Позначка: Фішинг

Платформа PyPI попередила про фішингову атаку, націлену на Python-розробників. Дослідники заявили, що це перша відома фішингова кампанія проти PyPI, під час якої хакери зламали кілька облікових записів користувачів.

Today we received reports of a phishing campaign targeting PyPI users. This is the first known phishing attack against PyPI.

We’re publishing the details here to raise awareness of what is likely an ongoing threat.

— Python Package Index (@pypi) August 24, 2022

Кіберзлочинці відправляли фішингові електронні листи, в яких інформували жертв про те, що Google виконує обов’язковий процес перевірки для всіх пакетів, і користувачеві необхідно підтвердити свої облікові дані.

Посилання у листі перенаправляє на підроблену сторінку входу до PyPI.

Після введення облікових даних на пристрій жертви завантажуються шкідливі PyPI-пакети, які вже видалені.

• версія 0.1.6 “exotel” (понад 480 000 завантажень);
• версія 2.0.2 і 4.0.2 “spam” (понад 200 000 завантажень).

Пакети завантажують з віддаленого сервера шкідливість python-install.scr розміром 63 МБ, який має дійсний підпис і проходить перевірку VirusTotal (30/67 виявлень). Шкідливе програмне забезпечення дозволяє віддалено виконати код і захопити контроль над пристроєм.

Більше того, експерти Medium опублікували список більш ніж 100 шкідливих PyPI-пакетів, які доставляються в рамках цієї кампанії.

В результаті PyPI оголосила, що роздає безкоштовні апаратні ключі безпеки тим, хто займається супроводом критично важливих проектів – 1% проектів, завантажених за останні шість місяців. Наразі є близько 3500 проектів, що відповідають вимогам.

За даними Checkmarx, майже третина PyPI-пакетів мають уразливості, які дозволяють зловмиснику автоматично виконати код. Для захисту від атаки PyPI роздає безкоштовні апаратні ключі безпеки. Оскільки PyPI-пакети стали частою мішенню кіберзлочинців, адміністратори реєстру поділилися рядом кроків, які можна зробити, щоб захистити себе від фішингових атак. Вони радять перевіряти URL-адресу сторінки перед наданням облікових даних.

Раніше дослідники з компанії Sonatype виявили шифрувальника в офіційному репозиторії PyPI. У ході розслідування з’ясувалося, що шкідник у репозиторій завантажив школяр, а будь-який користувач пакетів був жертвою здирника. Шкідники шифрували дані користувачів, але при цьому не вимагали викупу і перенаправляли жертв на Discord-сервер з ключами для дешифрування. Сам розробник виявився школярем з Італії, який вивчає Python, Lua та HTML. Створенням здирників юний розробник зайнявся нещодавно і, як стверджує, був здивований тим, як легко можна створити шкідливість і змусити користувачів встановити його.

Американська компанія з кібербезпеки Palo Alto Network не втрачає даремно часу навіть у передсвяткові дні, а саме за два дні до Нового року опублікувала у своєму блозі досить інформативне дослідження про стратегічно старі домени та про те, які загрози вони представляють. Згідно з цим дослідженням, такі домени становлять навіть більший ризик, ніж ті, що були щойно зареєстрованими доменами (NRD). Порівнюючи дані, отримані в ході дослідження, шкідливі неактивні домени, що мали обмежений трафік місяцями або роками, раптово можуть отримати більш ніж у 10,3 рази більше трафіку протягом одного дня. Це втричі вище, ніж у щойно зареєстрованих доменах.

У результаті 22,27% таких доменів виявилися небезпечними для роботи, підозрілими чи шкідливими.

За допомогою хмарного детектора фахівці спостерігали за діяльністю доменів і змогли точно визначити саме стратегічно застарілі домени. Вони отримували майже 30 000 доменів щодня, використовуючи дані пасивної системи доменних імен (механізм для зберігання даних системи доменних імен (DNS), який згодом може допомогти ідентифікувати шкідливі інфраструктури). У результаті 22,27% з них виявилися небезпечними для роботи, підозрілими чи шкідливими.

