bga68comp: (Default)

МУЖЧИНА ТРЕБОВАЛ ОТ КОМПАНИИ УВОЛИТЬ СОТРУДНИЦУ И ВЗЯТЬ ЕГО НА ЕЕ МЕСТО, УГРОЖАЯ КИБЕРАТАКАМИ



image

Житель Вашингтона получил 37 месяцев тюрьмы и три года условно за то, что угрожал уничтожить компанию с помощью кибератак, если она не уволит свою сотрудницу и не возьмет вымогателя на ее место.

Согласно судебным документам, полученным Каталином Кимпану (Catalin Cimpanu) из Bleeping Computer, 18 апреля 2016 года 28-летний Тодд Майкл Гори (Todd Michael Gori) отправил электронное письмо производителю ПО для медучреждений TSI Healthcare в Чапел-Хилле (Калифорния, США). В письме Гори угрожал компании мощной кибератакой, если она не уволит одного из своих сотрудников и возьмет его на освободившееся место.

«У вас есть выбор: либо вы увольняете [имя сотрудницы] и берете на ее место меня, в сто раз лучшего оператора, чем она, либо мы с товарищами уничтожим компанию с помощью кибератак», - говорилось в письме.

Судя по содержимому письма, Гори действовал из соображений личной мести. Сотрудница, о которой идет речь, в прошлом несколько раз отклоняла его резюме.

«Я подавал прошение о работе с вами, ребята, через нее. Я являюсь преступником с компьютерными навыками и нуждаюсь в помощи при получении работы, поскольку технически у меня нет “опыта работы”. Каждый раз она отклоняла прошение, закапывая меня еще глубже», - жаловался преступник.

По словам Гори, ему удалось найти недостатки в безопасности сайта TSI Healthcare. Вымогатель дал компании 72 часа на выполнение своих требований, угрожая в противном случае обрушить на нее кибератаку. Каким образом он планировал атаковать TSI Healthcare, Гори не уточнил.

Получив письмо с требованиями, TSI Healthcare обратилась в ФБР, и в августе 2017 года злоумышленник был арестован. Гори также были предъявлены более серьезные обвинения, поскольку в своем письме он также угрожал купить оружие и перестрелять сотрудников компании. Вскоре после ареста преступник заключил сделку с правосудием, и прокурор снял с него дополнительные обвинения.

Подробнее: https://www.securitylab.ru/news/490506.php?R=1


bga68comp: (Default)

ХАКЕРСКАЯ ГРУППИРОВКА FANCY BEAR УСОВЕРШЕНСТВОВАЛА СВОЕ ВРЕДОНОСНОЕ ПО



image

Исследователи безопасности из компании ESET сообщили о появлении нового функционала во вредоносном ПО Xagent - одном из основных инструментом хакерской группировки Fancy Bear.

Бэкдор с модульной структурой Xagent уже несколько лет является одним из основных инструментов, использующихся в кампаниях Fancy Bear. Первоначальные версии инструмента были разработаны для взлома систем под управлением ОС Windows и Linux, однако за последние два года вредоносное ПО было несколько раз обновлено, и теперь поддерживвает iOS, Android и macOS.

Последняя версия вредоносного ПО использует новые методы обфускации данных. По словам исследователей, во вредоносе значительно улучшились способы шифрования. Помимо этого, Fancy Bear обновила часть кода, используемого для связи с C&C-серверами и добавила новый алгоритм генерации домена (DGA) для быстрого создания резервных C&C-серверов.

Как пояснили эксперты, новый алгоритм шифрования позволяет значительно усложнить процесс анализа бэкдора, а реализация DGA сильно мешает отключению вредоносного серверов, из-за их большого количества.

Хакеры также добавили в бэкдор новые команды, которые могут использоваться для сокрытия данных конфигурации вредоноса и другой информации на целевой системе. Авторы вредоносного ПО переработали ряд старых компонентов, усложнив таким образом задачу по распознаванию уже известных механизмов. Помимо этого, Xagent теперь имеет функцию создания скриншотов рабочего стола.

Изменения в Xagent позволяют Fancy Bear в первую очередь избежать обнаружения, отметили исследователи. В остальном тактика группировки осталась неизменной. Хакеры по-прежнему полагаются на использование фишинговых писем, содержащих ссылки на вредоносные ресурсы. Также хакеры стали чаще использовать набор эксплоитов DeralersChoice, эксплуатирующий уязвимости в Adobe Flash. Как и предыдущий набор эксплойтов Sedkit, DealersChoice предназначен для анализа международных новостных публикаций и упоминания наиболее популярных тем во вредоносных письмах, которые программа генерирует и отправляет потенциальным жертвам. Исследователи также отметили, что основными объектами атак группировки все еще остаются государственные учреждения и посольства по всему миру и особенно в Восточной Европе.

Подробнее: https://www.securitylab.ru/news/490484.php?R=1


bga68comp: (Default)


IaaS: Первые шаги после аренды облачной инфраструктуры.

17/12/2017

Гостевой пост нашего партнера - сервис-провайдера ИТ-ГРАД, предоставляющего услуги аренды виртуальных машин.

Итак, вы решили воспользоваться услугой аренды облачной инфраструктуры в формате IaaS, получили доступ в облако. Что дальше? Как подключиться к облачной площадке, с каких шагов начать в первую очередь, зачем нужен vCloud Director, как он устроен и для каких задач используется? Ответы на эти и другие вопросы дадим в этой статье.

