✔MEGANews. Cамые важные события в мире инфосека за октябрь - «Новости»

Так­же ана­лиз показал, что в Dante и некото­рых инс­тру­мен­тах, исполь­зован­ных в опе­рации «Форум­ный тролль», при­сутс­тво­вал похожий код, а зна­чит, эти инс­тру­мен­ты тоже были раз­работа­ны Memento Labs.

Эк­спер­ты пишут, что шпи­онское ПО упа­кова­но с помощью инс­тру­мен­та VMProtect, который обфусци­рует поток управле­ния, скры­вает импорти­рован­ные фун­кции и добав­ляет про­вер­ки на запуск в отла­доч­ной сре­де.

Для защиты от динами­чес­кого ана­лиза Dante исполь­зует сле­дующий при­ем про­тив хуков: ког­да необ­ходимо выпол­нить API-фун­кцию, мал­варь раз­реша­ет ее адрес при помощи хеша, пар­сит ее код, что­бы извлечь номер сис­темно­го вызова, а затем соз­дает новую фун­кцию для сис­темно­го вызова и исполь­зует ее.

В допол­нение к анти­отла­доч­ным тех­никам VMProtect Dante исполь­зует рас­простра­нен­ные методы обна­руже­ния дебаге­ров. В час­тнос­ти, про­веря­ет отла­доч­ные регис­тры (Dr0 — Dr7) с помощью фун­кции NtGetContextThread, инспек­тиру­ет поле KdDebuggerEnabled в струк­туре KUSER_SHARED_DATA и выяв­ляет отла­доч­ные сре­ды пос­редс­твом фун­кции NtQueryInformationProcess, опра­шивая клас­сы ProcessDebugFlags, ProcessDebugPort, ProcessDebugObjectHandle и ProcessTlsInformation.

Для защиты от обна­руже­ния Dante исполь­зует инте­рес­ный метод про­вер­ки сре­ды и выяс­нения, безопас­но ли про­дол­жать работу: ищет в логах Windows события, которые могут ука­зывать на исполь­зование инс­тру­мен­тов ана­лиза или вир­туаль­ных машин (на уров­не хос­та или гос­тя).

По­мимо это­го, мал­варь про­водит ряд про­верок на запуск в песоч­нице: ищет «пло­хие» биб­лиоте­ки, изме­ряет вре­мя выпол­нения фун­кции sleep() и инс­трук­ции cpuid, а так­же про­веря­ет фай­ловую сис­тему.

Пос­ле всех про­верок Dante рас­шифро­выва­ет кон­фигура­цию и оркес­тра­тор, находит в пос­леднем стро­ку «DANTEMARKER», записы­вает кон­фигура­цию на ее мес­то и запус­кает оркес­тра­тор.

Кон­фигура­ция содер­жится в сек­ции дан­ных и рас­шифро­выва­ется с помощью прос­того XOR-шиф­ра. Оркес­тра­тор находит­ся в сек­ции ресур­сов и мас­киру­ется под файл шриф­тов. Так­же Dante может заг­рузить оркес­тра­тор из фай­ловой сис­темы, если дос­тупна обновлен­ная вер­сия.

Ана­лити­ки отме­чают, что качес­тво кода оркес­тра­тора соот­ветс­тву­ет ком­мерчес­кому про­дук­ту, но сам по себе он не пред­став­ляет инте­реса. Он отве­чает за связь с управля­ющи­ми сер­верами по про­токо­лу HTTPS, управле­ние модуля­ми и кон­фигура­цией, самоза­щиту и само­уда­ление.

Мо­дули могут сох­ранять­ся в фай­ловую сис­тему и заг­ружать­ся отту­да или же заг­ружать­ся из памяти. Для вычис­ления пути к пап­ке с модуля­ми исполь­зуют­ся час­ти стро­ки, получен­ной путем кодиро­вания иден­тифика­тора инфекции (GUID) в Base64. Таким же спо­собом выводит­ся путь к допол­нитель­ным нас­трой­кам, сох­ранен­ным в реес­тре.

Для самоза­щиты оркес­тра­тор исполь­зует мно­гие из опи­сан­ных выше тех­ник, а так­же про­вер­ки на наличие опре­делен­ных имен про­цес­са и драй­веров.

