Шифровальщики фактически стали киберугрозой №1 как для бизнеса, так и для государственных органов: число успешных атак в прошлом году выросло более чем на 150% к 2019 году, а средний размер суммы выкупа увеличился более чем в два раза и составил в 2020 году $170 000, говорится в свежем отчете Group-IB «Программы-вымогатели 2020-2021 гг».

В первую очередь в зоне риска оказались крупные корпоративные сети — целенаправленные атаки вымогателей ( The Big Game Hunting) парализовали в 2020 году работу таких гигантов как Garmin, Canon, Campari, Capcom и Foxconn. Простой от одной атаки составлял в среднем 18 дней. Большинство атак, проанализированных Group-IB, произошли в Северной Америке и Европе, где расположено большинство компаний из списка Fortune 500, а также в Латинской Америке и Азиатско-Тихоокеанском регионе.

Самыми жадными вымогателями оказались группы Maze, DoppelPaymer и RagnarLocker — сумму выкупа, которые они требовали от жертвы, составляла в среднем от $1 000 000 до $2 000 000.

Преступные группы Conti, Egregor и DarkSide присоединились к «золотой лихорадке» только в прошлом году, но были настолько активны, что заняли верхние строчки неофициального рейтинга вымогателей. В топ-5 самых активных семейств шифровальщиков, по данным Group-IB, вошли Maze, Egregor, Conti, REvil и DoppelPaymer. Некоторые из них к концу года сошли с дистанции: Egregor и Netwalker пострадали от действий полиции, а операторы Maze в конце 2020 года объявили о своем уходе. Несмотря на эти события, криминальный бизнес вымогателей в 2021 году, по прогнозам экспертов Group-IB, будет по-прежнему процветать.

В России, несмотря на негласное правило у киберпреступников «не работать по РУ», действовала русскоязычная преступная группа OldGremlin — впервые Group-IB рассказала о ней в отчете в сентябре прошлого года. Начиная с весны 2020 года OldGremlin провела не менее 9 кампаний и атаковала исключительно российские цели — банки, промышленные предприятия, медицинские организации и разработчиков софта. В августе 2020 года жертвой OldGremlin стала крупная компания с сетью региональных филиалов — за расшифровку с нее потребовали выкуп в $50 000.

«За пандемию программы-вымогатели стали главной киберугрозой для всего мира, в том числе для России, — говорит Олег Скулкин, ведущий специалист Лаборатории компьютерной криминалистики Group-IB. — В прошлом году мы видели многочисленные атаки OldGremline на российские предприятия, IT-компании и финансовые учреждения. В этом году эксперты уже наблюдают активность с традиционными группами типа RTM, также переключившихся на на использование шифровальщиков».

Очень организованная преступность

Одной из основных движущих сил феноменального роста программ-вымогателей стала модель Ransomware-as-a-service («Вымогательство как услуга»). Ее смысл заключается в том, что разработчики продают или сдают в аренду свои вредоносные программы партнерам для дальнейшей компрометации сети, заражения и развертывания вымогателей. Вся полученная в виде выкупа прибыль затем распределялась между операторами и партнерами программы. Команда Group-IB DFIR отмечает, что 64% всех атак вымогателей, проанализированных в 2020 году, были связаны с операторами, использующих модель RaaS.

Еще одна тенденция 2020 года — коллаборации между разными преступными группами. Group-IB Threat Intelligence & Attribution system зафиксировала в прошлом году появление в андеграунде 15 новых публичных партнерских программ-вымогателей. Действующие преступные группы, использующие вредоносные программы Trickbot, Qakbot и Dridex, все чаще помогали операторам программ-вымогателей получать первоначальный доступ к корпоративным сетям.

Главным вектором атак для большинства банд вымогателей оказались публичные RDP-серверы. В 52% всех атак, проанализированных командой Group-IB DFIR, для получения первоначального доступа к сети использовались именно RDP-серверы, за ними следовали фишинг (29%) и эксплуатация общедоступных приложений (17%).

