Gazdaság

A Netwalker zsarolóvírus betekintést nyújt a fenyegetők módszereibe

A Netwalker zsarolóvírussal kapcsolatos fertőzési kampány utáni nyomozás közben a Sophos a támadást végrehajtó bűnözők által használt fájlokra bukkant.

A vírusokat és egyéb fájlokat tartalmazó gyűjtemény számos részletet árul el a támadók módszereiről, melyeket a hálózatok kompromittálására, jogosultságaik magasabb szintre emelésére és a vírus munkaállomásokra való terjesztésére használtak a közelmúltbéli támadásokban.

A Netwalkert terjesztő bűnözői csapat változatos profilú célpontokat támadott meg az Egyesült Államokban, Ausztráliában és Nyugat-Európában. A legutóbbi jelentések arra utalnak, hogy a támadók úgy döntöttek, erőfeszítéseiket nagyobb szervezetekre összpontosítják, mint sem magánszemélyekre.

A Sophos által felfedezett eszköztár megerősíti ezt a feltevést, hiszen vállalati hálózatok rendszergazda hozzáférési adatainak megszerzésére szolgáló programokat is tartalmaz, melyeket Domain Controllerről való szoftverterjesztést alkalmazó eszközökkel kombináltak. Gyakori dolgok egy vállalati hálózatban, azonban ritkák az otthoni felhasználók esetében.

És bár a payload legnagyobb része a Netwalker volt, a Zeppelin Windows zsarolóvírus és a Smaug Linux zsarolóvírus különálló mintáit is megtalálták a kutatók.

Összegzés

A zsarolóvírus támadások napjainkban nem egyszeri események, mint a Wannacry volt 2017-ben. A bűnözők jól megalapozott procedúrákkal és eszköztárral rendelkeznek, melyeket rutinszerűen alkalmaznak. A támadások általában hosszabbak: a támadók napokat (akár heteket is) eltöltenek az áldozatnak jelölt szervezeten belül, alaposan feltérképezve a belső hálózatot, miközben hozzáférési adatokat és más hasznos információt gyűjtenek.

A Sophos kutatás eredményei jó példák a trendre, melyet mindannyian megfigyeltünk a fenyegetések terén. A bűnözők jól megtervezett manuális akciókat szerveznek meg, behatolnak az áldozat rendszereibe, alaposan felderítik őket és kikapcsolják a védelmet, mielőtt végrehajtanák a végső támadást.

A Netwalker zsarolóvírus mögött álló “threat actorok” kevésbé támaszkodnak a saját maguk által készített eszközökre, mint más zsarolóvírus csoportok. Az eszköztár legnagyobb része nyilvános forrásokból lett összegyűjtve. Az ilyen, úgynevezett “grey-hat” alkalmazások használatával spórolnak a fejlesztés idején, mely az eredetiség rovására megy.

Az ehhez hasonló, közvetlenül a támadók taktikáiba és eszközeibe való betekintések ritka lehetőséget kínálnak, hogy meglássuk, mi történik a színfalak mögött. Ez pedig drámai mértékben segíti a védekezőket abban, hogy felkészítsék a védelmüket a támadások korai szakaszai ellen, mielőtt a támadók terjeszteni kezdenék magát a zsarolóvírust.

Mit tartalmaz a bűnözők eszköztára?

Az archívum a fenyegetés mögött álló személyek által használt zsarolóvírus terjesztő csomagok legalább 12 különböző verzióját tartalmazta, illetve még számos más eszközt is:

egy átfogó eszközkészletet, melyekkel felderíthették a célzott hálózatokat,
a jogosultságok szintjét emelő és egyéb exploitokat, melyeket Windows számítógépek ellen lehet használni,
és olyan eszközöket, melyekkel ellophatják, kinyomozhatják vagy kierőszakolhatják az értékes információhoz vezető útvonalat egy gépről vagy egy hálózatról. (Beleértve a Mimikatzet, illetve a Mimidogz és Mimikittenz nevű változatait, utóbbiakat arra tervezték, hogy elkerüljék az endpoint biztonsági megoldás által való felfedezést.)

A szkriptek és exploit eszközök egy részét közvetlenül a Github repositorykból másolták le. Az eszközök egy része ingyenesen beszerezhető Windows segédprogram, mint például az Amplia Security Windows Credential Editorja.

