Неугомонные хакеры и борьба с ними

[Zaman.]

Хакеры пытаются проникнуть в ваш компьютер. Возможно, прямо сейчас

Не проходит и секунды, чтобы сайты и компьютеры компаний по всему миру не атаковали вирусы и боты, пытаясь проникнуть в систему. Борьба с ними осложняется тем, что сотрудникам, отвечающим за информационную безопасность, сложно отличить вредоносный трафик от обычного. Объясняем, почему так происходит и как эту проблему решают в разных странах.

Представьте, что в офис вашей компании ежедневно наведываются тысячи преступников: заглядывают в окна, пытаются проникнуть в здание. Вас бы наверняка это обеспокоило.

 

Именно это происходит с любой компанией, которая есть в онлайн-пространстве.

Специалист по безопасности Эндрю Моррис называет этот поток "серым шумом". Он основал одноименную компанию, чтобы регистрировать, изучать и анализировать подобные запросы.

"Это самая сложная и комплексная проблема, которую мне довелось изучать", - говорит Моррис в интервью "Би-би-си".

 

Он ведет запись попыток взлома при помощи систем-ловушек для хакеров, которые расставляет по всему интернету. Внешне они похожи на обычные серверы - и поэтому привлекают внимание ботов и кибермошенников, которые пытаются проникнуть в систему.

Внимания они привлекают много. В 2018 году сеть Морриса подвергалась атакам до 4 миллионов раз в день. Его компьютеры-ловушки обрабатывают от 750 до 2000 запросов на соединения в секунду - в зависимости от того, насколько загружены атакующие программы в конкретный период времени.

Проанализировав этот трафик, Моррис пришел к выводу, что лишь малая его доля является легитимной.

 

Легитимный трафик идет от поисковиков, индексирующих сайты, или от организаций, которые прочесывают вебсайты, таких как, например, некоммерческая электронная библиотека "Архив Интернета". В некоторых случаях - от компаний по кибербезопасности и других специалистов.

Оставшаяся часть фонового шума - около 95% - это опасный, нелигитимный трафик.

Он может исходить от саморазмножающихся программ, известных как вирусы-черви, которые используют зараженные компьютеры для распространения вируса, или от кибермошенников, которые ищут определенные уязвимости и лазейки в серверах.

 

Иногда угроза исходит от более примитивных устройств вроде принтеров и роутеров, которые взломали с целью использовать в массовой сетевой атаке.

"Все эти сетевые устройства генерируют огромный трафик во всей интернет-сети, и подавляющее большинство этого трафика исходит от вредоносных систем, - говорит Моррис. - Каждый день десятки тысяч машин подвергаются заражению".

 

Но блокировать этот наплыв вредоносного трафика нелегко. Во многом потому, что на первый взгляд он выглядит безобидным.

Когда вы заходите на вебсайт, ваш компьютер первым делом отправляет сайту запрос, чтобы удостовериться, что он активен. Это своеобразное "рукопожатие" - стандартная процедура приветствия, которую используют все безопасные серверы.

 

Но киберпреступники поняли, что, если правильно провести процедуру приветствия, можно получить важную информацию об организации и, возможно, найти способ проникнуть в систему.

И только если кто-то не пожалеет времени на то, чтобы проследить источник этого трафика, становится очевидно, что он опасен.

"В интернет-пространстве все время происходят соединения с системами с целью понять, что они из себя представляют и что делают, - говорит Мартин Ли, специалист отдела по безопасности Cisco Talos в Европе. - Это создает стабильный фоновый шум - как если бы люди все время стучались в двери и проверяли надежность замков".

 

Если в сети появляется незащищенный компьютер, можно с уверенностью сказать, что в течение нескольких секунд он будет заражен вредоносной программой и, возможно, даже станет рабом армии ботов, которая осуществляет атаки на другие компьютеры.

"Тебя всегда кто-то пытается взломать, - говорит Ли. - Это банальный факт из жизни всемирного интернета".

