[Информационная безопасность] Security Week 35: масштабирование голосового фишинга
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
20 августа Федеральное Бюро Расследований США опубликовало предупреждение об атаках на корпоративную инфраструктуру с использованием голосового фишинга. Сокращенное название этого метода социальной инженерии, «вишинг», претендует на титул самого дурацкого security-баззворда 2020 года, но проблема от этого проще не становится. Хотя она и не новая: знакомые всем звонки якобы от службы безопасности банка тоже могут быть отнесены к категории «телефонных атак».
Поводом особо выделить данную угрозу для американских госструктур стала скоординированная атака, замеченная в середине июля этого года. Подробностей в бюллетене FBI и CISA не приводится, зато много интересной информации есть в публикации Брайана Кребса от 19 августа. Судя по всему, вишингом всерьез занимается группа киберпреступников, которая предоставляет свои услуги всем желающим на черном рынке. Это долгосрочные, таргетированные атаки, направленные на извлечение прибыли путем шантажа или кражи персональных данных.
Источники:
Сообщение ФБР и американского Агентства по кибербезопасности (PDF).
Статья Брайана Кребса с анализом действий атакующих.
Новость о голосовых атаках на клиентов американских банков от 2014 года, одно из ранних упоминаний термина vishing.
Кейс годичной давности о краже средств компании с использованием сложной голосовой атаки.
Новость на Хабре.
Голосовой фишинг можно условно разделить на три категории: простая атака на потребителя (звонок из банка, звонок сотового оператора и так далее), атака на компанию (звонок якобы из техподдержки), сложная атака якобы от реального, знакомого жертве сотрудника. Ровно год назад в СМИ попала информация об успешной атаке на компанию: условно главному бухгалтеру позвонил гендиректор и попросил сделать перевод на определенный банковский счет. Было украдено 220 тысяч евро, атакующие предположительно использовали алгоритмы машинного обучения, чтобы «воссоздать» голос реального человека. В этот раз речь идет об атаках уровнем ниже. Происходят они следующим образом: сотрудник компании получает телефонный звонок от представителя службы поддержки, тот сообщает о необходимости «починить VPN» и перенаправляет жертву на поддельный сайт с последующей кражей аккаунта.
В этом случае машинное обучение не требуется: крупная корпорация, в IT-департаменте работает много людей — легко убедить жертву, что ей звонит недавно нанятый сотрудник. Сейчас идеальное время для подобных атак: очень много людей работают из дома (хотя ничто не мешает проворачивать такие же атаки и в офисном окружении). Раньше мошенникам не хватало лишь хорошей организации криминального бизнеса. И судя по данным из статьи Брайана Кребса, теперь с организацией у киберпреступников все достаточно неплохо. Вот как они действуют:
— Создают правдоподобные копии страниц авторизации в корпоративной системе, с логотипами и ссылками на реальные ресурсы компании.
— Поднимают поддельные сайты на анонимных хостингах, принимающих оплату криптовалютой. Они используются только в том случае, если удалось установить контакт с жертвой, так как массовую рассылку могут заблокировать корпоративные системы безопасности. Под каждую атаку создается отдельный хостинговый аккаунт, чтобы жалоба на одну страницу не обезвредила всю фишинговую сеть.
— Создают поддельные профили в LinkedIn, с которых потенциальным жертвам отправляются запросы в друзья. Звонок от знакомого по соцсети вызовет меньше подозрений, и у преступников будет больше шансов на успех.
— Предусматривают возможность многофакторной аутентификации. Если используется переменный код доступа, для него будет поле на фишинговой странице.
— После взлома к аккаунту привязывается дополнительный номер телефона или смартфон, чтобы можно было восстанавливать доступ уже без социальной инженерии.
— Выключают поддельный сайт сразу после атаки, чтобы замести следы. Это новый челлендж для индустрии кибербезопасности: идентифицировать фишинговые страницы до того, как они будут использованы.
