PeacePez

В общем-то, Mirai особо никуда и не пропадал, ведь в сети есть несколько его вариантов. Однако, специалисты по сетевой безопасности обнаружили интересный вариант Mirai, с обширными возможностями. Его нашли после анализа мощной DDoS-атаки продолжительностью в 54 часа. Судя по всему, сейчас ботнет стал мощнее, чем когда-либо.

Со времени обнаружения первой версии Mirai внимание специалистов по кибербезопасности и киберпреступников было приковано к этой системе. Ее особенность — взлом «умных» устройств, включая камеры, термостаты и прочее с последующим использованием этих девайсов в качестве ботов для осуществления DDoS атак. Первая версия Mirai включала около 400-500 тысяч подключенных устройств. Вскоре после того, как о ботнете стало известно, контроль над ним смогли захватить сторонние взломщики, судя по всему, это два человека.

Ранее сообщалось, в изначальной версии Mirai была обнаружена уязвимость. Ее нашли после того, как исходный код Mirai попал в Сеть. И за контроль над ботнетом развернулась борьба среди разного рода взломщиков. В итоге операторами ботнета стали хакер с ником BestBuy и его напарник Popopret (кстати, есть предположение, что это один и тот же человек, а вовсе не два взломщика). Жертвами DDoS-атак, проведенных этими деятелями, стали специалист по информационной безопасности Брайан Кребс, французский хостинг-провайдер OVN, компания Dyn и ряд других лиц и организаций.

В этом году, около месяца назад BestBuy был арестован в аэропорту Великобритании. Эта операция стала возможной благодаря объединению усилий правоохранительных органов Германии, Кипра, Великобритании, Европола и Евроюста. После ареста BestBuy прекратил всякое общение в сети и предполагаемый напарник Popopret. Причем время последнего выхода одного и второго киберпреступников примерно совпадает. Да и один из аккаунтов BestBuy был взломан, после чего выяснилось, что он вел общение от своего имени и от имени Propopret.

Как бы там ни было, ботнет вовсе не умер, как надеялись правоохранители. В феврале 2017 года (как раз после ареста предполагаемого оператора ботнета) в США была проведена атака на одно из учебных заведений. Как уже говорилось выше, продолжительность атаки составила более 54 часов. Это значительно отличалось от обычного времени работы Mirai, ранее продолжительность атак составляла около 24 часов и не более.

Стоит отметить, что сейчас Mirai состоит из новых устройств, которые были взломаны относительно недавно. Все элементы ботнета проводили атаку на цель с использованием HTTP-флуда. В этой атаке участвовало около 10000 устройств «Интернета вещей», включая камеры, роутеры и прочие девайсы. Их производители пока не исправили уязвимости ПО, выявленные в ходе работы первой версии Mirai, поэтому нет ничего удивительного в том, что работа Mirai снова стала возможной.

Мощность атаки была довольно большой. В секунду цель ботнета получала около 30000 HTTP запросов. Такая мощность поддерживалась в ходе всех 54 часов атаки. Вероятно, в дальнейшем мощность будет только расти, поскольку операторы (кем бы они ни были) нового Mirai совершенствуют и дорабатывают программную основу ботнета.

Последняя его версия включает 30-user agent альтернатив, это шаг вперед по сравнению с 5 у оригинального ботнета. Большее число user agents позволяет Mirai успешно противодействовать большинству мер защиты, предпринимаемыми специалистами по информационной безопасности. Разброс по IP довольно большой. Примерно 18% элементов ботнета расположено в США, 11% в Израиле и 11% в Тайване.

Сейчас остается лишь следить за дальнейшим развитием событий и гадать, какой мощности будет следующая атака. В том, что она будет, можно практически не сомневаться.

Хабрахабр

48-летний гражданин Литвы был на днях обвинен в мошеннических действиях по отношению к двум международным телекоммуникационным компаниям. За два года в результате использования своего «ноу-хау» — фишинговой e-mail схемы, ему удалось обманным путем вытянуть из этих компаний более чем $100 млн. Все это случилось не вдруг, литовец обманывал жертв около двух лет — с 2013 по 2015 год.