 

"Учитывая, что расследовать такие атаки и блокировать их - титанический труд, которым не хочет заниматься ни один сетевой администратор, этот постоянный шум чаще всего просто игнорируется", - говорит Пол Викси, глава компании Farsight Security, предоставляющей решения в области кибербезопасности.

"В интернете все, что можно взломать, будет взломано", - считает он.

Администратору сети обычно приходится продираться через огромное количество информации, поэтому ему очень сложно отделить атаки, на которые стоит обратить внимание, от фонового шума. Вместо этого администратор просто регистрирует все запросы в системе.

Из полученной информации Эндрю Моррис пытается составить представление о плохих источниках трафика и выявить принципы, на которых строится попытка взлома. В конечном итоге эти данные можно использовать для создания фильтра, который сможет блокировать вирусы, или программы, которая обращает внимание сетевых администраторов на самые опасные запросы.

 

Самыми подозрительными источниками трафика Моррис считает бразильских и вьетнамских интернет-провайдеров, которые часто отличаются слабой защитой. Их уязвимость позволяет мошенникам внедриться в их машины.

Затем идут облачные хостинговые компании. Все они, по словам Морриса, являются источниками серого шума.

Безопасные источники трафика - большая редкость, хотя они есть.

Финляндия является одной из самых благополучных странах в этом отношении. Она целенаправленно работала над повышением безопасности своего участка сети, чтобы его нельзя было использовать как посредника для кибератак.

Многие мошенники пытаются замести следы своих преступлений, маскируя настоящий источник вредоносного запроса на соединение. В Финляндии существуют свои практики по ограничению злоупотреблений доменами, за соблюдением которых внимательно следят.

 

Как сообщил Би-би-си представитель финского Центра по кибербезопасности, соответствующие законы и положения обязуют интернет-провайдеров и регистраторов доменов сводить такие попытки к минимуму. Существуют также автоматические инструменты, чтобы проверять финские домены, заканчивающиеся на .fl, на неправомерное использование.

"Эта мера помогла превратить финское интернет-пространство в одно из наименее зараженных в мире", - говорит он.

 

Анализ Эндрю Морриса уже выявил интересные закономерности. Первые признаки массовых атак можно отследить прежде, чем они ударят по всем. Как, например, в случае с громкими историями заражения офисных принтеров и устройств с технологией Google Chromecast.

"Полезно знать, что есть промежуток времени, в который можно залатать дыры в безопасности, прежде чем вас успеют атаковать, - говорит Моррис. - Это означает, что у сотрудников по безопасности есть шанс успеть среагировать. Так что не все потеряно".

[Zaman.]

Ошибки хакеров во взломанной системе.

Полезная инфа для опытных интернаутов

 

[DrakoFariz]

этот моррис случаем не родственник автора первого нашумевшего в 88м вируса "червя морриса"?

[Zaman.]

 

Российские хакеры атаковали Ангелу Меркель

"Во время беспрецедентной хакерской атаки на компьютерную систему немецкого бундестага в 2015 году предположительно российские хакеры похитили огромное количество данных депутатов. Теперь выяснилось: во время этой атаки хакеры российской военной разведки ГРУ также похитили большое количество данных из депутатского офиса Ангелы Меркель (ХДС)", - передает немецкий таблоид Bild.

 

"Об этом сообщает журнал Der Spiegel со ссылкой на информацию, полученную от экспертов Федерального управления уголовной полиции (BKA), Федерального управления по информационной безопасности и частных компаний. Они, очевидно, смогли частично реконструировать хакерскую атаку".

 

"По информации издания, были украдены данные из двух электронных почтовых ящиков, в которых содержалась переписка 2012-2015 годов. Хакерам, очевидно, удалось полностью скопировать данные почтовых ящиков на другой компьютер".

 

"Депутатский офис Ангелы Меркель занимается вопросами избирательных округов и партии, его не стоит путать с ведомством канцлера", - поясняет издание.

В отношении подозреваемого хакера, 29-летнего Дмитрия Бадина, работающего, по сообщениям СМИ, на ГРУ, был выдан международный ордер на арест, напоминает Bild.