رصد نشاط جديد لمجموعة المخترقين ""FIN8 باستخدام برنامج الفدية الجديد 'White Rabbit' في الهجمات الأخيرة
by
Aya Ali
on
5:30:00 م
 |
إظهار الرسائل ذات التسميات Ransomware. إظهار كافة الرسائل
إظهار الرسائل ذات التسميات Ransomware. إظهار كافة الرسائل
السبت، 22 يناير 2022
الاثنين، 6 أبريل 2020
#
Ransomware
مجرمي الإنترنت يستغلون أزمة الفيروس(COVID-19)لنشر البرامج الضارة، وتعطيل العمليات، وزرع الشك في حين يمكن للمنظمات اتخاذ الكثير من الخطوات لضمان جاهزيه الموظفين جيدا للعمل عن بعد بطريقة آمنة، في حين أن الجهات التي تقوم بالتهديد مستعدة من كافه النواحي للاستفادة من حالة ( COVID-19).
يقول Sherrod DeGrippo - المدير الأول لأبحاث وكشف التهديدات السيبرانية في Proofpoint :" لاحظ فريق أبحاث التهديدات لدينا العديد من حملات البريد الإلكتروني الضارة (COVID-19) باستخدام الخوف في محاولة إقناع الضحايا المحتملين بالنقر على المرفق".
٢ ) التطبيقات الضارة :--
تطالب مذكرة الفدية بمبلغ100 دولار في بيتكوين في 48 ساعة وتهدد بمسح جهات الاتصال والصور ومقاطع الفيديو الخاصة بك، وكذلك ذاكرة هاتفك.
٣ ) النطاقات السيئة :-
٥ ) نقاط الضعف عند البائعين والأطراف الثالثة :-
٦ ) استهداف منظمات الرعاية الصحية :-
وقد يكون من الأرجح أن يستهدف المجرمون الانتهازيون أو أولئك الذين يرغبون في تعطيل العمليات للقطاع. يجب على منظمات الرعاية الصحية في قطاع الرعاية الصحية أو تزويدها تذكير الموظفين بتوخي الحذر بشأن الروابط والوثائق المشبوهة ، وضمان أن عملياتهم مرنة ضد هجمات DDoS.
توصي Liviu Arsene، الباحثة العالمية في الأمن السيبراني في بيتدفندر، بأن تتخذ المنظمات الخطوات التالية لضمان العمل الآمن والمستقر عن بعد:
* رفع عدد اتصالات VPN في وقت واحد لاستيعاب جميع الموظفين البعيدين.
* إعداد ودعم برامج المؤتمرات التي تضمن استقرار كل من الصوت والاتصال الفيديو.
* تأكد من أن جميع الموظفين لديهم بيانات اعتماد صالحة لا تنتهي صلاحيتها في غضون أقل من 30 يومًا حيث أن تغيير بيانات اعتماد الدليل النشط منتهية الصلاحية قد يكون صعبًا عندما يكون بعيدًا.
* إرسال القواعد والمبادئ التوجيهية بشأن الطلبات المقبولة والمنصات التعاونية حتى يكون الموظفون على علم بما هو معتمد وما هو غير ذلك.
* لديك إجراءات تمهيدية تدريجية لنشر التحديثات ، حيث أن تقديمها في وقت واحد إلى الموظفين المتصلين بالشبكة الافتراضية الخاصة يمكن أن يخلق ازدحامًا في عرض النطاق الترددي ويؤثر على حركة المرور الواردة والصادرة.
* تمكين تشفير القرص لكافة نقاط النهاية لتقليل خطر فقدان البيانات على الأجهزة التي تم اختراقها.
أن لم يصبك فايروس COVID-19 البيولوجي سيصيبك أحد المخترقين بفايروس COVID-19 الرقمي
by
Aya Ali
on
9:44:00 ص
مجرمي الإنترنت يستغلون أزمة الفيروس(COVID-19)لنشر البرامج الضارة، وتعطيل العمليات، وزرع الشك في حين يمكن للمنظمات اتخاذ الكثير من الخطوات لضمان جاهزيه الموظفين جيدا للعمل عن بعد بطريقة آمنة، في حين أن الجهات التي تقوم بالتهديد مستعدة من كافه النواحي للاستفادة من حالة ( COVID-19).
