Adobe выпустила экстренное обновление APSB16-36, которое исправляет критическую уязвимость CVE-2016-7855 типа Remote Code Execution (RCE). Уязвимость находится на стадии активной эксплуатации злоумышленниками. Как в случае и с другими уязвимостями Flash Player, CVE-2016-7855 позволяет атакующим удаленно исполнить код в веб-браузере с использованием специальным образом сформированного объекта Flash.



Сама уязвимость была обнаружена группой антивирусных аналитиков Google и замечена в эксплуатации в направленных кибератаках на пользователей Windows 7, 8.1 и 10. Выше в таблице указаны актуальные версии Flash Player, в которых была закрыта данная уязвимость. Мы рекомендуем пользователям обновить используемую версию веб-браузера на актуальную. Обновления доступны для платформ Windows, OS X, Linux и Chrome OS.

Наши специалисты опубликовали вторую часть детального исследования деятельности и вредоносного ПО кибергруппировки Sednit. В предыдущей части мы публиковали информацию о фишинговых сообщениях и механизмах компрометации пользователей со стороны этой группировки, а также упомянули используемые ими эксплойты. В новой части нашего исследования речь пойдет о вредоносном ПО, которое используется Sednit для компрометации пользователей.


Группировка специализируется на компрометации только тех целей, которые заранее были выбраны для кибератаки, т. е. кибератака носит направленный характер и осуществляется после проведенной разведки этих целей. Вредоносный инструмент (toolkit) авторов состоит из трех основных компонентов: бэкдоров SEDRECO, XAGENT и сетевого агента XTUNNEL.

В пятницу прошлой недели существенная часть глобальной сети Интернет работала с перебоями или была недоступна вовсе на несколько часов. У пользователей наблюдались проблемы с доступом к таким сервисам как Twitter, Amazon, Tumblr, Reddit, Spotify, а также Netflix. Возникает вопрос, кем была реализована столь масштабная DDoS-атака, на кого и кто за ней стоял. Одним из первых информацию об инциденте опубликовал известный security-журналист Brian Krebs, указав, что причиной столь масштабного сбоя послужила организованная DDoS-атака на известную американскую компанию Dyn, которая предоставляет сетевую инфраструктуру и обслуживание DNS для ключевых американских организаций.


Несколько позже специалисты компании Flashpoint выяснили, что DDoS-атака была организована с использованием IoT-устройств, которые были скомпрометированы злоумышленниками. Кроме этого, они были включены в ботнет Mirai, исходные тексты которого не так давно утекли в сеть.

Опасная Local Privilege Escalation (LPE) уязвимость в ядре Linux с идентификатором CVE-2016-5195 (Dirty COW) была исправлена в таких дистрибутивах Linux как RedHat, Ubuntu и Debian. Мы рекомендуем пользователям как можно скорее обновить свои копии Linux, поскольку уязвимость уже используется атакующими in-the-wild. Уязвимость является довольно древней, ей уже 9 лет и она появилась в ядре начиная с версии 2.6.22. Это говорит о том, что она может присутствовать и в ядре Android. Dirty COW позволяет атакующему получить максимальные права root в системе, правда для проникновения в систему, он еще должен использовать RCE-эксплойт. Получение root доступа в системе позволит атакующему выполнять в ней неограниченное количество операций.

Мы уже несколько раз писали о деятельности кибергруппировки Sednit (APT28, Fancy Bear, Pawn Storm, Sofacy) в предыдущих постах нашего корпоративного блога. Эта группировка пыталась скомпрометировать более 1000 пользователей в различных организациях с использованием фишинговых атак, а также эксплойтов нулевого дня. Атакующие заинтересованы в краже конфиденциальной информации с компьютеров скомпрометированных пользователей.


Sednit осуществляла кибератаки на пользователей как минимум с 2004 г., при этом для их реализации использовались изощренные методы с обходом настроек сетевой безопасности. Исследователи ESET отслеживали деятельность группировки Sednit на протяжении последних двух лет. Sednit уличали в кибератаках на Комитет по выборам в Конгресс Демократической партии, немецкий парламент, серверы французского телеканала TV5Monde, а также антидопинговое агенство WADA.

