Всем привет!

Что-то давненько я не рассказывал ничего интересного про мир кибер-зловредства, что там бурлит и где расцветает. А то вы ещё подумаете что мы тут без работы сидим :) Конечно же, мы публикуем всю эту информацию на специализированных ресурсах, но большинство ведь их не читает! А тут есть что рассказать, самое-самое интересное для самых любопытных.

Итак, что любопытно-занятного случилось на этой неделе?

Дурак сам дурак

Новый виток контр-наездов между США и Китаем в плоскости кибер-шпионажа. На этот раз американцы не просто наехали, а наехали с фотографиями и именами. 5 китайских военных специалистов попали на постеры формата «Wanted» в лучших традициях Дикого Запада за взломы сетей американских компаний и кражу всяких важных секретов. Как их вычислили и вообще насколько это соответствует реальности — остаётся загадкой под грифом «без комментариев». Некто А.Г. по ссылке выше предельно чётко высказался, что атрибуция – наука весьма неточная и трудно не только 100% приписать атаку какой-то стране или спецслужбе, но практически невозможно указать на конкретного человека. В общем, какая-то кибер-алхимия.

Дальше: хакерские атаки с борта атомного авианосца…

Люблю Сан-Франциско.

Очень приятный, хороший город. Добрый, светлый, на набережных кормят вкусно и морепродуктно. Гладь залива пронзают корабли-гиганты с китайским ширпотребом, по краям всё обрамлено мостами-птицами, посреди водных просторов установлен Алькатрас, и он тоже следит за всем невидимым сноудену никому глазом.

Красотища! А ты неспеша прогуливаешься поверх всего этого блаженства — туда и сюда. Так и надо.

И что это великолепие тут обсуждать? А то других забот мало. Просто фотки:

Дальше: совместить приятное с полезным…

Интернет принёс в нашу жизнь много разных полезных, точных и просто приятных слуху сетевых неологизмов. Их – море: лайкнуть, твитнуть, зафрендить, чекин, селфи…

Увы, помимо позитивных глаголов и существительных наш словарь был вынужден «обогатиться» и словами для явлений и вещей вредных и опасных. Одно из низ – «фрод», от английского «fraud», то бишь «обман», «мошенничество». Как вы догадались – речь об Интернет-мошенничестве.

Вот про это и поговорим. Вернее, как с этой нечистью бороться.

Кто страдает от фрода?

Пользователи? А вот и нет — не только они. Основное бремя расходов за онлайн фрод несут на себе банки, ритейлеры и вообще любой бизнес, хоть как-то связанный с онлайн-платежами.

А что пользователь? Пользователь написал заявление в банк, что с его счёта в неизвестном направлении неизвестными лицами ушли деньги, а дальше система разбирается — кто и сколько будет платить. И в большинстве случаев платит именно система – возвращают деньги или открывают кредиты на покупку товаров. В 2012 г. только в США прямой ущерб от онлайн фрода составил $3,5 млрд., т.е. около 24 млн. онлайн-заказов оказались мошенничеством и почти в 3 раза больше заказов было отклонено при оформлении из-за подозрений.

И теперь для решения этой проблемы и «на радость» кибер-негодяям в нашем арсенале есть подходящий инструмент – KFP.

Кратко: KFP создаёт безопасную среду для операций в онлайне и защищает от кражи доступа в онлайн-банкинг, перехвата транзакций, обхода многофакторной аутентификации и многих других видов изощрённых сетевых безобразий. Не требует от пользователя каких-то супер-познаний, не задаёт умных вопросов, работает тихо и чётко и на всех популярных платформах, включая мобильные операционки.

Дальше: а зачем тогда нужен антивирус?…

Каждый год, 31 декабря мы с друзьями… Нет, не так. Каждый год в начале февраля мы проводим подряд три важнейших мероприятия:

• конференцию для IT-аналитиков.
• Северо-Американскую партнёрскую конференцию.
• и глобальный съезд экспертов по безопасности Security Analyst Summit (SAS).

Вот такой развесистый конференц-биатлон :) Получилось где-то полторы недели выступлений, переговоров и встреч, зато всё сразу и в одном месте – не надо мотаться по планете. Но всё равно конференц-деньки получаются довольно утомительными… Спасает только ласковое море-окиян и синее небо.

У нас повелось устраивать эти «состязания» в краях с тёплым климатом, географической близостью к крупнейшим экономикам мира и хорошей авиа-логистикой. Условия идеально выполнимые в Карибском бассейне, в этом году – в Доминикане. Отель Hard Rock, на самом краю доминиканского «курортного рая» Пунта Кана.

Если по пляжу пойти направо, то будут километры отелей, толпы народу и прочее веселье:

Дальше: налево пойдёшь …

Как 100%-но вычислить зловреда в дремучих джунглях операционной системы? Особенно, когда эту гадость раньше никто не видел, её «IQ» зашкаливает и она уже в компьютере?

