Size: a a a

2021 September 01
Group-IB
источник
Group-IB
источник
Group-IB
#цифроваягигиена
Здравствуй, школа: как детям избежать травли в интернете и не стать жертвой кибермошенников

👻Современные дети — одни из самых активных пользователей Интернета, гаджетов, online-сервисов и приложений. Многие из них буквально «родились» со смартфоном в руках. При этом у них, в отличие от детей, которые еще 30-40 лет назад выросли в полностью офлайновом мире и получили от своих родителей четкие инструкции по безопасности: «Чужим дверь не открывай», «Не садись в машину к незнакомцам»,  чаще всего нет опыта или понимания, как действовать в экстремальных ситуациях, связанных с киберугрозами. А Интернет порой — это жестокая среда, которая не делает скидок на возраст.

🕵️‍♀️Накануне 1 сентября специалисты Group-IB подготовили специально для «РГ» несколько правил цифровой гигиены для детей и их родителей, а также рекомендации, как действовать в конкретных экстремальных ситуациях. Подробности тут👈
источник
Group-IB
📑Про взрослых сегодня тоже не забудем — этот last call звенит как раз для них!
👉 Успейте присоединиться к двум сентябрьским онлайн-курсам по кибербезопасности от Group-IB.
🕵️‍♀️Мы ждем технических специалистов ИТ и ИБ, желающих прокачать свой уровень, поработать с реальными кейсами и поучиться у лучших практикующих экспертов в своей сфере. Итак:
источник
Group-IB
🔹Курс Digital Forensics Analyst — это 5 дней (6-10 сентября) погружения в компьютерную криминалистику и анализ зараженных компьютеров.

После окончания курса вы сможете:
📌 Понимать методы обработки и анализа источников данных;
📌Создавать криминалистические копии;
📌Проводить анализ дампов памяти;
📌Обрабатывать и анализировать артефакты на хосте;
📌Реконструировать тактики, техники и процедуры (TTP) атакующих.

Узнать больше и зарегистрироваться можно тут.
источник
Group-IB
🔹Комплексный курс по кибербезопасности — это 13 дней (6-22 сентября) обучения всем необходимым знаниям для эффективного поиска угроз, реагирования на инциденты, анализа вредоносного кода и других ИБ-процессов.

После окончания курса вы сможете:
📌Понимать особенности компьютерной криминалистики, проактивного поиска угроз, анализа вредоносного кода;
📌 Эффективно применять принципы реагирования на инциденты ИБ;
📌 Иметь полное представление о современных трендах в сфере кибербезопасности;
📌Подбирать проверенные инструменты и научиться их успешно применять;
📌Создавать образы, анализ дампов памяти, работать с индикаторами компрометации и в других направлениях ИБ.

Узнать больше и зарегистрироваться можно тут.
источник
2021 September 02
Group-IB
#TIA
Обзор Group-IB Threat Intelligence & Attribution

🙈В начале мая этого года взлом сети американского трубопровода Colonial Pipeline потряс, без преувеличения, весь мир. В результате атаки программы-вымогателя были парализованы поставки нефтепродуктов на значительной части Восточного побережья США. Компания была вынуждена перевести злоумышленникам выкуп в размере $4,5 млн для продолжения своей работы. Из-за 5-дневного простоя возникла нехватка бензина, дизеля и авиакеросина; власти объявили чрезвычайную ситуацию в 16 штатах.

🎯Атака была совершена операторами вымогателя DarkSide. От него же пострадали Toshiba, немецкий концерн Brenntag и ещё более сотни компаний из разных отраслей. Общая прибыль хакерской группировки, судя по анализу биткойн-кошельков, составила более $90 млн.

🕵️‍♀️Можно ли было ещё до новостей о первом взломе узнать, что предприятию грозит опасность? Да, если бы компания следила за состоянием защищенности информационных систем и применяла специализированные решения, такие, как Group-IB Threat Intelligence & Attribution (TI&A).

