Согласно имеющимся данным, специалисты AnyDesk обнаружили взлом после выявления подозрительной активности во внутренних системах компании. Проведя аудит безопасности, они определили, что внутренние системы были скомпрометированы неизвестными. Для расследования инцидента были привлечены специалисты компании CrowdStrike, работающей в сфере информационной безопасности.

В компании подтвердили, что хакерская атака не связана с вымогательским программным обеспечением. AnyDesk не предоставила подробную информацию об инциденте, упомянув лишь о том, что были взломаны внутренние серверы. Компания уже отозвала все связанные с безопасностью сертификаты, а также восстановила затронутые инцидентом системы.

Клиентов компании заверили в том, что использовать AnyDesk безопасно, и нет доказательств того, что инцидент затронул конечные пользовательские устройства. «Мы можем подтвердить, что ситуация находится под контролем, и использовать AnyDesk безопасно. Пожалуйста, убедитесь в том, что вы используете последнюю версию приложения с новым сертификатом подписи кода», — говорится в сообщении компании.

Хотя AnyDesk не уточнила подробности касательно инцидента, источник сообщил, что хакерам удалось похитить исходный код ПО и сертификаты для подписи кода. В заявлении компании отмечается, что злоумышленникам не удалось украсть токены аутентификации, но из соображений безопасности компания сбросила все пароли к своему веб-порталу, предложив пользователям их смену. В дополнение к этому AnyDesk уже начала заменять сертификаты подписи кода в своих продуктах.

Инцидент подчёркивает, что на фоне массового развёртывания интернета вещей ландшафт угроз постоянно расширяется. Умные зубные щётки выпускаются уже десять лет — устройства, которые ранее казались безобидными и вынесенными за границы цифровой экосистемы, теперь становятся потенциальными точками входа для киберпреступников. Это может повлечь значительные последствия для личной жизни и безопасности граждан, а также для национальной инфраструктуры и экономической стабильности.

Многие устройства интернета вещей, предупреждают эксперты, небезопасны по своей сути в силу двух основных причин: легкомысленное к ним отношение и отсутствие интерфейса, который помог бы повысить меры защиты — проще говоря, у зубной щётки отсутствуют настройки безопасности, а на холодильник не получится установить антивирус.

Защититься в отдельных случаях помогут элементарные нормы цифровой гигиены. К примеру, не следует заряжать устройства интернета вещей через общедоступные USB-порты — они могут использоваться для взлома; по той же причине следует опасаться общедоступных сетей Wi-Fi. И, возможно, без насущной необходимости можно обойтись без устройств с подключением к интернету. Если смарт-телевизор сегодня становится таким же естественным явлением, как и смартфон, то стиральная машина, утюг и зубная щётка с выходом в Сеть — это, возможно, излишества.

Хакеры повысили ставки, требуя от жертв выкуп в размере $1 млн и более. «Наверное, больше всего меня удивило то, что 75 % общего объёма платежей по программам-вымогателям в 2023 году приходится на выплаты в размере $1 млн и более», — сообщил в своём твите глава отдела анализа угроз Chainalysis Джеки Бёрнс Ковен (Jackie Burns Koven).

Не стала исключением и хакерская группа CL0P, тоже повысившая требования по выплатам, используя баг в MOVEit, популярном сервисе передачи файлов. Благодаря этому багу ей удалось собрать более $100 млн в виде выкупов, что составляет 44,8 % всех выкупов, полученных хакерами-вымогателями в июне, и 39,0 % — в июле.

Также Chainalysis отметила, что сообщество злоумышленников пополнилось новыми игроками, «привлечёнными возможностью получения высоких прибылей и более низкими барьерами для входа». Например, одна группировка продавала доступ к своей разновидности программы-вымогателя Phobos другим, менее опытным хакерам, что позволяло им легко проводить атаки различных компаний. В результате получился «мультипликатор силы, позволяющий штамму выполнять большое количество мелких атак», отметила Chainalysis.

