Анти-, но не -вирус. Надёжно против техно-кибер-ворон. Им будет больно.

Так, похоже, что к мою историю про «КДЛ-1» (он же «Детектор-Лжи-1») некоторые восприняли чересчур серьёзно, хоть там и был прямой намёк про «первоапрельское». Ну что же, попробую раскрыть эту тему немного другими словами. Или как сказал классик русского рока: «… я попытаюсь спеть о том же самом в несколько более сложных словах».

«Не мышонок, не лягушка, а неведома зверушка» — могут подумать случайно заглянувшие в мой кабинет или же зашедшие туда по делам. Действительно, вот стоит такой неведомый глазастый аппарат, весь в строгих цветах и весь из себя откровенно хай-технологичный:

Но прежде чем начать подробный рассказ об этом устройстве, я сверну немного в сторону. Вот о чём.

Мы традиционно раз в году устраиваем «отчётное собрание», где все сотрудники компании в онлайне могут узнать главные новости за прошедший год, что планируется, задать вопросы и т.п. В наши тревожные биовирусные времена мы стали подобные сессии AMA («Ask Me Anything») устраивать гораздо чаще. Народ сидит по домам, новости не самые радостные, надо народ бодрить и поддерживать — и примерно раз в квартал топ-менеджмент компании выходит «в прямой эфир».

Во время предыдущей такой телеконференции пришёл «вопрос из зала» — а что это за загадочная штуковина стоит у меня за спиной? Тут же в общем АМА-чатике начали появляться разные догадки и идеи. Особенно понравилась чья-то версия про зловещий сканер мозга, способный читать чужие мысли. // да-да, именно по мотивам этой догадки и родился «первоапрельский текст» про «детектор лжи». На самом деле это наша новейшая разработка — бейте в барабаны и трубите в трубы ->

Знакомьтесь, это наш новый замечательный Kaspersky Antidrone собственной персоной. Прошу любить и жаловать!

Дальше: эти глаза напротив…

OpenTIP, сезон-2: заходите чаще!

Год назад я уже обращался к самым продвинутым 5% аудитории, спецам по кибербезопасности, чтобы порадовать их новым инструментом нашей разработки, Open Threat Intelligence Portal (далее OpenTIP).

Инструменты анализа сложных угроз и просто подозрительных файлов, которыми пользуются в том числе знаменитые «кибер-ниндзя» из GReAT, стали доступны всем желающим. И желающие пришли! Они проверяют тонны файлов ежемесячно.

За год жизнь этих 5% стала гораздо сложнее, потому что зловредный био-вирус выгнал мир на «удалёнку», и обеспечивать безопасность корпоративных сетей стало стократ хлопотней. Время, которого и раньше не хватало, стало драгоценным ресурсом. Поэтому самый частый запрос, который мы слышим от наших искушенных пользователей, прост и прямолинеен: «дайте доступ по API и увеличьте лимиты»!

Сказано – сделано!

В новой версии OpenTIP появилась регистрация пользователей. Постоянным посетителям её категорически советую, потому что после регистрации бóльший кусочек платного Threat Intelligence Portal покажется из сумрака.

Дальше: и песочница тоже!…

Фотоканал на Flickr

  • F1 Grand Prix Turkey 2020
  • F1 Grand Prix Turkey 2020
  • F1 Grand Prix Turkey 2020
  • F1 Grand Prix Turkey 2020

Instagram

Рансомварное: шутки закончились.

Сначала краткое изложение событий.

10 сентября ransomware-малвара DoppelPaymer шифрует 30 серверов больницы г.Дюссельдорфа из-за чего пропускная способность учреждения существенно деградирует. Неделю спустя по этой причине больница отказывает в приёме пациентке, срочно нуждающейся в операции, перенаправляя её в соседний город. По пути она умирает. Это первая известная человеческая жертва вследствие ransomware-атаки.

Это очень грустный случай. Он тем более грустный, что здесь сошлись фатальная случайность, пренебрежение к основным правилам компьютерной гигиены и неспособность правоохранительных органов противостоять организованной преступности.