⚔️Group-IB Threat Intelligence & Attribution – это система исследования и атрибуции кибератак, содержащая структурированные данные о тактиках, инструментах и активности злоумышленников с возможностью персонализации под конкретную отрасль или компанию. Group-IB TI&A позволяет выстроить проактивную систему ИБ, ориентированную на защиту активов компании с низким количеством ложных инцидентов.

👍Это результат объединения 18-летнего опыта Group-IB по расследованиям, сбору и анализу информации об инцидентах ИБ, атаках, злоумышленниках и их инфраструктуре.  И вот результат: TI&A от Group-IB признана лучшей в своём классе аналитическими агентствами IDC, Forrester, Gartner. Свежий обзор решения уже появился на сайте cisoclub.
источник
2021 September 03
Group-IB
#пентесты #аудит
Чат-бот наговорил лишнего: безопасно ли пользоваться электронными помощниками банков?

🖥Недавно исследователи из Awillix провели пентесты чат-ботов в двух российских кредитных организациях и нашли схожие логические уязвимости — они позволяли получить номер и срок действия карт, а также узнать баланс счета и мобильный телефон клиента. Стоит ли после этого доверять чат-ботам и могут ли преступники с их помощью похитить деньги со счета?

🕵️‍♀️«Я бы не стал демонизировать эту конкретную или любую другую технологию, — замечает Андрей Брызгин, руководитель Департамента аудита и консалтинга Group-IB. —  Если взломать систему удалось, то речь идёт сугубо о вопросах безопасности, которым не было уделено достаточное внимание на этапах планирования и разработки. И речь не только о чат-боте. Чат-бот — это ведь всего лишь инструмент, заменяющий оператора. Замена более чем обоснована, так как оператор должен действовать строго по предоставленному скрипту, а машина в следовании чётким инструкциям значительно лучше человека. Кроме того, чат-бот не является самостоятельной системой, представляя собой прослойку между клиентом и банкингом (который сам по себе должен быть достаточно хорошо защищён и не должен предоставлять всех своих функций через текстовый интерфейс чата, и без дополнительных проверок).

⚔️Судя по публикациям, исследователи оценили случаи использования чат-ботов в двух банках, что, кстати, едва ли можно считать статистически значимой выборкой, и смогли получить ограниченное количество информации о клиенте, его картах и балансе. Сам факт утечки такого рода данных, конечно же, прискорбен, в дальнейшем они могут пригодиться для самых разных атак на клиента, включая популярный вишинг, что касается атак на вывод денег, то они описаны очень обтекаемо. Если проверяемые системы, действительно, позволяли с недоверенного аккаунта переводить деньги от имени легитимного клиента, то, вероятно, проверялись очень плохие чат-боты, привязанные к очень плохим банкингам, разработанным очень плохими разработчиками. Что в сухом остатке? Не нужно бояться чат-ботов, нужно обходить стороной компании, которые не вкладываются в собственную безопасность и публикуют плохо спланированные, и непроверенные сервисы».
источник
Group-IB
В понедельник — новый Instagram-стрим с участием Ильи Сачкова, CEO Group-IB, и Виталия
Трифонова
, креативного технического директора Group-IB.

Начало: 6 сентября, 19:00 [мск]. Смотреть в Instagram через профили @sachkot и @group_ib

Вопросы присылайте в директ Instagram @group_ib — мы обязательно их зададим. Подключайтесь!
источник
2021 September 06
Group-IB
#GetContact
«Выполнил требования законодательства»: зачем GetContact вступил в реестр ОРИ и чем это грозит пользователям сервиса?    

🔹Приложение GetContact, которое позволяет определять номера и блокировать спам-звонки, «в скором времени» добавит новые функции —  в нем появятся голосовые чаты и новые функции в текстовых сообщениях, что «неизбежно сделает сервис организатором распространения информации (ОРИ)», рассказал Forbes представитель GetContact.

🔹Сервис, которым в России сейчас пользуется  50 млн человек, не захотел подвергать себя риску блокировки и в августе этого года направил заявку в Роскомнадзор для включения в реестр ОРИ. Роскомнадзор сделал это 1 сентября —  теперь GetContact должен собирать и хранить данные пользователей в России в течение года и еще делиться ими с госструктурами и спецслужбами по запросу. Чем это грозит пользователям?