Провайдер решений по кибербезопасности Coveware заявляет, что есть и позитивный момент — всё больше жертв отказываются платить выкуп вымогателям. Но, как показывает отчет Chainalysis, угроза со стороны злоумышленников, использующих программы-вымогатели, сохраняется.

Сторонние эксперты по кибербезопасности добавили, что есть ещё одна уязвимость VPN-сервиса Ivanti — она зарегистрирована под номером CVE-2024-21893. Разработчик исправил все ошибки, но последняя уязвимость продолжает массово использоваться различными злоумышленниками, и число связанных с ней инцидентов пока будет расти, поскольку в общем доступе есть код эксплойта, а обновления установлены не у всех клиентов. На минувшей неделе некоммерческая организация Shadowserver Foundation зафиксировала 170 IP-адресов, с которых производились попытки эксплуатировать данную уязвимость, а накануне их число превысило 630. При этом если на прошлой неделе отслеживались 22 500 подключённых к интернету устройств Ivanti Connect Secure, то к настоящему моменту их осталось 20 800, и неизвестно, сколько из них уязвимы для взлома.

В Ivanti не стали комментировать сообщения, что уязвимость подвергается массовой эксплуатации, но и выводов Shadowserver компания тоже не оспорила. Примечательно, что Ivanti до сих пор не развернула обновление для всех клиентов. За несколько дней до этого американское Агентство по кибербезопасности и защите инфраструктуры (CISA) предписало всем федеральным ведомствам отключить все клиентские системы Ivanti в двухдневный срок, ссылаясь на «серьёзную угрозу», связанную с эксплуатируемой уязвимостью.

На втором месте расположился сегмент электронной коммерции с долей 24,95%. В топ-5 также вошли сегменты образовательных технологий, онлайн-гейминга и ИТ и телеком: финансовые технологии – 36,88%; электронная коммерция – 24,95%; образовательные технологии – 9,86%; онлайн-гейминг – 7,34%; ИТ и телеком – 6,01%.

На уровне микросегментов основной целью злоумышленников были банки – 28,31%, которые традиционно подвергались атакам в периоды активного продвижения сезонных банковских продуктов – кредитов и вкладов. В топ-5 также вошли электронные доски объявлений – 15,04%, образовательные платформы – 9,57%, онлайн-магазины – 8% и платежные системы – 7,05%.

«Попадание данных категорий в топ рейтинга самых атакуемых сегментов 2023 г. не удивительно. Развитие электронной коммерции в широком смысле этого слова в последние годы очень велико. Сегодня большинство товаров и услуг можно получить онлайн. Более того, как мы уже не раз говорили, расширение каналов связи, переход на новые протоколы для оптимизации работы удаленных офисов, легкость и низкая стоимость организации DDoS-атак привели к возобновлению тренда на коммерческие атаки – действенный инструмент влияния на бизнес для злоумышленников со всеми вытекающими последствиями», – сказал Дмитрий Ткачев, генеральный директор Qrator Labs.

Статистика распределения атак по географическим источникам в четвертом квартале еще раз акцентирует внимание на тренде, прогрессировавшем в течение всего 2023 г.: злоумышленники научились с успехом обходить блокировки по GeoIP, и существенная часть трафика атак теперь генерируется локальными источниками, максимально близкими к региону жертв.

Общее число заблокированных IP-адресов, по сравнению с третьим кварталом, увеличилось на 32,15%, с 40,15 до 53,06 млн. Это максимальный показатель за весь 2023 г.

Как и раньше, в четвертом квартале лидером Топ-20 стала Россия, где было заблокировано 22,3 млн адресов (42,03% от общего числа). В первую тройку вновь вошли США и Китай с 6,23 (11,76%) и 2,65 (5%) млн блокировок соответственно.

Список основных лидеров также не претерпел существенных перемен. В него по-прежнему входят Сингапур (1,49 млн), Германия (1,44 млн), Индонезия (1,17 млн), Бразилия (1,14 млн) и Индия (1,08 млн).

