Vault

В очередной порции документов, полученных в результате утечки данных из закрытой сети ЦРУ и размещённых на WikiLeaks, приводятся сведения о двух проектах по установке вредоносного ПО (имплантов в терминологии ЦРУ) на системы пользователей - BothanSpy и Gyrfalcon. Оба проекта обеспечивают перехват данных аутентификации, фигурирующих при установке защищённых сеансов по протоколу SSH.

Gyrfalcon нацелен на сбор параметров аутентификации (логин/пароль, закрытые SSH-ключи и пароли к SSH-ключам) у клиентов OpenSSH, а также поддерживает режим полного или выборочного сохранения содержимого SSH-сеансов и может выполнить подстановку команд в сеансы. Вся накопленная информация шифруется и сохраняется в файл для последующей отправки на внешний сервер, подконтрольный ЦРУ.

Передача собранных данных осуществляется при помощи других средств - Gyrfalcon обеспечивает только накопление данных. Варианты Gyrfalcon подготовлены для различных дистрибутивов Linux, включая RHEL, CentOS, Debian, openSUSE и Ubuntu. Имплант устанавливается в систему после получения привилегированного доступа, например после атаки с использованием неисправленных уязвимостей или через вход под перехваченной учётной записью.

Описывается два варианта импланта:

Gyrfalcon1 запускается в виде фонового процесса, который работает с правами root и использует ptrace для получения контроля за процессами штатного системного SSH-клиента. После активации Gyrfalcon отслеживает запуск новых процессов и в случае обнаружения SSH-клиента подключается к нему при помощи ptrace. Работа выполняется в пассивном режиме. Дополнительно поставляется Python-скрипт для настройки работы и определения правил перехвата трафика.

Gyrfalcon2 оформлен в виде разделяемой библиотеки, которая устанавливается в систему вместо штатной библиотеки libgssapi.so или загружается через LD_PRELOAD в адресное пространство клиента OpenSSH и перехватывает некоторые обработчики. В состав также входит приложение, которое взаимодействует с библиотекой и получает от неё перехватываемые сведения. Имплант рассчитан на поставку вместе с руткитом JQC/KitV, который обеспечивает его скрытие и активацию.

Второй бэкдор BothanSpy близок по своим возможностям к Gyrfalcon, и отличается тем, что нацелен на слежку за пользователями Windows через подмену SSH-клиента Xshell. Бэкдор устанавливается в систему под видом расширения Shellterm 3.x и действует только для SSH-сеансов, осуществляемых через эмулятор терминала Xshell.

Поюзать (или скачать себе) PDF доки можно по следующим ссылкам:

BothanSpy 1.0

Gyrfalcon 1.0 User Manual

Gyrfalcon  2.0 User Guide

Wikileaks продолжает публикацию архива секретных документов и хакерских инструментов Центрального разведывательного управления (ЦРУ) США, которые были переданы в распоряжение ресурса неизвестным информатором весной 2017 года. Публикации выходят под кодовым названием Vault 7 и рассказывают о самых разных инструментах и техниках.

На этой неделе Wikileaks обнародовала бумаги, касающиеся работы различных утилит, входящих в инструментарий Brutal Kangaroo (ранее носил имя EZCheese), при помощи которого ЦРУ проникает в изолированные от сети и оффлайновые компьютеры. Конечно, никакой магии и экзотики здесь нет (решения ЦРУ не чета методам, которые разрабатывают специалисты из университета имени Бен-Гуриона), и агентам предлагают использовать для заражения вредоносные USB-накопители.

В состав Brutal Kangaroo, созданного еще в 2012 году, входят следующие инструменты:

Drifting Deadline — основная часть Brutal Kangaroo инструмент, содержащая GUI-билдер для создания нужной малвари;

Shattered Assurance – серверный компонент, работающий на зараженном хосте и автоматически заражающий портативные накопители с помощью Drifting Deadline;

Shadow – инструмент, позволяющий объединить ряд зараженных оффлайновых компьютеров в единую сеть для выполнения каких-либо задач;

Broken Promise – инструмент для оценки и извлечения данных, собранных с изолированных машин.