Прежде чем зашифровать данные, операторы вымогателей проводили в среднем 13 дней в скомпрометированной сети, стараясь предварительно найти и удалить все доступные резервные копии, чтобы жертва не могла восстановить зашифрованные файлы. Еще одним фактором успеха, позволившим бандам получать выкуп, стало предварительное хищение критически важных данных — документов, отчетов, чтобы использовать их в качестве рычага для давления на жертву — моду на подобный «двойной удар» задала печально известная группа Maze.

Учитывая, что большинство атак шифровальщиков управляются человеком — «вручную», специалистам по информационной безопасности критически важно понимать, какие тактики, техники и процедуры (TTP) используют злоумышленники. Полный технический анализ TTPs атакующих, сопоставленных в соответствии с MITRE ATT&CK®, публичной базой знаний, в которой собраны тактики и техники целевых атак, а также рекомендации по поиску и обнаружению угроз, собранные командой Group-IB Digital Forensics and Incident Response (DFIR), уже сейчас доступны в новом отчете «Программы-вымогатели 2020-2021 гг».

Источник

Как я ранее писал в статье Что такое Endpoint Detection and Response (EDR)?

Исследовательская и консалтинговая компания, специализирующаяся на рынках информационных технологий Gartner определяет технологию Security Information and Event Management (SIEM) как одну из трех основополагающих технологий Security operations center (SOC) (центр мониторинга и оперативного реагирования на инциденты).

Сам термин SIEM состоит из объединения двух терминов, обозначающих область применения Программного обеспечения: SIM (Security information management) — управление информацией о безопасности, и SEM (Security event management) -управление событиями безопасности.

КАК ЖЕ ЭТО РАБОТАЕТ SIEM ?

Попробую рассказать простым языком. Для технического обеспечения информационной безопасности есть два принципиально разных подхода:

-Превентивный

-Детективный

Превентивный способ защиты информации, простым языком, направлен на недопущение нарушения состояния информационной безопасности активных объектов, например, блокирование запуска вредоносного файла антивирусом или запрет на входящее несанкционированное подключение межсетевым экраном. Таким образом, угрозы информационной безопасности пресекаются в зародыше — всё направлено на сохранение информации с помощью превентивных средств.

Суть детективного подхода заключается в том, чтобы собрать как можно больше информации о неком событии или действии, при условии, что мы точно не знаем, являются ли эти события или действия легитимными или нет.

Например:

Сотрудник отправляет коллеге по электронной почте зашифрованный файл, а антивирусная система не может проверить его — он не открывается без ввода пароля.

И тут возникает логические вопросы: Что делать в таком случае? Блокировать отправку? А вдруг это важное и срочное сообщение, а файл — годовой финансовый отчет, запароленный для большей надежности.

А если это на самом деле вирус, который сам себя распространяет по сети компании, избегая обнаружения таким вот образом?

Таким образом задача детектирующих средств — собрать о данном событии как можно больше информации и отправить специалисту по информационной безопасности для того, чтобы он принял решение. Возможно, потребуется телефонный звонок отправителю сообщения для получения дополнительной информации или согласование такой отправки у руководителя. Вот собственно один из множества примеров логики SIEM

КАК ЖЕ ВЫГЛЯДИТ РАБОТА СИСТЕМЫ SIEM НА ПРАКТИКЕ?

Чтобы ответить на этот вопрос, представим себе компанию среднего размера, т.е. с числом сотрудников около 1000, каждый из которых работает за ПК, а важная информация и бизнес-системы хранятся и работают на серверах. В такой компании общее число типов технических систем защиты, как превентивных, так и детектирующих, легко может перевалить за десяток. Давайте перечислим распространенные типы средств защиты информации:

1. Антивирусы, предотвращают выполнение вредоносного кода и деятельность вредоносного программного обеспечения на конечных точках (рабочих станциях и серверах), в локальном и веб-трафике, в электронной почте.

