Лаборатория Касперского: Основной удар Фантомаса пришелся на Россию

     Этой осенью техномаги из «Лаборатории Касперского» зафиксировали на территории России и в ряде других стран массовую рассылку коварных программ-шифровальщиков. На них пользователя вела «официальная ссылка» письме, отправленном якобы от имени Высшего Арбитражного Суда Российской Федерации. Зловред, известный как Cryakl, делает нечитаемыми файлы практически любые файлы, в том числе образы дисков и резервные копии, хранящиеся непосредственно на компьютере. При этом восстановить целостность данных невозможно, если пользователь заранее не озаботился вопросом продуманного хранения бэкапа.

     Гоблин-шифровальщик Cryakl очень хитёр. Онподвергает изменениям не весь файл целиком, а лишь отдельные фрагменты. Отличительной особенностью новейшей версии этого зловреда является то, что он непременно шифрует 255 байт в начале, а также два других блока, расположенных в случайных местах. Для каждой новой операции вредоносная программа генерирует уникальный ключ, копия которого в обязательном порядке отправляется на сервер злоумышленников.

     После окончания процедуры шифрования Cryakl выводит на рабочий стол пользователя объявление от лица всемирно известного злодея Фантомаса. Из текста пострадавший может узнать, что доступ к его файлам ограничен и у него есть всего 48 часов на то, чтобы отправить Фантомасу деньги за расшифровку. Любопытно, что в этом угрожающем сообщении злоумышленники не указывают конкретную сумму, которую должен заплатить пользователь. Однако преступники открыто заявляют, что намерения у них самые серьезные: если пользователь не отреагирует в течение 2 суток, то ключ, при помощи которого был сгенерирован шифр, будет безвозвратно уничтожен — а значит о файлах, попавших в руки к Фантомасу, можно будет забыть навсегда.

      Основной удар Фантомаса и Cryakl пришелся на Россию: «Лаборатория Касперского» зафиксировала здесь почти 2,5 тысячи атак. Но в зоне особого риска также оказались Германия, Казахстан, Украина и Белоруссия.

Новые ловушки для Android

     Специалист по разоблачению интернет гадостей и интриг Check Point Software Technologies опубликовала новое исследование «Man in the Binder: Кто контролирует IPC, тот контролирует Droid». Изучение архитектуры  Android выявило возможность несложной кражи информации, которая хранится или находится в процессе передачи при помощи механизма обработки сообщений Binder. Он уже встроен в систему коммуникаций ОС Android Inter-process Communication (IPC).

     Техномаги из группы изучения вредоносного ПО и уязвимостей Check Point выяснили, что единая система коммуникаций Binder и является идеальной мишенью для любого вредоносного ПО, разрабатываемого для душки Android. В стандартных ОС процессы работают с десятками элементов системного оборудования: жестким диском, адаптером дисплея, сетевой картой и т.д. Особенности же архитектуры ОС Android позволяют легко  выполнить те же задачи, просто контролируя все взаимодействия приложений через Binder. Через Binder могут быть перехвачены такие важные данные: результат клавиатурного ввода, информация из приложений и содержимое SMS.

Троянский конь для игромана на Androidе

    Если вы почитатель безобидной игры "крестики-нолики", то «Лаборатория Касперского» предупреждает именно вас, что обнаружила нового мобильного троянца, нацеленного именно на Android-гаджеты. Зловредная зараза Gomal маскируется под игру Tic Tac Toe. Она деловито собирает информацию о зараженном устройстве и отправляет все полученные личные данные пользователя на сервер злоумышленников. Однако в ней есть и новые, нетипичные для подобных зловредов функции. Игроманы, будьте бдительны, не позволяйте троянскому коню взять вас с чёрного хода тёпленькими...