НИКАК.

Действительно найти черную кошку в тёмной комнате, при условии, что она там точно есть, смогут немногие спецы и вручную. Но автоматическими и продуктовыми средствами можно попытаться это сделать и с некоторой долей вероятности навести на след заражения. Вот только классическими сигнатурами и файловым сканером эту задачку никак не решить.

Выход – планомерное интеллектуальное развитие антивируса в направлении мега-мозга, анализирующего сигналы от десятков сенсоров, встроенных в операционную систему. Вот такой всеобъемлющий и системный взгляд и отличает гадание на кофейной гуще от научно обоснованного и практически воплощённого подхода к проактивной защите. А помимо общего врага эти сенсоры объединяет и общий инструментарий – практически в каждом используются эвристические методы анализа.

Эвристика в вирусологии прописалась уже лет 20 назад, а смысл её состоит в следующем.

Дальше: об эвристике замолвим слово…

Бабах!! Ещё одна торпеда, пущенная кибер-негодяями в офисное пространство Микрософт увязла в нашей цепкой защите.

А именно: недавно была обнаружена вроде обычная себе атака — при открытии документов Word незаметно для пользователя в систему внедрялся вредоносный код. Вряд ли это событие добралось до заголовков, кабы не одно обстоятельство: это была атака класса «зеродей» – использовалась ранее неизвестная уязвимость в MS Office, для которой нет «заплатки», при этом большинство антивирусов тоже в упор не видели угрозу. А мы отработали на «отлично»!

Да! – технология автоматической защиты от эксплойтов (AEP – Automatic Exploit Prevention) вычислила аномальное поведение и проактивно блокировала атаку. Никаких обновлений и ожиданий. Сразу и наповал.

С «зиродеями» можно и нужно бороться. Это самое острие атак кибер-атак – зачем нужен антивирус, который работает исключительно сигнатурами, а от будущих угроз защищает только на бумаге (пусть очень красивой бумаге)? Ну, да, разработка таких технологий требует мозгов и инвестиций. Не каждый вендор первое имеет, а второе может себе это позволить. Это не детект у соседа тырить, ага..

Вообще, мы всегда считали, что в IT-секъюрити нельзя жить сегодняшним днём – нужно постоянно заглядывать за горизонт и предвидеть поворот мысли кибер-негодяев. Потому «проактивка» была у нас на повестке дня с бородатых 90-х – среди прочего мы тогда отличились разработкой эвристика и эмулятора. Технологии оттачивались, прокачивались и изобретались, и вот, где-то 2,5 года назад, фичи для защиты от эксплуатации известных и неизвестных уязвимостей были объединены под зонтиком AEP. И очень вовремя! С его помощью мы впоследствии  проактивно накрыли целый зоопарк целевых атак, в том числе Red October, MiniDuke и Icefog.Тогда же случился всплеск нездорового интереса к Java и AEP снова оказался кстати. И одну из первых скрипок здесь играл модуль Java2SW для детекта атак через Java.

О нём сейчас и пойдёт речь.

Программный ландшафт типичного компьютера напоминает лоскутное одеяло с кучей заплаток и не меньшим количеством дыр. После выпуска каждого продукта в нём регулярно находятся уязвимости (чем популярнее продукт, тем чаще и больше) и вендоры их регулярно же латают, выпуская «патчи». Но#1: вендоры выпускают «патчи» не сразу — кое-кто, бывает, ковыряет в носу месяцами. Но#2: большинство пользователей всё равно, пардон, забивает на установку этих «патчей» и продолжают работать на дырявом софте. Зато#1: практически на каждом компьютере есть… антивирус!

Тут на сцену выходит тот самый Java2SW, который в Java домене убивает сразу двух зайцев.

Вообще, с точки зрения безопасности архитектура Java достаточно продвинутая. Каждая программа выполняется в изолированном пространстве (JVM – Java Virtual Machine), под присмотром секюрити-агента. Увы, Java пала жертвой популярности – какой бы защищённой ни была система, рано или поздно (пропорционально популярности) в ней найдутся уязвимости. К этому должен быть готов каждый вендор — своевременно развивать технологии противодействия, скорость реакции и обучать пользователей. У Oracle это как-то не очень получилось. Не получилось настолько не очень, что пользователи начали массово удалять Java с компьютеров даже несмотря на ограничения при просмотре сайтов.

Судите сами: количество обнаруженных уязвимостей в Java в 2010г. – 52, 2011г. – 59, 2012г. – 60, 2013г. – уже 180 (год продолжается!). А число атак на Java росло по вот такой грустной кривой:

Дальше: как Java2SW спасает от атак на уязвимости?…

Кто эти люди?