2.Средства антиэксплойт защиты, позволяют обнаруживать и предотвращать вредоносное воздействие эксплойтов, т.е. программ или набора команд, использующих уязвимости установленного прикладного или системного программного обеспечения.

3. Системы контроля и управления учетными записями, осуществляют централизованное управление учетными записями пользователей и администраторов ИТ-систем.

4. Средства предотвращения утечек данных, предназначены для защиты от несанкционированной передачи ценной информации в нарушение установленных в компании правил — например, копирование рабочей информации на флешку или отправка на личную почту.

5. Межсетевые экраны, контролируют входящий и исходящий сетевой трафик и в локальной сети, и в интернет. Цель контроля — разрешать нужный трафик легитимным приложениям и запрещать потенциально опасным.

6. Системы обнаружения и/или предотвращения сетевых вторжений, предназначены для анализа сетевого трафика и поиска в нем признаков того, что устройство пытаются атаковать через сеть с применением эксплойтов. Как следует из названия, системы обнаружения вторжений только оповещают о возможной атаке, а системы предотвращения вторжений автоматически блокируют подозрительный трафик.

7. Средства изолированного выполнения программ (Песочницы), позволяют запускать подозрительный файл в изолированной виртуальной среде, которая специально предназначена для поиска аномалий или потенциально вредоносного поведения исследуемого файла.

8.Сканеры уязвимостей, предназначены для проведения анализа уязвимостей различных ИТ-систем путем получения данных об используемых версиях ПО и сравнением данной информации с каталогами известных уязвимостей, применимых к данным версиям.

9.Системы ресурсов-приманок для злоумышленников (англ. honeypots и honeynets) представляют собой заранее созданные «муляжи» информационных систем, похожих на реальные системы компании, но не содержащих никаких ценных данных. Атакующие, попав в такую ловушку, попробуют применить свой инструментарий для проведения атаки, а в этот момент их действия будут тщательно журналироваться и затем изучаться специалистами по защите информации.

10. Средства управления портативными устройствами (англ. MDM – Mobile Device Management) представляют собой программы для контроля и защиты портативных устройств сотрудников организации. Установив такое средство на своё устройство, сотрудник может получить контролируемый и безопасный удаленный доступ к ИТ-ресурсам организации, например, подключив себе на смартфон рабочую почту.

Но, однако же, вернемся к системам SIEM. После того, как мы увидели, какими многообразными бывают системы защиты давайте подумаем, как можно получить данные со всех таких систем, обработать их и сделать пригодными для того, чтобы они помогли специалисту по Информ. Безопасности расследовать инцидент информационной безопасности.

Первая задача SIEM — получить данные от источника. Это может быть как «активный» источник, который сам умеет передавать данные в SIEM и ему достаточно указать сетевой адрес приемника, так и «пассивный», к которому SIEM-система должна обратиться сама. Получив от источника данные, SIEM-система преобразует их в единообразный, пригодный для дальнейшего использования формат — это называется нормализацией.

Далее SIEM-система выполняет таксономию, классифицирует уже нормализованные сообщения в зависимости от их содержания: какое событие говорит об успешной сетевой коммуникации, какое — о входе пользователя на ПК, а какое — о срабатывании антивируса. Таким образом, мы получаем уже не просто набор записей, а последовательность событий с определенным смыслом и временем наступления. Значит, что мы уже можем понять, в какой последовательности шли события и какая может быть связь между ними.

Далее включается основной механизм SIEM-систем: корреляция. Корреляция в SIEM — это соотнесение между собой событий, удовлетворяющих тем или иным условиям (правилам корреляции). Пример правила корреляции: если на двух и более ПК в течение 5-ти минут сработал антивирус, то это может свидетельствовать о вирусной атаке на компанию. Более сложное правило: если в течение 24 часов были зафиксированы чьи-то попытки удаленно зайти на сервер, которые в конце концов увенчались успехом, а затем с этого сервера началось копирование данных на внешний файлообменник, то это может свидетельствовать о том, что злоумышленники подобрали пароль к учетной записи, зашли внутрь сервера и крадут важные данные. По итогам срабатывания правил корреляции в SIEM-системе формируется инцидент информационной безопасности. При этом специалист по ИБ при работе с SIEM должен иметь возможность быстрого поиска по хранящимся в SIEM-системе предыдущим инцидентам и событиям на случай, если ему потребуется узнать какие-либо дополнительные технические подробности для расследования атаки.