При проведенні свого дослідження фахівці використовували наявну інформацію щодо атаки поступального ланцюга зараженння SolarWinds (троян SUNBURST). Вони дослідили зловмисну ​​кампанію, щоб виявити її основні характеристики, які могли б допомогти у виявленні подібних загроз пролонгованої дії (APT). У ході розслідування фахівці зіткнулися з цікавим фактом, а саме, що аж за декілька років до початку активної роботи з проникнення хакери зареєстрували домен для команди та управління (C2).

Фахівці Palo Alto кажуть, що така поведінка типова для атак пролонгованої дії, коли троянські віруси залишаються неактивними в мережах жертв довгий час, перш ніж зловмисники вирішать запустити безпосередню атаку. Крім того, хакери реєструють кілька доменів, щоб у разі блокування одного з них, вони могли швидко перезапустити атаку на інший. Не тільки атаки пролонгованої дії, як SolarWinds успішно проводяться на стратегічно зістарених доменах, але також такі зловмисницькі дії, як чорна пошукова оптимізація (SEO), фішинг, встановленння точки команди та контролю. Причина широкого вжитку хакерами стратегічно зістарених доменів можна пояснити роботою механізму репутації. Їх виявлення займає більше часу, тому що такі домени з часом отримують позитивну репутацію, до того як вони раптово починають шкідливу діяльність.

Фахівці розділили відскановані домени на чотири групи

Під час згаданої атаки SolarWinds, хакери налаштували троянський вірус таким чином, щоб використовувати алгоритми генерації домену (DGA) для вилучення ідентифікаторів цільових машин із субдоменами. Для виявлення подібних атак, фахівці радять виконувати сканування всіх імен хостів стратегічно зістарених доменів, що допоможе виявити значну кількість нових субдоменів, які можуть бути потенційними зловмисницькими доменами. Результати показали, що близько 161 згенерованих субдоменів алгоритму генерації переносять 43,19% пакетного трафіку.

Фахівці розділили відскановані домени на чотири групи: інші, небезпечні для роботи, підозрілі та шкідливі. До зловмисної групи було віднесено фішинг, сірі програми, команда та керування, шкідливі програми та інші елементи,що зареєстровані на VirusTotal. Підозріла група зібрала разом домени високого ризику, недостатньо якісного вмісту, сумнівні і довгий час не активні домени. Азартні ігри, контент для дорослих, нюд, тощо було віднесено до небезпечної для роботи групи. Решта, яких не вдалося ідентифікувати, були згруповані окремо. Судячи з відсоткових показників, 3,8% стратегічно зістарених доменів виявили шкідливу поведінку. Це вище, ніж у нещодавно зареєстрованих доменів з 1,27%.

Нещодавно IKEA, шведський багатонаціональний конгломерат зі штаб-квартирою в Нідерландах, повідомила про хвилі внутрішнього фішингу. Зловмисники використали внутрішні зламані сервери, щоб надсилати співробітникам компанії електронні листи зі шкідливими вкладеннями. Фахівці з кібербезпеки кажуть, що подібні методи хакери використовували в останніх кампаніях в поширенні троянів Emotet і Qackbot. Вся складність ситуації вказує на можливість загрози кібербезпеці компанії, хоча жодних подробиць керівництвом не було надано.

Зазвичай при проведенні подібних атак хакери компрометують внутрішні сервери Microsoft Exchange, використовуючи вразливості ProxyLogin і ProxyShell. Як тільки доступ до сервера отримано, вони починають пересилання електронних листів зі шкідливими вкладеннями співробітникам. Надіслані як електронні листи від компанії, вони ,безумовно, дають відчуття справжності.