Прежде чем перейти к выполнению практических действий, предлагаем взглянуть на то, из каких элементов состоит облачная инфраструктура провайдера. Подобно кирпичикам, из которых строится здание, в основе облачной инфраструктуры на базе VMware лежит правильное железо, технология виртуализации vSphere и vCloud Director.

При этом vCloud Director представляет собой ключевой объект облака и именно к нему заказчик получает доступ. Наделенный удобным и гибким интерфейсом, vCloud Director используется для развертывания виртуальных машин, контейнеров, шаблонов и предлагает дополнительные возможности, в том числе касающиеся управления внутриоблачными сетями.

Окно авторизации vCloud Director

Чтобы попасть в панель vCloud Director, необходимо пройти по прямой ссылке, предоставленной провайдером. Хотя нередки случаи, когда ссылка на vCloud Director размещается на главной странице личного кабинета пользователя. В любом случае, обратившись к vCD, необходимо авторизоваться, для чего в окне авторизации вводится предоставленный поставщиком услуг логин и пароль. В дальнейшем пароль рекомендуется изменить.

Базовые элементы vCloud Director

После успешной авторизации открывается Home page или главная страница vCloud Director, в которой создаются объекты инфраструктуры. При этом важно понимать, с какими элементами vCloud Director вы будете работать и для каких целей они используются. Остановимся на самых важных:

Виртуальный дата-центр, или vDC (Virtual Datacenter), представляет собой набор облачных ресурсов — виртуальных процессоров, памяти, места на диске, сетей и прочих элементов, доступных для заданной учетной записи. Здесь же создаются объекты виртуальных машин, контейнеры vApp, по необходимости конфигурируются сетевые настройки и задаются прочие параметры. В случае нехватки выделенных виртуальных ресурсов их можно докупить, увеличив тем самым объем потребляемых мощностей.

Виртуальный ЦОД

Контейнер vApp — это объект, используемый для хранения виртуальных машин, который может быть изначально пустым или содержать созданные ВМ. Особенность vApp заключается в возможности группового управления находящимися внутри него виртуальными машинами, что минимизирует административные издержки и упрощает процесс работы.

Контейнер vApp

Виртуальная машина — это один из ключевых объектов vDC, создаваемых с нуля или с использованием образа/шаблона. Является базовой единицей виртуальной инфраструктуры, потребляет ресурсы CPU, RAM, HDD и содержит внутри себя ОС, с которой пользователь работает так, как если бы подключался к физическому серверу.

Виртуальные машины

Сети vCloud Networks представляют собой связующие элементы, которые бывают следующих типов: External Network — внешняя сеть, Organization Network — сеть организации, vApp Networks — сеть, ассоциируемая с контейнером vApp. Получить более подробную информацию о работе с сетями можно из статьи «Все, что нужно знать о vCloud Networks: типы сетей в vCloud Director».

Сети vCloud Networks

Создаем первые виртуальные машины

Подключившись первый раз к панели управления vCloud Director, пользователь, как правило, находит эту страницу пустой. То есть первоначально здесь нет объектов vApp и VM, следовательно, чтобы создать собственную виртуальную инфраструктуру, необходимо выполнить ряд действий. С чего начать? Вариантов несколько:


  • Создать vApp, внутри которого позже разместить виртуальные машины.

  • Создать виртуальную машину с нуля или из шаблона, в процессе чего vApp будет создан автоматически.

  • Если в приоритете экономия времени — можно воспользоваться готовым шаблоном vApp, который позволит оперативно развернуть необходимое количество ВМ за одну операцию.

Какой из рассмотренных способов вы выберете для создания виртуальной инфраструктуры — зависит от конечных целей. В любом случае главным остается одно — получить желаемый результат.

Создаем ВМ из шаблона

Чтобы создать виртуальную машину на основе заранее подготовленного шаблона, необходимо обратиться к консоли vCloud Director, перейти в раздел My Cloud -> vApps. Нажав на иконку с «плюсом», откроется окно Add vApp from Catalog — добавление vApp из каталога.


Панель добавления vApp

Тут же попадаем на страницу выбора vApp шаблона. В раскрывающемся меню Look in выбираем публичный каталог (Public Catalog), который содержит список доступных шаблонов виртуальных машин. Логично, что здесь нужно выбрать тот шаблон ВМ, который хотите развернуть. Например, ВМ c ОС Windows Server 2012 R2 Standard Edition, затем переходим к следующему пункту.


Пример использования готового шаблона

В следующем окне задаем название vApp и описание в случае необходимости, после чего переходим к следующему разделу.

Задание имени vApp

Во вкладке Configure Resources вводим имя виртуальной машины и нажимаем Next.

Задание имени ВМ

В разделе Configure Networking определяем сетевые параметры, хотя их можно будет изменить позже.


Настройка сети

И один из самых важных шагов — определение используемых мощностей. На странице Customize Hardware задаются параметры CPU, RAM и HDD. Аналогично, как и с сетью, эти значения можно изменять позже.


Определение ресурсов ВМ

Попадаем на страницу завершения работы мастера (Ready to complete). Здесь необходимо еще раз удостовериться в корректности введенных значений, после чего завершить работу мастера. На этот процесс уйдет какое-то время.

Создаем ВМ с нуля

Прежде чем перейти к созданию ВМ, подумайте, что для вас приоритетнее: добавить контейнер vApp и после перейти к созданию в нем виртуальной машины, либо же обратиться к уже существующему vApp и развернуть ВМ внутри? Мы остановимся на первом варианте, для чего перейдем на вкладку vApps и запустим процесс Build new vApp — создание нового контейнера. В открывшемся окне New vApp задаем имя контейнеру, после чего переходим к разделу добавления виртуальных машин, нажав предварительно на кнопку добавления новой ВМ (New virtual Machine).