Таким образом, основные задачи SIEM-систем таковы:

-Получение журналов с разнообразных средств защиты

-Нормализация полученных данных

-Таксономия нормализованных данных

-Корреляция классифицированных событий

-Создание инцидента, предоставление инструментов для проведения расследования

-Хранение информации о событиях и инцидентах в течение длительного времени

-Быстрый поиск по хранящимся в SIEM данным

Подводя итог, можно сказать, что системы SIEM необходимы компаниям для работы с большим потоком разнородных данных от различных источников в целях выявления потенциальных инцидентов информационной безопасности и своевременного реагирования на них. Польза от внедрения и применения SIEM-системы заключается в том, что она значительно ускоряет процесс обработки инцидентов ИБ и получения требуемой информации о событиях ИБ: аналитику не нужно подключаться к каждому средству защиты информации, он видит все данные в едином, консолидированном виде в одном удобном интерфейсе.

Источник

Источник

2020 год был одним из худших для кибербезопасности. В свете пандемии и катастрофических экономических потрясений, забота о сохранении нашей личной конфиденциальности и безопасности в Интернете ушли далеко от наших приоритетов.

Исследователи за 2020 год зафиксировали огромный всплеск фишинговых атак на банковский сектор. Медицинские компании с началом разработки вакцины от «тот кого нельзя называть» попали под прицел хакерских группировок.

Что касается утечки данных, то в 2020 году было взломано более 737 миллионов файлов. Самая большая утечка произошла в косметической компании Estee Lauder, 440 миллионов записей «утекли» в руки к хакерам.

Компания AV-test, каталогизирующая новые виды вредоносных программ, зафиксировала стремительный рост новых типов обнаруживаемых вредоносных программ. Резкое увеличение количества атак с использованием криптоджекинга, программ-вымогателей и фишинговых атак выросло на 252% по сравнению с прошлым годом.

Самые «громкие» взломы :

Estee Lauder

Одной из самых серьезных утечек данных за год можно назвать компанию Estee Lauder. Утечка данных обнаруженная в феврале 2020 года. У Транснациональной косметической компании «увели» 440 миллионов записей. Из 440 целевых файлов неопределенное количество включали адреса электронной почты клиентов хранящегося виде простого текста.

Все похищенные данные преступники выгрузили на открытых ресурсах интернета. Не защищенная паролем база данных была обнаружена в конце января исследователем безопасности Джереми Фаулером . Неясно, каким методом хакеры взяли информацию и как долго она была доступна. Как пишет в своем отчете исследователь Джереми Фаулер в обнаруженной базе данных находилось:

- 440 336 852 записей.

- «Пользовательские» электронные письма в виде обычного текста (включая внутренние адреса электронной почты из домена @ estee.com)

- Были открыты журналы производства, аудита, ошибок, CMS и промежуточного ПО.

- Ссылки на отчеты и другие внутренние документы.

- IP-адреса, порты, пути и информация о хранилище, которые киберпреступники могут использовать для более глубокого доступа в сеть.

Расследование проникновения до сих пор продолжается.

Wishbone

В приложении Wishbone в мае 2020 года произошла утечка 40 миллионов пользовательских записей . Хакерская группа ShinyHunters выставила данные на продажу на RaidForum , популярном рынке продаже украденных данных, за 0,85 биткойна (~ 8000 долларов США на тот момент)

Это второй крупный инцидент для Wishbone за последние три года. В 2017 году хакеры скрылись с 2,2 миллиона адресов электронной почты и почти 300 000 номеров сотовых телефонов.

Многие из них принадлежали женщинам. Документы, просочившиеся примерно в то же время, показали, что более 70% пользователей Wishbone были моложе 18 лет.