Согласно бумагам, компоненты Brutal Kangaroo используются для реализации многоступенчатых, сложных атак, которые начинаются с того, что сотрудник спецслужб использует Drifting Deadline и создает малварь для первой и второй стадии атаки.

Затем нужно заразить компьютер в целевой сети, однако документы не описывают данный процесс, то есть к каким методам для этого прибегают оперативники ЦРУ, неизвестно. После этого первая зараженная машина станет «основным хостом» и будет использоваться для дальнейшего распространения инфекции. Каждый раз, когда пользователи будут подключать к этому компьютеру USB-накопитель, Brutal Kangaroo будет заражать его малварью, отличной от той, что заразила основной хост, и созданной специально для USB. Ставшие вредоносными USB-накопители после этого будут заражать все компьютеры, к которым подключаются.

Вторая фаза атаки полагается на вредоносные файлы LNK, то есть ярлыки Windows. Файлы LNK будут вызывать автоматическое выполнение вредоносного пейлоада каждый раз, когда будут открыты в Windows Explorer. Аналогичный вектор атак использовала нашумевшая малварь Stuxnet, от которой серьезно пострадала ядерная программа Ирана.

Для данных атак используются эксплоиты Giraffe и Okabi, поддерживающие 32- и 64-разрядные архитектуры. Okabi более эффективен против машин, работающих под управлением Windows 7, 8, и 8.1, тогда как Giraffe работает только против Windows XP.

Согласно опубликованным бумагам, ранее инструментарий назывался EZCheese и Emotional Simian, и эксплуатировал 0-day уязвимость, которая была исправлена в марте 2015 года. Однако переход на эксплуатацию новых багов также оказался не слишком успешным. Так, в инструкции к Drifting Deadline сообщается, что начиная с 23 февраля 2016 года некоторые антивирусные продукты обнаруживают малварь Brutal Kangaroo (в бумагах перечислены Avira, Bitdefender, Rising Antivirus и Symantec).

Более того, с 2016 года разработки Microsoft представили целый ряд патчей для исправления уязвимостей LNK-файлов, включая патч, вышедший в этом месяце. Напомню, что ранее в этом году представители Wikileaks обещали делиться с производителями эксклюзивной информацией о инструментах ЦРУ, входящих в дамп Vault 7. Вероятно, выход свежего патча Microsoft напрямую связан с публикацией бумаг о Brutal Kangaroo.

xakep.ru

Рост человека, и обычная защитная дверь в здании Федерального Резервного Банка США (Кливленд, штат Огайо). Вес — 91 тонна (без дополнительного оборудования)

Для наглядности — уже установленная дверь

В США никогда не скупились на обеспечение безопасности. И двери в хранилища были самыми надёжными даже в доядерную эпоху.

Процесс изготовления двери для хранилища в Кливленде:

Подробнее эту дверь хранилища можно рассмотреть в документальном фильме:

Но кроме самой двери удивляет ещё одна штука — вот этот, очень похожий на стандартную дверь девайс

Нет, это не хранилище для карликов. Нет, это точно не сейф!

Ещё не догадались?

А разгадка очень проста — это затвор вентиляционной шахты, закрываемый на ночь, когда в подземных коридорах нет сотрудников.

На одном из фото видно открытую вентиляцию.

Вот и пруф — пример не самой мощной защиты вентиляции. Да, были случаи проникновения в банковские хранилища по вентиляции, после чего и стали оборудовать такие форточки.

Кстати, мозлеровские сейфы и защитные изделия стали символом банковской системы США, и довольно часто светились в фильмах 1970-х

Если рассматривать эволюцию защитных дверей, то уже в 1950-х эпоха круглых массивных дверей постепенно начала вытеснятся новыми разработками, зачатки которых появлялись ещё в начале 1940-х — прямоугольные двери с параллельными ригелями. При этом толщина некоторых экземпляров 1940-1950-х превосходит самые смелые фантазии.

