О пользе security awareness programs

[leo_sosnine]

Компания получила рассылку Драйдекса, потому что почтовый фронтэнд его пропустил.

Под тыщу сотрудников получили письма из неизвестных источников с офисным документом. Примерно сто из них этот документ а) открыли б) согласились на выход из защищённого режима в) согласились с выполнением макросов.

Из этой сотни два человека позвонили в хэлпдэск, чтобы сообщить о том, что они открыли подозрительный файл. Все остальные закрыли файл и продолжили заниматься хернёй как ни в чём не бывало, невзирая ни на какие секьюрити аваренесс програмс энд эдьюкейшн, регулярные рассылки типа репорт ёселф иф опенд.

И о перспективах детекции Драйдекса антивирусами:



Нетрудно заметить, что ловят только МБАМ и СЕП (это спустя где-то 20 дней после фишинг кампэйна), у остальных, судя по названиям, это результат эвристики, т.е. удалять по срабатыванию эвристики наверняка не будут из-за слишком большого кол-ва ФП.

Выводы наши читатели делают сами

Comments

[vovney.livejournal.com]

Так а защита какая?

1. Шлюз в любом случае пропустит 0day сабж в виде docx
2. Антивирус на Exch - тоже
3. Антивирус на компе - тоже
4. И только если в GPO стоит "НАХУЙ не подписанные нашим сертификатом макросы" есть шанс не подцепить
5. Ну и SRP понятно

Кстати вот тут парни делают отличную штуку)
https://www.foolishit.com/cryptoprevent-malware-prevention/
Как минимум позволяет выцепить целый список грамотных масок для SRP в сером режиме

[ctapnep.livejournal.com]

О пользе security awareness programs можно говорить только по сравнении с другой организацией, где такой программы не проводилось.
Может там из 1000 человек открыло-бы 500, а не 100.
Но в целом да, хреново :(

[leo-sosnine.livejournal.com]

Проблема в том, что в достаточно большой организации всегда найдётся хотя бы один идиот, остановить которого будет невозможно. А дальше внутри сетки Драйдекс расползается самостоятельно и с неплохой эффективностью.

[scif-yar.livejournal.com]

Инфобезопасник в треде.
А потом этот человек интересуется, как так у него в /23 сети конфликт включается.

Вовней, не расстраивайся! если к вам такое придет - смело ребутай сервер!

[leo-sosnine.livejournal.com]

4 ок, но трудно в крупной компании, дохера везде всяких макросов наработано за десятки лет работы, проект по подписыванию их всех и по обучению тех кто их разрабатывает и поддерживает подписывать новые версии это блин работы на год

5 у нас не помогло, пока разбираются как и чо, используется проприетарная софтина ну то же самое что и СРП, только круче и с центральной консолью для мониторинга и политик.

Драйдекс дело в том что это длл, у которой расширение тмп, запускается при помощи рандлл и встраивается в эксплорер.ехе, поэтому в списке процессов его не найти

[vovney.livejournal.com]

что это длл, у которой расширение тмп

т.е. зловред стартует штатную rundll32.exe + dll из папки %temp%??? вот сука такая!!!!

[vovney.livejournal.com]

Да как расползается-то????

[vovney.livejournal.com]

[volodymir-k.livejournal.com]

ёба, как дети
манда расшарила для подруги программулечку, да или ворд док, хехе с макросами, и привет, подруга завтра файло откроет

или например менетшер с админ правами

на флешку влезет

есть ещё вектор, чуваки на работе мобылу заряжают, а она по дефолту или мтп или сторадж или ваще андроед дивайс с включенным дебаг интерфейсом и рутованный

или не, коннектится в ц унд ц сорвер, выдаёт версии софтов и кочает 0дэй пэйлоады для смб, самбы и прочего домена

[scif-yar.livejournal.com]

вовней, походу, проспал кидо

[leo-sosnine.livejournal.com]

yep

[vovney.livejournal.com]

Вовней походу был во главе борьбы с кило весной 2009))))

[vovney.livejournal.com]

Бля, с кидо конечно же

[leo-sosnine.livejournal.com]

Пока могу подтвердить только рассылки через аутлук. Т.е. вызывает юзерский аутлук, выбирает набор контактов из контакт-листа и рассылает документик с макросами. Поскольку почтоящик абсолютно легальный и доверенный, и партнёры и сотрудники той же компании испытывают повышенное доверие к такому письму. Да оно вообще от начальника прийти может.

[vovney.livejournal.com]

А, ну это-то понятно
Я думал - шифровальщик, да еще и самораспространяемый

[scif-yar.livejournal.com]

Боевым репостом чтоли ударял ?