Самой продолжительной непрерывной атакой по итогам 2023 года стал инцидент третьего квартала – атака на сегмент Аэропортов. Мультивекторная атака (UDP+SYN+TCP флуд) длилась почти три дня (71,58 часа), с 24 по 27 августа.

Вторую строчку по непрерывной продолжительности заняла атака, зафиксированная в первом квартале года на сегмент Банков. Общая продолжительность атаки составила более 42 часов. Замыкает тройку лидеров атака на онлайн-магазины в сегменте Электронной коммерции, которая произошла в 4 квартале и продлилась почти 30 часов.

По итогам года рейтинг продолжительности непрерывных атак по сегментам расположился в следующем порядке: транспорт и логистика: Аэропорты – 71,58 часа; финтех: банки – 42 часа; екомм: Ритейл – 29,98 часа; финтех: ОФД – 22,59 часа; финтех: платежные системы – 21,78 часа; игровые платформы – 20,7 часа; онлайн образование – 20,27 часа; онлайн медиа – 20,05 часа; екомм: Сервисы путешествий – 12,04 часа; ИТ и Телеком: онлайн сервисы – 10,70 часа.

Средняя продолжительность атак по итогам года составила 1,3 часа. В четвертом квартале прошедшего года объем атак на уровне приложений увеличился почти на 19%, однако по-прежнему остается на довольно низком уровне, ниже показателей начала года.

Относительно небольшое количество атак – более 13 тыс. за прошедший квартал, и немногим больше 60 тыс. атак за весь год – не означает, что данный уровень модели OSI остается без внимания злоумышленников. Наоборот, небольшой объем атак компенсируется их качеством. Все атаки хорошо подготовлены и носят узкотаргетированный характер, то есть злоумышленники тщательно выбирают свои жертвы и очень внимательно и скрупулезно готовят атаки.

«2023 г. стал знаковым с точки зрения атак на уровне приложений. Атаки стали более точечными и хорошо подготовленными. И не всегда их единственной целью является только отказ в обслуживании ресурсов жертвы. Например, злоумышленники с помощью L7-атак могут заставлять ресурсы жертвы горизонтально масштабироваться. Часто такие атаки организуются на компании, арендующие серверы в облаке. При проведении атаки по формальным признакам ресурс жертвы не деградирует, поскольку при возрастании объемов трафика сервер начинает моментально масштабироваться и не допускает отказа в обслуживании. Однако по итогам периода заказчику это может грозить существенными финансовыми убытками, так как плата за утилизацию ресурсов облака может увеличиться в десятки раз», – отметил Дмитрий Ткачев.

Четвертый квартал стал пиковым периодом 2023 г. по уровню бот-активности. Его показатели почти в 2 раза превысили количество атак ботов в первом квартале, увеличившись с 3027064142 до 5028223169 запросов. В сравнении с третьим кварталом, число атак ботов также существенно возросло – на 32%. Самым активным месяцем 4 квартала стал декабрь, на который пришлось 1,77 млрд. заблокированных запросов ботов.

Весь 2023 г. доля онлайн-ритейла в общем количестве бот-активности возрастала, увеличившись с 16% до почти 30%. Это связано в первую очередь с ростом интереса ботоводов к данной сфере и повышением общего фона бот-активности. Кроме того, ИИ-боты активнее всего перебирают именно сферу ритейла, поскольку больше всего интересного контента для них сосредоточено именно там.

Помимо роста общего объема активности, онлайн-ритейл со второго по четвертый кварталы бьет рекорды и по самым крупным инцидентам, связанным со всплесками бот-атак. В этом сегменте произошло два наиболее заметных инцидента 4 квартала. Крупнейшая атака ботов с 30527990 запросов была зафиксирована 13 декабря, а наиболее быстрая атака случилась 3 ноября в наиболее активный период распродаж. Скорость атаки составила 51200 запросов ботов в пике (RPS), что в 4 раза больше самой быстрой атаки второго квартала, также произошедшей в сегменте электронной коммерции.