Немного технических деталей: атакована больница была через уязвимость в серверах Citrix Netscaler, также известную как «Shitrix». Кстати, обновление, устраняющее уязвимость, доступно с января – это я по теме важности регулярных обновлений для всех умных железок – всех вообще, а не выборочно. По всей видимости, системные администраторы всё же допустили значительное временнóе окно между выходом обновления и его установкой: именно в этот промежуток злоумышленники смогли проникнуть в сеть и установить бэкдор.

Что вообще происходит с этим миром? Как можно больнице допустить такой инцидент, чтобы хакеры смогли затроянить систему через известную уже уязвимость, для которой был патч?  Сколько раз мы говорили, что FreeBSD (а именно на ней работает Netscaler) – не только не гарантия безопасности, но наоборот – «ложный друг» безопасника? В этой операционной системе точно так же есть недостатки, использующиеся в сложных кибератаках. Более того, для организаций критической инфраструктуры обязательна многоуровневая защита, где каждый уровень способен страховать другие. Если бы в сети больницы стояла надёжная защита, то хакерам скорее всего не удалось бы осуществить задуманное.

А вот дальше начинаются предположения. Не исключено, что через некоторое время доступ к бэкдору был продан другим хакерам на подпольном форуме как «университет» — атака действительно была изначально нацелена на местный Heinrich Heine University. Именно он был указан в письме вымогателей, когда они потребовали выкуп за возврат зашифрованных данных. Когда хакеры узнали, что это больница, то немедленно предоставили ключи шифрования и исчезли. Видимо затрояненые больницы не пользуются спросом у киберкриминала – слишком «токсичный» актив (что, собственно, и было доказано). Однако, это не спасло ситуацию.

Теперь же самый интересный вопрос: кто это сделал?

Вероятнее всего, что за DoppelPaymer стоит известная хакерская группировка Evil Corp, на которой висит ответственность за десятки других громких взломов и вымогательств (в том числе громкая атака на сеть Garmin). В 2019-м правительство США выпустило ордер на арест людей, причастных к деятельности Evil Corp и объявило награду в $5млн за помощь в поимке. Что любопытно – личности преступников известны, а сами они до недавнего времени бравировали крутыми (обратите внимание на номер на фотке внизу) тачками и вели богемный образ жизни.

источник

Полиция Германии сейчас проводит расследование для выяснения реальных причин смерти пациентки. Надеюсь, что немецкие власти запросят от России содействия в задержании преступников — и это прямое обращение действительно наконец-то сдвинет ситуацию с мёртвой точки.

Для возбуждения уголовного дела требуется по крайней мере формальное заявление или предмет преступления. «Написано на заборе» правовая система не принимает к рассмотрению. Нет заявления – нет дела, потому что иначе любой адвокат вмиг его развалит. Если есть серьёзные доказательства преступления, то надо запускать нормальную процедуру, основанную на межгосударственном взаимодействии. Как говорится «that’s the way it works». Правительствам имеет смысл превозмочь свои геополитические предрассудки и действовать совместно. А покамест из-за политической заморозки международного сотрудничества уже гибнут люди, а киберкриминал оборзел до космических масштабов.

UPD: первый шаг к восстановлению сотрудничества в кибербезопасности сделан.

Кстати, а вы заметили, что в прессе почти нет новостей об успешных атаках шифровальщиков против российских организаций? Оставив в стороне смешную конспирологию о том, что «рансомварщики» работают под «крышей» российских спецслужб (не могут же они «крышевать» также китайских, корейских, украинских, иранских и прочих других хакеров), у меня остаётся только один разумный ответ этому парадоксу.

Да потому что подавляющее большинство российских предприятий защищено нормальной киберзащитой, а в перспективе ещё лучше накроется киберимунной операционкой. Да, да, той самой защитой, которую в США запретили использовать в государственных учреждениях.

UPD2: Вчера стало известно, что из-за ransomware-атаки крупнейшая американская больничная сеть UHS отключила компьютерную систему, обслуживающую ~250 учреждений по всей стране, переведя регистрацию пациентов на бумагу. Подробности пока неизвестны.

Кибер-пандемия: охота за вакциной.