Ес­ли Dante не получа­ет команд в течение задан­ного в кон­фигура­ции количес­тва дней, мал­варь уда­ляет себя и все сле­ды сво­ей активнос­ти.

На момент написа­ния отче­та спе­циалис­там не уда­лось изу­чить допол­нитель­ные модули, пос­коль­ку сре­ди поль­зовате­лей не было активных зараже­ний Dante.

Ве­дущий эксперт Kaspersky GReAT Борис Ларин ком­менти­рует:

Соз­датели шпи­онско­го ПО хорошо извес­тны спе­циалис­там по кибер­безопас­ности. Одна­ко вре­донос­ные прог­раммы быва­ет слож­но иден­тифици­ровать и отнести кон­крет­ной груп­пе, осо­бен­но в слу­чае целевых атак. Что­бы уста­новить про­исхожде­ние Dante, нам приш­лось разоб­рать­ся в нес­коль­ких сло­ях запутан­ного кода, отсле­дить явные приз­наки его исполь­зования в течение нес­коль­ких лет и сопос­тавить с воз­можны­ми соз­дателя­ми. Похоже, раз­работ­чики злов­реда не прос­то так выб­рали наз­вание Dante, пос­коль­ку тому, кто пыта­ется разоб­рать­ся в его про­исхожде­нии, пред­сто­ит нелег­кий путь.

• За январь — сен­тябрь 2025 года в откры­тый и огра­ничен­ный дос­туп попали 57 уте­чек дан­ных, содер­жащих 34,7 мил­лиона уни­каль­ных телефон­ных номеров и 28 мил­лионов email-адре­сов, под­счи­тали в Data Leakage & Breach Intelligence (DLBI).
  


• По срав­нению с ана­логич­ным пери­одом прош­лого года чис­ло уте­чек сни­зилось поч­ти в че­тыре раза, а их объ­ем — поч­ти в шесть раз.
  


• Ли­дером по количес­тву уте­чек стал сег­мент логис­тики — поч­ти 60% утек­ших дан­ных. Экспер­ты отме­чают, что сни­жение чис­ла пуб­личных уте­чек свя­зано с тем, что вла­дель­цы Telegram-ботов‑про­бив­щиков выкупа­ют базы на экс­клю­зив­ных усло­виях за тысячи и даже де­сят­ки тысяч дол­ларов США.
  

Проблемы спутникового трафика

Уче­ные из Калифор­ний­ско­го уни­вер­ситета в Сан‑Диего и Уни­вер­ситета Мэрилен­да обна­ружи­ли, что при­мер­но полови­на ком­муника­ций геос­таци­онар­ных спут­ников переда­ется без какого‑либо шиф­рования. За три года иссле­дова­ний коман­да перех­ватила кон­фиден­циаль­ные дан­ные кор­пораций, пра­витель­ств и мил­лионов обыч­ных поль­зовате­лей, исполь­зуя обо­рудо­вание сто­имостью все­го 800 дол­ларов.

Ко­ман­да наз­вала свое иссле­дова­ние «Не смот­ри вверх», намекая на то, что вла­дель­цы спут­никовых сис­тем полага­лись на прин­цип «безопас­ность через неяс­ность» (security through obscurity), исхо­дя из того, что ник­то не будет ска­ниро­вать спут­ники и наб­людать за ними.

Ис­сле­дова­тели соб­рали сис­тему перех­вата спут­никовых сиг­налов из готовых сво­бод­но дос­тупных ком­понен­тов: спут­никовая антенна за 185 дол­ларов, креп­ление для кры­ши с мотором за 335 дол­ларов и тюнер‑кар­та за 230 дол­ларов. Уста­новив обо­рудо­вание на кры­ше уни­вер­ситет­ско­го зда­ния в Сан‑Диего, они смог­ли перех­ватывать переда­чи геосин­хрон­ных спут­ников, видимых с их позиции. При этом их обо­рудо­вание «видело» лишь око­ло 15% всех спут­никовых ком­муника­ций — в основном над запад­ной частью США и Мек­сикой.