Понятно, что даже при таком уровне подготовки вишинг не всегда срабатывает. В случае неудачи атакующие анализируют полученную информацию и меняют тактику. Собеседники Кребса утверждают, что занятые в этой индустрии люди нарабатывали свои навыки годами. К счастью, конкретная серия атак этого лета показывает, что ее авторы в социальной инженерии разбираются лучше, чем в шантаже, выводе средств со счетов и тому подобном.
Контрмерой для любой атаки с использованием социальной инженерии прежде всего является обучение сотрудников. Например, в отчете ФБР работникам компаний рекомендуют добавлять страницу для доступа к веб-сервисам компании в закладки и открывать именно ее, а не ту ссылку, что присылают злоумышленники. Можно затруднить проникновение и с помощью технических методов — например, ограничив доступ к VPN устройствами из белого списка. Самым перспективным методом является аппаратный ключ для доступа к корпоративным ресурсам, который просто не сработает на поддельной странице. Но не так уж просто выдать такой ключ сотням или даже тысячам сотрудников, особенно если они работают удаленно. Универсальной рекомендацией остается снижение потенциального ущерба от взлома одной учетной записи.
Что еще произошло:
Компания Google закрыла уязвимость в корпоративном почтовом сервисе (часть пакета услуг G Suite), которая позволяла отправлять сообщения от имени любого пользователя почты Gmail или абонента G Suite. Особенность проблемы заключалась в том, что при спуфинге сохранялись «знаки качества» Google (SPF и DMARC), что и отличает данный баг от других методов подделки реального адреса отправителя. Уязвимость была закрыта через несколько часов после публикации отчета, хотя к тому моменту Google было известно о баге уже полгода.
Еще одна интересная уязвимость электронной почты: в некоторых клиентах (например, в Thunderbird) в стандартных ссылках типа mailto: можно аргументом прикреплять файл. Теоретический пример атаки показан на скриншоте выше: отправляем жертве ссылку, по клику на нее создается сообщение с адресом отправителя и приаттаченным файлом. Подробнее рассказано в новости и работе исследователей из Рурского и Вестфальского университетов.
В США арестованы десятки человек, использовавших баг в банкоматах Santander. Программная ошибка позволяла снять с дебетовых карт больше денег, чем было на счете. Банку пришлось на несколько часов отключить вообще все ATM в стране.
Обнаружен новый ботнет, атакующий устройства и серверы со слабыми паролями доступа по протоколу SSH. Особенностью ботнета является децентрализация: единый командный сервер отсутствует, сеть управляется распределенно между зараженными устройствами.
Интересный метод создания копии ключей к замку: записать звуки, издаваемые реальным ключом, которым открывает дверь владелец, а затем на основе анализа щелчков восстановить форму ключа.
===========
Источник:
habr.com
===========
Похожие новости:
- [Информационная безопасность, Криптография, Серверное администрирование, Распределённые системы] FritzFrog — новое поколение ботнетов (перевод)
- [Информационная безопасность, Законодательство в IT, Видеотехника] «Ъ»: мэрия Москвы имеет право продавать и выкладывать в свободный доступ записи с камер наблюдения
- [Информационная безопасность, Git, GitHub] Линус Торвальдс, Бьёрн Страуструп и Брендан Грегг контрибьютят в мой хобби-проект. Зачем?
