Тонкости Интернета

Как быстро и удобно «переехать» с Yandex или Mail.ru

В связи с экономическими санкциями в адрес ряда российских компаний, украинским интернет-предпринимателям перестанут быть доступны некоторые сервисы, включая почту в системах Yandex и Mail.ru. Вот вам инструкция, как создать аккаунт в Google и получать на него почту из заблокированных в Украине Mail.ru или Yandex.ru.

Для использования Gmail.com вам понадобится аккаунт Google.
Аккаунт в Google имеет свои преимущества, среди которых – большой выбор бесплатных сервисов, которые могут заменить вам не только офисные программы, но даже жесткий диск. Кроме того, вам понравится интеграция – приложения Google отлично работают и на десктопе, и на мобильных платформах.

Еще аккаунт Google универсален и вы сможете использовать его для доступа на множество сторонних ресурсов. В общем, сменив аккаунт Mail.ru (Yandex.ru) на Google, вы ничего не потеряете. Даже наоборот.

Если у вас нет аккаунта Google
Создайте его, это довольно просто. Перейдите на страничку регистрации и заполните данные. Мы очень рекомендуем указать ваш номер мобильного и сразу после регистрации аккаунта поставить себе на смартфон почтовое приложение. В дальнейшем, если захотите, вы сможете существенно повысить безопасность вашего аккаунта, используя двойную аутентификацию – для нее вам тоже понадобится телефон. Это все – бесплатно.

Если у вас есть аккаунт Google или вы его только что создали
Настройте переадресацию ваших писем с Mail.ru. Для этого:
1. Войдите в настройки вашего аккаунта.


2. Откройте вкладку “Пересылка и POP/IMAP” и выберите “Включить POP для всех писем” или “Включить POP для писем, полученных с этого момента”. Нажмите кнопку “Сохранить изменения”. Таким образом, вы подключите протокол, благодаря которому станет возможной закачка писем с других почтовых сервисов.

3. Откройте вкладку «Аккаунты» (она может называться иначе, но слово «Аккаунты» точно будет) и в строке «Получить почту из других аккаунтов» нажмите «Добавить почтовый аккаунт».

4. Появится окно, в котором нужно ввести ваш адрес на Mail.ru. Введите адрес и нажмите «Далее».

5. Выберите нужный вам режим импорта: только новые письма или вообще все.

6. Введите ваши имя пользователя и пароль на Mail.ru и нажмите внизу кнопку «Добавить аккаунт».

7. Вот и все! Еще вы можете сохранить возможность отправлять почту с вашего адреса на Mail.ru, но мы бы не советовали: за три года санкций все привыкнут работать с другими почтовиками, и «обратный переезд» будет совершенно бессмысленным. Скоро вы вообще перстанете получать письма на заблокированные адреса, кроме спама.


Что нужно сделать еще?
Не забудьте со временем, по мере необходимости, изменить основной адрес почты во всех сервисах, где вы зарегистрированы.

Также понадобится сменить адрес и в социальных сетях, в приложениях, установленных на вашем смартфоне. С настроенной переадресацией вы продолжите получать письма, но лучше не рисковать и использовать везде уже новый «ящик». Удачи!

 

Рекомендации по защите компьютеров от кибератаки вируса-вымогателя

По данным СБУ, подавляющее большинство заражений операционных систем происходило через открытие вредоносных приложений (документов Word, PDF-файлов), которые были отправлены на электронные адреса многих коммерческих и государственных структур.

Атака, основной целью которой было распространение шифровальщика файлов Petya.A использовала сетевую уязвимость MS17-010, в результате эксплуатации которой на инфицированную машину устанавливался набор скриптов, используемых злоумышленниками для запуска упомянутого шифровальщика файлов.

Вирус атакует компьютеры под управлением ОС Microsoft Windows путем шифрования файлов пользователя, после чего выводит сообщение о преобразовании файлов с предложением произвести оплату ключа дешифрования в биткоинах в эквиваленте суммы $300 для разблокировки данных. На сегодня зашифрованные данные, к сожалению, расшифровке не подлежат.

