США анонсують кібератаки проти Росії

США готуються відповісти на кібератаку росіян проти SolarWinds та інших компаній. Чи буде це кібератака? Навіщо анонсувати цей контрудар? Поміркуймо разом.

Джерела у Білому домі повідомляють, що протягом наступних трьох тижнів США здійснять низку прихованих дій у російських мережах, які будуть очевидні для військового та розвідувального керівництва РФ та особисто Володимира Путіна, але залишаться невидимими для зовнішнього світу. Ці дії буде поєднано із розширенням економічних санкцій, повідомляє New York Times.

Після виходу цього матеріалу 7 березня у кібербезпековій тусовці здійнялася не аби яка хвиля піднесення: ось, нарешті, Джо Байден покладе край бездіяльності Сполучених штатів щодо російського беспрєдєла в інтернеті. Усі, хто хоч трохи знається на кібербезпеці, діляться один з одним та з “простими смертними” своїми прогнозами щодо того, що ж насправді відбудеться, навіщо про це повідомляти заздалегідь, і взагалі – що за гру веде нова адміністрація Білого дому.

Продовжити читання “США анонсують кібератаки проти Росії”

Хто розробляє російську кіберзброю?

Atlantic Council у вишуканій манері деанонімізував компанію з кібербезпеки, що розробляє російську кіберзброю, яку російська розвідка та спецслужби використовують у кібератаках.

Надзвичайно цікаве дослідження випустив 1 березня Atlantic Council. Вишуканий смаколик детективної журналістики. В дослідженні йдеться про найдраматичнішу галузь індустрії кібербезпеки. А саме пошук вразливостей в програмному забезпеченні та створення інструментів з експлуатації цих вразливостей. Але які ж то інструменти, якщо їхня суть деструктивна? Це, друзі, справжнісінька зброя, а в цьому випадку – кіберзброя. Зокрема, російська.

В матеріалі йдеться зокрема про те, що розробкою цієї новітньої зброї в певних країнах займаються не державні спецслужби, а приватні компанії. Автори дослідили три такі фірми та діляться своїми спостереженнями щодо того, як у них все влаштовано. Як відбуваються технічні процеси, а як бізнесові. Як ці компанії співпрацюють зі спецслужбами та іншими замовниками в себе на батьківщині та закордоном. З якими експортними та іншими міжнародними угодами та регуляціями їм доводиться мати справу. Тощо.

Як приклади авторський колектив наводить три конкретні компанії: NSO Group з Ізраїлю, DarkMatter з ОАЕ та таємничу фірму з Росії, назву якої в тексті вони згадувати не стали. Точніше, ця назва закодована словом ENFER, яке підозріло співзвучне зі словом infer (англ. припускати, робити висновок). Як на мене, то це чудова пасхалка, з прямим натяком на те, що на основі наведених у звіті даних можна здогадатися, про яку саме компанію йдеться.

Продовжити читання “Хто розробляє російську кіберзброю?”

РНБО повідомляє про атаку російських хакерів на систему документообігу держорганів

РНБО попереджає про фішингову атаку через систему документообігу Українських державних установ та звинувачує в цьому росіян.

Техніка атаки примітивна: класичні документи Microsoft Office із макросами. Проте, цілком дієва: фішинг завжди в моді, а користувачі радо погоджуються на пропозиції хакерів завантажити на комп’ютер шкідливі програми.

Цікавий скоріше вектор атаки: поширення файлів через Систему електронної взаємодії органів виконавчої влади (СЕВ ОВВ). Це такий собі файлообмінник з вебінтерфейсом та скриптами за кілька десятків мільйонів гривень, який українські державні установи використовують замість електронної пошти або сервера SharePoint. Система, на хвилиночку, має атестат відповідності КСЗІ від 2019 року.

З усього скидається те, що нападникам вдалося захопити контроль над щонайменше одним суб’єктом системи документообігу. Цікавий нюанс: у пресрелізі РНБО напад класифікують як атаку на ланцюг постачання (Supply Chain Attack). Чи випливає з цього, що було модифіковано програмне забезпечення системи СЕВ ОВВ? Чи йдеться про первинне проникнення в державну установу – суб’єкта документообігу? Про це РНБО змовчує, залишаючи простір для спекуляцій.

Проте, походження атаки сумнівів не викликає. Адже зафіксовані індикатори компрометації однозначно вказують на російську хакерську групу Gamaredon (aka Primitive Bear), яка вже кілька років кошмарить українську госуху. Та й на тлі політичного та військового загострення, викликаного введенням санкцій проти низки проросійських політиків в Україні, така гібридна відповідь виглядає цілком очікувано.

Не клікайте каку.

Рекомендовані книжки прочитані у 2020. Частина І: кібербезпека

Продовжуючи нову традицію рекомендацій цікавих та корисних книжок за підсумками року, ділюся своїми найбільшими читацькими враженнями у 2020. Цього року я розбив рекомендації на тематичні дописи та в кожному порекомендую лише три назви. Ці книжки я рекомендую для прочитання кожному, хто цікавиться відповідною темою.

Назви творів вказано мовою споживання. Посилання ведуть на джерела, де я їх придбав. У 2020 я багато читав у цифрі, менше в аудіо, і всього одну книгу на папері.

Також, цього року я вперше за багато років читав російською. Попри те, що російська – моя перша мова (а українська – третя), вже понад 10 років я не послуговуюся нею для читання та письма. Годі й казати, що після 2014 року це лише підсилилося. Проте, наприкінці останнього допису серії я порекомендую твір російською.

Продовжити читання “Рекомендовані книжки прочитані у 2020. Частина І: кібербезпека”

FireEye hack стає SolarWinds hack і це лише початок

Російські хакери зламали FireEye та виклали в публічний доступ їх інструменти (більшість яких виявились програмами з відкритим вихідним кодом).

Російські хакери зламали FireEye та виклали в публічний доступ їх інструменти (більшість яких виявились програмами з відкритим вихідним кодом).

Але це лише верхівка айсберга. Причиною зламу могла бути складна кібератака через ланцюг постачання розробника програмного забезпечення SolarWinds. Скоріш за все, так само зламали Держказначейство Сполучених Штатів та низку інших державних установ США та інших країн в Пн. Америці, Європі, Азії та на Бл. Сході.

В неділю SolarWinds опублікував пресреліз, в якому визнав компрометацію Orion, програмної платформи для централізованого моніторингу та управління, яка зазвичай використовується у великих мережах для відстеження всіх ІТ-ресурсів, таких як сервери, робочі станції, мобільні телефони та пристрої IoT. Компанія заявила, що версії оновлення Orion 2019.4 – 2020.2.1, випущені в період з березня 2020 року по червень 2020 року, були заражені шкідливим програмним забезпеченням.

В понеділок SolarWinds відзвітувала про інцидент в американську Комісію з цінних паперів (SEC). Зі звіту стало відомо, що з 300,000 клієнтів компанії лише 33,000 користувалися Оріоном, а з тих 33,000 лише 18,000 встановили заражені оновлення. 

Я не розділяю оптимізм компанії, “лише вісімнадцять тисяч” компаній, які можуть дозволити собі продукцію SolarWinds – це цілком серйозна кількість досить важливих цілей. Події навколо інциденту розгортаються, і він, хоч може й не дотягує до NotPetya за руйнівними наслідками, та цілком може переважити його за масштабом впливу.

Тому користуючись нагодою, передаю вітання українській компанії Linkos Group. Думаю, наступні три роки маркетологи безпекових вендорів лякатимуть клієнтів не Медком, а Соларвіндз.