Новое нарушение периметра информационной безопасности затрагивает почти в 20 раз больше пользователей и включает гораздо больше данных по каждому из них.

Каталин Чимпану из ZDNet сообщает, что взломанные данные включают имена пользователей, адреса электронной почты, номера телефонов и информацию о местоположении. Он также включает хешированные пароли.

Хотя тот факт, что пароли не хранились в виде обычного текста, является хорошей новостью, Чимпану говорит, что те данные, которые были иследованы, были хешированы с использованием алгоритма MD5. MD 5 был объявлен экспертами «криптографически взломанным» еще в 2010 году.

Хотя Wishbone в последние годы не раскрывает общее количество пользователей, приложение уже много лет входит в топ-50 самых популярных приложений для социальных сетей в iOS App Store, достигнув пика в 2018 году, когда оно вошло в десятку лучших в категории. В магазине Google Play у приложения от 5 до 10 миллионов загрузок.

Пакистанские сотовые операторы

У Пакистанских сотовых операторов произошло серьезное нарушение, связанное с двумя отдельными инцидентами . В апреле 2020 года хакеры выставили на продажу 55 миллионов учетных записей пользователей.

Месяц спустя, в мае 2020 года, хакеры сообщили об утечке еще 44 миллионов учетных записей пользователей.

Эта крупная утечка данных до сих пор окутана тайной. Последние обнаруженные файлы были внесены в базу данных в 2013 году, что побудило некоторых поверить в то, что взлом произошел около 7 лет назад.

В целом «уведенные» данные содержали:

-Полные имена клиентов

-Домашние адреса (город, регион, улица)

-Национальные идентификационные номера (CNIC)

-Номера мобильных телефонов

-Номера стационарных телефонов

-Даты подписки

Подавляющее большинство записей в просочившихся файлах содержали номера мобильных телефонов, принадлежащих пакистанскому оператору мобильной связи Jazz (ранее Mobilink)

На настоящий момент инцидент расследуется в Пакистане ,Управлением связи Пакистана (PTA) и Федеральным агентством расследований (FIA) занимаются этим вопросом с прошлого месяца, когда хакер впервые попытался продать всю 115-миллионную партию на хакерском форуме.

Nintendo NNID

В середине мая японская игровая компания Nintendo пострадала от взлома, в результате которого было скомпрометировано 300 000 аккаунтов.

Хакером удалось получить доступ к платежной информации которая затем была использована для совершения незаконных покупок.

Устаревший метод входа в систему Nintendo, NNID (Nintendo Network ID), был скомпрометирован, хотя многие подробности публично не раскрывались. Представитель Nintendo заявил, что атака, по всей видимости, была с помощью «точной копии страницы входа в систему с идентификатором Nintendo Network». Изначально компания заявила, что пострадали только 160 000 пользователей, но к июню оказалось, что эти цифры приблизились к 300 000 .

Nintendo удалила опцию входа в систему NNID после взлома, чтобы предотвратить дальнейшую опасность для пользователей. | Источник: Hacked / WSWorrall

NNID сервис использовался для 3DS и Wii U и позволял пользователям обеих систем загружать контент и связывать свои системы с общим платежным кошельком. Для Nintendo Switch использовалась новая система учетных записей, но владельцы 3DS и Wii U могли связать свои учетные записи.

Некоторые пользователи потеряли до 300 долларов из-за взлома, и пользователи Twitter сообщали о подобных инцидентах.

В ответ на утечку данных Nintendo запретила владельцам Switch входить в свою учетную запись Nintendo через NNID. 300 000 учетных записей, которые пострадали от попыток взлома, получат сброс пароля по электронной почте от компании; Кроме того, Nintendo призывает всех владельцев Switch включить двухэтапную аутентификацию для защиты своих учетных записей.