يكثف المهاجمون عملياتهم لنشر البرامج الضارة عبر رسائل البريد الإلكتروني والتطبيقات ومواقع الويب ووسائل التواصل الاجتماعي ذات الطابع( COVID-19) .
* كيف يستغل المهاجمون أزمة (COVID-19)
١ ) التصيد لرسائل البريد الإلكتروني :--
البريد الإلكتروني كان وسيظل أكبر ناقل للتهديد سواء للأشخاص أو للمنظمات .و لطالما استخدم مجرموا الإنترنت الأحداث العالمية في حملات التصيد الاحتيالي لزيادة معدل ضرباتهم ، ولن يكون فيروس( COVID-19) مستثنى من ذلك.
تقول تقارير ال (Digital Shadows) : أن أسواق ال dark web تعلن عن مجموعات التصيد(COVID-19) باستخدام مرفق بريد إلكتروني مسموم متنكرًا في شكل خريطة توزيع لتفشي فيروس (COVID-19) تتراوح بين 200 دولار إلى 700 دولار.
المواضيع في هذه الرسائل الإلكترونية تتراوح بين :-
* تقارير المحللين لبعض الصناعات .
* تفاصيل المشورة الصحية الحكومية الرسمية للبائعين الذين يقدمون أقنعة الوجه أو غيرها من المعلومات حول العمليات والخدمات اللوجستية خلال هذه الأوقات.
يقول Sherrod DeGrippo - المدير الأول لأبحاث وكشف التهديدات السيبرانية في Proofpoint :" لاحظ فريق أبحاث التهديدات لدينا العديد من حملات البريد الإلكتروني الضارة (COVID-19) باستخدام الخوف في محاولة إقناع الضحايا المحتملين بالنقر على المرفق".
"وقد أرسل المجرمون موجات من رسائل البريد الإلكتروني التي تراوحت بين اثني عشر إلى أكثر من 200.000 في مرة واحدة ، وعدد الحملات بزيادة مستمرة . في البداية كنا نشهد حملة واحدة خلال اليوم في جميع أنحاء العالم، ونحن الآن نلاحظ ثلاثة أو أربعة حملات في اليوم الواحد ".
يقول DeGrippo إن حوالي 70٪ من رسائل البريد الإلكتروني التي كشف عنها فريق تهديد Proofpoint قد كشف عن تقديم برامج ضارة مع معظم الباقين الذين يهدفون إلى سرقة بيانات اعتماد الضحايا من خلال الصفحات المقصودة المزيفة مثل Gmail أو Office 365.
الحجم التراكمي لإغراءات البريد الإلكتروني المرتبطة بالفيروسات يمثل الآن أكبر مجموعة من أنواع الهجمات التي قد تكون الشركه شهدته على الإطلاق التي تتحد بموضوع واحد. وقد وجهت اللجنة الوطنية للصحة العامة ومنظمة الصحة العالمية، من بين جهات أخرى، تحذيرات علنية بشأن رسائل البريد الإلكتروني الاحتيالية التي يزعم أنها من هيئات رسمية. تم تداول العديد من رسائل تصيد البريد الإلكتروني يُدعى أنها من مراكز مكافحة الأمراض والوقاية منها (CDC) .
٢ ) التطبيقات الضارة :--
على الرغم من أن Apple وضعت قيودًا على التطبيقات المتعلقة بـ ( COVID-19) في متجر التطبيقات، وقيام Google بإزالة بعض التطبيقات من متجر Play ، لكن لا تزال التطبيقات الضارة تشكل تهديدًا للمستخدمين.