Кстати, в 1970-х всё те-же мозлеровские сейфы стали не просто надёжными, а и стильными, — безопасность солидных строгих форм

Всем безопасности и покоя

Второй раз по работе сталкиваюсь с шифровальщиком, первый был еще в 2011 году, не столько шифровальщик, сколько портил заголовок файла, можно было починить вручную. А теперь да, как об стенку головой. RSA-1024. В связи с этим возникает 2 вопроса, на который я не могу найти ответ:

1) можно ли включать и выключать java-машину в винде по своему желанию? Я представляю это как кнопку в панели задач "java on" и "java off". Хоть какие-то костыли. Оба вложения были java скриптами. Ведь если снести полностью яву в системе, то скрипт не запустится. Но нельзя, не будут работать кнопки на сайтах и т.д. Поэтому нужен тупой рубильник. В идеале привязка java off к открытию вложения в почтовом клиенте ("вы хотите открыть вложение?"-"да"- "может быть java off"?)

2) можно ли сделать файл-ловушку для щифровальщиков, например файл *.doc (*.xls, *.jpg)размером 1 Гб (5Гб, 10 Гб) со структурой, максимально трудной для шифрования (не просто из нулей или повторяющихся фрагментов, нужен генератор)? Поместив такой файл в корень диска С (или откуда он там начинает шифровать?)можно хотя бы замедлить процесс шифрования и получить дополнительный шанс прервать его, не удалится закрытый ключ. Ну а если повесить на открытие такого файл простой обработчик с окном предупреждения, то вообще красота. (Раньше когда солнце было ярче, водка слаще была такая шутка - рассылали знакомым архивированный файл (сколько-то Гб) из нулей, он сжимался до нескольких килобайт. Антивирус, который проверял почту (только пошли тогда) должен был его распаковать во временную папку перед проверкой - у многих банально не хватало места на винте или Celeron 450 впадал в ступор на пару часов).

Я понимаю, что надо работать со включенным UAC и восстановлением дисков, не в коем случае не под админом, максимально ограничивать права через групповые политики. Все равно это не дает 100% гарантии, также как антивирусы, при этом нормальной работой это назвать нельзя. Уж лучше тогда действительно Linux. Постоянно бэкапить? На флешку нельзя, надо все равно вынимать, сетевые диски и облака (приаттаченные)шифруются точно также как локальные. ФТП? Не у каждого есть и не каждый может с ним работать.

Почему же не сделать защиту именно в тех точках, в которые бъет шифровальшик, максимально облегчив задачу себе и пользователям?

В свое время, когда была эпидемия вирусов на флешках, я был приятно удивлен утилитой USB Vaccine, которая просто закидывала на съемный носитель неправильный файл autorun.inf, который нельзя было стереть, и таким образом блокировала работу autorun вирусов. По-моему очень красиво и в духе стратегии достижения цели малой кровью.

P.S. Видел на профильных форумах объявления о продаже систем рассылки этих шифровальщиков, ведь ничего в голове не нужно для этого - 1500 долл и в автоматическом режиме все работает, дают абузоустойчивый сервак со всеми приблудами, автоматом скачиваются последние версии почтовых баз, троянов, тебе только на биткоин кошелек капает бабло.  Правда сейчас как я понял стали письма читать - раньше рассылали по шаблону "управление судебных приставов" - "за вами долг, ознакомьтесь во вложении", обратный адрес - sud12345@mail/ru. А сейчас видимо читают ломаные ящики и руками рассылают с них контекстно каждому абоненту из адресной книги что кому интересно. Мы например получили шифровальщик в письме от знакомого контрагента чуть ли не в ответ на наш запрос какой-то хрени типа акта сверки. Грех было не открыть. Платить пока не собираемся. Что-то было сохранено, правда старые версии. Как не странно из корзины вытащили много, ее почему-то не тронуло.

P.P.S. Напоследок пожелание для тех, кто этим занимается