Клю­чевым объ­ектом иссле­дова­ния стал так называ­емый backhaul-тра­фик. В отда­лен­ных реги­онах, где прок­ладка опто­волок­на эко­номи­чес­ки нецеле­сооб­разна, опе­рато­ры уста­нав­лива­ют базовые стан­ции, которые переда­ют дан­ные не по назем­ным каналам, а через спут­никовый аплинк. Сиг­нал от або­нен­та пос­тупа­ет на выш­ку, затем тран­сли­рует­ся на геос­таци­онар­ный спут­ник, который рет­ран­сли­рует его на назем­ную стан­цию опе­рато­ра, под­клю­чен­ную к основной сети. Проб­лема зак­люча­ется в том, что любой, кто находит­ся в зоне пок­рытия (а это могут быть тысячи километ­ров), может при­нять этот сиг­нал, исполь­зуя ана­логич­ную антенну. Если дан­ные не зашиф­рованы, весь тра­фик ока­зыва­ется дос­тупен для перех­вата.

По­лучен­ные спе­циалис­тами резуль­таты ока­зались тре­вож­ными. К при­меру, все­го за девять часов наб­людения иссле­дова­тели перех­ватили телефон­ные номера более 2700 або­нен­тов T-Mobile, а так­же содер­жимое их звон­ков и SMS-сооб­щений. Как уже ска­зано выше, опе­рато­ры неред­ко исполь­зуют спут­никовую связь для переда­чи дан­ных от уда­лен­ных вышек сотовой свя­зи, рас­положен­ных в пус­тынных или гор­ных реги­онах, к основной сети. И эти дан­ные переда­вались в откры­том виде.

Дэйв Левин (Dave Levin), про­фес­сор компь­ютер­ных наук Уни­вер­ситета Мэрилен­да, учас­тво­вав­ший в иссле­дова­нии, рас­ска­зыва­ет:

Ког­да мы уви­дели все это, мой пер­вый воп­рос был: не совер­шили ли мы толь­ко что уго­лов­ное прес­тупле­ние? Не прос­лушива­ем ли мы чужие телефо­ны?

Од­нако на деле коман­да экспер­тов не занима­лась активным перех­ватом каких‑либо ком­муника­ций, а лишь пас­сивно слу­шала то, что улав­ливала их антенна. Левин добав­ляет, что эти сиг­налы «прос­то тран­сли­руют­ся на более чем 40% повер­хнос­ти Зем­ли в любой момент вре­мени».

Уче­ные получи­ли дос­туп не толь­ко к сотовым ком­муника­циям, но и к дан­ным бор­тового Wi-Fi десяти раз­личных ави­аком­паний, вклю­чая исто­рию прос­мотра веб‑стра­ниц пас­сажира­ми и даже аудио тран­сли­руемых им передач. Кро­ме того, были перех­вачены кор­поратив­ные дан­ные мек­сикан­ско­го под­разде­ления Walmart, ком­муника­ции бан­коматов Santander Mexico и дру­гих бан­ков.

Од­нако осо­бую тре­вогу выз­вали перех­вачен­ные воен­ные и пра­витель­ствен­ные ком­муника­ции. Так, иссле­дова­тели получи­ли незашиф­рован­ные дан­ные с аме­рикан­ских воен­ных кораб­лей, вклю­чая их наз­вания. Но еще более серь­езные проб­лемы обна­ружи­лись у мек­сикан­ских воен­ных: уче­ные перех­ватили сооб­щения коман­дных цен­тров, дан­ные сле­жения за воен­ной тех­никой, вклю­чая вер­толеты Ми-17 и UH-60 Black Hawk, информа­цию об их мес­тополо­жении и деталях мис­сий, а так­же раз­ведыва­тель­ные дан­ные, свя­зан­ные с борь­бой с нар­котра­фиком.

Не менее серь­езной ока­залась ситу­ация с кри­тичес­кой инфраструк­турой. Нап­ример, Comisión Federal de Electricidad — мек­сикан­ская государс­твен­ная элек­тро­энер­гетичес­кая ком­пания с 50 мил­лиона­ми кли­ентов — переда­вала все внут­ренние ком­муника­ции откры­тым тек­стом, от рабочих заказов с адре­сами кли­ентов до дан­ных о неис­прав­ностях обо­рудо­вания. Такие же проб­лемы были выяв­лены на мор­ских неф­тегазо­вых плат­формах.

Ру­ково­дитель иссле­дова­ния про­фес­сор Аарон Шуль­ман (Aaron Schulman) пишет:

Это нас прос­то шокиро­вало. Кри­тичес­ки важ­ные эле­мен­ты нашей инфраструк­туры полага­ются на спут­никовую связь, и мы были уве­рены, что все зашиф­ровано. Но раз за разом все ока­зыва­лось откры­тым.

