъяна при взаимодействии операционной системы Windows с цифровыми подписями драйверов.
"Это зачастую позволяет им привлекать минимум внимания к вредоносной деятельности, особенно если такое ПО используется в скомпрометированной организации. Уязвимости в публично доступных приложениях уже который год остаются в тройке популярных методов получения первоначального доступа", – заключил эксперт Олег Скулкин.
Между тем злоумышленники нашли уязвимость в домашних роутерах, которая позволяет им подключаться по Wi-Fi к устройствам и получать доступ к трафику и личным данным пользователей. При этом эксперты считают, что взломать роутер непросто, поскольку хакер должен знать модель устройства и команды для его повреждения.
Специалисты рекомендуют регулярно обновлять ПО роутера, устанавливать надежный пароль для Wi-Fi и не подключаться к незнакомым сетям.
"Московский патруль": лжеоператоры взламывают аккаунты россиян на "Госуслугах"