Карантин карантином, а премьера нового документального фильма о реальных киберпреступлениях из серии Hacker:HUNTER по расписанию! Тем более, что к онлайн-формату нам уже не привыкать. И кстати, премьера – самая злободневная, ведь что для простых смертных – самоизоляция, то для хакеров – возможность поживиться чужими данными и деньгами. А с режимом удалённой работы киберпреступники более чем знакомы!

Ни для кого не секрет, что во время пандемии резко участились кибератаки на медицинские учреждения и исследовательские центры. Некоторые кибернегодяи искали способ быстрого обогащения (и, к сожалению, не всегда напрасно), а отдельные (и очень продвинутые) группировки искали, пожалуй, самую ценную на сегодня медицинскую информацию. Наша новая документалка «Hacker:HUNTER: Ha(ck)c1ne Healthcare on the Edgeкак раз об этом. Фильм рассказывает о том, как на фоне борьбы с коронавирусом те, кто беззаветно спасает наши жизни, стали целями самых продвинутых кибератак, и почему те, кто всеми правдами и неправдами стремится завладеть данными по разработке вакцины от Covid-19, прибегают к услугам киберпреступников.

Новый фильм — это третий сезон серии документальных фильмов-расследований о киберпреступности Hacker:HUNTER, которая выходит в рамках нашего онлайн-проекта Tomorrow Unlocked. Первым в серии стал документальный фильм об известной кибергруппировке Carbanak, которая несколько лет назад смогла похитить 1 миллиард долларов из банкоматов в разных странах мира. Сюжетом для второго фильма послужила громкая история шифровальщика WannaCry.

А ещё у серий отличный рейтинг на IMDB, так что ответ на вопрос, что же ещё посмотреть, если уже всё посмотрел, находится здесь.

Премьера Hacker:HUNTER: Ha(ck)c1ne Healthcare on the Edge! состоится уже в эту пятницу 25 сентября в 18ч00 по московскому времени.

Посмотреть фильм можно будет здесь.

А пока — трейлер:

Если после просмотра у вас останутся или появятся новые вопросы, то их можно будет сразу же смело задать создателям и техническим экспертам фильма: Райнеру Боку, руководителю проектов ЛК из Brand Activation Studio, и Костину Райю, директору GReAT и одному из главных консультантов сего творения.

Кстати, тому, кто опубликует самый остроумный и интересный пост о фильме, мы подарим ваучер на покупки на сумму 100 евро (пост должен включать ссылку на YouTube-премьеру и хештег #hackc1ne). А автор самой популярной публикации будет награждён коллекцией корпоративных сувениров.

Так что запасайтесь попкорном, устраивайтесь поудобнее и приятного просмотра! Обещаю, что будет интересно!

Первая посткарантинная промышленная.

Итак, мальчики и девочки, у нас произошло эпохальное событие — и я без лишней скромности об этом громко заявляю. В одном небезызвестном приморском городе, в котором «тёмные ночи» и каждый жил бы, «зная прикуп» ->

— там у нас прошла самая первая посткарантинная и самая настоящая деловая конференция! Мой первый посткарантинный бэджик:

Дальше: уточнение, пояснение и подробности…

Как поймать чёрного лебедя в собственной сети?

Давненько у человечества не было такого года, как 2020й. Да что там, не было на моей памяти ни одного года с такой концентрацией чёрных лебедей разных видов и форм. Это я, конечно, не про редких птичек, а про непресказуемые события с далеко идущими последствиями, которые с легкой руки господина Талеба вот уже лет десять именно так и величаются. Одна из главных особенностей таких «чёрных лебедей» в том, что ретроспективно они кажутся прогнозируемыми, а вот предсказать их в реальности никогда не удаётся.

Взять хотя бы всем известный вирус (тот, что биологический). Их в одноименном семействе существует несколько десятков, но регулярно находятся новые, которые и нагоняют страха на человечество. Они при этом существуют у всех на виду, живут в кошечках, собачках и летучих мышах. Казалось бы, изучай себе да обезвреживай, то есть разрабатывай вакцины. Но для этого нужно знать, что искать, а это уже искусство.

А как в кибербезопасности?