С декаб­ря 2024 года иссле­дова­тели начали пре­дуп­реждать о проб­леме пос­тра­дав­шие ком­пании и ведомс­тва. Пред­ста­вите­ли T-Mobile отре­аги­рова­ли быс­тро, зашиф­ровав переда­чи все­го за нес­коль­ко недель, одна­ко некото­рые вла­дель­цы кри­тичес­кой инфраструк­туры до сих пор не при­няли никаких мер.

Эк­спер­ты ука­зыва­ют, что с уче­том низ­кой сто­имос­ти обо­рудо­вания такой перех­ват дан­ных дос­тупен прак­тичес­ки любому. Более того, раз­ведыва­тель­ные служ­бы круп­ных государств, веро­ятно, годами экс­плу­ати­руют эту уяз­вимость с помощью гораз­до более мощ­ного обо­рудо­вания. Так, еще в 2022 году Агентство наци­ональ­ной безопас­ности США пре­дуп­режда­ло о проб­леме отсутс­твия шиф­рования спут­никовой свя­зи.

По­мимо самой науч­ной работы, иссле­дова­тели опуб­ликова­ли на GitHub опен­сор­сный инс­тру­мен­тарий, который они соз­дали для ана­лиза получен­ных от спут­ников дан­ных, наде­ясь, что широкая пуб­личность проб­лемы наконец под­тол­кнет вла­дель­цев уяз­вимых сис­тем к внед­рению шиф­рования.

В сво­ей работе экспер­ты пре­дуп­режда­ют: учи­тывая, что изу­чено лишь 15% спут­никовых ком­муника­ций, реаль­ный мас­штаб проб­лемы может ока­зать­ся куда серь­езнее.

В день его 41-летия Павел Дуров опуб­ликовал в сво­ем Telegram-канале пост, в котором заявил, что не намерен праз­дно­вать. Он пишет, что у его поколе­ния закан­чива­ется вре­мя, что­бы спас­ти сво­бод­ный интернет.

Ос­нователь Telegram перечис­лил анти­уто­пичес­кие меры, которые вво­дят ког­да‑то сво­бод­ные стра­ны: циф­ровые ID в Великоб­ритании, онлайн‑про­вер­ки воз­раста в Авс­тра­лии, мас­совое ска­ниро­вание лич­ных сооб­щений в ЕС. Дуров пишет, что Гер­мания прес­леду­ет тех, кто кри­тику­ет чинов­ников в сети, Бри­тания сажа­ет в тюрь­мы за тви­ты, а Фран­ция воз­бужда­ет уго­лов­ные дела про­тив тех­нологи­чес­ких лидеров, защища­ющих сво­боду и при­ват­ность.

Тем­ный, анти­уто­пич­ный мир приб­лижа­ется быс­тро — пока мы спим. Наше поколе­ние рис­кует вой­ти в исто­рию как пос­леднее, у которо­го были сво­боды — и которое поз­волило их отоб­рать. Нас кор­мили ложью. Нас зас­тавили поверить, что величай­шая бит­ва нашего поколе­ния — унич­тожить все, что оста­вили нам пред­ки: тра­диции, при­ват­ность, сувере­нитет, сво­бод­ный рынок и сво­боду сло­ва. Пре­дав нас­ледие наших пред­ков, мы вста­ли на путь само­унич­тожения — мораль­ного, интеллек­туаль­ного, эко­номи­чес­кого и, в конеч­ном сче­те, биоло­гичес­кого. Поэто­му нет, я не собира­юсь праз­дно­вать сегод­ня. У меня закан­чива­ется вре­мя. У нас закан­чива­ется вре­мя.

Атака Mic-E-Mouse

Ис­сле­дова­тели из Калифор­ний­ско­го уни­вер­ситета в Ирвай­не пред­ста­вили ата­ку Mic-E-Mouse. Спе­циалис­ты де­монс­три­руют, как опти­чес­кие сен­соры с высоким DPI в сов­ремен­ных мышах улав­лива­ют малей­шие виб­рации повер­хнос­ти, что поз­воля­ет с высокой точ­ностью вос­ста­новить про­изне­сен­ные рядом с гад­жетом сло­ва.