🔹«Если помните, пару лет назад приложение GetContact исследователи обвиняли в том, что оно собирает личную, конфиденциальную информацию, которой могут воспользоваться третьи лица, —  комментирует Владимир Калугин, руководитель отдела специальных проектов Департамента Digital Risk Protection (DRP) Group-IB. —  Более того, соглашаясь на установку и предоставление GetContact доступа к контактам, пользователи сами давали открытый доступ к данным родных, друзей и коллег по бизнесу, что стало поводом для критики, а порой призывов к запрету использования сервисов «двойного назначения». Тем не менее, этой информацией до сих пор активно пользуются, например, в сфере разведки по открытым источникам (OSINT), где приложение давно входит в стандартный инструментарий для сбора данных.

🔹В 2018 году оператор приложения по требованию Роскомнадзора согласился перенести базы данных о российских абонентах на территорию России, где они должны храниться и обрабатываться согласно закону «О персональных данных».  В сентября этого года компания Getcontact LLP была внесена Роскомнадзором в Реестр организаторов распространения информации (ОРИ). Организаторы распространения информации обязаны сотрудничать с правоохранительными органами и органами государственной безопасности, в том числе передавать по их запросу содержание и мета-данные сообщений пользователей, устанавливать специальные технические средства, используемые при проведении оперативно-розыскных мероприятий, а также декодировать зашифрованную информацию.

🔹Таким образом, кроме непосредственно "пробива" данных, властей может интересовать информация о том, кто, когда и о ком собирал сведения в приложении. Помимо этого в законе используется очень широкая формулировка "пользователь сети "Интернет", которая не ограничивает перечень передаваемых данных исключительно гражданами РФ, поэтому возможность получения запросов в отношении иностранных граждан не исключена. Выяснить подробности довольно проблематично — разглашать такие сведения запрещено, поскольку они касаются проведения оперативно-розыскных мероприятий».

🔹Напомним, что у сервиса GetContact сейчас более 120 млн активных пользователей по всему миру. В марте 2018 года в базе контактов приложения было более 3,5 млрд номеров. База пополняется за счет тех, кто установил GetContact — пользователи дают ему доступ к своим контактам.
источник
Group-IB
Уже через час, в 19:00 [мск], начнется Instagram-стрим с участием Ильи Сачкова, CEO Group-IB, и Виталия Трифонова, креативного технического директора Group-IB. Подключайтесь в Instagram через профили @sachkot и @group_ib!
источник
2021 September 07
Group-IB
#пробив
«Глаз бога» засмотрелся на корпоративный сектор

🙈Создатель сервиса для «пробива» Евгений Антипов в сентябре планирует запустить еще один проект, сообщили «Ведомости». В отличие от «Глаза бога», рассчитанного в большей степени на запросы от физических лиц,  новый сервис — «Мобиус» будет ориентирован на бизнес — на руководителей компаний, отделы кадров, отделы закупок и корпоративные службы безопасности.  Для подключения к сервису пользователю нужно будет внести минимальный депозит — 15 тыс. рублей.  

💰Антипов оценил инвестиции на этапе запуска сервиса в 5 млн рублей, основная часть которых — контракты с поставщиками информации. Сама платформа «Глаз бога» появилась в январе 2020 года. На ее основе был создан бот, который предлагал узнать личные данные. После того, как Роскомнадзор объявил, что работа сервиса нарушает закон о персональных данных, в середине августа суд по требованию прокуратуры заблокировал сайты платформы.

🕵️‍♀️«Большинство подобных сервисов аккумулируют данные из различных публичных баз данных, утечек и предоставляют — чаще всего за плату —  поиск по ним, — отмечает Олег Дёров, руководитель группы исследования публичных утечек Group-IB. —  Мы постоянно видим сообщения на форумах и в телеграмм-каналах о «точечном» пробиве. Зачастую эти данные довольно старые, многие представляют собой компиляцию информации из разных источников — от автодилеров, автосервисов или госведомств. Кроме того, они могут использовать различные недокументированные возможности различных ресурсов (например, сейчас по номеру телефона можно узнать, в каких банках у пользователя есть аккаунты)».