“Це означає, що атака може надійти електронною поштою від особи, з якою ви працюєте, від будь-якої зовнішньої організації, а також як відповідь на розпочату розмову. ЇЇ важко розпізнати, тому ми просимо вас бути особливо обережними”, йдеться у внутрішньому електронному листі, розісланому співробітникам IKEA.

Як кажуть ІТ-спеціалісти IKEA, насторожувальні знаки, на які слід звернути увагу, — це сім цифр у кінці будь-якого вкладення. Компанія також попросила співробітників не відкривати надіслані їм електронні листи та негайно повідомляти про них до ІТ-відділу. В якості запобіжного заходу занепокоєнне керівництво компанії обмежило можливість співробітників відновлювати електронні листи, які можуть опинитися в карантинних скриньках пошти.

Шкідливі листи містили URL-адреси, які перенаправляли браузер на завантаження під назвою «charts.zip», яке містило документ Excel. Потенційним одержувачам таких листів пропонувалося натиснути кнопку надання доступу, щоб переглянути вкладення. Звичайно, такі дії негайно активовували шкідливі макроси. Ті, у свою чергу, завантажували файли під назвою «besta.ocx», «bestb.ocx» і «bestc.ocx» з віддаленого сайту та зберігали їх у папці C:\Datop. Тепер перейменовані DLL-файли починають процес виконання за допомогою команди regsvr32.exe встановлення шкідливого програмного забезпечення.

Як розпізнати фішинг-лист?

Можна сказати, що фішери в наші дні похитрішали, а ті «Ви виграли 1 мільйон, будь ласка, дайте відповідь на цей електронний лист» відчайдушно намагаються йти в ногу з часом (проте скажіть мені, хто ті люди, які відповідають їм?). Нині зловмисники вдаються до більш вишуканіших способів обдурити вас і “виловити” вашу особисту інформацію.

Тепер, коли я це пишу, я згадую дзвінок тієї жінки, нібито з якогось банку, і все ще розмірковую, чи це був фішер. Але повернімося до безпосередньої теми: найкраще вирішення проблеми — запобігти їй. Перегляньте наступні перевірені поради щодо виявлення фішингового електронного листа:

• Невідповідність доменів електронної пошти. Навіть якщо ви отримали електронний лист, який, як приклад, надіслано від Microsoft, уважно зіставте доменні імена, чи вони сходяться. Може бути так, що самий електронний лист надіслано з Micnosft.com, безпомилкова ознака шахрайства;

• Підозрілі посилання чи вкладення. Якщо є підозра, що електронний лист може бути шахрайським, не натискайте на жодні вкладення, не переходьте за жодними посиланнями. Ви можете перевірити справжню адресу перенаправлення, просто навівши мишею на посилання, і воно повинно одразу висвітитися;

Не переходьте ні за якими посиланнями у таких листах

• Безособове вітання. Мабуть, дивно отримувати електронний лист від компанії, з якою ви раніше мали кореспонденцію з нейтральним привітанням на кшталт «Шановний сер або пані». Не варто вже говорити про те, що електронний лист від абсолютно невідомої компанії може бути стовідсотковим шахрайством;

• Погана граматика і орфографія. Якщо в електронному листі є очевидні граматичні чи орфографічні помилки, це може бути ще одним показником шахрайства. Іноді фішери роблять це свідомо, щоб уникнути детекції захисними механізмами, або це може бути невдалий переклад з іншої мови. У будь-якому випадку професійні компанії часто мають редакторів, які забезпечують якість їхньої кореспонденції, тому той електронний лист з «Добрій день» можна перемістити в кошик;

• Настирливі заклики до дій і неодноразові нагадування про небезпеку. Електронна пошта з таким змістовим наповненням має насторожити вас, особливо якщо в самому листі немає конкретних очевидних пояснень. Натомість це просто загроза, загроза і ось магічне рішення: просто зробіть це. Паніку в бік, і ще раз уважно прочитайте і перевірте підозрілий електронний лист.