В интернетах гуляют и полезные приложения, и любительская малвара, и сложные кибершпионские модули, а иногда и редкие, никем не пойманные зиродеи («уязвимости нулевого дня»). Вреда такие уязвимости могут наделать ого-го, но часто они остаются ненайденными до самого момента нанесения этого вреда.

На самом деле, у секюрити-экспертов есть способы бороться с неопределенностью и предсказывать «чёрных лебедей». И речь в этом посте пойдет об одном из этих способов — поиске киберугроз с помощью YARA-правил.

Если коротко, то YARA-правила помогают по заданным характеристикам (иногда о-о-очень хитрым) искать похожие образцы вредоносов и определять: ага, вот эти-то, похоже, сделаны одними ребятами для похожих целей.

Представьте, что ваша сеть — необъятное море, кишащее сотнями самыми разными рыбами. Вам нужно понять, водится ли в этом море определенный род рыб (например, вредоносы авторства конкретной хакерской группы). Так вот YARA в этой водной метафоре будет неводом с ячейками определенной формы, в который попадаются только рыбы из того самого рода. Таким образом, благодаря YARA-правилам можно хитрыми методами находить новые образцы сложной малвары, даже если почти ничего про неё не знать.

У нас на эту тему есть хрестоматийный случай. В 2015 году наш YARA-гуру и глава GReAT’а Костин Райю абсолютно шерлок-холмсовскими методами нашёл в интернетах эксплойт для майкрософтовского ПО Silverlight. Зацепился за слитую хакерами переписку, провёл расследование и буквально из спичек и желудей написал YARA-правило, которое нашло эксплойт и уберегло мир от больших проблем.

Хотите тоже так уметь? Не сомневаюсь :)

Переходим к сути. Искусству создания YARA-правил мы обучаем уже не первый год. Вот только, учитывая сложный характер угроз, которые обычно таким способом ищутся, семинары мы раньше делали только очные и только для узкого круга топовых исследователей. Однако сочетать карантин с офлайн-тренингами оказалось трудновато, а необходимость в образовании никуда не делась — мы видим, что запрос такой по-прежнему есть. Запрос очень понятный, так как кибер-жульё придумывает все более изощрённые способы атак, и удалёнка им тут дает больше творческого пространства, чем когда-либо.  В общем, таить это знание и дальше нам кажется неправильным. Поэтому мы (i) перенесли тренинг в онлайн и (ii) открыли к нему доступ для всех желающих — платный, но цена по меркам профессионального курса такого уровня абсолютно рыночная.

Встречайте!

Дальше: диплом для Светлого будущего…

Кибербезопасность – новое измерение качества автомобилей.

Многие ошибочно считают, что автомобиль XXI века – это такая хорошо навороченная «железка». Само собой разумеется, с компоновкой под разные кошельки, но всё равно «железка»: кузов, мотор, колёса, руль с педалями. А где-то там, на фоне, «во глубине сибирских руд» ещё есть какие-то компьютеры, которые со всем этим что-то делают – а как по-другому, ведь картинки на приборной панели всё более и более цифровые, а не механические стрелки с индикаторами :)

Так вот, я с этим мнением категорически не согласен.

Современная автомашинка есть не «железки с цифровыми начинками», а наоборот. Автомобиль = бортовой компьютер. Для глянца и бликов повествования давайте назовём его «кибер-мозгом» — так получается по-современному модно и абзац этого текста начинает ароматизировать прелюдией к фантастическим поворотам в нашем сюжете. Именно так и будет, уважаемые дамы и господа! – но чуть позже. Здесь же я просто ограничусь короткой фразой:

Автомобиль нашего столетия есть компьютер, который управляет технологической обвеской: двигателем и тормозами, фарами и поворотниками, дворниками и кондиционером, да и всем остальным тоже.

Раньше у ручного тормоза была специальная ручка, которая была абсолютно механическая и при постановке на тормоз издавала характерный металлический «трррр» звук – помните? А сейчас в большинстве случаев это просто кнопка. Вот-вот, я именно про это! Была механика, а стала компьютерная кнопка. И так везде и со всем!

Сразу следует отметить, что большинство из нас по инерции продолжают считать, что беспилотные автомобили – вот это и есть компьютер, управляющий автомобилем. А если за рулём транспортного средства человек, то это не так. Что двурукий-прямоходящий по старой традиции самостоятельно применяет свои физические мускульные усилия на руль и педали газа-тормоза-сцепления, таким образом непосредственно влияя на механическую обвеску.