Все это можно было бы пропустить мимо внимания, если бы не огромная сумма, которую удалось получить мошеннику и не участие в схеме двух крупнейших компаний, в которых, как принято думать, действуют строжайшие правила информационной безопасности. К сожалению, названия компаний правоохранители, расследующие дело, не сообщили.

Ответчик, Эвальдас Римаскаускас, был задержан 21 марта этого года в Нью-Йорке. Его обвиняют в одном случае совершения мошеннических действий с использованием электронных средств коммуникации и в трех случаях отмывания денег. О случившемся сообщил Департамент юстиции США.

Как оказалось, Римаскаускас создал компанию-фальшивку, название которой совпадало с названием еще одной компании — реального производителя «железа» из Азии. Благодаря этому совпадению ему и удалось провернуть несколько крупных дел.

«Находясь в тысячах километров от своих жертв, Эвальдас Римаскаускас намеренно обманывал представителей крупнейших телекоммуникационных компаний, получив несколько переводов на общую сумму в $100 миллионов», — говорится в описании дела. «Этот случай должен послужить предостережением других компаний, многие из которых считают себя недоступными для мошенников. Арест послужит предупреждением другим кибермошенникам — мы работаем над тем, чтобы их выследить, где бы они ни находились и привлечь к ответственности», — заявил прокурор США Джун Х. Ким.

В течение двух лет Римаскаускас и его возможные подельники рассылали e-mail представителям крупных технологических компаний, представляясь сотрудниками известного производителя аппаратного обеспечения из Азии. Им на удивление легко удавалось обмануть представителей этих компаний, в результате чего были получены средства на счета в Литве, Латвии, Кипре, Словакии, Венгрии и Гонконге. Две компании, которые были обмануты мошенником, как заявляется, были основаны в конце 1980-х, они продают товары и предоставляют услуги по всему миру. Одна из этих компаний, как сообщается, является «крупной международной технологической организацией, которая специализируется на интернет-сервисах и продуктах». Вторая компания — «международная корпорация, предоставляющая сервисы онлайн-медиа и социальной сети».

Римаскаускас также подделывал письма, инвойсы, печати и контракты, пытаясь получить еще больше денег в банках США. Его компания имела совет директоров, но в нем состоял только один человек — он сам. Почти все похищенные средства, как рассказали в ФБР, удалось обнаружить и вернуть

жертвам. По словам правоохранителей, мошенник работал осторожно, но все же он оставил за собой «цифровой след», благодаря которому его и удалось обнаружить и привлечь к ответственности.

Кстати, литовец не рассылал писем с вредоносными ссылками — ничего такого. Все было рассчитано на человеческий фактор, то есть использовался давно известный метод социальной инжинерии. «К сожалению, человека пока что — самый уязвимый фактор в любой информационной системе», — говорит Нейл Винн, аналитик из Gartner. По его словам, ключевым элементом систем безопасности в компаниях должны быть шлюзы электронной почты (SEG), антиспамтехнологии, «песочница» и система анализа поступающих сообщений и других данных. Сочетание различных систем позволяет быстро определить аномалии входящих данных и распознать фишинг или спам.

Какой вывод можно сделать из данного события?

1) Сотрудников компаний необходимо обучать распознавать обман. Если этого не делать, то проблемы подобного рода будут встречаться и дальше.

2) И даже после того, как случилось нечто подобное, спустя время, люди начинают думать, что ничего подобного больше не случится. И это большое заблуждение. Противостояние подобному обману должно быть поставлено на корпоративные рельсы.

Хабрахабр

Живу я не в России, но знакомые из России, которые не пользуются интернетом и компьютером, попросили подать объявление.

Зашел на Avito, внес деньги. И приступил к спокойному написанию объявления. Указал все поля, достал фотографии(потратил 10 минут) и с чистой совестью нажал «Создать объявление» в итоге получил такое сообщение

Ну думаю мало ли что, заботятся о безопасности, аккаунт регистрировал я еще в России.