Továbbá a következőket is megtalálták:

a Microsoft SysInternals PsTools csomag egy majdnem teljes gyűjteményét,
az NLBrute egy másolatát (amely brute-force módszerrel próbálja feltörni a jelszavakat),
a kereskedelmi forgalomban kapható TeamViewer és AnyDesk távoli kisegítő eszközeinek telepítőit,
és számos olyan eszközt, melyet a végpontok biztosításával foglalkozó cégek hoztak létre abból a célból, hogy eltávolítsák a saját (vagy más cégek) endpoint biztonsági megoldásait és vírusirtóit a számítógépről.

A betörés részleteinek felderítése

„Nem teljesen egyértelmű, hogy a kampány mögött álló bűnözők hogyan vetik meg a lábukat az általuk célzott hálózaton, azonban a nyomok arra utalnak, hogy a gyakran használt, elavult szerverszoftverek (például a Tomcat vagy Weblogic) jól ismert, részletesen ismertetett gyengeségeit vagy a gyenge RDP jelszavakat használják ki.”

– mondta Szappanos Gábor, a Sophos kiberbiztonsági szakértője.

Az NLBrute nevű brute-force eszközt is megtalálta a Sophos. Az eszköz konfigurációs fájljai azt mutatják, hogy egy előre megadott felhasználónevekből és jelszavakból álló gyűjtemény használatára állították be, melyekkel olyan számítógépek feltörését kísérelték meg, ahol engedélyezték a távoli asztal használatát. Az NLBrute használható olyan támadásokban, melyek célja a hálózatra való behatolás kívülről vagy arra is, hogy laterális hozzáférést szerezzenek más számítógépekhez, miután megvetették a lábukat a hálózaton.

Miután bejutottak az áldozatuk hálózatára, a támadók a jelek szerint a SoftPerfect Network Scannerét használták arra, hogy azonosítsák a nyitott SMB portokkal rendelkező számítógépeket és célpontlistát készítsenek róluk. Később a Mimikatzet, a Mimidogzot vagy a Mimikittenzt használhatták arra, hogy megszerezzék hozzájuk a hozzáférési adatokat.

A megtalált fájlok a bűnözők preferált exploitjainak gyűjteményét is megmutatták. Ezek között a következők szerepeltek:

az EternalDarkness SMBv3 exploit variánsai (CVE-2020-0796),
a CVE-2019-1458 lokális jogosultság exploit Windows ellen,
a CVE-2017-0213 Windows COM jogosultság-növelő exploit, melyet a Google Security Github fiókján publikáltak,
a CVE-2015-1701 “RussianDoll” jogosultság-növelő exploit.

Továbbá megtalálták a dirtycow sebezhetőség ellen használt pokemon exploit firefart variánsának forráskódját is; ez pedig túl sok nevetséges elnevezés egyetlen Linux jogosultság-szint emelő exploitra. A támadók arra sem vették a fáradtságot, hogy megváltoztassák a firefart alapértelmezés szerint megadott felhasználónév értékét, ám ezt máshol még megtehetik.

Az exploitok és hackelésre használt eszközök mellett a támadók összeszedtek egy színes gyűjteményt is, mely olyan szoftverekből állt, melyeket endpoint biztonsági megoldások és antivírusok Windows számítógépekről való eltávolítására terveztek. A gyűjteményükben található eszközök között megtaláltuk az ESET által közzétett AV Remover és a TrendMicro WorryFree Uninstall programokat is.

A zsarolóvírus terjesztése

A támadók a Netwalker zsarolóvírus-t általában egy reflektív PowerShell betöltő szkript használatával terjesztik, amelyet több rétegnyi kódolás véd az egyszerűbb elemzések ellen. A folyamat végén a Netwalker payload betöltődik és végrehajtódik. A végső kártevő egy DLL vagy egy futtatható fájl. A célszámítógépen lévő fájlok titkosításra kerülnek, a felhasználó pedig egy ilyen jellegű üzenetet talál:

Ha ezt a szöveget valamilyen okból a titkosítás vége előtt olvassa, ezt érthető amiatt, mivel a számítógép lelassult,
a szívverése pedig felgyorsult, mivel nem tudja kikapcsolni,
így azt javasoljuk, hogy távolodjon el a számítógépétől és fogadja el a tényt, hogy kompromittálódott.
Az újraindítás/leállítás miatt el fogja veszíteni a fájlokat a visszaállítás lehetősége nélkül.