рекомендации:
Если компьютер включен и работает нормально, но вы подозреваете, что он может быть заражен, ни в коем случае не перезагружайте его (если ПК уже пострадал - тоже не перезагружайте его) - вирус срабатывает при перезагрузке и зашифровывает все файлы, содержащиеся на компьютере.
Сохраните все файлы, которые наиболее ценны, на отдельный не подключенный к компьютеру носитель, а в идеале - резервную копию вместе с операционной системой.

Для идентификации шифровальщика файлов необходимо завершить все локальные задачи и проверить наличие следующего файла: C:\Windows\perfc.dat
В зависимости от версии ОС Windows установить патч отсюда

5. Убедиться, что на всех компьютерных системах установлено антивирусное программное обеспечение функционирует должным образом и использует актуальные базы вирусных сигнатур. При необходимости установить и обновить антивирусное программное обеспечение.

6. Для уменьшения риска заражения, следует внимательно относиться ко всей электронной корреспонденции, не загружать и не открывать приложения в письмах, которые присланные из неизвестных адресов. В случае получения письма с известной адреса, который вызывает подозрение относительно его содержания - связаться с отправителем и подтвердить факт отправки письма.

7. Сделать резервные копии всех критически важных данных.

Довести до работников структурных подразделений указанную информацию и рекомендации, не допускать работников к работе с компьютерами, на которых не установлено указанные патчи, независимо от факта подключения к локальной или глобальной сети.

Дополнительно к указанным рекомендациям можно воспользоваться рекомендациями антивирусных компаний.

https://eset.ua/ua/news/view/507/-Eset-Guidelines

a). Загрузите утилиту Eset LogCollector: http://eset.ua/ua/download/
b). Запустите и убедитесь в том, что были установлены все галочки в окне "Артефакты для сбора".

c). Во вкладке "Режим сбора журналов Eset" установите Исходный двоичный код диска.
d). Нажмите на кнопку: Собирать (Собрать).
e). Отправьте архив с журналами.

Если пострадавший ПК включен и еще не исключался, перейдите к выполнению
п. 3 для сбора информации, которая поможет написать декодер,
п. 4 для лечения системы.

С уже пораженного ПК (не загружается) нужно собрать MBR для дальнейшего анализа
Собрать его можно по следующей инструкции:
a). Загружайте с ESET SysRescue Live CD или USB (создание в описано в п.3)
b). Согласитесь с лицензией на пользование
c). Нажмите CTRL + ALT + T (откроется терминал)
d). Напишите команду "parted -l" без кавычек, параметр это маленькая буква "L" и нажмите
e). Смотрите список дисков и идентифицируйте поражен ПК (должен быть один из /dev/sda)
f). Напишите команду "dd if =/dev/sda of =/ home/eset/petya.img bs=4096 count=256" без кавычек, вместо "/dev/sda" используйте диск, который определили в предыдущем шаге и нажмите (Файл /home/eset/petya.img будет создан)
g). Подключите флешку и скопируйте файл /home/eset/petya.img
h). Компьютер можно выключить.

Служба безопасности Украины

 

И про Petya
Специалисты в области кибербезопасности полагают, что предназначение вредоносного программного кода, известного под именем Petya, который поразил недавно компании по всему миру, возможно, состояло вовсе не в вымогательстве денег, как думали изначально.
Вирус был запущен исключительно с целью уничтожения данных.
Эксперты обращают внимание на "агрессивные" характеристики вредоносного кода, которые делают невозможным восстановление важных файлов.

Наихудший сценарий
Мэтт Сьюч из компании по кибербезопасности Comae охарактеризовал эту разновидность вируса скорее как "чистильщика" нежели как типичную программу-вымогатель.

"Цель чистильщика - разрушать и уничтожать", - написал он, добавив, что вымогательский компонент программы был не более чем приманкой, чтобы вызвать интерес СМИ.
Несмотря на то, что нынешний вариант, известный как Petya, внешне походил на своего прародителя, его функциональная часть отличалась тем, что вирус целенаправленно переписывал важные компьютерные файлы, а не шифровал их, считает эксперт.

"Вариант Petya 2106 года модифицировал жесткий диск, но изменения были обратимы, в то время как Petya в версии 2017 года наносит перманентные и необратимые повреждения диску", - написал Мэтт Сьюч.