Написал в саппорт и получил такой ответ.

К сожалению объявление подать нельзя, но средства внести можно.

Предложение вернуть деньги, было встречено длинным ответом про то сколько всего нужно заполнить

Что стоит сделать Avito:

1) Не давать подавать объявление, если IP заблокирован. Чтобы люди не тратили время на заполнение полей объявления.

2) Не принимать платежи из-за рубежа, раз подавать объявления нельзя.

3) Пересмотреть свою политику в отношение клиентов

4) Писать настоящую причину блокировки по IP

King Servers

Социальная сеть Facebook одной из первых начала разрабатывать открытое аппаратное обеспечение для дата-центров. Для компании это выгодно, поскольку оборудование такого типа дешевле в производстве, эксплуатации и модернизации, чем проприетарные серверы и прочие системы. О начале работы над проектом Open Compute Project социальная сеть заявила еще в 2011 году. С тех пор к реализации проекта присоединилось еще несколько телекоммуникационных гигантов, включая корпорацию Microsoft.

В ноябре Редмондская компания представила собственный вариант открытого аппаратного обеспечения для серверов, готовый на 50%. Завершить проект Microsoft попросила сторонних специалистов и энтузиастов. Сам проект получил название Project Olympus (так же называется и «облачный» сервер компании). По задумке разработчиков, новое оборудование для ЦОД будет соответствовать единому стандарту, и будет обеспечивать работу всего и вся в Microsoft — от Azure до Office 365, Xbox и Bing.

Корпорация хочет добиться не только возможности кастомизировать оборудование, настраивая его для выполнения определенной задачи, а получить единую платформу, которая была бы совместима с различными архитектурами, включая X86 и ARM. Аппаратное обеспечение нового стандарта Microsoft надеется уговорить производить такие компании, как Intel и AMD для чипов x86, Qualcomm и Cavium для ARM. И чем быстрее вендоры начнут работать над новой программой, тем быстрее будет реализован сам проект.

«Вместо собственной команды специалистов, которая производит все необходимое для внутренних потребностей, мы договариваемся со сторонними производителями и разрабатываем экосистему оборудования и ПО, собираясь предлагать новые решения рынку», — говорит Кушагра Вайд, представитель Microsoft.

Корпорация, по словам руководства, уже успела оценить все преимущества открытого аппаратного обеспечения, разрабатываемого и эксплуатируемого в рамках проекта Open Compute. Сейчас около 90% оборудования, которое закупается компанией, соответствует стандарту ОСР, включая стойки, элементы распределительных энергосистем и прочие компоненты. Цель использования такого оборудования — снижение эксплуатационных расходов, связанных с большим и разнообразным «зоопарком» серверного оборудования. Речь идет о необходимости следить за состоянием 10-20 типов серверного оборудования, каждое из которых требует иных методов работы и обслуживания.

Стандартизация помогла не только Microsoft, но и другим компаниям научиться экономить средства и время.

Project Olympus — следующий шаг в унификации оборудования и формирования единой инфраструктуры дата-центра. Один из ключевых аспектов — универсальная система распределения энергии, что позволяет создавать дата-центры по всему миру, используя примерно одну и ту же схему, вне зависимости от местных особенностей энергосистемы, будь то 30 А или 50 А, 380 В, 415 или 480. Стандартные стойки с одинаковыми элементами могут быть установлены в дата-центрах Осборна, Лондона, Пекина или Мумбаи.

Сейчас проект Project Olympus завершен уже на 80%, так что представители Microsoft надеются на то, что отдельные элементы разработанного аппаратного обеспечения уже можно ставить в производство. К сожалению, в этом плане ясно не слишком много, поскольку Microsoft сохраняет определенную степень секретности.

Насколько можно понять, участвовать в проекте согласились уже такие вендоры, как

Qualcomm, Intel, Dell Technologies, Hewlett Packard Enterprise, Advanced Micro Devices, Samsung Electronics и другие компании. Project Olympus, кроме всего прочего, будет совместим с аппаратной платформой для ИИ-проектов, разрабатываемой Nvidia.