Онлайн-игры являются на сегодняшний день очень распространенными, поэтому неудивительно, что их пользователи становятся мишенью для злоумышленников. В этом посте мы рассмотрим наиболее распространенные типы атак, которые угрожают игрокам. Как в случае и с другими пользователями, игроки могут стать жертвой фишинговых сообщений, а также фальшивых приложений.


На сегодняшний день известно существенное количество экземпляров троянов Win32/PSW.OnLineGames, которые специализируются на краже конфиденциальной информации онлайн-игр или осуществлении иных мошеннических операций с очками персонажей игры пользователя. Рассмотрим каждую из угроз более подробно.

Известное ПО для шифрования с открытым исходным кодом VeraCrypt было обновлено до версии 1.19. Обновленную версию продукта можно скачать здесь. В новом релизе были закрыты существенные уязвимости, выявленные в результате проведенного аудита исходного кода VeraCrypt, который был осуществлен специалистами Quarkslab. Специалистами было обнаружено 8 критических уязвимостей, 3 уязвимости среднего уровня опасности и еще 15 уязвимостей низкого уровня опасности.

Quarkslab made a security assessment of VeraCrypt 1.18. The audit was funded by OSTIF and was performed by two Quarkslab engineers between Aug. 16 and Sep. 14, 2016 for a total of 32 man-days of study. A critical vulnerability, related to cryptography, has been identified. It has been introduced in version 1.18, and will be fixed in version 1.19.

В августе этого года мы публиковали информацию о новом state-sponsored вредоносном ПО под названием Cremes (aka Remsec). Антивирусные продукты ESET обнаруживают его компоненты как Win32/Cremes и Win64/Cremes. Cremes является сложным трояном со множеством компонентов, которые используются для кибершпионажа. Информация о Cremes также была опубликована специалистами Федеральной Службы Безопасности (ФСБ), поскольку Cremes использовался для кибершпионажа за сотрудниками государственных учреждений.


Cremes включает в себя и Ring 0 компонент (руткит), который используется злоумышленниками как LPE-шлюз (kernel gate) для исполнения своего кода в режиме ядра. В отличие от уже таких хорошо известных руткитов и буткитов как ZeroAccess, TDL4, Mebroot, Gapz и др., Cremes не обременяет себя сложными процедурами компрометации MBR и ранних стадий загрузки ядра NT для исполнения своего Ring 0 кода в системе в обход DSE, вместо этого он использует для этого легитимные драйверы.

Microsoft выпустила набор обновлений для своих продуктов, которые закрывают 44 уязвимости в различных компонентах Windows, а также Office. Особенность данного выпуска обновлений в том, что в его рамках было исправлено целых пять 0day уязвимостей, которые используются атакующими в кибератаках. Одна из таких 0day уязвимостей типа Information Disclosure присутствует в веб-браузере Internet Explorer 9-11. Она позволяет атакующим удаленно проверять присутствие файлов на диске в уязвимой системе.



Кроме этого, октябрьский patch tuesday стал первым для Windows 7 и Windows 8.1, для которого Microsoft начала использовать кумулятивную модель доставки обновлений (Windows 10), о чем мы писали уже ранее. Вместо отдельных обновлений (бюллетеней безопасности) в центре обновлений, теперь пользователь увидит одно обновление "Ежемесячный набор исправлений качества системы безопасности для систем Windows".

Многие разработчики вредоносных программ для Android пытаются маскировать их под легитимное и полезное ПО. Таким образом они убеждают пользователей на их загрузку. Для этого злоумышленники могут использовать интересное название приложение и добавить к нему фальшивое описание, которое не соответствует функционалу этого приложения. Специалисты ESET обнаружили восемь таких фальшивых приложений на Google Play, обещавших пользователям увеличить количество подписчиков в их аккаунтах социальных сетей. Наши AV-продукты обнаруживают эти приложения как Android/Fasurke.


Будучи доступными в магазине Google Play более четырех месяцев, приложения собрали от 250K до 1M просмотров. После нашего обращения в Google, Android security team удалила все эти приложения из Play. Несмотря на то, что эти приложения уже не представляют опасности для пользователей Android, нам стоит обнародовать подробности их анализа, так как, в будущем, в Play могут появиться аналогичные приложения.