☝️Эксперты Group-IB подчеркивают, что опасность подобных сервисов в том, что эти данные могут быть использованы преступниками, например, при телефонном мошенничестве, при рассылке фишинговых писем.
источник
Group-IB
🎥Карьерные пути в Group-IB не похожи ни на какие другие: можно поработать криминалистом в Лабе, потом переехать в Сингапур как Threat Hunter, затем перебраться в Дубай уже креативным техническим директором. Хотите узнать, как?

🖥Эти и многие другие истории — о безопаснике из банка, который собрал на своем компе всю коллекцию вредоносных рассылок от Cobalt, о гонках на мопедах за уличными воришками во Вьетнаме и о роли аниме "Призрак в доспехах" в судьбе компьютерного криминалиста —  рассказал вчера в интервью CEO Group-IB Илье Сачкову креативный технический директор Group-IB Виталий Трифонов. Пропустили стрим? Ничего страшного, ловите запись!🔝🔝🔝

Как и обещали, бонусом - ссылка на блог и подборка "Книжная полка компьютерного криминалиста: 11 лучших книг по Digital Forensics, Incident Response и Malware Analysis".
YouTube
«Криминалистика, небоскребы и аниме — невыдуманные истории о переезде Threat Hunter'a в Сингапур»
Карьерные пути в Group-IB не похожи ни на какие другие: можно поработать криминалистом в Лабе, потом переехать в Сингапур как Threat Hunter,  затем перебраться в Дубай уже креативным техническим директором (what???). Хотите узнать, как?

Эти и многие другие истории — о безопаснике из банка, который собрал на своем компе всю коллекцию вредоносных рассылок от Cobalt, о гонках на мопедах за уличными преступниками во Вьетнаме и о роли аниме "Призрак в доспехах" в судьбе компьютерного криминалиста —  рассказал вчера в интервью CEO Group-IB Илье Сачкову креативный технический директор Group-IB Виталий Трифонов. Пропустили стрим? Ничего страшного, ловите запись!

Как и обещали, бонусом - ссылка на блог Group-IB (https://www.group-ib.ru/blog) и подборка (https://habr.com/ru/company/group-ib/blog/501558/) "Книжная полка компьютерного криминалиста: 11 лучших книг по Digital Forensics, Incident Response и Malware Analysis".
источник
2021 September 08
Group-IB
#шифрование
ProtonMail сдал назад

📑Безопасность почтового сервиса ProtonMail, который довольно долго считался самым надежным способом для передачи конфиденциальных данных — «почтой для параноиков»  — в очередной раз поставлена под сомнение, сообщает The Register. После того, как ProtonMail передал полиции IP-адреса и сведения об устройствах, которые использовал активист «зеленого» движения Youth for Climate для доступа к своему почтовому ящику, а это привело к его аресту, к сервису возникло множество вопросов.

🕵️‍♀️«Если кто-то думал, что ProtonMail и ProtonVPN не ведут логи и не выдают данные полиции и спецслужбам, то спешу вас разочаровать — это не так, и никогда так не было, — замечает Сергей Никитин, руководитель глобальной штаб-квартиры Group-IB в Сингапуре. — Если вы хотите безопасно пользоваться электронной почтой или VPN, вам придется сделать, настроить и администрировать их самостоятельно, только так можно быть уверенным в конфиденциальности передаваемой информации».

🙈Ранее ProtonMail заявлял, что не собирает пользовательские данные, а на официальной странице компании говорилось: «По умолчанию мы не ведем журналы IP, которые могут быть связаны с вашей анонимной учетной записью электронной почты. Ваша конфиденциальность превыше всего».  Однако сейчас, отмечают журналисты The Register,  фраза выглядит иначе: «ProtonMail —  это электронная почта, которая уважает конфиденциальность и ставит на первое место людей (а не рекламодателей). Ваши данные принадлежат вам, и наше шифрование гарантирует это».  