Интересно, что сейчас Microsoft — один из крупнейших покупателей серверных чипов. Если компания переключит внимание с архитектуры x86 на ARM, доля Intel на рынке серверов, которая составляет сейчас около 99%, может значительно сократиться.

Хабрахабр

Ботнет Necurs известен как один из крупнейших ботов мира. Его владельцы задействуют мощности своего детища для рассылки огромного количества спам-сообщений. Их объем настолько большой, что работа Necurs заметно влияет на общий размер e-mail трафика во всем мире. Вообще говоря, Necurs — не просто спамбот, это достаточно опасное malware, которое заражает уязвимые системы, подтягивая основной модуль ботнета и соответствующие модули.

Существует и работает Necurs уже несколько лет. За это время он стал объектом исследования многих специалистов по информационной безопасности. Эксперты смогли узнать, какие уязвимости системы использует атакующая часть ботнета и какой протокол используется спам модулем. Но сама платформа не статична, она меняется и совершенствуется.

Около полугода назад специалисты компании Anubisnetworks обратили внимание на то, что Necurs теперь работает не только с 80 портом, но и с другими портами, которые относятся совсем к другому протоколу передачи данных. Вот пример анализа трафика Necurs.

В первом случае идет установка спам-модуля, который хорошо знаком специалистам. Здесь есть упоминание С2 адресов, которые связаны с новыми спам-кампаниями. А вот во втором случае указаны параметры неизвестного доселе модуля, который ведет обмен данными с сервером через 5222 порт.

Примерная дата «релиза» этого модуля — 23 августа 2016 года. Правда, существует вероятность того, что это была предварительная версия, замененная финальной.

Сотрудники кампании скачали модуль и провели реверс-инжиниринг для того, чтобы понять, что он собой представляет. На первый взгляд, это простой SOCKS/HTTP модуль. Но если всмотреться получше, становится понятно, что у этого модуля есть возможность работы с HTTP и UDP запросами, которые ставятся в бесконечный цикл. Соответственно, становится понятно, что этот модуль предназначен для осуществления DDoS атак.

Кстати, ботнет действительно большой — инфицированных активных элементов в этой сети насчитывается более миллиона. При таком размере это очень удобный вариант для проведения DDoS атак. Некоторые зараженные элементы сети являются ее частью уже более двух лет. Столь долго ботнет продержался благодаря осторожности его владельцев, которые с осторожностью распоряжаются полученными возможностями.

Как только модуль загружается в систему-жертву. Выполняются такие действия:

* Идет парсинг параметров и настроек;

* Собирается база данных внутренних IP адресов системы, равно, как и база внешних;

* Определяется пропускная способность сети;

* Определяется случайный порт;

* Ботнет пытается выяснить, спрятана ли основная система за NAT или нет;

* Если нет, то бот запускает сервис SOCKS/HTTP для произвольного порта, большего 1024.

После инициализации бот пробует подключиться к текущему C2 каждые 10 минут. Он делает это до тех пор, пока операторы не дают команду остановиться.

Кроме того, ботнет оснащен SOCKS/HTTP модулем, что позволяет оператормам платформы использовать скомпрометированные элементы ботнета как прокси (протоколы HTTP, SOCKSv4 и SOCKSv5). Работа с прокси ведется в двух режимах: direct proxy и proxy backconnect.

Что касается первого режима, то здесь принцип работы простой:

Но работа в таком режиме возможна, только если зараженная система не скрыта за NAT или не защищена файерволом. А таких систем буквально единицы.

Что касается режима proxy backconnect, то здесь все сложнее.

DDoS модуль

Но интереснее всего не прокси, а новый DDoS модуль. Он предусматривает возможность проведения базовых атак двух типов. Несмотря на то, что здесь нет никаких ухищрений вроде методов усиления атаки, масштабы бота позволяют его операторам обойтись и без хитростей.

При получении команды операторов ботнет атакует определенную цель с использованием HTTP или UDP флуда, как и указано выше.

HTTP работает в 16 параллельных потоков запросов.