Pfizer/BioNTech и Европейское медицинское агентство (EMA)

В Декабре 2020 года были обнаружены две сложные атаки группы Lazarus на Европейское медицинское агентство. В результате атаки были «украдены» данные о исследованиях вакцины Pfizer/BioNTech. Компания BioNTech разработчик вакцины Pfizer в своем письме на официальном сайте говорит что были скомпрометированы нормативные документы вакцины.

Во время исследования взлома было обнаружено что Два Windows-сервера государственного учреждения были скомпрометированы 27 октября с помощью сложной вредоносной программы, известной «Лаборатории Касперского» как wAgent.

Сама же атака на данные производителя вакцины, по данным «Лаборатории Касперского», стартовала 25 сентября. Она проводилась с применением зловреда Bookcode.

Расследование до сих пор продолжается и точной информации о количестве и качестве украденной информации не разглашаются.

Однако удалось детально проанализировать инфраструктуру группировки Lazarus, вплоть до выявления IP-адресов и установления района в Пхеньяне (Северная Корея), откуда, вероятнее всего, и осуществлялись атаки.

В отчете также отмечается, что с прошлого года участники Lazarus принимают активные меры к тому, чтобы замаскироваться под «русских хакеров» – в частности, включая в коды комментарии на русском языке. Однако допускаемые при этом ошибки сводят на нет эффект такой маскировки.

Garmin

В Июле 2020 шифровальщик вымогатель WastedLocker поразил гиганта в области навигации и фитнеса Garmin, в результате которой были отключены многочисленные службы компании. Облачная платформа Garmin Connect, которая синхронизирует данные об активности пользователей, перестала работать, как и некоторые части сайта Garmin.com.

Приложения flyGarmin и Garmin Pilot вышли из строя более чем на четыре дня, что мешало работе некоторых аппаратных средств Garmin, используемых в самолетах, в том числе механизмов планирования полетов и возможности обновления обязательных авиационных баз данных FAA. Атака в том числе затронула морское приложение Garmin ActiveCaptain

Спутниковая технология inReach (активация услуг и выставление счетов) и Garmin Explore , используемые для обмена данными, GPS-навигации, логистики и отслеживания через спутниковую сеть Iridium так же были затронуты шифровальщиком .

Издание Bleeping Computer, ссылаясь на собственные источники, уверенно заявляет, что за атакой стоят лично операторы WastedLocker. К примеру, в распоряжении журналистов оказался скриншот, на котором виден список зашифрованных файлов на пострадавшей машине. К именам файлов было добавлено расширение .garminwasted.

По информации Bleeping Computer, атака на Garmin началась с Тайваньского подразделения компании.

По предположению экспертов, первоначальный доступ в сетевую инфраструктуру организации осуществлялся с использованием фреймворка SocGholish.

Для последующей компрометации использовался Cobalt Strike — популярный инструмент для проведения тестов на проникновение. После чего был «подсажен» WastedLocker

Злоумышленники потребовали 10 000 000 долларов выкупа за расшифровку файлов.

Несмотря на огромные риски со всех сторон, Garmin решила пойти на поводу у вымогателей. По данным Sky News, представители американской компании все-таки нашли способ расшифровать данные на своих компьютерах — они получили ключ дешифрования от хакеров. Правда, выполнить условия вымогателей напрямую они побоялись.

Осведомленные источники издания сообщили, что изначально Garmin попыталась заплатить выкуп через другую киберзащитную фирму, которая специализируется на подобных вопросах. Но представители фирмы ответили, что не ведут переговоров о выплате в случае с вирусом WastedLocker из-за риска нарушения американских законов.

После этого руководство Garmin было вынуждено обратиться к другой компании под названием Arete IR. Представители последней согласились, потому что не считают доказанной связь между российскими хакерами из санкционного списка и вредоносом WastedLocker.

Ни Garmin, ни Arete IR в разговоре с журналистами не опровергли информацию о том, что деньги действительно были переведены на счета хакеров, зато все сервисы Garmin вновь заработали после почти недельного перерыва. Для многих стало очевидно, что компания действительно пошла на столь рискованный шаг.