كشفت DomainTools عن موقع يقوم بحث المستخدمين على تنزيل تطبيق Android يوفر معلومات تتبع وإحصائية حول ( COVID-19)، بما في ذلك صور خريطة الحرارة.
ومع ذلك، يتم تحميل التطبيق الذي هو في الواقع تطبيق يطلب الفدية بعد تشفير الملفاتا على نظام Android والمعروفة الآن باسم COVIDLock.
تطالب مذكرة الفدية بمبلغ100 دولار في بيتكوين في 48 ساعة وتهدد بمسح جهات الاتصال والصور ومقاطع الفيديو الخاصة بك، وكذلك ذاكرة هاتفك.
أبلغت DomainTool عن النطاقات المرتبطة بـ COVIDLock التي كانت تستخدم سابقًا لتوزيع البرامج الضارة المتعلقة بالإباحية. وتبحث الآن عن ذوي الاحتياجات الخاصه، يشير إلى أن هذه الفضيحة ( COVID-19) هو مشروع جديد وتجربة للممثل وراء هذه البرامج الضارة"، وقال طارق صالح، كبير مهندسي الأمن وباحث البرمجيات الخبيثة في DomainTools، في blog post.
كما اكتشفت Proofpoint حملة تطلب من المستخدمين التبرع بقوتهم الحاسوبية SETI@Home ولكنها مخصصة لأبحاث (COVID-19)، فقط لتقديم برامج ضارة سرقت المعلومات التي يتم تسليمها عبر BitBucket.
٣ ) النطاقات السيئة :-
يجري بسرعة إنشاء مواقع شبكية جديدة لنشر المعلومات المتعلقة بالوباء. ومع ذلك ، فإن العديد منهم أيضا يعتبر مصيده للضحايا المطمئنين.
تقارير مستقبلية مسجلة تفيد بأن مئات المجالات ذات الصلة بـ ( COVID-19) قد تم تسجيلها كل يوم خلال الأسابيع القليلة الماضية. تشير نقطة التفتيش إلى أن المجالات ذات الصلة بـ ( COVID-19) أكثر عرضة بنسبة 50٪ لتكون ضارة من المجالات الأخرى المسجلة في نفس الفترة.
وقد ذكرت اللجنة الوطنية للعلوم والتقنية أن مواقع مزيفة تنتحل مراكز الولايات المتحدة لمكافحة الأمراض (CDC) وتخلق أسماء نطاقات مشابهة لعنوان الويب الخاص بـ CDC لطلب "كلمات المرور وتبرعات البيتكوين لتمويل لقاح مزيف".
وقد أبلغ العديد من الخبراء في مجال امن المعلومات عن مواقع ضاره تستهدف أهتمام الناس في الفايروس. حيث يتم تحميل الموقع مع البرامج الضارة AZORult التي سوف تقوم بسرقة بيانات الاعتماد وأرقام بطاقات الدفع وملفات تعريف الارتباط وغيرها من البيانات الحساسة المستندة إلى المتصفح وارسالها إلى خادم الأوامر والتحكم.
كما أنها تسعى إلى سرقة محافظ العملات الرقمية، ويمكن أن تأخذ لقطات غير مصرح بها وجمع معلومات الجهاز من الآلات المصابة.
٤ ) النقاط النهائية غير الآمنة والمستخدمين النهائيين :-
مع وجود أعداد كبيرة من الموظفين أو حتى الشركات بأكملها التي تعمل عن بعد لفترة طويلة، تزداد المخاطر حول نقاط النهاية والأشخاص الذين يستخدمونها. ويمكن أن تصبح الأجهزة التي يستخدمها الموظفون في المنزل أكثر عرضة للخطر إذا فشل الموظفون في تحديث أنظمتهم بانتظام.
قد يشجع المستخدمين ايضا على تنزيل shadow applications على الأجهزه للمستخدمين اللذين يعملون من المنزل لفترات طويلة من الزمن أو الاستهزاء بالسياسات التي سيتبعونها عادةً في المكتب.
