Дайджест ИБ №244 за период с 22 августа по 2 сентября 2022

Новости Законодательства  

• Правительство утвердило правила согласования закупок иностранного софта по Закону N 223-ФЗ для объектов КИИ.
• Также были утверждены требования к программному обеспечению на значимых объектах КИИ РФ.

Новости ИБ  

• Минцифры, ФСБ и ФСТЭК планируют провести добровольный ежегодный аудит для российских компаний — операторов персональных данных. Аудит защищенности данных будет способствовать более активному инвестированию компаний в системы информбезопасности.
• Аналитики Securonix обнаружили новую вредоносную кампанию "GO#WEBBFUSCATOR", которая использует фишинговые письма, вредоносные документы и снимки с телескопа Джеймс Уэбб для распространения вредоносного ПО. Сам вредонос написан на языке программирования Golang и не обнаруживается антивирусными системами на VirusTotal.
• Компания Galois открыла исходный код своего набора инструментов, который помогает обнаруживать уязвимости в софте, написанном на языках C и C++. Проект под названием MATE получил поддержку Управления перспективных исследовательских проектов Министерства обороны США.
• Компания Atlassian опубликовала рекомендации по безопасности, предупреждающие пользователей Bitbucket Server и Data Center о критической уязвимости, которую злоумышленники могут использовать для выполнения произвольного кода.
• В США начинается набор «государственных хакеров» в американскую армию, сообщил глава Кибершколы Сухопутных войск США Брайан Вайл. Сухопутным силам США требуются специалисты по защите сетей, радиоэлектронной борьбе и работе в киберпространстве.
• Агентство по инфраструктуре и кибербезопасности США предупредило, что хакеры уже эксплуатируют свежую уязвимость в PAN-OS от Palo Alto Networks  CVE-2022-0028. Она связана с некорректной конфигурацией политики фильтрации URL-адресов, что может позволить злоумышленнику выполнить отраженную и усиленную TCP-атаку.
• Минцифры планирует запустить реестр недопустимых событий в информационной безопасности для госструктур и объектов КИИ. Реестр призван повысить осведомленность руководителей организаций, на которых ложится персональная ответственность за устранение таких инцидентов.

Интересные посты русскоязычных блогов по ИБ  

• Блог компании FirstVDS посвящен вариациям фреймворка Snoopy.  В своей статье автор выявил большое количество разнообразных вариантов Snoopy, и представил вниманию читателя небольшую выборку самых интересных проектов.
• Для того, чтобы повысить уровень отказоустойчивости сети на уровне маршрутизации, сетевые администраторы в большинстве случаев используют протоколы семейства FHRP. Автор статьи показал, что может возникнуть, если к конфигурации системы горячего резервирования маршрутизаторов FHRP отнеслись безответственно с точки зрения дизайна и безопасности.
• Как известно, шифровальщиков и троянов под FreeBSD — не видно, но они существуют и представляют опасность. Автор Валентин Холмогоров в своей статье привел вредоносы для FreeBSD, о которых ему когда-либо доводилось слышать, и представил их краткий обзор. 

Интересные посты англоязычных блогов по ИБ  

• Компания Freedom to Tinker опубликовала статью о том, почему современные компьютеры уязвимы и как это связано с усложнением их архитектуры. Автор рассматривает идею "дешевой сложности" – производства дешевых сложных процессоров общего назначения вместо простых устройств для конкретных приложений, которые надежнее, но в разы дороже.
• Susan Bradley поделилась примерами кейсов, в которых применение последних best practices информационной безопасности не соответствуют установленным требованиям организации. А так как оно является обязательным практически во всех крупных фирмах, автор призывает разумно внедрять новые требования и технологии.
• Все заинтересованные стороны, от директора по информационным технологиям до команды по анализу киберугроз, хотят, чтобы их команда преуспела в смоделированных кибератаках. Chris Hughes описал 6 лучших практик для успеха команд.