Запуск создания новой ВМ

В открывшемся окне определяем все необходимые характеристики ВМ, задав:


  • Virtual Machine Name — имя ВМ;

  • Computer Name — имя, которое будет показываться внутри гостевой ОС при кастомизации;

  • Description — описание, если в этом есть необходимость;

  • определяемся с семейством и операционной системой, которая позже будет установлена;

  • задаем объем оперативной памяти, диска, определяемся с параметрами CPU.

Определение характеристик ВМ

После выполненных действий виртуальная машина попадет в список первоначально запущенного мастера:

Пример создаваемой ВМ

Далее переходим в раздел конфигурации виртуальных машин. Здесь при необходимости можно поправить имя ВМ, а также задать привязку к сетевому интерфейсу, чтобы сразу после создания и запуска ВМ могла взаимодействовать по сети с другими участниками, если таковые имеются или планируются.

Страница определения имени ВМ и сетевых параметров

Затем переходим на вкладку Ready to Complete и завершаем работу мастера.

Завершение создания ВМ

Заключение

В этой статье мы познакомились с базовыми элементами vCloud Director, уделили внимание основным этапам создания виртуальных машин, которые выступают ключевой составляющей любой виртуальной инфраструктуры.

Ссылка на статью в блоге ИТ-ГРАД.





bga68comp: (Default)

СПОСОБНЫЙ ПЕРЕМЕШИВАТЬ ДАННЫЕ КОМПЬЮТЕР СДЕЛАЕТ 40% АТАК БЕСПОЛЕЗНЫМИ



image

DARPA работает над созданием аппаратного обеспечения MORPHEUS, способного перемешивать данные внутри себя.

Управление перспективных исследовательских проектов Министерства обороны США (Defense Advanced Research Projects Agency, DARPA) объявило о намерении выделить $3,6 млн на разработку компьютера, аппаратное обеспечение которого станет «неразрешимой головоломкой». Проект, получивший название MORPHEUS, должен стать серьезной альтернативой современному подходу к кибербезопасности, заключающемся в регулярном обновлении ПО.

Вместо создания патчей для известных уязвимостей в ПО в надежде, что они исправят проблемы безопасности, аппаратное обеспечение MORPHEUS будет быстро и в произвольном порядке «перемешивать» хранящуюся на компьютере информацию. По словам профессора Мичиганского университета Тодда Остина (Todd Austin), попытки атаковать MORPHEUS сродни попыткам собрать кубик Рубика, чьи детали каждую секунду меняют свое положение.

Согласно DARPA, если убрать некоторые недостатки в аппаратном обеспечении, можно избежать эксплуатации до 40% уязвимостей (ошибки шифрования, инъекции кода, раскрытие информации и пр.). По мнению Остина и его коллег, MORPHEUS позволит избавиться от этих недостатков благодаря особому дизайну аппаратного обеспечения.

Когда атакующий получает доступ к системе, он должен выявить и проэксплуатировать уязвимость в ПО. После успешной эксплуатации ему достаточно определить, где на системе хранятся нужные ему данные, похитить их и скрыться. Как правило, данные всегда находятся в одном и том же месте, поэтому, обнаружив уязвимость и место хранения информации, миссия атакующего наверняка завершится успешно.

Материнские платы MORPHEUS будут в произвольном порядке перемешивать данные, непрерывно меняя их местоположение, поэтому, даже обнаружив уязвимость в ПО, злоумышленник не сможет добраться ни до нее, ни до данных.

DARPA – управление Министерства обороны США, отвечающее за разработку новых технологий для использования в интересах вооруженных сил. Задачей DARPA является сохранение технологического превосходства вооруженных сил США, предотвращение внезапного для США появления новых технических средств вооруженной борьбы, поддержка прорывных исследований, преодоление разрыва между фундаментальными исследованиями и их применением в военной сфере.

Источник: https://www.securitylab.ru/news/490461.php?R=1



bga68comp: (Default)
Обнаружен новый способ распространения трояна Loki через Microsoft Office




На первых этапах атаку с использованием вредоносных скриплетов практически невозможно обнаружить. Специалисты компании Lastline Labs обнаружили новый вектор распространения трояна Loki через программы Microsoft Office. На первых этапах атаку практически невозможно обнаружить. Она проводится в обход антивирусных решений и как правило отклоняется как ложноположительная из-за использования в документах Office вредоносных скриплетов с ссылками на внешние ресурсы.
В текущем месяце в руки исследователей Lastline Labs попал вредоносный файл Excel, способный загружать и выполнять вредоносное ПО. Анализ файла не выявил никаких макросов, shell-кодов или DDE. Файл имел низкий уровень детектирования на Virustotal, что означает либо ложноположительный результат, либо новую технику атаки.

Как пояснили исследователи, для обхода обнаружения антивирусными решениями злоумышленники встраивают URL в скриплеты в документах Office. После открытия вредоносного файла Excel жертве предлагается обновить внешние ссылки рабочей книги – функцию Office, позволяющую ссылаться на внешние ресурсы, а не встраивать их напрямую (таким образом файлы сохраняют небольшой размер, и их легче обновить). Однако внешние ссылки могут ссылаться на вредоносные скриплеты и загружать вредоносное ПО.