В сравнении, в сфере беттинга подобных всплесков нет: там нагрузка более ровная. Однако этот сегмент продолжает удерживать первые позиции, достигнув доли в 30,9% всех бот-запросов в 4 квартале. Сегмент фармацевтики несколько стабилизировался после скачка в третьем квартале: бот-активность в нем снизилась на 25%.

Вирус GoldPickaxe.iOS может использовать социальную инженерию для получения доступа к вашим банковским счетам, что может плохо для вас кончиться. Было обнаружено, что новый вирус распространен в таких регионах, как Вьетнам и Таиланд. Ожидается также, что в будущем он начнет распространяться из США в другие регионы. Исследователи Group-IB продолжают расследование вируса GoldPickaxe и заявляют, что отправили отчеты соответствующим брендам.

Если у вас операционная система Android или iOS, мы рекомендуем не устанавливать приложения/файлы и т.п. из неизвестных источников. Новые вирусы, появившиеся в последние дни, могут привести к краже вашей информации. Вам следует принять меры для защиты вашего смартфона.

План Google включает использование искусственного интеллекта для определения того, когда и где могут произойти кибератаки. Они обучают системы искусственного интеллекта распознавать признаки киберугроз, просматривая данные со всего мира. Это может помочь остановить хакеров до того, как они нанесут какой-либо ущерб.

Одна интересная вещь, которую делает Google, — это поделиться созданным ими инструментом под названием Magika. Он предназначен для обнаружения вредоносных программ , то есть программного обеспечения, предназначенного для нанесения вреда системам или взлома их. Magika действительно хорошо умеет определять, какие файлы безопасны, а какие нет, что упрощает обнаружение вредоносного программного обеспечения до того, как оно вызовет проблемы.

Google также считает, что борьба с киберугрозами — это командная работа. Они призывают компании и правительства работать вместе, обмениваться информацией и использовать искусственный интеллект, чтобы сделать Интернет безопаснее для всех. Короче говоря, Google использует ИИ не только для реагирования на киберугрозы, но и для их предотвращения. Это большой шаг на пути к тому, чтобы сделать Интернет более безопасным, и он показывает, как ИИ можно использовать во благо.

В распоряжении группировки остались резервные серверы, на которые не повлияли действия правоохранительных органов, сообщили в LockBit — ФБР атаковало только ресурсы на языке PHP, а резервные серверы без PHP якобы продолжили работать в штатном режиме. Для взлома хакерских ресурсов была использована уязвимость CVE-2023-3824 в языке PHP, уточнили представители группировки.



Вирус LockBit был обнаружен в 2020 году — он начал распространяться с русскоязычных форумов киберпреступников, что дало специалистам по кибербезопасности причины считать группировку российской. На своём ныне несуществующем сайте в даркнете группировка, однако, заявила, что она «располагается в Нидерландах, совершенно аполитична и заинтересована только в деньгах». В начале прошлого года вирус LockBit атаковал ресурсы Британской Королевской почты; в ноябре жертвой хакеров стала компания Boeing, чьи внутренние данные были выложены в открытый доступ.

По сведениям группы исследователей в области кибербезопасности vx-underground, при попытке входа в панель управления вирусом аффилированные с LockBit хакерские группировки увидели сообщение, что правительственным агентам удалось заполучить исходный код, подробности о жертвах атак, суммы полученных в результате незаконной деятельности средств, журналы чатов и многое другое. Дополнительную информацию правоохранители обещали предоставить на сайте LockBit уже сегодня, 20 февраля, в 11:30 по Гринвичу (14:30 мск).

Lockbit является доминирующим оператором вирусов-вымогателей в мире, сообщил вице-президент компании Secureworks (входит в Dell Technologies) Дон Смит (Don Smith) — группировка заняла 25 % этого рынка. Их ближайшим конкурентом была Blackcat с долей около 8,5 %.

Исследователи считают, что постоянное шифрование абсолютно всех данных — это перерасход процессорной мощности. Предложенный ими метод детектирования щупа, напротив, нагружает систему шифрованием только во время начала вмешательства злоумышленника.