С ним соглашаются Антон Иванов и Орхан Мамедов из "Лаборатории Касперского", которые также считают что программа была создана для уничтожения, а не ради получения прибыли. "По всей видимости, это чистильщик, который притворяется вымогателем", - полагают они.

Исследовав программный код, они обнаружили, что программа просто неспособна сгенерировать код, пригодный для того, чтобы расшифровать данные.

"Сбывается наихудший сценарий для жертв этой атаки, - говорят эксперты. - Даже если они заплатят выкуп, их данные уже не вернуть".

Первоначальный вариант программы-вымогателя Petya блокировал доступ к компьютеру до тех пор, пока жертва не заплатит выкуп

Знаменитый специалист по безопасности компьютерных систем, известный под именем The Grugq, сказал, что слабо проработанная система оплаты выкупа, связанная с этой разновидностью вируса, усиливает подозрения в том, что его целью было скорее уничтожение данных, а не вымогательство.

"Настоящий Petya был преступной затеей для зарабатывания денег, - написал он. - А нынешний определенно не приспособлен для этой цели".

Биткойн-аккаунт, связанный с этим вирусом, к этому моменту получил 45 платежей от жертв атаки, которые совокупно перечислили на этот электронный кошелек более 10 тыс. долларов.

Адрес электронной почты, на который жертвы должны были сообщать о перечислении средств, был заблокирован германским провайдером, на чьем сервере он располагался. Таким образом был перекрыт единственный потенциально возможный канал для коммуникации с создателями вредоносного ПО.

Дистанционное управление
К этому моменту известно о 64 организациях по всему миру, ставших жертвами вирусной атаки.

Последней заявившей о себе стала фирма Nuance, разрабатывающая софт по распознаванию голоса. В распространенном ею пресс-релизе говорится, что "участки" ее внутренней сети были поражены вредоносной программой. Компания заявила, что приняла меры по сдерживанию угрозы и сейчас вместе с фирмами по кибербезопасности работает над ликвидацией заражения.

Первичный вектор распространения вируса указывает на программное обеспечение, используемое на Украине для обработки налоговых платежей, и 75% всех заражений, совершенных этим вариантом Petya, были отмечены именно в этой стране.

Правообладатель иллюстрации EPA
Image captionШоколадная фабрика Cadbury в Австралии была вынуждена остановить производство на время, которое потребуется на борьбу с последствиями атаки модифицированного вируса


Официальный представитель украинского правительства заявил, что за этой атакой стоит Россия.

"Трудно представить себе, чтобы кому-нибудь еще это могло понадобиться", - сказал в интервью журналу по технологиям Wired Роман Боярчук, глава украинского центра киберзащиты.

Специалист по вопросам компьютерной безопасности Лесли Кархарт указывает, что вирус нанес столько вреда благодаря тому способу, которым он распространялся после того, как обходил системы электронной защиты.

По ее словам, Petya использовал средства удаленного администрирования Windows, чтобы молниеносно распространяться по внутренним электронным сетям компании.

"По правде сказать, я несколько удивлена тем, что мы до сих пор не сталкивались с червями, которые бы настолько элегантно извлекали выгоду из этих механизмов в подобном масштабе", - пишет эксперт.

Использование этих инструментов доказало свою эффективность, полагает она, поскольку крайне мало компаний держат их под контролем. И даже если и так, действовать быстро, чтобы вовремя пресечь распространение угрозы, может быть довольно затруднительно.

Успех этого варианта вируса Petya, вероятнее всего, побудит прочих повторить его, предупреждает Лесли Кархарт.

"Положение дел будет становиться только хуже, и противостоять атакам для нас будет все труднее", - заключает эксперт.

АНАЛИЗ: Как работает вирус Petya?

Правообладатель иллюстрации GETTY IMAGES
Андрей Сошников, Русская служба Би-би-си

Эксперты пока не пришли к единому мнению относительно происхождения нового вируса. Компании Group-IB и Positive Technologies видят в нем разновидность вируса Petya 2016 года.