Исследования и аналитика

• Эксперты Лаборатории Касперского выпустили отчет, в котором проанализировали наиболее часто встречающиеся вредоносные разрешения для браузеров. В 2021 году количество подобных атак на пользователей уменьшилось вдвое по сравнению с 2020-м: с 3,6 млн в до 1,8 млн. За первую половину 2022 года зафиксировано 1,3 млн атак.
• Согласно недавнему исследованию, проведенному в Институте вычислительных технологий Китайской академии наук, на небольшие сбои DNS-запросов приходится около 13,5% всех DNS-запросов в Китае, причем два из трех запросов АААА не выполняются.
• Radware опубликовал отчет, в котором говорится, что количество вредоносных DDoS-атак выросло на 203% по сравнению с первыми шестью месяцами 2021 года. За первые полгода 2022 года вредоносных DDoS-событий было на 60% больше, чем за весь 2021 год.
• Исследование Claroty гласит, что количество раскрытий уязвимостей, влияющих на устройства IoT, увеличилось на 57% в первой половине 2022 года по сравнению с предыдущими шестью месяцами. За тот же период количество самораскрытия поставщиков увеличилось на 69%, впервые они стали более активными репортерами, чем независимые исследовательские организации.
• Новый отчет Palo Alto Networks Unit 42 показывает резкое увеличение количества фишинговых атак, которые злоупотребляют платформами «программное обеспечение как услуга», такими как конструкторы веб-сайтов и конструкторы форм. С июня 2021 года по июнь 2022 года количество атак увеличилось на 1100%. Эти фишинговые атаки иногда выдают себя за законные сайты, чтобы украсть учетные данные для входа.
• Согласно новому отчету Лаборатории Касперского, северокорейская APT-группа Kimsuky проводит кампанию против политических и дипломатических организаций Южной Кореи, а также профессоров южнокорейских университетов, исследователей аналитических центров и правительственных чиновников.
• В 2022 году средняя стоимость утечки данных достигла рекордно высокого уровня в $4,35 млн, согласно отчету IBM и института Ponemon. Тремя основными пострадавшими отраслями от утечек данных, являются здравоохранение, финансы и фармацевтика. 
• Исследователи из Lookout выпустили интересный отчёт, согласно которому ряд организаций в Казахстане, Сирии и Италии использовали шпионский софт корпоративного уровня для Android, чтобы проникать на мобильные устройства пользователей. Шпион назвали “Hermit“. За его созданием, предположительно, стоит итальянский вендор RCS Lab S.p.A., специализирующийся на слежке, а также телекоммуникационная компания Tykelab Srl.
• Согласно отчету Trend Micro, операторы нового вымогателя Agenda выбрали в качестве основной цели компьютеры Windows. Злоумышленники атакуют организации сферы образования и здравоохранения. Исследователи обнаружили несколько семплов, каждый из которых был заточен под конкретную жертву. Сумма требуемого выкупа варьируется от $50 до $800 тыс.
• Специалисты Group-IB опубликовали детальный отчет о кампании 0ktapus. Эксперты сообщили, что недавние фишинговые атаки на сотрудников Twilio и Cloudflare оказались частью этой масштабной кампании, в результате которой была скомпрометирована 9931 учетная запись более чем в 130 компаниях.
• Недавнее исследование Proofpoint разбирает нестандартную вредоносную атаку, жертвы которой получают сообщения якобы о бронировании для них гостиницы или авиабилетов. Интерес представляет использование для доставки вредоносного ПО архива, в котором содержится .bat-файл и «образ диска» в формате ISO. По мнению авторов отчета, данный метод организаторы начали применять после того, как компания Microsoft объявила о запрете выполнения макросов в файлах, скачанных из сети. 
• Исследование Akamai показывает, что повторное использование набора инструментов для фишинга сыграло ключевую роль в увеличении активности вредоносных доменов во втором квартале 2022 года. Исследование показало, что 12,3% отслеживаемых устройств обменивались данными с доменами, связанными с вредоносными программами или программами-вымогателями, по крайней мере один раз в течение второго квартала 2022 года.
• Radiant Logic, компания, занимающаяся созданием Identity Data Fabric, выпустила отчет Управление идентификационными данными: блокпост или бизнес-возможность, в котором подробно рассматриваются современные проблемы управления идентификацией.  67% респондентов знают, что у них разрастание идентичности, но не знают, как полностью решить эту проблему.
• Proofpoint и PwC Threat Intelligence отследили кибершпионскую кампанию в Австралии, Малайзии и Европе, проводившуюся в период с апреля по июнь 2022 года китайской АРТ, известной как TA423. Основными целями АРТ стали организации в сфере энергетики в Южно-Китайском море.
• EDR-продукты приносят миллиарды доходов и сейчас продаются десятками ИБ-компаний. Но опытные хакеры могут легко обойти EDR-защиту, потратив на это одну неделю своей работы по взлому. Исследователи из SRLabs протестировали 3 широко используемых EDR, продаваемых Symantec, SentinelOne и Microsoft. Специалистам удалось обойти все 3 EDR с помощью одного или двух методов уклонения.