[scif-yar.livejournal.com]

>весной 2009))))
-
Conficker, also known as Downup, Downadup and Kido, is a computer worm targeting the Microsoft Windows operating system that was first detected in November 2008
-
Тут дело даже не боевым репостом пахнет ..

[leo-sosnine.livejournal.com]

there is a crypto ransomware with worm functionality out there, it's called samsam

[chescot.livejournal.com]

На лайсенз плэйте написано CRJ 808 - это какой может быть штат?

Edit: Nvm, я понял, это внутренний номер, название штата сверху, и разрешения камеры не хватает, чтобы его рассмотреть.

[vovney.livejournal.com]

Ой ну не надо тут выпендриваться)
С ноября по март я как раз был без работы, кризис же

[kikzan.livejournal.com]

Читали?

http://pikabu.ru/story/komanda_dlya_obkhoda_windows_applocker_umeshchaetsya_v_odin_tvit_4152504

[leo-sosnine.livejournal.com]

ахтунг ваще

[vovney.livejournal.com]

жесть

[scif-yar.livejournal.com]

Инфобезопасники вовней-класс нинужны ?

[scif-yar.livejournal.com]

Прелесть!

[vovney.livejournal.com]

Я тогда не был безопасником)

[scif-yar.livejournal.com]

можно подумать сейчас стал.

[vovney.livejournal.com]

пффф, ессно
поднялся, в Мск переехал
все пучком

[scif-yar.livejournal.com]

сертификат предъявите к осмотру.

[xyrr.livejournal.com]

По идее, учитывая метод распространения, эвристику откидывать не стоит. Сигнатурой или эвристикой, обнаруженное пойдёт по правилам ав либо в карантин, либо в блок и терминейт с алертом.

Хипс должен был алертнуть на нечто, врубающее из темпа рандлл, не? Или на клиентах ничего не стоит?

[leo-sosnine.livejournal.com]

Не стоит, согласен. Моя бы воля, я бы рубил вообще любые письма с аттачментами для офиса, которые содержат макросы. Нормальные люди не шлют офисные документы с макросами по почте.

В отношении ХИПС тут зоопарк, есть транзишн от одного АВ вендора к другому, который продолжается уже 9 месяцев и хз ещё сколько протянется, поэтому половина хостов там, половина здесь, есть поглощённые компании со своими антивирусами до сих пор не переведённые на мэйнстримный, есть разные антивирусы на разных типах эндпоинтов по лицензионным соображениям и т.п. Некоторые из этих антивирусов тупые (Майкрософтовский) некоторые продвинутые (ТМОС и Каспер). В начале месяца не ловил никто, щас подтягиваются, но плохо. Дело в том, что используется какая-то полиморфная технология, поэтому штаммы разного размера и т.п. Т.к. малварь мультифункциональная я думаю, что в разных файлах могут быть разные модули. На всех инфицированных есть хотя бы один файл, а на некоторых есть по нескольку, все разные. Если их кормить антивирусам в т.ч. с ХИПС функционалом -- на некоторые срабатывают, на некоторые нет.

Рандлл32-то штатный, он не запускается из темп. Он запускается, как и положено, из %виндир%\систем32, а вот длл-ка с расширением .тмп запускается из юзерпрофайла.

Вполне допускаю, что теоретически можно отследить малварь поступающую так, но это будет непросто, т.к. её нужно будет отличать, как минимум, от этой тройки мудаков: Гуглохром, Сиско Вебекс, Ситрикс Го2Митинг, все из которых работают или могут работать из юзерпрофайла, срав на Майкрософтовские рекомендации. А многие юзеры в десктоп толкают всякое говно для разработки и просто какой-то непонятный софт. Проще всего тут просто запретить запуск любых неподписанных экзекьютаблов из юзерпрофайла, но начальство отказывается идти на эту меру, т.к. пойдёт вонь от юзеров, которые будут гундосить начальству, начальство начальству и т.д., в результате начальство нашего начальства придёт и надаёт ему по башке, а зачем ему это надо? Вы что, хотите чтобы оно не получило своих бонусов за год, хехе

[xyrr.livejournal.com]

Нормальные люди и не открывают такие аттачи с разрешением макросов, но были б люди нормальными, кое у кого не было бы фронта работ.

Проще всего да, административно и позапрещать ставить непонятный софт без обоснования необходимости. Зоопарк разведут. Но если под угрозой бонусы, то понятно. Лучше схватить xtbl, да.

Однако если какая-то неподписанная хрень из тмп занимается этим, хипсу уже должно показаться странным. Вес такого объекта высок.

[leo-sosnine.livejournal.com]

Нормальные люди и не открывают такие аттачи с разрешением макросов, но были б люди нормальными, кое у кого не было бы фронта работ.

Это очень верно. Слава идиотам, с одной стороны, и русским хакерам, с другой стороны