"Это вымогательское программное обеспечение использует как хакерские методы и утилиты, так и стандартные утилиты системного администрирования, - комментирует руководитель отдела реагирования на угрозы информационной безопасности Positive Technologies Эльмар Набигаев. - Все это гарантирует высокую скорость распространения внутри сети и массовость эпидемии в целом (при заражении хотя бы одного персонального компьютера). Результатом является полная неработоспособность компьютера и шифрование данных".

В румынской компании Bitdefender видят больше общего с вирусом GoldenEye, в котором Petya объединяется с еще одним вредоносом под названием Misha. Преимущество последнего - для шифрования файлов он не требует у будущей жертвы права администратора, а добывает их самостоятельно.

Брайан Кэмбелл из Fujitsu и ряд других экспертов полагают, что новый вирус использует украденную у Агентства национальной безопасности США, модифицированную программу EternalBlue.

После публикации этой программы хакерами The Shadow Brokers в апреле 2017 года весь мир облетел созданный на ее основе вирус-вымогатель WannaCry.

Используя уязвимости Windows, эта программа позволяет вирусу распространяться на компьютеры по всей корпоративной сети. Оригинальный же Petya рассылался по электронной почте под видом резюме и мог заражать только тот компьютер, где это резюме открывали.

Microsoft опубликовала заплатку против EternalBlue еще в марте 2017 года, однако не все воспользовались ей даже после эпидемии WannaCry.

 

Южнокорейская хостинг-компания заплатила $1 млн разработчикам Linux-версии криптовымогателя Erebus


Провайдер хостинг-услуг из Южной Кореи на днях выплатил разработчикам программы криптовымогателя около $1 млн в криптовалюте. Почему так много? Дело в том, что ransomware заразило 153 сервера, работающих на Linux. На этих серверах размещается 3400 сайтов клиентов компании.

Изначально разработчики зловреда хотели получить около $4,4 млн. Компания заявила, что это слишком много, и она не в состоянии выплатить такую сумму. После этого киберпреступники согласились умерить аппетиты, удовольствовавшись «всего» $1 млн. Сейчас сотрудники компании занимаются восстановлением данных. Это не такой и быстрый процесс, поэтому клиентам придется подождать, пока все их сайты и сервисы снова начнут работать.
заявил представитель компании.

Стоит отметить, что основная проблема с этим зловредным ПО в том, что работает он с Linux. Ramsomware получило название Erebus (ранее был вариант этого зловреда, атакующий Windows-системы). Каким образом вирус проник на сервера компании, пока неясно. Техническая поддержка разбирается, стараясь понять, что все-таки произошло.

Сторонние эксперты, которые также занялись изучением ситуации, утверждают, что проблема может быть в устаревшем программном обеспечении, которое использовалось хостером. Например, сайт Nayana работал на сервере с Linux с версией ядра 2.6.24.2 (2008 год). В этой версии много уязвимостей, включая Dirty Cow, которая позволяет злоумышленникам получать рут-доступ к системе. Кроме устаревшей версии ядра, компания работала с Apache версии 1.3.36 и PHP версии 5.1.4, все они были выпущены еще в 2006 году. Излишним будет говорить, что злоумышленники за прошедшие десять лет изучили это ПО вдоль и поперек, научившись взламывать все, что им нужно.

Erebus впервые появился в сентябре 2016 года (вернее, впервые был обнаружен). Затем вышла его обновленная версия, это случилось в феврале 2017 года. Тогда разработчики «научили» свой продукт обходить User Account Control в Windows.

Интересно, что сейчас Linux-версия Erebus действует, в основном, в Южной Корее. Может быть, потому, что не только Nayana использует устаревшее ПО, но и другие хостинг-компании в этом регионе делают то же.
Header (0x438 bytes)
RSA-2048-encrypted original filename
RSA-2048-encrypted AES key
RSA-2048-encrypted RC4 key
RC4-encrypted data

Сделать это можно лишь при помощи ключа, который нужно купить у злоумышленников. Дело в том, что сначала файлы шифруются посредством RC4 поблочно, с размером блока в 500 КБ. Ключи для каждого блока генерируются рандомно. Затем кодируется уже ключ RC4, это делается при помощи алгоритма AES, сохраняемого в файле. И уже этот ключ шифруется алгоритмом RSA-2048, который также сохраняется в файле. Эти ключи генерируются локально и они доступны. Но это открытые ключи, а вот закрытые шифруются при помощи AES и другого рандомно генерируемого ключа.