- [Информационная безопасность] ФБР предупредило об угрозе голосового фишинга — вишинга
- [*nix, Информационная безопасность, Облачные сервисы, Серверное администрирование, Сетевые технологии] Как мы выбирали VPN-протокол и сервер настраивали
- [Информационная безопасность, История IT, Изучение языков] Аутенти(фи?)кация
- [Информационная безопасность, Open source, Социальные сети и сообщества] Maltego Часть 6. «Дорогой, где ты был? Бегал!» (с)
- [Информационная безопасность, Реверс-инжиниринг] Уязвимость Use-After-Free (перевод)
- [Информационная безопасность] Новая версия ЧАВО для выбора паролей и правил создания систем аутентификации от NIST
- [Информационная безопасность, Исследования и прогнозы в IT] Битва за роутеры: как ботнеты делят сферы влияния
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_vishing, [url=https://torrents-local.xyz/search.php?nm=%23_blog_kompanii_«laboratorija_kasperskogo»&to=0&allw=0&o=1&s=0&f%5B%5D=820&f%5B%5D=959&f%5B%5D=958&f%5B%5D=872&f%5B%5D=967&f%5B%5D=954&f%5B%5D=885&f%5B%5D=882&f%5B%5D=863&f%5B%5D=881&f%5B%5D=860&f%5B%5D=884&f%5B%5D=865&f%5B%5D=873&f%5B%5D=861&f%5B%5D=864&f%5B%5D=883&f%5B%5D=957&f%5B%5D=859&f%5B%5D=966&f%5B%5D=956&f%5B%5D=955]#_blog_kompanii_«laboratorija_kasperskogo» (
Блог компании «Лаборатория Касперского»
)[/url], #_informatsionnaja_bezopasnost (
Информационная безопасность
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 23-Ноя 05:36
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
|
20 августа Федеральное Бюро Расследований США опубликовало предупреждение об атаках на корпоративную инфраструктуру с использованием голосового фишинга. Сокращенное название этого метода социальной инженерии, «вишинг», претендует на титул самого дурацкого security-баззворда 2020 года, но проблема от этого проще не становится. Хотя она и не новая: знакомые всем звонки якобы от службы безопасности банка тоже могут быть отнесены к категории «телефонных атак».  Поводом особо выделить данную угрозу для американских госструктур стала скоординированная атака, замеченная в середине июля этого года. Подробностей в бюллетене FBI и CISA не приводится, зато много интересной информации есть в публикации Брайана Кребса от 19 августа. Судя по всему, вишингом всерьез занимается группа киберпреступников, которая предоставляет свои услуги всем желающим на черном рынке. Это долгосрочные, таргетированные атаки, направленные на извлечение прибыли путем шантажа или кражи персональных данных. Источники: Сообщение ФБР и американского Агентства по кибербезопасности (PDF). Статья Брайана Кребса с анализом действий атакующих. Новость о голосовых атаках на клиентов американских банков от 2014 года, одно из ранних упоминаний термина vishing. Кейс годичной давности о краже средств компании с использованием сложной голосовой атаки. Новость на Хабре. Голосовой фишинг можно условно разделить на три категории: простая атака на потребителя (звонок из банка, звонок сотового оператора и так далее), атака на компанию (звонок якобы из техподдержки), сложная атака якобы от реального, знакомого жертве сотрудника. Ровно год назад в СМИ попала информация об успешной атаке на компанию: условно главному бухгалтеру позвонил гендиректор и попросил сделать перевод на определенный банковский счет. Было украдено 220 тысяч евро, атакующие предположительно использовали алгоритмы машинного обучения, чтобы «воссоздать» голос реального человека. В этот раз речь идет об атаках уровнем ниже. Происходят они следующим образом: сотрудник компании получает телефонный звонок от представителя службы поддержки, тот сообщает о необходимости «починить VPN» и перенаправляет жертву на поддельный сайт с последующей кражей аккаунта.  