Исследователи Lastline Labs обнаружили, что описанный выше метод используется злоумышленниками для заражения компьютеров трояном Loki, предназначенным для похищения учетных данных. Вредоносные файлы попадают к жертвам через фишинговые письма. В ходе атаки эксплуатируется уже исправленная уязвимость CVE-2017-0199 в Microsoft Office/WordPad, позволяющая удаленно выполнить код.

Скриплет – технология, позволяющая создавать COM-компоненты (модели компонентного объекта) средствами простых в использования языков сценариев. Скриплет появился в 1997 году с выходом в свет Internet Explorer 4.0.

Источник: https://www.securitylab.ru/news/490456.php

bga68comp: (Default)



image

Владимир Безмалый

О безопасности и не только






15 Декабря, 2017

7 основных правил защиты от фишинга

Владимир Безмалый

Компания Protectimus Solutions LLP сформулировала  7 основных правил защиты от фишинга , а пользователь Хабрахабр @tgilartem  перевёл их на русский язык .


  1. Обязательно проверьте URL-адрес, по которому рекомендуется перейти, на наличие незначительных ошибок в написании.

  2. Используйте только безопасные https-соединения. Отсутствие всего одной буквы «s» в адресе сайта должно вас насторожить.

  3. С подозрением относитесь к любым письмам с вложениями и ссылками. Даже если они пришли со знакомого адреса, это не дает гарантии безопасности: он мог быть взломан.

  4. Получив неожиданное подозрительное сообщение, свяжитесь с отправителем альтернативным способом и уточните, он ли его послал.

  5. Если все же необходимо посетить ресурс, введите его адрес вручную или воспользуйтесь ранее сохраненными закладками .

  6. Не используйтеь для доступа к онлайн-банкингу и другим финансовым сервисам открытые Wi-Fi сети. Часто их создают злоумышленники. Даже если это не так, подключиться к незащищенному соединению не составляет сложности для хакеров.

  7. На всех аккаунтах, где это возможно, подключите двухфакторную аутентификацию. Эта мера может спасти положение, если основной пароль стал известен взломщикам.




bga68comp: (Default)
14 Декабря, 2017

Сказки о безопасности: Как агентов раскрыли

Владимир Безмалый


— Иоганн! Приезжайте скорее! Машина за вами уже вышла! Ваши ведущие специалисты тоже оповещены! Все отозваны из отпусков! У нас ЧП! Вернее, даже не так. У нас беда! В силовых структурах объявлена высшая степень готовности! На моей памяти такого еще не было! Всем рекомендовано прервать отпуска и прибыть к месту службы. Охране объектов выдано автоматическое оружие, а всем агентам обязательно носить с собой личное оружие. Вернее даже не только агентам, а всем сотрудникам, включая вспомогательный персонал.

— Да что случилось, Мари?!

— Не знаю, шеф! Машина уже должна подъезжать к дому. Да! Учтите, вы поедете не в департамент, а на объект «Озеро»!

— Понял, выезжаю.

Прошло полчаса.

— Итак, господа, у нас чрезвычайное происшествие. В Интернете обнаружена база данных, содержащая более 250 тыс. имен, фотографий, домашних и электронных адресов агентов департамента имперской безопасности. Кроме того, там же находятся данные о членах их семей, о состоянии их карточных и банковских счетов, номера автомобилей и номера их рабочих, домашних и мобильных телефонов. Кроме того, на этом сервере обнаружены копии 160 тыс. файлов из внутренней системы ведения дел и расследований.

Это самая грандиозная утечка данных! Император в бешенстве. От нас ждут ответа, получил ли кто-либо кроме исследователей безопасности из фирмы А доступ к этим данным.

— Шеф, как давно они обнаружили утечку?

— Позавчера.

— А при каких обстоятельствах?

— Абсолютно случайно, в том-то и дело. База данных обнаружена на домашнем сервере в облаке. Сервер принадлежит одному из разработчиков департамента имперской безопасности. Это его домашний сервер!

— Погодите, правильно ли я понимаю, что он вынес все эти данные домой???

— Абсолютно верно! Официальная причина — он хотел усовершенствовать некоторые свои программы и работал с ними дома.

— Вызовите ко мне руководителя отдела разработки, начальника службы ИБ этого департамента и начальника службы ИТ. И пригласите присутствовать на беседе директора департамента! Безобразие какое! Они что, не контролируют внешние устройства? Не контролируют копирование совершенно секретной информации? Они что, не понимают, что они делают?

— Судя по всему, именно так!

— Марк, вы возглавите расследование. Полномочия у нас с вами самые широкие. Император уже подписал приказ.

Прошло две недели.

— Иоганн, вы будете удивлены, но лица, скопировавшие всю эту информацию, реально хотели сделать как лучше и не планировали ее продавать или предоставлять к ней доступ кому-то другому. Они просто стремились усовершенствовать свое же программное обеспечение!

— Ужасно. Вот уж действительно, дорога в ад вымощена благими намерениями. Нам с вами придется самим заняться построением системы информационной безопасности этого департамента.

— Но у нас нет столько людей.

— Придется привлекать студентов старших курсов Академии, а куда деваться?

Увы, похожая история произошла в Department of Homeland Security, США. Согласно документам, полученным в мае USA TODAY, на домашнем (!) сервере сотрудника DHS была обнаружена конфиденциальная персональная информация 246 тыс. сотрудников этого ведомства.