Версия Erebus, о которой идет речь, шифрует 433 различных типа файлов. Как и говорилось выше, получить приватный ключ каким-либо иным методом, кроме как выкупить его у злоумышленников нельзя. В этом убедились сразу несколько специалистов, которые проводили анализ атаки.

Сейчас хостер тесно сотрудничает с правоохранительными органами Южной Кореи для того, чтобы попытаться обнаружить злоумышленников. Но, конечно, кроме поисков компании стоит сначала восстановить работоспособность серверов и данные клиентов, затем обновить устаревшее программное обеспечение, и только затем направить все усилия на работу по поиску злоумышленников.

Хостер из Южной Кореи — не единственная организация, кому пришлось заплатить злоумышленникам. В прошлом году ключ к расшифровке файлов купила школа из США, на сервера которой была осуществлена успешная атака. Правда, в этом случае речь шла не о миллионе долларов США, а о $8500.

А в ноябре прошлого года из-за криптовымогателя все пассажиры узкоколейной железной дороги Сан-Франциско получили возможность ездить бесплатно. Дело в том, что криптовымогатель зашифровал все платежные терминалы транспортной компании San Francisco Municipal Transportation Agency (SFMTA).

В прошлом году заплатила разработчикам ransomware и больница, сервера которой тоже были заражены зловредным ПО. На данный момент рекордсменом по выплатам, насколько можно судить, является компания Nayana, о которой шла речь выше. Возможно, кто-то платил и больше, но об этих случаях ничего неизвестно, скорее всего, жертвы просто хотят остаться неизвестными.

 

Экономической составляющей в хакерской атаке нет

Посоны тут курили, а я мимокрокодил и наслушался. Передаю заключения.

Мнение: Экономической составляющей в позавчерашней атаке нет.

Аргументы:
Создатели Petya на сейчас получили на кошелек четыре битка, может набьют еще впятеро больше. На кошелек за транзакциями по которому теперь будет следить полмира. Ему надо дать еще хотя бы полгода отлежаться, это в лучшем случае. И все равно комиссия по его выводу будет неслабой. Кошелек один, а не сотня сразу разных.

Входящие затраты сравнимы с полученными деньгами - база данных адресов для рассылки, ебатура с сервером медок (точней поиск и отладка именно такой уязвимости) и встраиванием вируса, модернизация Petya и т.д. Синхронизация процесса тоже денег стоит - так все массово и одновременно тоже денег стоит и людей. Технически накрыть тот же медок не сложно, но ведь его сначала надо найти, проверить, надо вообще знать, что им пользуются сотни тысяч человек. - это выдает что работала группа творческих и разносторонних людей.

Система получения денег с самого начала кривая. Фейковые положительные отзывы о разблокировке не проработаны. Инфа о том, что старый дешифровщик не пашет не вброшена(все будут пытаться сэкономить, а не платить). Вообще называть вирус старым именем коммерчески неправильно. Имя должно быть новое, ведь все будут искать возможности обхода, а ведь надо было просто сменить имена файлов.

Почтовый адрес на который надо было слать отчет о переводе был заблочен на уровне провайдера в течении нескольких часов, о чем сразу прошла инфа. Резервные каналы связи с хакерами для разблокировки, которые будут тушить дольше - телеграмм, вотсап, сигнал и т.д. не анонсированы. Проработка украинского медиаполя нулевая, хоть цель атаки судя по основному каналу и основной рассылке именно Украина.

Шифрование файлов было не скрытым в фоновом режиме, и часто ничего зашифровать вирус не успел.

Гайдов как буху быстро и без проблем купить биток за бабки с карточки не развесили.

Итог.
Техническая часть по заражению и отключению проработана на отлично. Социальная инженерия в части заражения на отлично. Социальная инженерия и получение денег сделаны на отъебись.