В этом случае машинное обучение не требуется: крупная корпорация, в IT-департаменте работает много людей — легко убедить жертву, что ей звонит недавно нанятый сотрудник. Сейчас идеальное время для подобных атак: очень много людей работают из дома (хотя ничто не мешает проворачивать такие же атаки и в офисном окружении). Раньше мошенникам не хватало лишь хорошей организации криминального бизнеса. И судя по данным из статьи Брайана Кребса, теперь с организацией у киберпреступников все достаточно неплохо. Вот как они действуют: — Создают правдоподобные копии страниц авторизации в корпоративной системе, с логотипами и ссылками на реальные ресурсы компании. — Поднимают поддельные сайты на анонимных хостингах, принимающих оплату криптовалютой. Они используются только в том случае, если удалось установить контакт с жертвой, так как массовую рассылку могут заблокировать корпоративные системы безопасности. Под каждую атаку создается отдельный хостинговый аккаунт, чтобы жалоба на одну страницу не обезвредила всю фишинговую сеть. — Создают поддельные профили в LinkedIn, с которых потенциальным жертвам отправляются запросы в друзья. Звонок от знакомого по соцсети вызовет меньше подозрений, и у преступников будет больше шансов на успех. — Предусматривают возможность многофакторной аутентификации. Если используется переменный код доступа, для него будет поле на фишинговой странице. — После взлома к аккаунту привязывается дополнительный номер телефона или смартфон, чтобы можно было восстанавливать доступ уже без социальной инженерии. — Выключают поддельный сайт сразу после атаки, чтобы замести следы. Это новый челлендж для индустрии кибербезопасности: идентифицировать фишинговые страницы до того, как они будут использованы. Понятно, что даже при таком уровне подготовки вишинг не всегда срабатывает. В случае неудачи атакующие анализируют полученную информацию и меняют тактику. Собеседники Кребса утверждают, что занятые в этой индустрии люди нарабатывали свои навыки годами. К счастью, конкретная серия атак этого лета показывает, что ее авторы в социальной инженерии разбираются лучше, чем в шантаже, выводе средств со счетов и тому подобном. Контрмерой для любой атаки с использованием социальной инженерии прежде всего является обучение сотрудников. Например, в отчете ФБР работникам компаний рекомендуют добавлять страницу для доступа к веб-сервисам компании в закладки и открывать именно ее, а не ту ссылку, что присылают злоумышленники. Можно затруднить проникновение и с помощью технических методов — например, ограничив доступ к VPN устройствами из белого списка. Самым перспективным методом является аппаратный ключ для доступа к корпоративным ресурсам, который просто не сработает на поддельной странице. Но не так уж просто выдать такой ключ сотням или даже тысячам сотрудников, особенно если они работают удаленно. Универсальной рекомендацией остается снижение потенциального ущерба от взлома одной учетной записи. Что еще произошло: Компания Google закрыла уязвимость в корпоративном почтовом сервисе (часть пакета услуг G Suite), которая позволяла отправлять сообщения от имени любого пользователя почты Gmail или абонента G Suite. Особенность проблемы заключалась в том, что при спуфинге сохранялись «знаки качества» Google (SPF и DMARC), что и отличает данный баг от других методов подделки реального адреса отправителя. Уязвимость была закрыта через несколько часов после публикации отчета, хотя к тому моменту Google было известно о баге уже полгода.  Еще одна интересная уязвимость электронной почты: в некоторых клиентах (например, в Thunderbird) в стандартных ссылках типа mailto: можно аргументом прикреплять файл. Теоретический пример атаки показан на скриншоте выше: отправляем жертве ссылку, по клику на нее создается сообщение с адресом отправителя и приаттаченным файлом. Подробнее рассказано в новости и работе исследователей из Рурского и Вестфальского университетов. В США арестованы десятки человек, использовавших баг в банкоматах Santander. Программная ошибка позволяла снять с дебетовых карт больше денег, чем было на счете. Банку пришлось на несколько часов отключить вообще все ATM в стране. Обнаружен новый ботнет, атакующий устройства и серверы со слабыми паролями доступа по протоколу SSH. Особенностью ботнета является децентрализация: единый командный сервер отсутствует, сеть управляется распределенно между зараженными устройствами. Интересный метод создания копии ключей к замку: записать звуки, издаваемые реальным ключом, которым открывает дверь владелец, а затем на основе анализа щелчков восстановить форму ключа. =========== Источник: habr.com =========== Похожие новости:
Блог компании «Лаборатория Касперского» )[/url], #_informatsionnaja_bezopasnost ( Информационная безопасность ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 23-Ноя 05:36
Часовой пояс: UTC + 5