⚔️В России ProtonMail был заблокирован по решению Генпрокуратуры с января прошлого года. По данным ФСБ, сервис в 2019 и 2020 годах использовался для массовой рассылки ложных сообщений о минировании объектов на территории России —  судов, больниц, торговых центров, вокзалов, детсадов и школ.
источник
Group-IB
#SecurePhone
Дорогая приватность: что не так с защищенными смартфонами?

📱Немецкая компания Nitrokey представила смартфон NitroPhone, который должен защищать пользователя от слежки и самостоятельно блокироваться в случае потери. Смартфон можно купить за биткоины, его цена превышает €600. В целом, к 2027 году объем рынка защищенных смартфонов, по прогнозам Data Bridge Market Research, достигнет $5,96 млрд, с 2020 по 2027 год он вырастет на 19,8%.  Однако эксперты Group-IB пока советуют не торопиться с покупкой.  Что не так с Secure Phone?

🕵️‍♀️"В апреле 2019 и в октябре 2020 года мы проводили исследование нескольких подобных устройств, позиционируемых как суперзащищенные Secure Phone, — рассказал Forbes Игорь Михайлов, специалист Лаборатории компьютерной криминалистики Group-IB. —  Все эти исследуемые аппараты (к сожалению, тогда NitroPhone1 среди них не было, мы его не исследовали) были реализованы на базе устаревших моделей устройств под управлением операционной системы Android. Поэтому, получить доступ к находящимся в них данных, нам не составило большого труда".

🎯Все Secure Phone эксперт условно делит на две группы:

📍Первая группа имеет модифицированное ядро операционной системы Android. Из безопасного функционала  в нем только опция безопасных вызовов. Все остальное: СМС, ММС, интернет-трафик дополнительно не защищается. При вызове с Secure Phone владелец, по факту, звонит на виртуальную АТС производителя. Там происходит подмена номера абонента и IMEI (это позиционируется, как фишка устройства) и далее, по SIP-телефонии, происходит дозвон до второго абонента. В этой группе данные на самих устройствах вообще никак дополнительно не защищены от доступа к ним посторонних лиц (а в случае криминалистического исследования подобного устройства  — специалистов). Кроме того, не известно, кто контролирует виртуальную АТС, не записываются ли там все переговоры, которые проходят через нее, и не сливается ли эта информация заинтересованным лицам и организациям?

📍Вторая группа – устройства, на которых установлена управляющая программа, разработанная производителем SecurePhone. При этом: устройство можно использовать как обычный телефон со всеми вытекающими отсюда возможностями перехвата вызовов, СМС, ММС, интернет- трафика.  Т.е., по сути, управляющая программа играет роль классического мессенджера (Signal Private Messenger, WickrMe, Threema и т.п.), с помощью которого также можно осуществлять защищенные звонки и передавать зашифрованные сообщения. Дополнительно, управляющая программа создает защищенное пространство, в котором могут находиться сообщения, переданные с помощью управляющей программы, мультимедиа файлы, перенесенные из незашифрованного пространства, история работы в интернет с помощью, встроенного в управляющую программу, веб-браузера. В этой фишке тоже нет ничего необычного. Такой функционал реализован, например, во "втором пространстве" в устройствах Xiaomi.

✅Итог: в целом, среди недостатков Secure Phone можно назвать отсутствие обновлений для операционной системы, которые, в том числе, закрывают уязвимости; сильно порезанный функционал даже по сравнению со стандартным Android (например, нельзя поставить сторонние приложения, те же мессенджеры), невозможно расширить память устройства за счет подключения карты памяти. И хуже всего, что  Secure Phone пока уязвимы не только перед навороченным шпионским софтом от NSO Group, но и перед более простыми  шпионскими программами.
источник
2021 September 13
Group-IB
#apple #update

🍏Apple внезапно выпустила апдейты своих операционных систем буквально за сутки до презентации новых устройств, судя по всему спешка связана с срочным закрытием уязвимостей. Вышли iOS / IPadOs 14.8, WatchOS 7.6.2  и MacOS BigSur 11.6

Судя по описанию, исправляются уязвимости которые активно использовались для реальных атак - специально подготовленные PDF файлы и веб страницы могли вызвать исполнение вредоносного кода на устройстве.