Запрос формируется следующим образом.

Что касается UDP, то здесь все несколько иначе — ботнет отправляет пакеты с радомным размером от 128 до 1024 байт.

Хабрахабр

Распределённая атака типа «отказ в обслуживании», DDoS — очень популярный инструмент у злоумышленников. Причины, по которым киберпреступники и обычные интернет-хулиганы используют этот инструмент, самые разные. Это и нанесение вреда конкуренту, и остановка работы какой-либо системы безопасности или сервиса с требованием выкупа. Известны случаи, когда группы, организовавшие атаку такого типа, требовали у жертв по 5 биткоинов (более $5000 по текущему курсу).

Причем DDoS сейчас, фактически, стал общедоступным инструментом. Этот тип атаки достаточно дешев (конечно, все зависит от масштаба), его можно быстро запустить и так же быстро остановить. На днях стало известно, сколько берут создатели разного рода ботнетов за проведение DDoS-атак.

DDoS as a service

Заказ атаки обычно осуществляется на обычном сайте, который выглядит почти, как корпоративный. Специалисты «Лаборатории Касперского» проверили такие ресурсы, подробно рассказав об этом. Как правило, необходимость прямого общения между заказчиком и владельцем «DDoS сервиса» отсутствует. На специальном ресурсе проплачивается атака определенной мощности с указанием цели и на этом все. Дальше действует уже сам сервис.

Есть англоязычные сервисы, есть русскоязычные. Ресурсы такого типа позволяют проверять свой баланс и планировать расход бюджета, отведенного на атаку. В некоторых случаях клиентам даже предлагаются бонусы.

Ну а сколько это стоит?

Все зависит от требований заказчика. Всего существует четыре основных фактора ценообразования.

1. Цель и ее свойства. Те, кто держат DDoS-сервисы (как странно это звучит, правда?) обычно соглашаются проводить атаки на любые типы ресурсов. Иногда за определенные цели просят больше денег — так случается обычно тогда, когда у целевого ресурса есть своя защита, более-менее надежная.

2. Характеристики источника атаки. Чем дешевле обходится содержание ботнета, тем дешевле будет и DDoS, осуществляемый с его помощью. Например, ботнет, созданный из IoT устройств может стоить меньше, чем ботнет, который создавали с использованием серверов.

3. Сценарий атаки. Атаки разного уровня стоят разных денег — здесь все понятно.

4. Стоимость атаки в разных странах. Цена DDoS сервисов в разных странах может разительно отличаться. Все зависит от ЦА и ее покупательской способности.

Пример ценообразования можно видеть на скриншоте ниже.

В некоторых случаях атакующие используют комбинированные виды атаки для того, чтобы с высокой степенью вероятности преодолеть возможную защиту потенциальной жертвы. «Гибридный» DDoS обойдется заказчику дороже, чем обычный.

Вот еще немного цен, тоже от русскоязычного сервиса.

Если например, взять для расчетов стоимость работы с Amazon EC2, то это где-то $0.0065. Для относительно слабой атаки может понадобиться 50 виртуальных серверов. Это обойдется киберпреступникам в $0,325 в час. Еще стоит принять во внимание дополнительные затраты (SIM-карты для регистрации аккаунта или кредитная карта). В итоге себестоимость DDoS атаки начального уровня может составлять около $4.

Работа с 1000 рабочих станций будет стоить около $7 в час. Ну а заказчику часовая DDoS-атака такого уровня обойдется в $25. То есть киберпреступники зарабатывают примерно $18 (это чистая прибыль) за час DDoS.

В целом, это средний показатель по рынку. Сейчас киберпреступники постоянно ищут способы удешевить DDoS. В основном, этот вопрос решается созданием ботнета из IoT-устройств, которые плохо защищены от взлома, так что взлом сотни тысяч «умных» девайсов — не проблема. Вероятно, с течением времени DDoS будет дешеветь, а это значит, что атак такого типа будет больше. Так что стоит заранее приготовиться к такой атаке, чтобы потом не было мучительно больно.