Кроме того, на этом же сервере обнаружены копии 159 тыс. файлов из внутренней системы ведения дел и расследований генеральной прокураторы.


bga68comp: (Default)
http://www.vmgu.ru/news/vmware-vcenter-converter-standalone-62


Вышел VMware vCenter Converter Standalone 6.2.

19/12/2017

Компания VMware после очень долгого перерыва выпустила новую версию своего главного продукта для перенесения физических серверов в виртуальную среду - VMware vCenter Converter Standalone 6.2. Напомним, что прошлая версия этого средства вышла почти два года назад (мы писали о vCenter Converter Standalone 6.1 вот тут) - и никто не переживал по этому поводу.

Давайте посмотрим, что нового VMware добавила в Converter за прошедшие почти 2 года:


  • Поддержка целевых хостов VMware vSphere 6.5 Update 1.

  • Поддержка новых ОС физических серверов - Windows Server 2016 и Ubuntu 16.

  • Новая конфигурация для миграции Linux-серверов. Теперь можно указать путь ко временным файлам vmware-sysinfo, которые будут распакованы и запущены.

  • Новая опция, позволяющая изменить дефолтный тип диска целевой виртуальной машины с thick ("толстого") на thin ("тонкий"). Для этого нужно отредактировать файл converter-worker.xml.

Не так уж и много, да? Похоже, конвертером особо никто не занимался... Таким образом, список поддерживаемых конвертеров операционных систем выглядит так:


  • Windows Vista SP2 до Windows 10

  • Windows Server 2008 SP2 до Windows Server 2016

  • CentOS 6.x and 7.0

  • Red Hat Enterprise Linux 4.x up to 7.x

  • SUSE Linux Enterprise Server 10.x and 11.x

  • Ubuntu 12.04 LTS, 14.04 LTS, and 16.04 LTS

Офлайн конверсия машин с Microsoft Hyper-V может быть проведена для следующих ОС:


  • Windows Server 2008 R2 (64-bit)

  • Windows Server 2012 (64-bit)

  • Windows Server 2012 R2 (64-bit)

  • Windows 10 (64-bit)

  • Windows Server 2016 (64-bit)

Более подробно о новой версии VMware vCenter Converter Standalone 6.2 написано в Release Notes, скачать продукт можно по этой ссылке.



bga68comp: (Default)



Специалисты из Google Project Zero обнаружили 7 уязвимостей в JScript.dll.

Исследователи из Google Project Zero описали локальную PoC-атаку на компьютер под управлением Windows 10 со всеми установленными обновлениями, позволяющую выполнить недоверенный JavaScript-код за пределами песочницы.

Представленная исследователями атака является разновидностью атаки на WPAD/PAC и предполагает совокупную эксплуатацию сразу нескольких уязвимостей, затрагивающих PAC и Microsoft JScript.dll.

«Мы обнаружили 7 уязвимостей (JScript.dll) и продемонстрировали успешное выполнение кода из локальной сети (и за ее пределами) на полностью обновленной (на момент написания) 64-разрядной системе Windows 10 Fall Creators Update», — сообщили исследователи в своем блоге.

Атаки на протокол Web Proxy AutoDiscovery (WPAD) основываются на том, как браузеры используют PAC (Proxy Auto-Configuration) для направления HTTP- и HTTPS-запросов. Файлы PAC содержат JavaScript-код, указывающий, какой прокси должен использовать браузер, чтобы попасть на определенный URL.Злоумышленник может использовать вредоносный PAC и осуществлять мониторинг каждого запрашиваемого браузером URL-адреса.

Исследователи из Google Project Zero обнаружили новый вектор атаки. Экспертам удалось выявить 7 уязвимостей в движке Windows JScript для интерпретации файлов JavaScript PAC (CVE-2017-11810, CVE-2017-11903, CVE-2017-11793, CVE-2017-11890, CVE-2017-11907, CVE-2017-11855 и CVE-2017-11906). Эксперты связали две из них (приводящие к утечке информации и переполнению буфера) и, использовав несколько техник (в том числе возвратно-ориентированное программирование), обошли механизмы безопасности Windows. Затем они применили технику повышения привилегий и перешли из учетной записи Local Service, где сервис WPAD работает, но с минимальными привилегиями, в SYSTEM.

В настоящее время вышеупомянутые уязвимости уже исправлены. Тем не менее, это вовсе не значит, что исправлены все проблемы с безопасностью. «На обнаружение уязвимостей в JScript.dll у нас ушло много времени, усилий и вычислительной мощности, но мы не беремся утверждать, что нашли все. По факту, оказалось 7 уязвимостей, но их также может быть и 8», — отметили исследователи.

Возвратно-ориентированное программирование – метод эксплуатации уязвимостей в программном обеспечении, используя который атакующий может выполнить необходимый ему код при наличии в системе защитных технологий, например, технологии, запрещающей исполнение кода с определенных страниц памяти.

08:52 / 20 Декабря, 2017

Подробнее: https://www.securitylab.ru/news/490446.php

 
bga68comp: (Default)

НОВЫЙ ТРОЯН ДЛЯ УДАЛЕННОГО ДОСТУПА ИСПОЛЬЗУЕТ TELEGRAM В КАЧЕСТВЕ УПРАВЛЯЮЩЕГО СЕРВЕРА

Троян примечателен тем, что использует облачные сервисы для обхода традиционных сканеров безопасности.

Исследователи безопасности из Netscope Threat Research Labs обнаружили новый троян для удаленного доступа (Remote Access Trojan, RAT), использующий сервис Dropbox в качестве хоста и мессенджер Telegram в качестве C&C-сервера.