Увы, хочу развеять иллюзии.

В большинстве современных автомашинок пилотный вариант от беспилотного отличается только тем, что в первом случае бортовыми компьютерами управляет всё ещё человек, а во втором (авто-автомобильном) всеми «телодвижениями» занимается дополнительный, разработанный гугламияндексамибайдукогнитивамикамазами, очень умный компьютер. Который наблюдает за всей окружающей обстановкой, создаёт своё видение окружающей действительности и особыми мудро-алгоритмами принимает решение о скорости, целях и направлениях дальнейшей поездки.

Краткий курс истории цифровизации автомобилей

Кстати, любопытен вопрос о том, когда же всё это началось?

Увлечённые данной темой знатоки утверждают, что самым началом компьютеризации автоизделий можно считать появление транзисторного радио в 1955 году, которое в виде опции предлагал Chrysler. А если «религиозные» причины не позволяют считать радио истинно автомобильной фичёй, то началом автоцифровизации можно считать электронное зажигание, антиблокировочную систему или электронную систему управления двигателем, которые предложили Pontiac, Chrysler и GM в 1963-1971-1979 годах (подробнее здесь).

Далее компоненты автомобилей становились всё более электронными, потом цифровыми (здесь сложно провести чёткую грань), но я всё же считал бы началом цифровой революции в автомобильных технологиях февраль 1986 года, когда на конгрессе автомобильных инженеров (SAE) компания Robert Bosch GmbH представила миру цифровой сетевой протокол коммуникации электронных компонентов автомобиля (CAN – controller area network). Что любопытно, знатоки этой темы и авторитетные интернет-источники уверяют, что этот сетевой протокол и сегодня является наиболее распространённым и присутствует практически в каждом серийном автомобиле (в ваших, дорогие зрители читатели, в том числе!)

Те же эксперты цифрового автодела мне подсказывают, цитирую ->

«Помимо разновидностей CAN-шин (low-speed-, high-speed CAN, FD-CAN), сегодня ещё используются – FlexRay (трансмиссия), LIN (низкоскоростная шина), оптическая MOST (мультимедия) и, наконец, бортовой Ethernet (на сегодня 100 Mb/s, в будущих поколениях до 1 Gb/s).

В настоящее время с развитием различных коммуникационных протоколов при проектировании современных автомобилей используются так называемые технологии Drive by Wire (без механических приводов), куда входят: электронная педаль газа, педаль тормоза (Toyota, Ford и GM используют с 1998 года в своих гибридах и электромобилях), электронный парковочный тормоз, электронное переключение передач, электронное рулевое управление (первыми были Infinity с моделью Q50 в 2014)».

Шины и интерфейсы BMW

Дальше: если вы не в курсе трендов, то тренды идут к вам…

Бензопилой по злобным демонам и вредным мифам.

Давным-давно, а точнее в далеком 93-м году в свет вышла первая «серия» культовой игры Doom. Благодаря ей тогда ещё немногочисленные владельцы персональных компьютеров, обнаружили, что лучшее средство от монстров – это дробовик и бензопила :)

Я никогда не страдал игроманией (да и времени на это не было — мы работали-работали!), но иногда, вечерами, мы с коллегами проводили час-другой за «стрелялками» по локальной сети. Вообще тогда это было вполне в офисной IT-культуре сверхурочно понажимать на клавиши, например, в Duke Nukem. Проводились корпоративные чемпионаты, в столовых-кафе обсуждались результаты кто как кого испепелил. Говорят, что даже делались ставки! :)

Несколько лет спустя на компьютерах появился и модный антивирус (да-да, тот самый), и его знаменитый звук распугивал кибер-монстров похлеще бензопилы. Потом у нас случился не самый удачный релиз: в 4-ю версию мы навернули много новых технологий против сложных угроз, недостаточно продумали архитектуру и протестировали конечный продукт. Пользователи стали жаловаться на снижение производительности, в то время как софт в общем и компьютерные игры в частности начали требовать всё больше ресурсов процессора и оперативной памяти.