Выводы:
Вариант 1. Проба пера новой команды энтузиастов с участием украинских граждан. Там где можно было проверить и отладить - проверили и отладили, там все было эффективно. Там где начался хайп и массовые реакции - провтыкали от отсутствия опыта, думали хомяки побегут заносить биток активней, тема ведь раскручена.
Вариант 2. Диверсия силами людей на зарплате, которых вывод бабла не интересовал вообще. Сделали для прикрытия, а там как пойдет - все равно эти деньги никто забирать не будет еще много лет. А интересовало людей именно ПРЕДУПРЕДИТЕЛЬНО ударить и положить, но под видом вымогателей.
Вариант 3 - не исключающий в совокупности варианта 1 или 2. Операция прикрытия во время которой хакеры получили какие-то другие данные важные для коммерческой составляющей или коммерческого заказа на конкретную структуру.
упд. Вариант 4 подсказали - качнуть курс битка. Но если это было целью, то план провалился. Я посмотрел, биток летал в каких-то своих пределах как обычно летает. Да и мы не самый жирный рынок в мире.

Все это как водится моя выдумка. А я не профи, всё только что придумал, за свои слова не отвечаю, кто в СМИ процитирует тот лох.

Anton Shvets

 

Кратко для тех кто не сильно понял предыдущее


Основной класс бэкдора NotPetya называется MeCom.
В этом классе есть переменная EDRPOU в которую бекдор записывал, вы не поверите, ЕДРПОУ. И еще он дохера чего записывал. Мыльца, пароли, адреса, файлы и т.д.
ЕДРПОУ - расшифровывается как Код Єдиного державного реєстру підприємств та організацій України и не существует нигде кроме как в Украине.

Выводы.
1) Вирус написан исключительно для Украины - все прочие заражения по всему миру это случайность, collateral damage.
2) Организаторы атаки занимались не заработком денег, и весьма возможно даже не блекаутом (или обрушением). Это скорее выяснение уязвимости всей украинской системы - куда еще доберется заражение, какая будет реакция ну и в процесса потащить кучу инфы, которую теперь наверняка разгребают тысячи человек.
3) Соответственно, из предыдущего поста мы таки смотрим вариант номер три.
4) Я даже близко не могу представить, что они успели узнать и про кого и каких дырок успели понавертеть до того как все посыпалось.

Anton Shvets

 

Не все так просто с Petya

27-го июня, 2017 года новая кибератака поразила множество компьютерных систем в Украине и других странах. Атака была вызвана зловредом, который ESET определял как Diskcoder.C (aka ExPetr, PetrWrap, Petya, или NotPetya).

Эта атака маскировалась под эпидемию обычного шифровальщика — который шифровал данные на диске и требовал 300$ в биткоинах для восстановления данных. Но на самом деле, план был в нанесении ущерба, поэтому автора сделали все что могли, чтобы усложнить расшифровку данных.

Эта статья раскрывает детали про первичный вектор распространения, который был использован для эпидемии DiskCoder.C.

Итак, рассказ о поддельном обновлении.
На своей страничке в фейсбук, Департамент киберполиции в Украине сообщил, что на начальной фазе распространения зловреда DiskCoder.C, было использовано популярное программное обеспечение бухгалтерского учета M.E.Doc — практически монополист в этой области на Украине. Но до сих пор нет никаких деталей как именно это было проделано.

Во время нашего исследования, мы обнаружили весьма хитро скрытый бэкдор, который был внедрен в один из официальных модулей M.E.Doc. Само исполнение выглядит так, что это было бы очень сложно сделать без доступа к исходным кодам M.E.Doc.

Файл зараженного модуля ZvitPublishedObjects.dll, написан на.NET Framework, он размером в 5 мегабайт, и содержит большое количество легального кода, который может быть вызван другими компонентами ПО, включая основной файл ezvit.exe

Мы изучили все обновления M.E.Doc, которые были выпущены в 2017 году, и обнаружили как минимум три обновления, содержащих зараженный модуль:

01.175-10.01.176, от 14 апреля 2017
01.180-10.01.181, от 15 мая 2017
01.188-10.01.189, от 22 июня 2017

Распространение Win32/Filecoder.AESNI.C началось через три дня после обновления 10.01.180-10.01.181, а распространение DiskCoder.C началось через 5 дней после обновления 10.01.188-10.01.189.