قد يعمل على تقليل تنقل الأعمال مع فرصة وجود مشاكل أمنية للموظفين على الحدود ، ولكنه يقلل فقط من خطر الاتصال بشبكات WiFi غير الآمنة أو فقدان الأجهزة إذا بقوا بالفعل في المنزل. اما الاشخاص اللذين يقومون بالعمل في المقاهي قد تكون عرضة لسرقة أو فقدان الأجهزة.
توصي الرابطة الدولية لمديري أصول تكنولوجيا المعلومات بأن يتم التوقيع على جميع أصول تكنولوجيا المعلومات التي يتم أخذها إلى المنزل وتتبعها ، وأن تقدم الشركات السياسة والمشورة حول كيفية استخدام الأصول في المنزل (خاصة إذا كان الناس معتادين على مشاركة الأجهزة مع العائلة)،و تذكير المستخدمين بالسياسات حول الاتصال بشبكة WiFi العامة، والتأكد من استمرارتحديث برامجهم حسب الحاجة .
٥ ) نقاط الضعف عند البائعين والأطراف الثالثة :-
من المرجح أن يمر كل شريك وعميل ومزود خدمة في نظامك البيئي بجميع المشكلات نفسها التي تمر بها مؤسستك.قم بالتنسيق مع الأجزاء الحيوية من النظام البيئي الخاص بك لطرف ثالث للتأكد من أنهم يتخذون تدابير لتأمين القوى العاملة النائية الخاصة بهم.
٦ ) استهداف منظمات الرعاية الصحية :-
في الأيام القليلة الماضية ، ضرب موقع إلينوي للصحة العامة بفايروس الفدية ، في حين أن وزارة الصحة والخدمات الإنسانية (HHS) عانت من محاولة هجوم DDoS
من المرجح أن تتعرض منظمات الرعاية الصحية من جميع الأشكال والأحجام لضغوط أكثر من المعتاد ، مما قد يجعل الموظفين أكثر تراخيًا حول ما يقرون عليه.
 |
| U.S. Health Department Site Hit With DDoS Cyber Attack |
وقد يكون من الأرجح أن يستهدف المجرمون الانتهازيون أو أولئك الذين يرغبون في تعطيل العمليات للقطاع. يجب على منظمات الرعاية الصحية في قطاع الرعاية الصحية أو تزويدها تذكير الموظفين بتوخي الحذر بشأن الروابط والوثائق المشبوهة ، وضمان أن عملياتهم مرنة ضد هجمات DDoS.
الأولويات الأمنية للعمل عن بعد على نطاق واسع
توصي Liviu Arsene، الباحثة العالمية في الأمن السيبراني في بيتدفندر، بأن تتخذ المنظمات الخطوات التالية لضمان العمل الآمن والمستقر عن بعد:
* رفع عدد اتصالات VPN في وقت واحد لاستيعاب جميع الموظفين البعيدين.
* إعداد ودعم برامج المؤتمرات التي تضمن استقرار كل من الصوت والاتصال الفيديو.
* تأكد من أن جميع الموظفين لديهم بيانات اعتماد صالحة لا تنتهي صلاحيتها في غضون أقل من 30 يومًا حيث أن تغيير بيانات اعتماد الدليل النشط منتهية الصلاحية قد يكون صعبًا عندما يكون بعيدًا.
* إرسال القواعد والمبادئ التوجيهية بشأن الطلبات المقبولة والمنصات التعاونية حتى يكون الموظفون على علم بما هو معتمد وما هو غير ذلك.
* لديك إجراءات تمهيدية تدريجية لنشر التحديثات ، حيث أن تقديمها في وقت واحد إلى الموظفين المتصلين بالشبكة الافتراضية الخاصة يمكن أن يخلق ازدحامًا في عرض النطاق الترددي ويؤثر على حركة المرور الواردة والصادرة.
* تمكين تشفير القرص لكافة نقاط النهاية لتقليل خطر فقدان البيانات على الأجهزة التي تم اختراقها.