Исправились мы тогда достаточно быстро (плюс два года спустя выпустили легендарную «шестёрку», которая обошла всех по скорости, надёжности и гибкости), а последние полтора десятка лет в категории «производительность» наши решения стабильно занимают ведущие места.

Но, увы, как говорится «ложечки нашлись, а осадочек остался». Поддержанный конкурентами и нечистоплотными методами, миф о скорости наших продуктов этот оказался довольно живучим. До сих пор мне доводится встречать людей, которые умышленно или добровольно всё ещё находятся во тьме заблуждения на крючке у этих методов :)

И вот, 27 лет спустя на экраны в эфир на рынок вышла пятая «серия» Doom. Казалось бы, какая связь? Прямая – это ведь шикарный шанс ещё раз и наглядно продемонстрировать реальные скоростные характеристики наших продуктов, да ещё и на топовой игрушке с отменным аппетитом на системные ресурсы. Вместе с European Speedrunner Assembly мы провели чемпионат на скоростное прохождение Doom Eternal на компьютерах с нашим продуктом.

Дальше: а вы знаете, что такое КАКОДЕМОН?…

В тёмном-тёмном лесу офисе

Весьма вероятно, что ваш офис сегодня также пуст, как и наш. Редко-редко раздаются шаги охраны и технических служб, да гудят системы охлаждения серверов, нагруженные всякой «удалёнкой». Кажется, ничего не нарушает покой и крепкий сон системного администратора – кроме невидимых человеческому глазу и неслышных человеческому уху событий, происходящих в тёмном лесу IT-инфраструктуры.

Роль IT-безопасника в некотором смысле похожа на роль лесника – чтобы поймать браконьера (вредоносное ПО) и нейтрализовать угрозу для обитателей леса, надо для начала его обнаружить. Можно, конечно, дождаться звуков выстрелов и быстро бежать в их сторону, но это значит, что событие уже произошло и остаётся только разбираться с последствиями. Можно в превентивных целях расставить по всему лесу сигналы и видеокамеры и реагировать на каждый новый шорох (и быстро лишиться сна и разума). А если учесть, что «браконьеры» научились здорово прятаться и не оставлять следов, то выясняется, что главный вопрос безопасности заключается в умении вычленять подозрительные события из множества событий повседневных.

Современные кибер-браконьеры всё чаще маскируются именно при помощи совершенно легитимных инструментов и операций – например, открытия документа в Microsoft Office, получения администратором удаленного доступа, запуска скрипта в PowerShell или активацией механизма шифрования данных. Новая волна так называемого «бесфайлового» вредоносного ПО и вовсе не оставляет никаких следов на жёстком диске, что заметно усложняет работу традиционных подходов к защите. Именно так, например, группировка Platinum проникала в компьютеры дипломатических организаций. Офисные документы, загружающие вредоносную нагрузку, применялись для заражения через фишинг в операции DarkUniverse, да и многих других. Ещё один пример — «бесфайловый» вымогатель-шифровальщик Mailto (aka Netwalker), который использует PowerShell скрипт для загрузки вредоносного кода непосредственно в память системного процесса.

Итак, если традиционными средствами не обойтись, то можно попытаться запретить целый ряд операций пользователям и ввести жёсткие политики доступа и использования ПО. Однако в этом случае и пользователи, и вредоносы скорее всего найдут обходные пути, как находят их лесные ручьи или звериные тропы.

Лучше найти решение, которое сможет определять аномалии в стандартных процессах и уведомлять о них администратора. Главная сложность такого решения, чтобы научиться автоматически определять «подозрительность» процессов во всем их многообразии, и не досаждать администратора постоянными криками «Волки! Волки!»

И у нас такое решение есть – Adaptive Anomaly Control. В основе сервиса лежат три основных компонента – правила, статистика и исключения. Правила охватывают основные офисные приложения, пакет приложений Windows Management Instrumentation, стандартные скрипты и другие компоненты, совмещённые со списком «аномальных» активностей. Эти правила являются частью решения и не требуют от администратора создавать их заново.

Дальше: и зачем тогда нужен антивирус?…

Королевство кривых зеркал.