Авторство хакерской атаки приписывают группировке Evil Corp, основателем которой, пишет Daily Mail, может быть россиянин Максим Якубец, Так же группировке приписывают связь с российскими спецслужбами .

На момент обнаружения взлома, Правительство США за информацию о нахождении основателя группировки назначила награду в размере $5 млн. По состоянию на 28 июля 2020 г. это был абсолютный рекорд – большую сумму за поимку того или иного преступника власти США не предлагали ни разу.

Источник

В продолжении новости:

https://kopelyan.kz/index.php/2020/12/19/cyberpunk2077/

Вирусы-шифровальщики атаковали компьютеры Казахстанцев об этом сообщает Государственная техническая служба Казахстана.

Службой реагирования на компьютерные инциденты KZ-CERT в IV квартале 2020 года было зафиксировано увеличение количества вредоносного программного обеспечения (ВПО) на компьютерах в государственных и частных организациях республики. В основном ВПО распространяется посредством почтовой рассылки, а после заражения компьютера жертвы оно копирует или переименовывает себя.

Специалисты KZ-CERT предупреждают, что данного рода инциденты ИБ приводят к полной остановке всех текущих бизнес-процессов организаций, непосредственно связанных с работой корпоративных информационных ресурсов. Не исключается, что в некоторых случаях могла произойти утечка конфиденциальной коммерческой и финансовой информации, касающейся операционной и финансовой деятельности организации. Данное обстоятельство вызвано халатным отношением организации к вопросам информационной безопасности по обеспечению сохранности и целостности данных, хранящихся в их информационных системах.

Так, в ходе детального анализа одного из инцидентов ИБ специалистами KZ-CERT установлено, что рабочие станции ряда сотрудников организации были зашифрованы вирусом-шифровальщиком VoidCrypt. Анализ показал, что вредоносное ПО могло попасть во внутреннюю сеть через загруженное письмо с вредоносным вложением, которое было отправлено на один из электронных адресов сотрудников. В дальнейшем вирус-шифровальщик зашифровал критически важные данные на серверах и компьютерах сотрудников, а обнаруженная в компьютере учетная запись с правами администратора позволила злоумышленникам выполнять различные манипуляции.

Ряд целевых атак злоумышленников осуществлялся на казахстанский сегмент Интернета из IP-адресов компьютеров из ближнего и дальнего зарубежья. Специалистами KZ-CERT, в рамках международного сотрудничества, направлены уведомления в адрес зарубежных CERT с указанием источников атак и просьбой осуществить проверку на наличие аномалий на своей стороне.

В период карантина, связанного с COVID-19, большинство сотрудников организаций было переведено на удаленный режим работы. Такая форма занятости наиболее уязвима с точки зрения информационной безопасности. В этой связи эксперты KZ-CERT настоятельно рекомендуют организациям уделять пристальное внимание правилам соблюдения информационной безопасности в корпоративных информационных сетях:

1. Если вы получили письмо от неизвестного отправителя, и оно содержит вложение или ссылку на подозрительные интернет-ресурсы, то такие письма следует игнорировать;

2. Настоятельно рекомендуем не открывать вложенные файлы в подозрительных письмах от неизвестных отправителей;

3. Загружайте необходимое программное обеспечение только с официальных интернет-ресурсов. Другие источники ссылок, такие как неофициальные веб-страницы, могут быть использованы для распространения вредоносного ПО;

4. При активации лицензионных программ на компьютере запрещено использовать сторонние программы, которые могут привести к заражению компьютера вредоносным ПО, а также лишить вас регулярных обновлений, выпускаемых разработчиком ПО;

5. Очень важно регулярно проверять операционную систему компьютера на наличие угроз информационной безопасности с помощью надежного антивирусного или антишпионского программного обеспечения с последующим его обновлением;

6. Если вы считаете, что ваш компьютер уже заражен, рекомендуем запустить сканирование с помощью антивирусного сканера или антивирусного ПО для автоматического устранения вредоносного программного обеспечения.

https://kopelyan.kz/index.php/2020/12/25/virus-malware-voidc...