Также данные можно похищать из системы с помощью регистрации электромагнитного излучения или по пульсациям потребления. Для этого физический контакт с атакуемой системой не нужен. Тогда для защиты данных можно использовать другую схему, предложенную исследователями Техасского университета в Остине. Поскольку по электромагнитному излучению можно получить данные о ключе AES, исследователи предложили размыть сигнал в процессе генерации ключа. В частности, они разбили алгоритм генерации на четыре вычислительных компонента, и запустили их параллельно с небольшим сдвигом друг относительно друга. Это сделало сигнал нечитаемым.

Для ещё более сильного запутывания злоумышленников на атакуемой системе запускались сигналы-обманки, имитирующие процессы генерации ключа. Всё вместе резко повысило защиту от атаки по побочным каналам, к которым также относится вид атак с чтением электромагнитных возмущений от вычислительных платформ. Это утверждение было проверено на практике. Попытки взломать ключ с помощью высокочувствительного электромагнитного сканера закончились ничем после 40 млн подходов, тогда как обычно на взлом требовалось около 500 попыток.

Наконец, было предложено решение для физического уничтожения электронных схем при попытке считать с них информацию тем или иным способом. Этим отметилась группа Вермонтского университета с привлечением технологии Marvell. Предложение группы опирается на два момента. Во-первых, разработан механизм определения компрометации электронной схемы. Во-вторых, предложены механизмы по физическому уничтожению электронных схем. Всё вместе обещает привести к самоуничтожению чипов при обнаружении вмешательства или попытки считать критически важные данные с электронных компонентов.

Для определения вмешательства исследователи воспользовались методологией слепков PUF или физически неклонируемой функции. Это своего рода дактилоскопический отпечаток чипа, который формируется на основе крошечных отклонений в характеристиках транзисторов. Все они по определению не могут быть идентичными с вполне детектируемыми отличиями в токовых характеристиках, по коэффициенту усиления и так далее. Если чип скомпрометирован, его характеристики, выраженные в PUF, также претерпят изменения и это станет сигналом для самоуничтожения защищённого блока чипа или всего чипа целиком.

Уничтожить чип исследователи предлагают двумя способами. Например, можно подать больше тока на самые длинные проводники защищаемого узла. Тогда в наиболее узких местах нагруженного участка произойдёт электромиграция — автоматическое повышение там уровня тока приведёт к физическому переносу атомов проводника и к образованию пустот или разомкнутых участков. Другой вариант предусматривает банальное повышение напряжения транзисторов в чипе с 1 В, например, до 2,5 В. Это вызовет пробой и выход электронных приборов из строя.

Авторы исследования испытали новую модель атаки в изолированных средах — она оказалась возможной из-за мультимодального характера больших языковых моделей, то есть их способности работать с текстом, изображениями и видео. Атакующие генеративный ИИ черви ещё не были обнаружены на практике, но исследователи предупреждают, что эту угрозу следует принимать в расчёт и одиночным разработчикам, и стартапам, и технологическим компаниям.

Большинство систем генеративного ИИ работает, получая текстовые команды — просьбы ответить на вопрос или создать изображение. Эти команды можно использовать против системы, заставив её проигнорировать меры безопасности и выдать недопустимый контент; ей можно дать неявные инструкции, например, предложив ей адрес вредоносной страницы со скрытым текстом таких команд. Принцип работы атакующего генеративный ИИ червя состоит в механизме «состязательной самовоспроизводящейся команды» (adversarial self-replicating prompt). Такая команда заставляет модель генеративного ИИ выдавать в ответе ещё одну команду. Это во многом напоминает традиционные схемы атак вроде SQL-инъекций и переполнения буфера.

Чтобы продемонстрировать работу червя, исследователи создали службу электронной почты, способную получать и отправлять сообщения с помощью генеративного ИИ — для этого она подключается к ChatGPT, Gemini и открытой модели LlaVA. Затем они применили два способа эксплуатации уязвимости ИИ: при помощи самовоспроизводящейся текстовой инструкции и аналогичной инструкции, встроенной в файл изображения.