❗️❗️❗️Рекомендуем немедленно обновиться

Здесь описание апдейта для смартфонов и айпадов: https://support.apple.com/en-us/HT212807

Здесь для умных часов: https://support.apple.com/en-us/HT212806

Здесь для самой ОС: https://support.apple.com/en-us/HT212804
источник
2021 September 14
Group-IB
#deepfake
Эффект зловещей долины: как распознать дипфейк

🎥Рэпер Моргенштерн в видеоролике обещает подарить до 100 000 рублей всем, кто перейдет по ссылке: «Осталось три часа. Забирай свои 100 000 рублей скорее».  На самом деле это видео  — дипфейк (deepfake), проще говоря подделка, созданная при помощи искусственного интеллекта и нейронных сетей.

🙈Дипфейки часто используют в виде безобидной шутки, например, заменив лицо актера своим лицом, но случается что преступники используют порно-дипфейки для шантажа и вымогательства. Количество дипфейков растет стремительно. Если в декабре 2019 года Sensity AI обнаружила около 24 000 подделок, то к концу 2020 года — уже 85 047 фейковых видео. Как распознать подделку?

🕵️‍♀️Для создания дипфейк-видео используются разные приложения, например, RefaceAI (более 100 млн скачиваний в Google Store), или более продвинутые программы с готовыми библиотеками, такие как DeepFaceLab и SimSwap, замечает Владимир Калугин, руководитель отдела специальных проектов департамента Digital Risk Protection Group-IB. Некоторые из приложений, по словам эксперта, требуют минимальных технических навыков и позволяют создавать дипфейк-видео на основании лишь одного фото.

🖥Несмотря на то, что технологии становятся все реалистичнее, они пока не смогли преодолеть так называемый эффект «зловещей долины» (uncanny valley) — явление, при котором малейшая неестественность во внешнем виде и поведении объекта или робота, выглядящего и действующего как человек, вызывает у наблюдателя тревогу, неприязнь, а порой и отвращение.

👉Эксперт советует обратить внимание на пять основных моментов:
📌 излишняя пикселизация, дефекты, нечеткое и смазанное изображение, дублирование элементов;
📌 неестественная мимика, особенно при моргании, движении бровей и губ;
📌низкое качество видео, за которым нередко пытаются скрыть некорректную работу нейросетей;
📌отличия в телосложении, прическе и голосе от оригинала. Злоумышленники нередко подбирает похожих по типажу актеров, а голос может быть также скорректирован с помощью специальной технологии, например, в программах RealTimeVoiceCLoning, Resemble и Descript;
📌 в наиболее популярных решениях заменяется только лицо, поэтому можно заметить границу наложения лица, различие в тенях, освещенности и оттенке кожи.

👉Кроме того, обращайте внимание на то, кто, где и как распространяет видео, не доверяйте роликам с непроверенных и сомнительных сайтов.
источник
2021 September 15
Group-IB
🙈Удивительно: за последние годы многие компании буквально "обросли" различными средствами информационной безопасности  — их почту «защищают» антивирусы, спам-фильтры и "песочницы", но email-рассылки киберпреступников все равно достигают цели. А электронная почта остаётся одним из главных векторов кибератак на бизнес, в том числе и программ-вымогателей.

🎯 За 2020 год количество ransomware-атак на бизнес выросло на 150%. Уже в первой половине 2021-го различные исследования говорят о двукратном росте по сравнению с прошлым годом.

🕵️‍♀️В The Bell решили понять, что происходит и выяснить, насколько серьезно российские предприниматели относятся к этой проблеме.

👉 23 сентября в отеле InterContinental Moscow пройдет бизнес-завтрак, где мы подробно поговорим о технологиях взлома и о том, как защитить свою почту — регистрация уже открыта  👈 На канале Bell.Club Live будет доступна online-трансляция.
источник
Group-IB
#аудит
Пентесты в Group-IB. Разбор полетов и три истории из практики

📑Вес­ной это­го года в «Хакере» вышел ма­тери­ал о пен­тесте­рах из Group-IB и в финале  коман­да ауди­та задала читате­лям нес­коль­ко тес­товых воп­росов. В ответ приш­ло более 50 писем — всем огромное спасибо! К сожале­нию, дос­таточ­но раз­верну­тых и пол­ных отве­тов в них не оказалось, а некото­рые пись­ма содер­жали все­го пару абза­цев тек­ста в ответ на все воп­росы.

