2, февраль 2015  — 

Статья американского журналиста Марка Соломона (Marc Solomon), перекликающаяся с содержанием ежегодного отчета компании Cisco по информационной безопасности (1)

Основными мотивами поведения киберпреступников все чаще становятся не известность и слава, а финансовые или политические выгоды. Из-за этого скрытность приобретает все большую важность при проведении атак. Незаметное использование тех или иных уязвимостей систем безопасности позволяет атакующим действовать исподтишка и заметать за собой следы, и для этого часто используются инновационные, невиданные ранее методы.

Ниже перечислены пять основных, часто используемых приемов атак «тихой сапой», которые следует знать специалистам по информационной безопасности.

•  Наборы эксплойтов.   Обычно организации прилагают немало усилий, чтобы добиться лидерства в сфере своей деятельности. Для разработчиков эксплойтов, однако, такая слава может стать лишь источником проблем, как, например, получилось с авторами широко известного эксплойта Blackhole (правоохранительным органам удалось отследить и прекратить их вредоносную деятельность). В результате преступникам становится очевидным, что «больше» не всегда значит «лучше», и неважно, касается ли это масштаба бот-сети или размера «бреши» в системе безопасности. Наоборот, успешнее всего действуют те наборы эксплойтов, которые занимают четвертое-пятое место по популярности и не привлекают особого внимания.

•  «Спам на снегоступах» (2).   Как известно, благодаря своей большой площади снегоступ оставляет неглубокий и потому малозаметный отпечаток. Этот принцип положен в основу «спама на снегоступах»: он распространяется малыми порциями с большого количества IP-адресов. К тому же постоянно меняются текст письма, ссылки и адреса отправки — так, чтобы одна и та же комбинация никогда не встретилась дважды. Это позволяет успешно избегать обнаружения атаки стандартными средствами, в частности, с использованием технических приемов, основанных на репутации IP-адреса.

•  Продвинутые методы целевого фишинга. Злоумышленники продолжают совершенствовать технологии фишинговых писем. Для этого часто используются методы социальной инженерии, и даже опытным пользователям бывает тяжело выявить подделку с ходу. В последнее время фишинговые письма выглядят так, как будто они были отправлены от имени известных организаций, с которыми пользователи часто имеют дело (например, службы доставки, онлайн-магазины, службы развлечений). В письме могут присутствовать соответствующие элементы бренда и напоминание о событии, хорошо знакомом получателю — о сделанном недавно заказе или об отслеживании посылки. Такие хорошо спланированные действия создают у пользователей ложное чувство безопасности по отношению к вредоносному содержимому письма.

•  Разделение эксплойта между двумя разными файлами . Вредоносное ПО на основе технологии Flash может взаимодействовать с JavaScript и скрывать свою активность в силу того, что элементы эксплойта разделяются между двумя разными файлами и даже форматами: Flash и JavaScript. Это позволяет сильно затруднить обнаружение, блокирование и анализ эксплойта через реверс-инжиниринг. При этом подходе увеличивается и эффективность атаки. Например, если первая стадия атаки выполняется только посредством JavaScript, то вторая стадия — передача рабочих данных — не начнется до успешного завершения первой. Таким образом, данные будет получены только теми пользователями, которые выполняют вредоносный код.

•  Распространение нежелательной рекламы через расширения для браузеров.   Разработчики вредоносного ПО усовершенствовали свои методы таким образом, что сейчас средой для распространения вредоносного кода и нежелательных приложений могут стать расширения для браузеров. Пользователям предлагается за небольшую плату скачать и установить какие-либо приложения, например, для просмотра PDF или видео. Источник этих приложений воспринимается как заслуживающий доверия, хотя на самом деле за ним стоят злоумышленники, распространяющие вредоносный код. Многие пользователи не подозревают о том, что расширения для браузеров могут быть источником заражения, и поэтому такой метод уже не раз доказывал свою эффективность. Таким образом, злоумышленники ухитряются оставаться незамеченными, сохраняя постоянное присутствие на компьютерах пользователей, и получают стабильную выгоду небольшими порциями, но с большого количества зараженных машин.

Рекомендуем также:

•  Всеобъемлющий Интернет и вопросы информационной безопасности (статья главы компании Cisco Джона Чемберса) —

•  Круговая оборона: реагируем на инциденты в области информационной безопасности ? http://www.cisco.com/web/RU/news/releases/txt/2015/01/012715a.html

О компании Cisco

Cisco, мировой лидер в области информационных технологий, помогает компаниям использовать возможности будущего и собственным примером доказывает, что, подключая неподключенное, можно добиться поразительных результатов.

Чистый объем продаж компании в 2014 финансовом году составил 47,1 млрд долларов. Информация о решениях, технологиях и текущей деятельности компании публикуется на сайтах www.cisco.ru и www.cisco.com .

Cisco, логотип Cisco, Cisco Systems и логотип Cisco Systems являются зарегистрированными торговыми знаками Cisco Systems, Inc. в США и некоторых других странах. Все прочие торговые знаки, упомянутые в настоящем документе, являются собственностью соответствующих владельцев.

(1) См. http://www.cisco.com/web/RU/news/releases/txt/2015/01/012215a.html .

(2) См. http://www.cisco.com/web/RU/news/releases/txt/2014/09/090214b.html .