Осуществляя тестовую атаку, исследователи подготовили электронное письмо с вредоносной командой на генерацию ответа с использованием поиска в интернете, при котором большая языковая модель обращается за дополнительной информацией в Сеть. Получив такое письмо, служба для генерации ответа направляет запрос в GPT-4 или Gemini Pro — этот запрос производит «взлом генеративного ИИ» и осуществляет кражу данных из электронных писем. Ответ ИИ, содержащий конфиденциальные данные пользователя, далее сам при ответе на электронное письмо заражает новые хосты и сохраняется в базе нового клиента. Во втором примере такой командой стал файл изображения: заложив в файл картинки команду на самовоспроизводство, можно одной отправкой электронного письма спровоцировать дальнейшую массовую рассылку изображения любого содержания, включая оскорбительные или экстремистские материалы. Исследователи утверждают, что таким способом можно извлекать данные электронных писем, в том числе номера телефонов, кредитных карт, номеров социального страхования — любую конфиденциальную информацию.

Авторы исследования отмечают, что эти методы атак оказались возможными из-за ошибок при проектировании архитектуры в экосистеме ИИ. Они поделились своим открытием с Google и OpenAI — в OpenAI подтвердили наличие угрозы, но добавили, что компания работает над повышением устойчивости своих систем, а в Google от комментариев отказались. Чтобы защититься от подобных атак, эксперты предлагают не только повысить надёжность систем, но и изменить модель их эксплуатации: пользователям не следует предоставлять ИИ привилегий, таких как возможность отправки электронной почты от их имени — все действия система должна согласовывать с человеком. Кроме того, многократное повторение одной и той же команды ИИ в системе вызовет подозрение у защитных механизмов. Тем не менее, исследователи считают, что атакующие генеративный ИИ черви начнут работать в ближайшие два или три года.

Microsoft предупредила, что группа Nobelium теперь пытается использовать «найденные ею секреты разных типов», чтобы попытаться взломать её другое программное обеспечение и, потенциально, её клиентов. «Некоторыми из этих секретов клиенты и Microsoft обменивались по электронной почте, и по мере того, как мы обнаруживаем их в похищенной у нас электронной переписке, мы обращаемся к этим клиентам, чтобы помочь им принять меры по смягчению последствий (кражи)», — сообщила Microsoft.

Компания отметила, что продолжает активно заниматься расследованием деятельности Midnight Blizzard, пообещав делиться результатами с общественностью и клиентами.

Respawn подтвердила факт взлома и сообщила о выпуске для Apex Legends первого из нескольких «многослойных обновлений», направленных на повышение безопасности игроков. Подробностями патчей разработчики не поделились.



Тем временем в интервью TechCrunch хакер Destroyer2009 взял ответственность за взлом на себя и заявил, что сделал это «веселья ради», и чтобы вынудить разработчиков залатать использованную им уязвимость.

Что ещё сказал Destroyer2009:

подробностями взлома хакер делиться не будет, пока Respawn всё не исправит;
у разработчиков есть возможность устранить уязвимость без предупреждения от Destroyer2009;
хакер не предупредил разработчиков об уязвимости, потому что ни Respawn, ни Electronic Arts не предлагают программу финансовых вознаграждений за обнаружение ошибок;
уязвимость не связана с серверами, компьютеры затронутых игроков хакер напрямую не взламывал;
простым игрокам насчёт уязвимости волноваться не стоит — Destroyer2009 сомневается, что ещё кто-то найдёт способ использовать эту лазейку;
целями взлома стали Genburten и ImperialHal, потому что они «хорошие ребята» — «бесплатное внимание и просмотры для них».

Из-за взлома финал ALGS в Северной Америке отложили на неопределённый срок, однако плей-оффы первого сплита на данном этапе переносить не собираются — они пройдут со 2 по 5 мая.