Что интересно, так это то, что четыре обновления с 24 апреля 2017 по 10 мая 2017 года, и семь обновлений с 17 мая по 21 июня, НЕ содержали троянский модуль.

В обновлениях с 15 мая по 17 мая, троянский модуль есть, но после 17 мая их нет, и это вероятно одна из причин, по которой распространение первого зловреда, а именно Win32/Filecoder.AESNI.C было не таким масштабным.

Возможно, обновление от 17-го мая было неожиданным для атакующих. Но они снова загрузили уязвимость в обновление от 18-го мая, тем не менее большинство пользователей M.E.Doc уже обновились «вчерашним» патчем, и первая атака прошла не особо заметно.

Метаданные файла показывают, что библиотека была скомпилирована скорее всего прямо в день обновления, или возможно на день раньше, в зависимости от часового пояса.

Timestamp показывает, что троянский модуль был создан 15 мая.

Тут мы видим разницу в классах между зараженным и нормальным модулем, используется.NET декомпилятор the ILSpy. Классы зараженного модуля слева.

Основной класс бэкдора — MeCom, который расположен в пространстве имен ZvitPublishedObjects.Server, как это указано на картинке 3.

Класс MeCom с троянским кодом в ILSpy.NET Decompiler.

Методы класса MeCom вызываются из метода IsNewUpdate в пространстве имен UpdaterUtils и ZvitPublishedObjects.Server. Сам метод IsNewUpdate вызывается периодически, чтобы проверять доступны ли новые обновления. Зараженный модуль от 15 мая работает немного иначе и содержит меньше функций, чем модуль от 22 июня.

Каждая зарегистрированная организация в Украине имеет уникальный код ЕДРПОУ. И это очень важно, так как используя ЕДРПОУ, можно проводить целенаправленную атаку против конкретной компании или организации. Работая изнутри, с компьютера где установлен троянский модуль, можно использовать различную тактику, в зависимости от намерений атакующих.

С тех пор, как M.E.Doc получил большую популярность, его можно найти на компьютере практически каждого бухгалтера. Один M.E.Doc может обслуживать сразу несколько организаций, и однажды установленный троян будет знать о всех ЕДРПОУ на этой машине для отправки их злоумышленникам.

Код, который собирает ЕДРПОУ.

Кроме ЕДРПОУ, троян также собирает настройки прокси, почты, включая логины и паролизараженного приложения M.E.Doc.

Внимание! Рекомендуется сменить пароли для всех прокси и почтовых пользователей, которые пользовались M.E.Doc!!

Также вредоносный код записывает собранную информацию в реестре Windows по адресу HKEY_CURRENT_USER\SOFTWARE\WC, используя имена ключей Cred и Prx. Если на вашем компьютере вы найдете подобную информацию реестре, значит на вашем компьютере как минимум выполнялся троянский код.

И наконец наиболее хитрая часть. Троянский модуль не использовал никаких внешних серверов как контрольных центров. Он пользовался стандартными обновлениями приложения от M.E.Doc с официального сервера upd.me-doc.com[.]ua. Единственное отличие от легальных запросов в том, что троянский код отправлял собранную информацию назад на сервер через cookies.

HTTP-запрос от трояснкого модуля, который содержит ЕДРПОУ в cookie.

Мы не проводили судебный анализ M.E.Doc сервера. Мы уже писали в нашем блоге, что есть признаки того, что сервер обновлений был скомпроментирован. Поэтому мы можем только подозревать, что атакующие смогли подпатчить сервер обновлений, чтобы различать запросы от зараженных и не зараженных машин и пользоваться этим.

Код бэкдора, который добавляет cookie в запрос.

И конечно, атакующий должен был добавить способ контроля зараженной машины. Этот код получал бинарные данные с официального сервера обновления M.E.Doc, расшифровывал их алгоритмом Triple Des, распаковывал из GZip, в результате получался XML файл с набором инструкций. Таким образом, этот троян превращался в полномасштабную платформу для кибершпионажа и киберсаботажа.


Код трояна, который расшифровывает список инструкций для выполнения на зараженной машине.