Громкие инциденты ИБ  

• По условиям мирового соглашения, о котором объявил генеральный прокурор Калифорнии Роб Бонта, компания Sephora согласилась выплатить $1,2 млн в виде штрафа и предоставить потребителям возможность отказаться от продажи личной информации третьим лицам.
• Онлайн-кинотеатр Start подтвердил факт утечки данных пользователей, отметив, что эта информация в основном не представляет интереса для злоумышленников и в настоящее время уязвимость устранена. В сети стала доступна часть адресов электронной почты и номеров телефонов клиентов по состоянию на 2021 год.
• Индийская авиакомпания Akasa Air подверглась утечке данных. Компания заявляет, что злоумышленникам могли быть доступны имена, пол, адреса электронной почты и номера телефонов, из-за возникшей ошибки конфигурации службы входа и регистрации Akasa Air, которая могла позволить внешним субъектам просматривать информацию о пользователях.
• Группа хакеров занимается продажей секретных военных документов НАТО. Обнародованные материалы содержат информацию о новом вооружении и маневрах сил Североатлантического Альянса в странах Прибалтики. В настоящий момент НАТО оценивает масштаб утечки и прогнозирует последствия.
• Один из самых популярных менеджеров паролей LastPass подвергся хакерской атаке. В компании подтвердили факт взлома и кражи части исходного кода, однако заверили, что данные пользователей скомпрометированы не были.
• Хакеры группировки Killnet взломали портал службы информационных технологий и кибербезопасности Молдавии. Сначала злоумышленники опубликовали предупреждение службы о том, что наблюдаются атаки на информационные системы государственного значения, а затем выложили скриншот, подтверждающий, что сайт STISC Молдавии не работает.
• Группировка LockBit взяла на себя ответственность за хакерскую атаку на компанию Entrust, специализирующуюся на кибербезопасности. Злоумышленники уже опубликовали на своем «сайте для утечек» украденные у компании данные.
• Центр Hospitalier Sud Francilien, который обслуживает 600 000 человек и расположен недалеко от центра Парижа, подвергся кибератаке. Злоумышленники потребовали выкуп в размере $10 млн в обмен на ключ дешифрования для разблокировки информационных системы, в частности, связанных с госпитализацией пациентов.

Обзор событий предстоящих недель 05.09 – 16.09 

Оффлайн-конференции

• 6-9 сентября, Сочи – XXI всероссийский форум Информационная безопасность. Регулирование. Технологии. Практика. ИнфоБЕРЕГ;
• 13-15 сентября, Санкт-Петербург – PKI Форум;
• 15 сентября, Москва – Шестая ежегодная конференция MOBILE FORENSICS DAY 2022;
• 15-18 сентября, Сочи – Код ИБ ПРОФИ;
• 15-16 сентября, Сочи – PCI DSS Training;
• 16 сентября, Сочи – Воркшоп по практической информационной безопасности PRACTICAL SECURITY VILLAGE.

Онлайн-конференции

• 7 сентября, 11:00 - AMLive: Инструменты и сервисы киберразведки;
• 9 сентября, 16:00 - Соревнования по кибербезопасности BANK SECURITY CHALLENGE;
• 14-16 сентября – CYBER CAMP 2022.

Вебинары

• 6 сентября – Вебинар Гротек: Комплексная безопасность и защищенность объектов промышленности, нефтегазового сектора и электроэнергетики;
• 6 сентября, 11:00 – Вебинар ДиалогНаука: Управление уязвимостями: что должны уметь VM-решения;
• 7 сентября, 11:15 – Вебинар А-Реал Консалтинг: Как настроить безопасное подключение и удаленный доступ: VPN в ИКС?;
• 13 сентября, 11:00 – Вебинар ДиалогНаука: UserGate SUMMA – слагаемые безопасности;
• 15 сентября, 12:00 – Вебинар Ростелеком-Солар: Консалтинг в Identity Management: безболезненное внедрение управления доступом.