К большинству из вас они не имеют никакого отношения. И, надеюсь, никогда не будут иметь никакого отношения. А вот к тому Интернет-меньшинству, которое ворует деньги из онлайн-банков, засоряет почту спамом, взламывает веб-сайты, штампует кредитки по ворованным номерам и т.п. — вот к таким сетевым бандитам эти люди в пиджаках и галстуках имеют самый прямой интерес. Профессиональный интерес.

Дальше: так кто же эти люди?…

Кстати, ровно сегодня исполнилось 25 лет «Червяку Морриса», который 2го ноября 1988го года устроил первый известный в науке компьютерный апокалипсис. Червяк заражал Юниксовые компы (Винды тогда не было :) и нанёс сокрушительный удар по тогдашним компьютерным сетям (Интернета тогда тоже пока ещё не было!) Подробнее здесь.

А главное — как это тогда сообщалось по американским ТВ-новостям:

Сначала всем смотреть…
…а потом подумать — где и сейчас мы теперь??

// особо в репортаже прикололо «заражено аж 200 компьютеров» :)

// а какие мне вкусные прочие ссылки предлагает Ютюб!
— Amazing predictions from 1958 that came true
— The revolution of the Internet in 1993
— Stupid Blonde in TV, She is Very Stupid, She Don’t
— The Internet in 1969
— WORST NAME EVER!!!!

Я такого в гуглах-ютюбах вообще никогда не искал! Или это из неизведанных глубин сознания оно само вычёрпывает?… Ой, боюсь..

Всем привет из Абу-Даби!

Ах, если бы только найти индивида! Уж я так устрою, что он свои деньги мне сам принесёт, на блюдечке с голубой каёмкой.

Клиента надо приучить к мысли, что ему придётся отдать деньги. Его надо морально разоружить, подавить в нем реакционные собственнические инстинкты.

(с) Остап Сулейман Берта Мария Бендер-Бей

Сомневаюсь, что современные кибер-негодяи учились своим приёмчикам у этого идейного борца за денежные знаки. Однако параллель налицо – так и никак иначе, по формуле «на блюдечке с голубой каёмочкой» потрошат кошельки граждан блокеры — особый и весьма подленький вид компьютерных зловредов. И в новой версии KIS 2014 мы им подготовили особый сюрприз.

Матчасть блокеров достаточно проста.

Всеми доступными способами (например, через уязвимости в приложениях) на компьютер жертвы внедряется вредоносная программа, которая внезапно выводит на экран картинку и блокирует как рабочий стол компьютера, так и окна всех остальных программ. Разблокировка возможна (ну, была возможна – подробности ниже) с помощью специального кода, который можно получить у мошенников. Ага, за деньги – с оплатой как у взрослых мальчиков через premium SMS номера и электронные деньги. А покамест, что бы пользователь не делал (в том числе CTRL+ALT+DEL), какие бы приложения не вызывал (в т.ч. антивирусы) – всё равно он будет видеть примерно вот такую гадость:

Дальше: заблокировать блокер…

Что ещё нового-интересного под капотом свежего KIS 2014?

ZETA Shield – антивирусный спецмикроскоп для выявления и наказания самых хитрых зловредов, аки матрёшки прячущихся во вложенных сущностях сложных файлов. Короче – это наша уникальная технология защиты от будущих угроз, которая умеет находить неизвестную кибер-заразу в самых неожиданных местах.

А чтобы лучше понять её смысл, вспомним вот такой русский народный рефрен:

Смерть его
на конце иглы,
игла в яйце,
яйцо в утке,
утка в зайце,
заяц в ларце,
ларец на дубу.

Если призадуматься как и где прячутся вредоносные программы, то так оно и есть. Зловреды изо всех сил стараются завернуться во вложенные сущности, сделать пластическую операцию по коррекции своего внешнего вида, чтобы скрыться от антивируса. Всякие пакеры-архиваторы, крипто-контейнеры, флэши, офисные документы, скрипты и т.д. и т.п. – вариантов миллион. Соответственно, задача антивируса – все эти сущности вычислить, залезть внутрь и зловредов повычистить. Так? А вот и нет! Точнее — не только.

Антивирусы давным-давно умеют разбирать сложные файлы. Помню, ещё в 90х наш движок очень любили лицензировать в том числе за технологию распаковки архивов. Но распаковать – это полдела! Нужен достаточно умный инструмент, который сможет не только сложные файлы разбирать, но также эту «матрёшку» анализировать, строить зависимости и диагностировать. Проактивно, без классических сигнатур и апдейтов. Что-то вроде средства против бинарного оружия – отдельно компоненты этого оружия безопасны, но их смешивание синтезирует боевое вещество.

И вот тут на сцену выходит ZETA Shield. И весьма своевременно – рост числа и извращённости целевых атак и атак класса zero-day – как раз сфера компетенции «Зеты» (ZETA = Zero-day Exploits & Targeted Attacks).

Дальше: мы к отражению будущих угроз! И вы теперь тоже…