      Мерзкий шпионский тандем мобильных шпионов не только записывает звуки вокруг гаджета, обрабатывает ваши звонки и крадет SMS! Gomal обладает механизмами доступа к различным сервисам ОС Linux, на базе которой и построена платформа Android. Зловред имеет возможность обращаться к блоку памяти интересующего его процесса, что подвергает риску многие коммуникационные приложения. Троянец крадет почтовую переписку, которую вы можете вести с помощью приложения Good for Enterprise, которое позиционируется как безопасный почтовый клиент для корпоративного использования. В свою очередь, кража этих данных может обернуться серьезной проблемой для компании, в которой работает пользователь зараженного устройства.

     Как предупреждает Антон Кивва, антивирусный эксперт «Лаборатории Касперского», подобные безобидные, на первый взгляд, «крестики-нолики» предоставляют злоумышленникам доступ к огромному количеству личных данных пользователя и данных компании, в которой он работает. Используемые Gomal техники изначально появились в Windows-троянцах, но теперь перекочевали и в зловреды для Android. Используя те же принципы, преступники могут красть информацию не только из Good for Enterprise. Не исключено, что в скором времени появится целая серия мобильных зловредов, атакующих широко распространенные почтовые клиенты, мессенджеры и другие программы. Будьте бдительны и не ведитесь на халяву!

Бойтесь троянцев, дары приносящих по версии Facebook...

           «Доктор Веб» настоятельно рекомендует не терять бдительности. В последнее время участились случаи заражения троянской программой Trojan.Zipvideom.1 через социальную сеть Facebook.  Милый «коник» автоматически устанавливает на компьютер жертвы вредоносные расширения (плагины) к браузерам Mozilla Firefox и Google Chrome.  Они мешают свободному просмотру веб-страниц, демонстрируя навязчивую рекламу.

      Горячий цифровой мачо Trojan.Zipvideom.1 попадает на компьютеры жертв как обновление для браузерного плагина Adobe Flash Player. В начале 2014 года образцы данного троянца распространялись с использованием массовых рассылок сообщений в социальной сети Facebook. Предполагается, что автор троянца говорит на турецком языке.

     Если пользователь соглашается с рекомендацией обновить Adobe Flash Player, то получает первый компонент троянца — программа FlashGuncelle.exe, при этом пользователю демонстрируется ход подложная установка обновления к Adobe Flash Player.

           Потом FlashGuncelle.exe связывается с сервером злоумышленников и скачивает на компьютер жертвы следующую компоненту лихого троянца — дроппер. Именно он устанавливает и запускает еще несколько компонентов вредоносной программы. Среди них файл Flash_Plugin.exe. Он модифицирует ветвь системного реестра, отвечающую за автоматическую загрузку приложений, а потом уже скачивает и устанавливает плагины к браузерам Mozilla Firefox и Google Chrome.

        Опасность господина троянца заключается в том, что загружаемые им плагины затрудняют свободный просмотр сайтов, демонстрируя рекламу, часто скачивают на компьютер жертвы другое сомнительное программное обеспечение. Установлено, что при посещении сайтов популярных социальных сетей (Twitter, Facebook, Google+, YouTube, «ВКонтакте») эти плагины загружают сами Java-скрипты сомнительного назначения.

Пессимизм тоже может быть конструктивным

Проект монументален по своей масштабности. Руководить этой системой по силам далеко не каждому ученому. Его главное кредо – полное переосмысление самих основ категории компьютерная безопасность. Эту почетную роль и поручили Питеру Нойману. Он начал работать в этой сфере еще в студенческие годы как студент-математик Гарварда в 1953 году. Он начал работать в качестве штатного программиста калькулятора IBM, работавшем еще на базе перфокарт. Уже более 40 лет он окучивает только этот колючий куст чертополоха с момента перехода в 1970-м из Bell Labs в SRI International. Он протестует против базового столпа современно IT индустрии: на рынок следует выбрасывать максимум новых продуктов, их степень готовности не имеет значения. «Безопасность» и прочие «второсортные» заморочки откладывают в долгий ящик.

 Особенно жутко наблюдать, как проблемы, эволюционируя и по сути не меняясь становятся фатальными, хотя они были урегулированы десятилетия тому назад. Увы реализация на практике безнадежно отстает от научных изысканий, но уязвимости никто не отменял и их придется устранять или исправлять.