Неисповедимы пути вредоносного кода.

Он как вездесущий газ заполняет собой пространство, проникая на компьютеры через любое доступное «отверстие для маленьких жучков». Мы же эти «отверстия» находим и конопатим. При этом часто случается, что конопатим проактивно – то есть пока «жучки» эти «отверстия» в операционных системах и приложениях не нашли. А как найдут – мы их там с мухобойкой уже ждём :)

На самом деле, проактивность защиты, способность предугадать действия нападающего и заранее создать барьер на пути проникновения – это отличает действительно хорошую, высокотехнологичную кибербезопасность от маркетинговых пустышек.

Сейчас я расскажу вам о «безфайловом» (иногда его называют «бестелесным») вредоносном коде – опасном виде «жучков-призраков», которых научили использовать архитектурные недостатки Windows для заражения компьютеров. А также о нашей патентованной технологии борьбы с этой кибер-заразой. Будет всё как вы любите – просто о сложном, в лёгкой захватывающей манере кибер-триллера с элементами саспенса :)

Вангую самый первый вопрос: «безфайловый» — это как и что такое?

Объясняю. Попадая на компьютер, такой вредоносный код не создаёт своих копий в виде файлов на диске, и таким образом избегает обнаружения традиционными способами, например, при помощи антивирусного монитора, который следит за появлением зловредных и нежелательных файлов-приложений.

Как же такие вредоносы-призраки существует в системе? Исключительно в оперативной памяти доверенных процессов! Вот так.

В Windows (на самом деле не только в Windows) с древних времён существует возможность выполнения динамического кода, которая в частности используется для динамической компиляции, т.е. перевода программного кода в машинный не сразу, а по мере надобности с целью увеличения скорости исполнения приложения. Для поддержки этой возможности Windows позволяет приложениям загружать код в оперативную память через другие доверенные процессы и исполнять его.

Согласен – не самая здравая реализация с точки зрения безопасности, но, как говорится, «поздно пить боржоми». Так работают миллионы приложений, написанных на Java, .NET, PHP, Python и других языках и платформах.

Разумеется, что возможность использовать динамический код полюбили кибер-негодяи, которые изобрели различные способы злоупотребления им. Один из самых удобных и поэтому распространённых способов – техника «отражающей инъекции» (Reflective PE Injection). Не торопитесь падать в обморок от этого технического термина — сейчас популярно расскажу что это такое. Будет интересно! :)

Запуск приложения для пользователя выглядит… Да никак он не выглядит :) Кликнул на иконку и всё. Но за этими декорациями проходит непростая работа: вызывается системная программа-загрузчик, которая берёт наш файл с диска и исполняет его. И этот стандартный процесс контролируется антивирусными мониторами, которые «на лету» проверяют приложение на безопасность.

При «отражении» код загружается мимо системного загрузчика (а соответственно и антивирусного монитора) – он копируется напрямую в память доверенного процесса, создавая «отражение» исполняемого модуля. И всё выглядит как будто бы он был загружен системным загрузчиком. Такое «отражение» может исполняться как настоящий модуль, загруженный стандартным способом, но оно не зарегистрировано в списке модулей и, как уже указывалось выше, не имеет файла на диске.

Причём, в отличие от других техник инъекций кода (например через шелл-код), отражающая инъекция позволяет создавать функционально сильный код на высокоуровневых языках и стандартными средствами разработки с минимальными ограничениями. Итог: никаких файлов, надёжная маскировка в доверенном процессе, вне радаров традиционных защитных технологий, приемлемая свобода действий. Вот такое «королевство кривых зеркал». И окон.

Вполне естественно, что отражающая инъекция получила большую популярность у разработчиков вредоносного кода. Сначала техника появилась в эксплойт-паках, потом её «прелести» оценили кибер-военщина (например, операторы операций Lazarus и Turla) и продвинутый кибер-криминал (это же отличная легитимная лазейка для скрытого исполнения сложного кода!). Ну а дальше, как говорится, техника «пошла в народ».

Найти такую «бестелесную» заразу не так-то просто. Немудрено, что большинство продуктов с ней справляется «так себе», а некоторые «вообще никак».

Читаем дальше: исправляем кривизну окна…