История с вирусом Stuxnet хорошо переформатировала отношение общества к киберугрозам: впервые компьютерная программа физически разрушала инфраструктуру предприятия. Скрытные модификации данных между ПЛК и рабочими станциями SCADA-системы постепенно вывели из строя 1368 из 5000 центрифуг на заводе в Натанзе, что приостановило развитие ядерной программы Ирана. Вредоносное приложение имело сложнейшую структуру и использовало несколько уязвимостей нулевого дня в Windows, но попало в заводскую компьютерную сеть благодаря человеческому любопытству. Сотрудник компании открыл на рабочем компьютере флеш-накопитель, подброшенный ему на улице злоумышленниками. Аналитики называли авторами Stuxnet спецслужбы США и Израиля, что имело определенные последствия.


Ответ Ирана

Тегеран в долгу не остался. По даннымISight Partners, с 2011 года иранскими хакерами предпринимались множественные попытки войти в доверие к американским и израильским чиновникам, журналистам, государственным деятелям. Для ведения дружеской переписки в социальных сетях, главным образом в Facebook и LinkedIn, были созданы аккаунты вымышленных личностей, часть из которых представлялись журналистами поддельного новостного ресурса NewsOnAir.org. Основная цель атакующих заключалась в получение паролей от аккаунтов корпоративной почты, Gmail, социальных сетей. Жертве, к примеру, могли прислать ссылку на ролик на YouTube, вместо которого пользователь переправлялся на фейковую форму ввода пароля в Gmail. Атаки велись в отношении более 2000 американских и израильских дипломатов, военных подрядчиков, персонала конгресса, представителей финансовых и энергетических отраслей, а также чиновников, занятых вопросами нераспространения ядерного оружия. На принадлежность хакеров из Тегерана косвенно указывали график работы и почти единодушная привычка брать выходные по пятницам. Специалисты iSight уверены, что кампания по взлому была успешной.


Директор ЦРУ тоже человек

Многие пользователи пересылают служебные документы на личную почту, особенно если доступ к рабочей почте вне офиса ограничен и лень втыкать флешку. До октября 2015 года точно также действовал директор ЦРУ Джона Бреннана (John Brennan): в его почтовом ящике на AOL.com содержались экселевские файлы с данными о 2611 сотрудниках разведки, с их телефонами, email-адресами, номерами социального страхования, уровнями допуска. В бесплатной почте директор ЦРУ обсуждал методы пыток задержанных, там же лежала его 48-страничная анкета и другие файлы разной степени секретности.

Авария на сталелитейном заводе в Германии. Хакеры взяли под контроль электронную почту работников завода, разослав им письма с фишинговыми ссылками, а затем получили доступ к офисной сети и к системе управления доменными печами.

Утечка персональных данных более чем миллиона пользователей Experian — злоумышленник выдал себя за частного детектива и проник в один из филиалов компании.

Атака на Sony, в результате которой компания потеряла более 100 млн долл., началась, по всей видимости, с фишинга в отношении топ-менеджмента.

Биткоин-биржа Bitstamp потеряла 5 млн долл из-за уязвимости в Word. Хакеры использовали фишинг в отношении системных администраторов.

Утечка данных кредитных карт 53 млн пользователей Home Depot, судя по этому конкурсу среди американских ритейлеров и отчету на сайте, не обошлась без социальной инженерии.

В 2013 году на торжественном мероприятии неизвестный мужчина сумелубедить охрану, что он — действующий американский конгрессмен, и беспрепятственно подошел к Бараку Обаме.

Социальная инженерия как метод атаки прекратит своё существование только в том случае, если человечество перестанет существовать. Используя человеческие ресурсы для воплощения своих планов, злоумышленники могут получить доступ абсолютно к любой информации.

Множественные уязвимости высокой степени риска в программном обеспечении Yota были обнаружены экспертами HeadLigt Security еще в августе 2015 года. Одна из уязвимостей позволяет выполнить код на удаленном компьютере без непосредственного взаимодействия с пользователем (достаточно просто посетить определенный веб-сайт). В сентябре Yota была неоднократно проинформирована о наличие проблем безопасности в выпускаемых этой компанией модемах и ПО, однако обновлений безопасности так и не последовало.

Демонстрация использования уязвимостей приводится в этом видео:

Дмитрий Евтеев выступил на заседании, посвященном обсуждению законодательных мер по борьбе с фишингом. В ходе встречи технический директор HeadLigt Security обратил внимание представителей Генпрокуратуры, МВД, Минкомсвязи, Госдумы и Центробанка на зарубежный опыт реализации антифишинговых законов и основные ошибки, способные навредить отрасли информационной безопасности.

 «В качестве примера можно вспомнить принятый в 2008 году в Великобритании запрет на создание и использование хакерских инструментов, — рассказал Дмитрий Евтеев. —  В результате под запрет попало легальное программное обеспечение, которое необходимо для обеспечения информационной безопасности. Впоследствии данная мера была признана технически неграмотной».

По словам Дмитрия, без использования специального программного обеспечения практически невозможно получить объективную оценку защищенности информационной среды организации, а запрет такого ПО развяжет руки в первую очередь киберпреступникам.

«Тестирование на проникновение является одним из наиболее эффективных методов контроля безопасности используемых приложений, — добавил Дмитрий. — Ведущие банки, государственные организации, критически важные отраслевые предприятия заказывают данную услугу для проверки защищенности своих сервисов и IT-инфраструктр. Тестирование на проникновение предполагает моделирование действий злоумышленника и требует соответствующего инструментария. И если завтра вне закона будет, к примеру, такой дистрибутив для проведения пентестов, как Kali Linux, специалисты по информационной безопасности окажутся в роли хирурга, у которого отобрали скальпель по причине потенциальной опасности этого инструмента».

Дмитрий поделился опытом выявления и расследования хакерских атак в компании HeadLigt Security, рассказав об основных приемах фишеров и типичной методике консалтинга по противодействию фишингу. Данная методика, в частности, включает  в себя регистрацию нового домена, имитирующего фишинговый сайт, копирование элементов с электронного ресурса заказчика, размещение «фишингового» сайта на серверах консалтинговой компании и целевую рассылку фокус-группе.

Среди первоочередных мер, необходимых всем участникам отрасли ИБ для борьбы с фишингом — необходимость создания общедоступного реестра подозрительных сайтов. В настоящее время сервисы репутаций функционируют разрозненно и являются частной собственностью отдельных компаний, что не позволяет развивать бесплатные инструменты для защиты пользователей и подключить широкую общественность для их развития. Вместе с тем, необходимо тщательно проработать действия по блокировке фишинговых ресурсов, так как вредоносное ПО зачастую размещается на обычных сайтах без ведома их владельцев, и процедура блокировки может легко быть использована в недобросовестной конкурентной борьбе.

Круглый стол «Противодействие хищению персональных данных и платёжной информации в сети Интернет посредством фишинга» состоялся 29 октября в здании Государственной думы. Во встрече приняли участие член комитета Госдумы по безопасности и противодействию коррупции Илья Костунов, заместитель начальника отдела управления «К» МВД России Александр Вураско, представитель Генпрокуратуры РФ Елена Малык, заместитель директора департамента инфраструктурных проектов Минкомсвязи РФ Вартан Хачатуров, начальник центра мониторинга и реагирования на компьютерные атаки ЦБ РФ Дмитрий Фролов, представители коммерческих компаний в области информационной безопасности.

Ранее сообщалось, что в Госдуме предлагают ввести уголовную ответственность за фишинг. Остальные подробности заседания можно прочитать в материалах «Парламентcкой газеты» и агентства REGNUM.