Американские спецслужбы арестовали сотрудника одной из фирм, которая работает с АНБ (подрядчик). Сотрудника зовут Harold Martin и его уже окрестили «вторым Сноуденом» за подозрение в раскрытии конфиденциальной информации АНБ. Особенностью этого случая является тот факт, что краже подвергся исходный код программного обеспечения, которое использовалось спецслужбами в кибератаках на компьютерные сети других государств. Это, в свою очередь, может указывать на причастность бывшего сотрудника к группировке Shadow Brokers.

После публикации в сети архива с данными Shadow Brokers, обсуждалось две основных версии получения исходных текстов эксплойтов группировки Equation Group. Первая подразумевает успешно проведенную кибератаку, что послужило причиной утечки. Сторонники второй версии полагают, что речь идет о «втором Сноудене», передавшем хакерам исходные тексты. Как оказалось, арестованный специалист Harold Martin работал в той же фирме, что и Сноуден — Booz Allen Hamilton.

Google выпустила ежемесячное обновление для Android Android Security Bulletin—October 2016. Как и в прошлый раз, обновление Android было двухэтапным, первый 2016-10-01 содержит исправления для уязвимостей самого Android, а второй 2016-10-05 относится только к устройствам Nexus. В рамках второго этапа было закрыто целых семь критических уязвимостей, причем две из них с идентификаторами CVE-2016-0758 и CVE-2016-7117 позволяют выполнять удаленный рутинг устройства, что может повлечь за собой перепрошивку устройства для возвращения его в исходное состояние. Фирма Zerodium оценивает стоимость эксплойтов для таких уязвимостей в $200k.

Пока компания Apple устраивала приватное мероприятие для узкого круга security-ресерчеров своих продуктов (анонсированная недавно программа bug bounty), фирма Zerodium анонсировала повышение вознаграждений, которые она выплачивает за обнаруженные уязвимости. В частности, вознаграждение за удаленный jailbreak устройства под управлением iOS 10 выросло до $1,5M. Напомним, что iOS 10 на iPhone 7 уже была скомпрометирована 19-летним security-ресерчером, также приглашенным на закрытое мероприятие Apple.


Мы уже не раз упоминали в своих постах корпоративного блога основателя фирмы Zerodium Chaouki Bekrar, который известен своими скандальными высказываниями в адрес Apple и Google в связи с недостаточными выплатами вознаграждений исследователям безопасности. В одном из своих твитов Bekrar подтвердил, что Zerodium не имела отношения к Trident эксплойтам, о которых мы писали ранее. Связка из этих эксплойтов позволяла осуществлять удаленный jailbreak iOS 9 и оценивалась Zerodium в $1M.

Microsoft ранее уже анонсировала специальные защитные меры от вредоносного ПО и кибератак, которые основаны на механизме виртуализации Hyper-V. С выпуском Windows 10 компания представила так называемую среду Virtual Secure Mode (VSM) и две основанные на VSM защитные меры: Device Guard и Credential Guard (доступны для enterprise версий Windows 10). Основное их предназначение заключается в изоляции критических для безопасности операций в мини-ОС, которая работает в отдельной виртуальной машине с высоким уровнем доверия.


К таким критическим операциям относится проверка легитимности данных UEFI-прошивки компьютера, драйверов режима ядра (Device Guard) и выполнение процедур, которые относятся к аутентификации пользователей (Credential Guard). Новая функция безопасности под названием Windows Defender Application Guard для веб-браузера Edge выполняет аналогичную изоляцию на основе Hyper-V, но только, в этом случае, ненадежных источников контента в веб-браузере.

Кибергруппировка Fancy Bear (Sofacy, APT 28, Sednit, Pawn Storm, TsarTeam) уже получила достаточную известность в медийном пространстве в связи с недавними кибератаками на сервера всемирного антидопингового агентства WADA. Позже в твиттере появился аккаунт, предположительно принадлежащий этой группировке, в котором время от времени анонсировалась публикация разных частей данных WADA, полученных Fancy Bear.


Вчера известная американская security-компания Palo Alto Networks опубликовала результаты исследования нового трояна для OS X под названием Komplex, который использовался Fancy Bear для кибератак на пользователей маков. AV-продукты ESET обнаруживают данное вредоносное ПО как OSX/Komplex.A. Komplex собирает основную информацию о системе пользователя и отправляет ее на сервер. К этой информации относится версия системы, имя пользователя, список запущенных процессов. После этого данные отправляются в зашифрованном виде на управляющий C&C-сервер.