Ата­ка осно­вана на работе свер­хчувс­тви­тель­ных опти­чес­ких сен­соров, при­меня­емых в сов­ремен­ных игро­вых и про­фес­сиональ­ных устрой­ствах. Такие сен­соры, отсле­жива­ющие дви­жения с высокой точ­ностью (20 000 DPI и выше), дос­таточ­но чувс­тви­тель­ны, что­бы фик­сировать малей­шие виб­рации, выз­ванные зву­ковы­ми вол­нами, про­ходя­щими через повер­хность сто­ла.

То есть, ког­да рядом раз­говари­вает человек, повер­хность сто­ла слег­ка виб­риру­ет, и сен­сор мыши улав­лива­ет эти мик­роколе­бания. Иссле­дова­тели рас­ска­зали, что эту осо­бен­ность мож­но прев­ратить в side-channel-ата­ку.

В сво­ем док­ладе экспер­ты опи­сыва­ют про­цесс, поз­воля­ющий прев­ратить необ­работан­ные и на пер­вый взгляд хаотич­ные дан­ные о дви­жении мыши в понят­ные ауди­осиг­налы. Хотя исходные дан­ные в ходе такой ата­ки получа­ются спу­тан­ными и непол­ными, иссле­дова­тели раз­работа­ли мно­гос­тупен­чатый пай­плайн, осно­ван­ный на методах циф­ровой обра­бот­ки сиг­налов и машин­ного обу­чения, который отфиль­тро­выва­ет шумы и вос­ста­нав­лива­ет речь.

Так, необ­работан­ные дан­ные про­ходят циф­ровую обра­бот­ку с исполь­зовани­ем филь­тра Винера, а затем дан­ные допол­нитель­но очи­щают­ся с помощью ней­рон­ной модели, что поз­воля­ет получить прак­тичес­ки чис­тый звук.

Во вре­мя тес­тирова­ния ата­ки спе­циалис­там уда­лось повысить качес­тво сиг­нала до +19 дБ, а точ­ность рас­позна­вания речи сос­тавила от 42% до 61% на стан­дар­тных датасе­тах.

При этом для ата­ки Mic-E-Mouse не тре­бует­ся мал­варь или глу­бокий дос­туп к сис­теме. Дос­таточ­но получить дан­ные пакетов мыши, а это мож­но осу­щес­твить даже через обыч­ные при­ложе­ния вро­де виде­оигр или гра­фичес­ких редак­торов, которые тре­буют высокос­корос­тной переда­чи дан­ных от мыши.

Про­цесс сбо­ра информа­ции пол­ностью незаме­тен для поль­зовате­ля, пос­коль­ку здесь исполь­зует­ся стан­дар­тная телемет­рия, а реконс­трук­ция зву­ка выпол­няет­ся на сто­роне ата­кующе­го.

Ис­поль­зуя лишь уяз­вимую мышь и компь­ютер жер­твы, на котором уста­нов­лено ском­про­мети­рован­ное или даже без­вред­ное ПО (в слу­чае веб‑ата­ки), мож­но собирать дан­ные о пакетах мыши, а затем извле­кать из них ауди­осиг­налы.

• 
  ФБР зак­рыло оче­ред­ную вер­сию BreachForums
  


• 
  Ха­керы укра­ли у F5 исходный код BIG-IP и информа­цию о нерас­кры­тых уяз­вимос­тях
  


• 
  Поль­зовате­лей WhatsApp ата­ковал саморас­простра­няющий­ся червь SORVEPOTEL
  


• 
  У Discord похити­ли удос­товере­ния лич­ности 70 тысяч поль­зовате­лей
  


• 
  Ата­ка Battering RAM обхо­дит защиту про­цес­соров Intel и AMD
  


• 
  Кри­тичес­кий баг в Redis угро­жает тысячам сер­веров
  


• 
  В движ­ке Unity наш­ли уяз­вимость вось­милет­ней дав­ности
  


• 
  CometJacking прев­раща­ет ИИ‑бра­узер Perplexity в инс­тру­мент для кра­жи дан­ных
  


• 
  По­жары в южно­корей­ских дата‑цен­трах унич­тожили 858 Тбайт дан­ных
  


• 
  Суд зап­ретил NSO Group ата­ковать поль­зовате­лей WhatsApp с помощью Pegasus