Таблица возможных команд:
Command назначение
0 – RunCmd Выполнить shell команду
1 – DumpData декодировать Base64 данные и сохранить их в файл
2 – MinInfo Собрать информацию о компьютере — версия ОС, разрядность, текущие привилегии, настройки UAC, настройки прокси и почты (включая логины и пароли)
3 – GetFile Получить файл с зараженного компьютера
4 – Payload Декодировать Base64 данные, сохранить их в исполняемый файл и запустить его
5 – AutoPayload тоже, что и предыдущее, но файл должен быть сохранен в виде библиотеки и предполагался выполняться через rundll32.exe. Вдобавок он должен попытаться перезаписать конкретную DLL.

Можно отметить, что именно команда номер 5, названная автором зловреда как «AutoPayload», полностью подходит под то, каким образом изначально распространялся DiskCoder.C на зеро-пациентах (первых зараженных машинах).

Метод AutoPayload, который использовался для выполнения шифровальщика DiskCoder.C.

Выводы
Как показывает наш анализ, это была очень тщательно спланированная и хорошо выполненная операция. Мы предполагаем, что атакующие имели доступ к исходным кодам M.E.Doc. Что у них было достаточно времени чтобы изучить его код и внедрить скрытую уязвимость. Полный размер установочного пакета M.E.Doc — около 1.5 гигабайта, и нет никакой возможности оперативно проверить его на другие закладки и уязвимости.

Все еще остаются вопросы. Как долго этот троян использовался? Какие другие команды, кроме отправки зловредов DiskCoder.C и Win32/Filecoder.AESNI.C были запущены через этот канал? Какие другие атаки могли пройти задолго до текущей ситуации, но остались незамеченными?

Отдельная благодарность моим коллегам Frédéric Vachon и Thomas Dupuy за их помощь в расследовании.

Indicators of Compromise (IoC)
ESET detection names:
MSIL/TeleDoor.A
Legitimate servers abused by malware authors:
upd.me-doc.com[.]ua
SHA-1 hashes:

7B051E7E7A82F07873FA360958ACC6492E4385DD
7F3B1C56C180369AE7891483675BEC61F3182F27
3567434E2E49358E8210674641A20B147E0BD23C

P.S.
От переводчика:
Данная ситуация показывает, как плохо государство осознает опасность киберпреступлений, насколько плохо то, что методы борьбы с киберпреступниками не обсуждаются со специалистами, и в результате принимаются совершенно бесполезные, неэффективные и даже вредные решения в виде блокировок и запретов.
В стране сотни крупных и десятки крупнейших ИТ компаний, которые пишут отличное ПО мирового уровня. И эти компании неоднократно предлагали государству услуги по созданию государственных ИТ сервисов, со всеми аттрибутами — адекватным тендером и привлечением специалистов с экспертизой.
Вполне даже тендер может быть организован таким образом, чтобы для исполнения были выбраны несколько компаний — кто-то как автор, кто-то как независимый аудитор.
Совершенно очевидно, что подобный диалог нужен, и ПО, которое используется настолько широко, должно проходить сертификацию как ПО национального значения.

 

Недавно Mozilla выпустила обновлённую версию браузера Firefox за номером 41, которая стала доступна пользователям Windows, Mac, Linux и Android. Пожалуй, главное ее нововведение — система Firefox Hello. Разработчики называют ее «первой глобальной системой коммуникаций, встроенной непосредственно в браузер». Это значит, что Firefox Hello не требует загрузки какого-либо дополнительного программного обеспечения или плагинов и позволяет использовать контакты из аккаунта Google.
Firefox Hello пока находится на стадии бета-тестирования. Запущенная в октябре 2014 г. в сотрудничестве с оператором Telefonica, она позволяет любому пользователю браузера совершать бесплатные голосовые и видеозвонки без регистрации. Роль Telefonica состоит в том, что он предоставил Mozilla коммуникационную платформу дочерней компании TokBox, которая специализируется на коммуникациях на базе WebRTC.
Firefox Hello может оказаться полезной даже на стадии бета, если опять «рухнет» Skype. Напомним, недавно эта система буквально вышла из строя: пользователи жаловались на невозможность подключиться к сети и отправлять сообщения. В то же время веб-версия сервиса работала без проблем. Работоспособность была восстановлена примерно через 12 часов после первых сообщений о проблемах с доступом.

источник