Драйверы компьютерных игр, которые используются для защиты целостности файлов игры, а также легитимности данных игроков не являются редкостью. Ранее публиковалось несколько обзоров наиболее известных подобных драйверов, например, nProtect GameGuard и Blizzard Lockdown. Такие драйверы могут использовать в своих целях перехваты API-вызовов на уровне ядра Windows, постоянное сканирование виртуального адресного пространства процессов, отслеживание доступа операций к системному реестру и др.



Несколько дней назад компания Capcom уведомила своих пользователей об обновлении anti-hack драйвера (Capcom.sys), который используется для контроля за целостностью файлов игры и предотвращает возможную компрометацию содержимого памяти процесса игры с целью предотвращения читерства. Однако, пользователей в этом обновлении ждал неприятный сюрприз в одной из функций драйвера. Она позволяет отключать защитную меру ядра SMEP и исполнять код по указателю, полученному из пользовательского режима.

Компания Yahoo сообщила в своем блоге о масштабной компрометации учетных данных пользователей своих сервисов. Результаты расследования инцидента показали, что компрометация имела место в конце 2014 г. и ее результатом стала утечка 500 млн. аккаунтов. Особенность этой ситуации еще и в том, что Yahoo заверяет о компрометации своих сервисов со стороны state-sponsored кибергруппировки.

We have confirmed that a copy of certain user account information was stolen from the company’s network in late 2014 by what we believe is a state-sponsored actor. The account information may have included names, email addresses, telephone numbers, dates of birth, hashed passwords (the vast majority with bcrypt) and, in some cases, encrypted or unencrypted security questions and answers.

Вымогатели представляют из себя основную угрозу для пользователей ПК, активность которой растет с течением времени. Согласно недавнему полугодовому отчету Cisco, вымогатели доминируют на рынке вредоносных программ и являются самым прибыльным типом вредоносного ПО для злоумышленников за всю историю. О вымогателях уже было написано достаточно много и большинство людей понимает, что они из себя представляют. Вымогатели используют различные приемы для блокирования доступа к компьютеру жертвы или ее файлам, после чего требуют выкуп за восстановление к ним доступа. В последнее время мы наблюдаем существенное увеличение активности вымогателей-шифровальщиков, которые специализируются на шифровании файлов пользователя. Рассмотрим используемые ими методы шифрования.

Компания Cisco выпустила уведомление безопасности CISCO-SA-20160916-IKEV1, которое подтверждает присутствие еще одной 0day уязвимости в продуктах Cisco из архива Shadow Brokers. Уязвимость типа Information Disclosure получила идентификатор CVE-2016-6415 (IKEv1 Information Disclosure Vulnerability in Multiple Cisco Products) и присутствует в коде обработки сетевых пакетов протокола Internet Key Exchange version 1 (IKEv1) в продуктах Cisco IOS, IOS XE, а также IOS XR. С использованием уязвимости атакующий удаленно может получить доступ к содержимому памяти с конфиденциальной информацией. Как и в случае других аналогичных уязвимостей, эксплуатация CVE-2016-6415 возможна за счет отправки на уязвимое устройство специальным образом сформированного сетевого пакета IKEv1.

Мы неоднократно хвалили Microsoft в тех постах своего корпоративного блога, которые были посвящены новым функциям безопасности Windows 10 & 8.1. Windows 10 постоянно обзаводится новыми функциями безопасности для противодействия эксплуатации как RCE, так и LPE уязвимостей. Эти функции доступны приложениям через API kernel32!SetProcessMitigationPolicy. В нашем прошлом посте мы рассказывали о модернизированной функции Kernel ASLR, которая стала распространяться не только на загружаемые образы режима ядра, но также на такие критические структуры данных как список рабочего набора (WSL), каталог и таблицы страниц, база данных PFN, гиперпространство и т. д. Данную функцию получили все пользователи большого юбилейного обновления для Windows 10. Мы также более детально останавливались на подсистеме Linux в Windows 10. На сей раз речь пойдет о возможной реализации защитной меры Control Flow Guard (CFG) в режиме ядра.