По словам экспертов, троян примечателен тем, что задействует облачные сервисы для обхода традиционных сканеров безопасности, которые не могут проверить SSL или обеспечить анализ трафика на уровне облачных приложений.

Вредонос, получивший название TelegramRAT, распространяется под видом вредоносного документа Microsoft Office, эксплуатирующего уязвимость CVE-2017-11882, исправленную Microsoft в минувшем месяце. Троян использует переадресацию сервиса Bit.ly для сокрытия вредоносной нагрузки, размещенной на облачном сервисе Dropbox.

Вредоносная нагрузка создана на основе открытого исходного кода Python TelegramRAT, размещенного на GitHub. Уникальной особенностью данного вредоносного ПО является использование Telegram BOT API для получения команд и отправки сообщений по HTTPS. Таким образом трояну удается оставаться незамеченным для традиционных средств сетевой безопасности, пояснили специалисты.

Подробнее: https://www.securitylab.ru/news/490415.php

bga68comp: (Default)
За месяц до атаки Petya.A наши админы ИТ-инфраструктуры, как дети, бегали, кричали и смеялись, что нашли потрясающую уязвимость Windows...
Только админы информационной безопасности устало отмахивались и про себя думали "Боже, какие дети!!!" потому, что это не уязвимость...
"Получение debug-привилегии mimikatz – это не взлом Windows, не несанкционированный доступ – это использование default-настройки времён 1999 года, т.е. стартового релиза Windows 2000. Возможность проведения таких действий – это проблема не ОС, а квалификации администраторов и инженеров."

Хотел об этом написать, но пока я думал, толковые ребята уже написали почти то, что я хотел

Привожу без сокращений:
Оригинал: https://www.atraining.ru/mimikatz-lsa-protection/

Часть 2. Назад к Части 1

Mimikatz – получаем доступ к различной аутентификационной информации

В ОС Windows в целях совместимости – притом не только со старыми версиями Windows, но и со сторонними технологиями (например, чтобы подключающиеся по PPP-протоколам могли использовать классический CHAP) может храниться несколько вариантов хэша пароля пользователя.

Этот список может включать в себя следующие пункты:


  • Plaintext – пароль в открытом виде.

  • WDigest – пароль после CHAP / MD5-преобразования.

  • LM-hash – хэш для старого LanManager.

  • NTLM-hash – хэш для NTLM и Kerberos.

Mimikatz выгружает хэши и учётные данные из работающего lsass командой lsadump::lsa /name:Administrator /inject:

Много выгрузил, да.

Read more... )

bga68comp: (Default)
За месяц до атаки Petya.A наши админы ИТ-инфраструктуры, как дети, бегали, кричали и смеялись, что нашли потрясающую уязвимость Windows...
Только админы информационной безопасности устало отмахивались и про себя думали "Боже, какие дети!!!" потому, что это не уязвимость...
"Получение debug-привилегии mimikatz – это не взлом Windows, не несанкционированный доступ – это использование default-настройки времён 1999 года, т.е. стартового релиза Windows 2000. Возможность проведения таких действий – это проблема не ОС, а квалификации администраторов и инженеров."

Хотел об этом написать, но пока я думал, толковые ребята уже написали почти то, что я хотел

Привожу без сокращений:
Оригинал: https://www.atraining.ru/mimikatz-lsa-protection/

Mimikatz предлагает сдаться

Разбираем очередное всёпропальческое-админское на тему утилиты mimikatz


В процессе недавней атаки вируса-вымогателя Пети достаточно много внимания было уделено новому, со времён WannaCry, payload’у этого вируса. Действительно, новый зловред оперировал для захвата власти на локальных хостах не одной, а целым набором уязвимостей – касающихся не только ОС Windows, но и, к примеру, пакета Microsoft Office.

Особое внимание привлёк один из компонентов – т.н. mimikatz.

Этому модулю приписываются воистину чудодейственные возможности, заставляющие вспомнить золотые времена линукссообществ для умственно одарённых старшеклассников, с экспертным мнением вида:

любую венду кароч одним пакетом кладёт прорубает любой файервол если только не под линем работает

Реакция админствующего Windows-сообщества, исповедующего религию всё по дефолту развернуть как в MS рассказывают и пусть работает, сидим да не паримся, а если что – так всё надо просто перенакатить с нуля, или ты самый умный что ли?, впрочем, благодаря околонулевому пониманию матчасти, тоже особо не отличалась:

Мимикац предлагает сдаться?

Посмотрим.

Read more... )

Часть 2

bga68comp: (Default)

Оптимизация Windows для работы в среде виртуализации

При  использовании Windows в качестве терминального сервера или в качестве ОС виртуальных десктопов (VDI), несколько пользователей совместно используют ресурсы одного сервера. Чем меньше ресурсов потребляет каждая сессия пользователя, тем более высокую плотность терминальных и VDI сессий может поддерживать один хост. Аналогичное утверждение верно и при запуске нескольких копий Windows в качестве гостевой системы в среде виртуализации. В том случае, если в среде виртуализации запущено большое количество виртуальных машин с Windows, оптимизация настроек этих ВМ для запуска в виртуальной среде, позволит улучшить производительность гостевых ОС, существенно снизить нагрузку на хост и увеличить количество ВМ, которые смогут одновременно работать на сервере.

Для оптимизации  Windows для работы в терминальной среде, VDI инфраструктуре или в виртуальной машине можно воспользоваться бесплатной утилитой VMware OS Optimization Tool, доступной на сайте  VMware Labs (https://labs.vmware.com/flings/vmware-os-optimization-tool#summary). На момент написания статьи была доступна версия b1084 от 2 ноября 2016, а для запуска утилиты требуется.Net Framework 3.5.