الجمعة، 7 فبراير 2020
#
Ransomware
مجموعة الاختراق Maze تقوم بأختراق 5 شركات قانون أمريكة وتشفير وسرقة بياناتها
by
Aya Ali
on
12:27:00 ص
قام قراصنة بمهاجمة 5 شركات قانون أمريكية وقاموا بسرقة البيانات وتشفيرها.
قام المتسللون بخرق خمس شركات قانونية أمريكية وطلبوا فديتين (أكثر من 933،000 دولار) من كل شركة :
* فدية لاستعادة الوصول إلى البيانات.
* فدية لحذف نسختها بدلاً من بيعها.
وفقًا للبيانات التي تمت مشاركتها مع Coin telegraph بواسطة شركة الأمن السيبراني Emsisoft، فإن مجموعة الهاكرز - المسماة Maze - بدأت بالفعل في نشر جزء من البيانات المسروقة من الشركات المذكورة أعلاه.
تم اختراق اثنين من مكاتب المحاماة الخمسة في غضون 24 ساعة حتى 1 فبراير. وقام المتسللون بنشر البيانات على موقعين تم تقاسمهما مع مؤلف هذا المقال، ولكن لن يتم إصدارهما لحماية الشركات المعنية.
تقوم مجموعة Maze
أولاً بتسمية الشركات التي تم اختراقها على موقعها على الإنترنت - وإذا لم تدفع - فإنها تنشر جزءًا صغيرًا من البيانات المسروقة كدليل.
ثانيا تواصل إصدار أجزاء حساسة بشكل متزايد مع مرور الوقت عندما تدفع شركة ما تزيل المجموعة اسمها من الموقع.
كما قال Callow: "قامت المجموعة أيضًا بنشر بيانات في منتديات القرصنة الروسية مع ملاحظة"استخدام هذه المعلومات بأي طريقة تريدها " ولهذا السبب، يعتقد أنه سيتم نشر المزيد من البيانات ما لم تدفع الشركات التي تم اختراقها.
كما أوضح: "يبدو من غير المرجح أن تقوم مؤسسة إجرامية بحذف ما قد تتمكن من تسريبه في وقت لاحق."
أوضح Callow أن مجموعات رانسومواري بدأت في سرقة البيانات - بدلاً من تشفيرها فقط - في نهاية عام 2019. والآن يهدد مجرمو الإنترنت الضحايا أيضًا بنشر البيانات لابتزاز الضحايا واجبارهم على دفع الفدية.
قال إن "المجموعات سرقت ونشرت بيانات من مكاتب المحاماة وشركات المحاسبة (بما في ذلك معلومات العميل)، والممارسات الطبية والاختبارات الطبية (بما في ذلك معلومات المرضى) وشركات التأمين."
كما قدم Callow لمحة عامة عن اقتصاد الفدية، وأوضح أن Emsi soft كان لديها أكثر من 200000 طلب فدية في العام الماضي ويقدر أنه يمثل حوالي 25 ٪ من المجموع ، والذي يتلخص في 800،000 حالة في عام 2019.
ويبلغ متوسط الطلب الآن أكثر من 80،000 دولار ، وبالتالي فإن إجمالي الفدية المطلوبة في العام الماضي وأضاف بان تقديراته تصل إلى 64 مليار دولار.
تأثير Ransomware على التصور العام للتشفير
أخيرًا ، أثارت Callow أيضًا مسألة كيف تؤثر مثل هذه الحالات على تصور الجمهور للعملات المشفرة. وأوضح أنه عندما بدأت رانسومواري في سرقة البيانات الحساسة بشكل خاص ، "من المحتمل أن يؤدي ذلك إلى اتخاذ المزيد من الإجراءات القانونية ضد مجموعات رانسومواري ومضيفي الويب وتبادل العملات".