✅Сра­зу обоз­начим, что на некото­рые воп­росы нет однознач­но пра­виль­ного отве­та. Был инте­ресен ско­рее спо­соб мыш­ления отве­чающе­го. Теперь нас­тала пора рас­крыть кар­ты — пос­мотрим, как авто­ры воп­росов сами бы на них отве­тили.

👉А что­бы вы луч­ше пред­ста­вляли, чем занима­ются пен­тесте­ры в Group-IB, специалисты Департамента аудита и консалтинга под­готови­ли три занима­тель­ные исто­рии из своей прак­тики:
📌История #1. Про восхождение от подножия протухшего вайфая к жерлу ДБО;
📌История #2. Про социнженерию, жадность и внезапную помощь;
📌История #3. Про лень, хитрость и студенческий опенсорс.

Must-read: https://xakep.ru/2021/09/15/group-ib-pentesing-answers/
источник
2021 September 16
Group-IB
#THF
Трудное окончание «нулевого дня»: «Росгеология» успешно отразила кибератаку с помощью Group-IB Threat Hunting Framework

✅Group-IB совместно с российским геологическим холдингом «Росгеология» объявили о внедрении в промышленную эксплуатацию инновационного решения — Group-IB Threat Hunting Framework (THF), предназначенного для защиты инфраструктуры предприятий от киберугроз. Напомним, что, по данным Group-IB , в первой половине 2021 года, в России было зафиксировано почти в 3 раза больше атак на объекты критической инфраструктуры, чем за весь 2019 год. Решение Group-IB уже позволило остановить и локализовать целевую атаку на госкомпанию со стороны, предположительно, иностранного государства. И сегодня мы уже  можем об этом рассказать.

⚔️В марте 2021 года системой THF был зафиксирован подозрительный вход в защищаемый периметр «Росгеологии», данные были переданы в CERT-GIB. Специалистами Group-IB было установлено, что киберпреступники проникли на почтовый сервер и пытаются запустить вредоносную программу. Получив необходимую информацию об атаке, служба безопасности «Росгеологии» оперативно локализовала и ликвидировала угрозу.

🕵️‍♀️Напомним, что весной 2021 года около 100 000 компаний и организаций по всему миру стали жертвой атаки с использованием уязвимости «нулевого дня» в почтовых серверах Microsoft Exchange Server. Пройдя аутентификацию на сервере, атакующие могли получить права администратора, установить вредоносную программу и похитить данные. Сначала подобные атаки совершала иностранная APT-группа Hafnium, позже этот способ атаки начали использовать другие хакерские группы, например, LuckyMouse, Tick и IronTiger.

🖥«Росгеология» является крупнейшим государственным геологическим холдингом России, предприятиями которого открыто и изучено более тысячи месторождений полезных ископаемых на территории России и десятки — в странах Азии, Африки и Латинской Америки. «Росгеология» обладает разветвленной вычислительной инфраструктурой, выполняющей обработку и интерпретацию данных, полученных при выполнении геофизических и буровых работ на суше и на море. Холдинг активно внедряет цифровые технологии, уделяет особое внимание кибербезопасности и защите своей интеллектуальной собственности, связанной с выполнением геолого-разведочных работ в интересах российских и зарубежных недропользователей.

👉 В качестве превентивной меры, позволяющей защитить инфраструктуру от целевых атак, обеспечить непрерывность производственных процессов и защиту оборудования от выхода из строя в результате киберинцидентов, в конце 2020 года госкомпания в «пилотном» режиме установила систему Threat Hunting Framework от Group-IB для проактивной охоты на угрозы (Threat Hunting) как внутри периметра организации, так и за его пределами. Защищая крупные промышленные объекты, THF позволяет исключить затраты, связанные с простоем предприятия вследствие кибератаки, а также оптимизировать расходы, частично автоматизируя задачи по реагированию и исследованию инцидентов.
источник