Утилита позволяет произвести оптимизацию образа Windows 7, 8.x, 10 и Windows Server 2008, 2012, 2012 R2 для использования в инфраструктуре виртуальных десктопов  VMware Horizon View. Однако это не мешает использовать ее для оптимизации настроек Windows в любой среде виртуализации, будь то Citrix, Microsoft или VMware.

В утилите VMware OS Optimization Tool имеется несколько предопределенных шаблонов оптимизации для разных версий Windows. В каждом шаблоне определен ряд системных настроек, которые согласно рекомендациям VMware и бест практикам, стоит использовать при работе ОС в виртуальной машине.  В шаблонах предусматривается отключение неиспользуемых служб,  функций и заданий планировщика Windows; заставок,  скринсейверов, звуковых схем и визуальных эффектов и т.д, т.е. всего того функционала, которые зря расходует ресурсы хостовой системы.

В нашем случае в качестве гостевой ОС ВМ используется  Windows 10. Посмотрим, как оптимизировать образ Windows 10 для высокой производительности в VDI среде. Запустим утилиту VMware OS Optimization Tool и списке шаблонов выберем VMWare\Windows 10.

VMware OS Optimization Tool

В списке настроек шаблона имеется ряд модификаций, которые желательно использовать при работе Windows 10  в среде виртуализации VMware. В качестве примера приведем несколько рекомендованных настроек из шаблона:

Read more... )

bga68comp: (Default)
Рекомендации по обеспечению безопасности Active Directory

31.05.2017
Область применения: Windows Server 2016, Windows Server 2012 R2, Windows Server 2012

Это документе представлена точка зрения практикующего и даются практические указания, которые помогут директорам по ИТ защитить корпоративную среду Active Directory. Active Directory играет важную роль в ИТ-инфраструктуре и позволяет обеспечить согласованную и безопасности различных сетевых ресурсов в глобальной взаимосвязанной среде и. Рассматриваемые методы основываются главным образом на организации корпорация Майкрософт сведения о безопасности и управления рисками (ISRM), которая предназначена для защиты активов ИТ Майкрософт и других бизнес-подразделения Майкрософт, помимо оказания консультативной помощи выбранного количества клиентов Майкрософт из списка Global 500.
·         Предисловие
·         Подтверждения
·         Краткий обзор
·         Введение
·         Способы решения
·         Хороший учетные записи для кражи учетных данных
·         Снижение уязвимостей Active Directory
·         Реализация административных моделей с наименьшим количеством прав
·         Реализация безопасного администрирования узлов
·         Защита контроллеров домена от атак
·         Мониторинг Active Directory для обнаружения признаков компрометации
·         Рекомендации по политике аудита
·         Планирование при компрометации
·         Поддержка более безопасной среды
·         Приложения
·         Приложение б. привилегированные учетные записи и группы в Active Directory
·         Приложение в. защищенные учетные записи и группы в Active Directory
·         Приложение г. Защита встроенных учетных записей администраторов в Active Directory
·         Приложение д. Защита групп корпоративных администраторов в Active Directory
·         Приложение е. Защита групп администраторов домена в Active Directory
·         Приложение ж. Защита групп администраторов в Active Directory
·         Приложение з. Защита учетных записей локального администратора и групп
·        Приложение и создание учетных записей управления для защищенных учетных записей и групп в Active Directory
·         Приложение м. события для мониторинга
·         Приложение н. ссылки на документы и Рекомендуемая литература


bga68comp: (Default)

Защита административных учетных записей в сети Windows

В этой статье я постарался собрать основные организационные и технические правила использования учетных записей администраторов в организации, направленные на повышение безопасности в домене Windows. Использование данных рекомендаций значительно повысит защиту компьютеров домена Active Directory от атак, аналогичных летнему инциденту с шифровальщиком Petya, одной из техник распространения которого между компьютерами домена (помимо уязвимости в SMBv1) был удаленный доступ с помощью полученных из памяти учетных данных администраторов (с помощью утилиты аналогичной Mimikatz). Возможно некоторые из рекомендаций спорные или неприменимые для конкретных случаев, но к ним все-таки нужно стремиться.

Итак, в предыдущей статье мы рассмотрели основные методики защиты от извлечения паролей из памяти с помощью Mimikatz. Однако все эти технические меры могут быть бесполезными, если в домене Windows не применяются базовые правила обеспечения безопасности административных учетных записей.

Основное правило, которым следует пользоваться – максимальное ограничение административных привилегий, как для пользователей, так и администраторов. Нужно стремится к тому, что предоставлять пользователям и группам поддержки только те права, которые необходимы для выполнения повседневных задач.

Базовый список правил:


  • Учетные записи администраторов домена/организации должны использоваться только для управления доменом и контроллерами домена. Нельзя использовать эти учетные записи для доступа и управления рабочими станциями. Аналогичное требование должно предъявляться для учетных записей администраторов серверов

  • Для учетных записей администраторов домена желательно использовать двухфакторную аутентификацию

  • На своих рабочих станциях администраторы должны работать под учетными записями с правами обычного пользователя

  • Для защиты привилегированных учетных записей (администраторы домена, Exchange, серверов) нужно рассмотреть возможность использования группы защищенных пользователей (Protected Users)

  • Запрет использования обезличенных общих административных аккаунтов. Все аккаунты администраторов должны быть персонифицированы

  • Нельзя запускать сервисы под учетными записями администраторов (а тем более администратора домена), желательно использовать выделенные учетные записи или Managed Service Accounts .