ثم قال: "من المحتمل أن تؤدي الإجراءات القانونية مثل هذه ، فضلاً عن حقيقة أن هذه الحوادث تؤدي إلى كشف بيانات حساسة للغاية ، إلى رفع ملف تعريف حالات الفدية. في المقابل ، قد يؤدي ذلك إلى أن عملة التشفير المشفرة هي "للمجرمين فقط" مما يجعل من الصعب أن يصبح التشفير أكثر انتشارًا"ز
هجمات الفدية رفيعة المستوى متكررة بشكل متزايد. أصدرت وكالة الاتحاد الأوروبي للتعاون في مجال إنفاذ القانون تقريراً في أكتوبر 2019 ، مشيرةً إلى أن برامج الفدية ما زالت تشكل أكبر تهديد للأمن السيبراني.
في الآونة الأخيرة ، أمرت المحكمة العليا في المملكة المتحدة بإصدار أمر قضائي في شركة بيتكوين تم الحصول عليه من خلال هجوم فدية تم نقله إلى بورصة على شركة تأمين كندية. في نهاية عام 2019 ، قيل إن CyrusOne مزود مركز البيانات ومقره تكساس وقع ضحية لهجوم الفدية.
الأحد، 22 ديسمبر 2019
#
Ransomware
فايروس الفدية - Ransomware GandCrab
by
Update - أب ديت
on
2:31:00 ص
هذه المقال وغير تحت وسم "مسابقة أفضل مقال تقني" تعبر عن أراء اصحابها
في نهاية مايو 2019 ، أعلن مطورو GandCrab في منتدى للقراصنة أن بوابة الإنترنت الخاصة بهم سيتم إغلاقها في نهاية يونيو 2019.
وقال المطورون إن GandCrab جمع أكثر من 2 مليار دولار، ومنحت للمطورين 2.5 مليون دولار أسبوعيًا أو حوالي 150 مليون دولار سنويًا واستثمروا في مشاريع قانونية مختلفة.
لقد أظهر مطوري الفايروس أن فعل الشر لا يؤدي إلى العقاب .
(We have proved that by doing evil deeds, retribution does not come)
تم وصف GandCrab لأول مرة من قبل خبير أمن تكنولوجيا المعلومات David Montenegro في أواخر يناير 2018.
و هو فايروس يقوم بتشفير البيانات التي يملكها جهازك عن طريق ابتزازك لدفع المال لاعادة فك التشفيرها.
يأتي عادة GandCrab عن طريق تحميل و تثبيت البرامج او الملفات الغير موثوقة من الانترنت وتاتي غالبا من المواقع المشكوك فيها او لاتدعم حماية المستخدم (مثل مواقع التورنت Torrent... ألخ.
وعندما يقوم GandCrab بتشفيرها يقوم بارسال رسالة نصية محتواها: هو ان تذهب الى تحميل متصفح الويب Tor و هو ليس بشبيهه من المتصفحات العادية ك Google Chrome و Firefox ويمكنك متصفح Tor الوصول الى الويب المظلم .Dark Web حيث الكثير من المجرمين و الهكر يعملون هناك.
وعندما تنتهي من تحميله وتثبيته تقوم بنسخ الرابط وتلصقه في هذا المتصفح ويقودك الرابط الى الشخص الذي شفر بيناتك الشخصية و يطلب منك مبلغ من المال لاعادة فك تشفير البيانات التي شفرها. ويتم دفع المال عن طريق العملة الرقمية Bitcoin التي لا احد يعرف مصدرها او من الممكن تتبعها.
(يمكنك التحدث مع الشخص الذي يبتزك الكتورنيا .وعندما تقوم بضغط على GrandCrab في اعلى صفحة تتغير لون الصفحة من الابيض الى الاسود و يصدر صوتا مخيفا لأخافة الاشخاص المبتزين).
ولقد تعاونت الشرطة الرومانية مع Eurpol. و Bitdefender على فك تشفير البينات المشفرة وأعادة صيغتها الى ماكانت عليه من قبل عن طريق تحميل البرنامج الخاص بها وهناك العديد من اصدارات هذا البرنامج ممكن تحميلها مجانا.