 Мало кто ни разу не сталкивался с проблемой «переполнение буфера». Это дефект самой конструкции. Он дает злоумышленнику потенциальную возможность видоизменить сам код передаваемой информации, которые забивают отведенную область компьютерной памяти, что приводит к сбоям в программе и позволяют вредоносному коду приступить к своей экспансии.

 Эта проблема стала головной болью владельцев компьютеров четверть века назад. В те далекие времена ради развлечения аспирант Корнеллского университета Роберт Теппен Моррис применил первого программного червя на практике. Червь Морриса через Интернет оккупировал 50 тысяч машин, переполнил буферы памяти, обрушив стройную до этого систему работы Сети. «Вредитель» был примерно наказан, на него завели дело и ему пришлось выплатить солидный штраф. Даже прошло судебное заседание. Увы, в содеянном не нашли состава преступления, поэтому студент отделался легким испугом.

Питер Нейман тоже был вовлечен в эту не  красивую историю, т.к. он учился вместе с Робертом Моррисом-старшим в Гарварде, который и был отцом Роберта Теппена Морриса. В 1960-70-е, они вместе работали в Bell Labs, которая создала ОС Unix. Они дружили семьями.

 

Также важна и техническая сторона проблемы. К 1980-м годам, когда червь Морриса и добился своей дурной славы, решение уже было найдено. Существовал целый локальный проект ОС Multics. Одним из руководителей его и был с 1965 по 1969 года был Питер Нойман.

 
ОС Multics была конструкторской разработкой, которую финансировал Пентагон. Спецслужбы разглядели в ней возможность решить эффективно и оптимально существующие проблемы компьютерной безопасности в части совместного пользования многими локальными пользователями единых ресурсов Сети и иных возможностей глобального типа.  

Уже в границах Multics была создана целая плеяда изящных решений проблем компьютерной безопасности того времени. Многие отзываются головной болью и ныне. Увы, компьютерная индустрия брезгливо проигнорировала протянутую учеными руку помощи. Наступила эпоха царствования мэйнфреймов IBM, которые работали на собственной ОС.

 Нойман так охарактеризовал итоги работы тех лет: «Как у человека, который крутится в этих жерновах последние лет сорок, у меня сложилось устойчивое впечатление, что большинство руководителей, отвечающих за все это дело, вообще не желает ничего слышать о сложности систем. Их интерес сводится только к одному — быстрые и грязные решения... На фундаментальном уровне я считаю себя оптимистом, когда речь идет о том, чего мы можем достичь с помощью наших исследований. Но в то же время я фундаментально пессимист во всем, что касается корпораций, полностью ориентирующихся лишь на своих акционеров и нацеленных в работе лишь на достижение краткосрочных финансовых успехов».

 Без поддержки властей и стального характера ученый давно уже бы опустил руки и сдался на милость победителей гонки абсурда. Проект CRASH с поправкой на современное состояние дел продолжает свою исследовательскую работу.

Ричард Кларк так охарактеризовал реальности компьютерной безопасности в формате информационного общества: «По большому счету, все наши усилия, которые предпринимаются сегодня для защиты сетей, сводятся к тому, чтобы нескончаемо лепить заплатки и затыкать дырки пальцами. Однако фонтаны новых протечек тут же начинают бить где-то еще... На фундаментальном уровне наши сети не переделывались вот уже 45 лет. Конечно же, это будет стоить гигантских денег — перепроектировать все это хозяйство. Но давайте начнем. И посмотрим, не станет ли это работать действительно лучше. А дальше — пусть решает рынок...».

Прототип планшета CHERI на базе платы Terasic DE4 FPGA, работает под управлением укрепленной версии ОС FreeBSD. Компартментализация на основе архитектуры полномочий позволяет обеспечивать масштабируемую и мелкогранулированную защиту, ослабляя как известные, так и неизвестные уязвимости.