  • Запрет работы пользователей под правами локального администратора

Read more... )

bga68comp: (Default)

Установка и активация сервера лицензирования RDS на Windows Server 2016

В это статье мы рассмотрим процесс установки, настройки и активации роли сервера терминальных лицензий (Remote Desktop Licensing) на базе Windows Server 2016, а также процедуру установки и активации клиентских терминальных (CAL).

Напомню, что после установки роли терминального сервера Remote Desktop Session Host, пользователи могут использовать его только в течении пробного периода 120 дней, после окончания которого возможность подключения к удаленному RDS серверу пропадает. Согласно схеме лицензирования Microsoft, все пользователи или устройства, использующие возможности RDS, должны быть лицензированы. Для учета и выдачи терминальных лицензий (RDS CAL) существует отдельная служба роли RDS под названием Remote Desktop License Server.

Установка роли Remote Desktop Licensing

Переда началом установки нужно добавить (или убедиться, что у вас есть право на добавление) нового сервера в доменную группу Terminal Server License Servers, иначе сервер не сможет выдать CAL типа RDS Per User пользователям домена.

Установить службу Remote Desktop Licensing можно через консоль Server Manager. Для этого в мастере Add Roles and Features выберите роль Remote Desktop Services.
windows server 2016 роль Remote Desktop Services

Read more... )
bga68comp: (Default)
Оригинал: http://winitpro.ru/index.php/2013/07/15/szhimaem-tonkij-thin-disk-v-esxi-5/


Сжимаем тонкий (thin) диск в ESXi 5

Тонкие (thin) диски VMWare позволяют существенно сэкономить место на файловой системе VMFS хранилища при создании виртуальной машине. Такие vmdk диски при создании практически не занимают место на файловой системе и постепенно разрастаются до максимального размера по мере накопления информации.  Однако основная проблема при использовании thin диски заключается в том, что они со временем разрастаются даже в том случае, если вы освободили место внутри гостевой операционной системы.

Примечание. При удалении данных в ОС Windows (и Linux это также касается) система не заполняет освоившееся место нулями, а просто помечает области как удаленные в метаданных раздела (их можно использовать для записи). Получается, что ESXi сервер не может самостоятельно определить какие из отданных ей блоков на самом деле свободны

Стандартного средства сжатия тонких дисков в ESXi нет, а сама система виртуализации ничего не знает об особенностях хранения данных внутри гостевой ОС.

В этой статье мы опишем простой способ сжатия тонкого vmdk диска в ESXi.


  1. На первом этапе необходимо помочь гипервизору, заполнив все свободное место на дисках внутри гостевой ОС нулями.Обнулить свободные блоки в Windows можно с помощью утилиты Марка Русиновича SDelete (на момент написания статьи последняя доступная версия SDelete v1.61, если вы используете более раннюю версии SDelete, имейте в виду, в ней могут использоваться немного другие параметры). Скачать SDelete можно тут: http://technet.microsoft.com/en-us/sysinternals/bb897443.aspx.

    Распакуйте архив на диск, откройте командную строку (естественно, с правами администратора) и выполните следующую команду


    Sdelete –z c:

    В данном случае c: — это виртуальный тонкий vmdk диск, который мы планируем сжать.

    sdelete - очистка свободного места в windows


Read more... )



bga68comp: (Default)
Оригинал: http://winitpro.ru/index.php/2014/03/13/umenshit-razmer-vhdx-vmware-esxi/

Уменьшение размера виртуального диска на ESXi

В отличии от процедуры расширения диска виртуальной машины VMWare, которую можно выполнить прямо «на-лету», процедура уменьшения размера vmdk файла на гипервизоре VMWare ESXi задача более сложная, и выполнить ее непосредственно через графический интерфейс vSphere Client в принципе невозможно — указать меньший размер просто не получится.

Примечание. Отметим, что в последней версии гипервизора Microsoft  — есть технология динамического изменения (как расширения, так и сжатия) виртуальных дисков под названием Hyper –V Online VHDX Resize.
Важно. Данная инструкция не является официально поддерживаемым решением по сжатию vmdk дисков, однако автором статьи в продуктивной среде применялась уже не раз. При написании этой статьи использовалась версия ESXi 5.1.

Изменение размера виртуального vmdk диска в vmware esxi
Перед осуществлением процедуры уменьшения размера виртуального диска на VMWare ESXi необходимо обязательно:


  • Удалить все снапшоты виртуальной машины, в противном случае вы можете повредить виртуальный диск

  • Создайте полную резервную копию виртуальной машины или же просто сделайте  копию уменьшаемого vmdk файла с помощью команд:
    cp vmname.vmdk backup_vmname.vmdk







    cp vmname-flat.vmdk backup_vmname-flat.vmdk


Процедура уменьшения размера виртуального диска состоит из двух этапов:


  • Уменьшение раздела внутри гостевой ОС

  • Уменьшение размера VMDK файла виртуальной машины VMware

Read more... )

Profile

bga68comp: (Default)
bga68comp

January 2026

S M T W T F S
    123
45678 910
1112131415 1617
18 19 2021222324
25262728293031

Syndicate

RSS Atom

Most Popular Tags

Page Summary

Style Credit

Expand Cut Tags

No cut tags
Page generated 2026-01-23 09:02
Powered by Dreamwidth Studios