Minden egyes alkalommal, amikor új szervezet az áldozat, a támadók a Netwalker DLL egy egyedi buildjét használják. Érdekes módon számos Netwalker DLL ugyanazt a létrehozási dátumot tartalmazza a PE headerben. Sőt, az egyetlen eltérés az encrypted blob store resource numberjében található, mely 1337 vagy 31337 lehet. Valószínűnek tűnik, hogy a legtöbb alkalommal ugyanazt a DLL template-et használják és csak ezt a encrypted blobot változtatják meg.

Kapcsolódó cikkek:2020 betekintés netwalker sophos zsarolóvírus

Következő hírünk

Újjászületik a magyar vasúti járműgyártás

Előző hírünk

Online számálázóval segíti a Budapest Bank csoport a kisvállalkozókat

Tovább

Hirdetés

Gazdaság

Egyetemi tanszéket alapított a Toyota Sakura

Az ország egyik legpatinásabb műszaki felsőoktatási intézményének és a Toyota egyik legjelentősebb hazai márkakereskedésének az együttműködéséből született oktatási központban a jövő hajtástechnológiáival ismerkedhetnek a mérnökpalánták.

A Toyota a világ legnagyobb autógyártójaként és a japán gazdaság első számú szereplőjeként kiemelt jelentőségű küldetésének tekinti, hogy gondoskodjon az emberi társadalom jövőjéről. Ezen sokrétű tevékenységeiben mindig is kiemelt szerep jutott a tudásátadás, az oktatás, a tudományos és szakképzés feladatkörének. Tojoda Eicsi, a cégalapító Tojoda Kiicsiro unokatestvére már 1977-ben megfogalmazta azt az álmát, hogy a Toyota „a kutatás és a kreativitás szellemiségét tiszteletben tartva” egy saját egyetemet alapítson szűkebb hazájában, Aicsi prefektúrában, amelynek küldetése, hogy az anyavállalathoz hasonlóan „arra törekedjen, hogy az élen járva feltérképezze a tudomány és a technológia számára a követendő irányt.” Ez az egyetem, a Toyota Technical Institute 1981-ben tárta ki kapuit, 1995-ben PhD programot indított, 2003-ban pedig Chicagóban megnyitotta tengerentúli intézetét.

Ha a műszaki felsőoktatás és az autóipar ilyen léptékű összefonódása nem is mondható jellemzőnek, a Toyota az elmúlt évtizedekben a világ minden részén ösztöndíjakkal, gyakornoki programokkal és egyéb projektek útján törekedett arra, hogy helyi és nemzeti szinten egyaránt hozzájáruljon a jövő technológiai szakembereinek a gyakorlati és elméleti képzéséhez. Ehhez a nemes hagyományhoz csatlakozik most Magyarország, ahol a Toyota egyik legjelentősebb márkakereskedése példa értékű együttműködési megállapodást kötött egy évszázados múltra visszatekintő hazai egyetemmel.

Az 1992-ben alapított Toyota Sakura és az Óbudai Egyetem Kandó Kálmán Villamosmérnöki Kara, amely elődintézményei révén több mint száz éve számít az elektrotechnikai képzés egyik hazai fellegvárának, példa értékű együttműködési megállapodást írtak alá egy kihelyezett tanszék létesítéséről. Az új oktatási egység a Toyota legfontosabb hajtástechnológiai kompetenciáit kiaknázva a hidrogén és hibrid rendszerek rejtelmeibe fogja bevezetni a jövő mérnökgenerációit. Különösen aktuális és piacképes területekről van szó.

A Toyota Prius által 1997-ben bevezetett hibrid hajtástechnológia mára a világ legszélesebb körben alkalmazott alternatív hajtási módozatává vált, amellyel különösen költséghatékony módon érhető el fogyasztás- és emissziócsökkentés. A többféle módon (tüzelőanyagcellában elektromos energia előállítására, vagy belső égésű motorban elégetve), kiemelkedő hatásfokon felhasználható hidrogén előtt pedig gyakorlatilag végtelen távlatok állnak, mint az emberiség hosszú távú energiaellátásának legígéretesebb eszköze.

A műszak tudományos együttműködések, általános és középiskolai szemléltető és ismeretterjesztő programok, valamint az elmúlt években végzett felsőoktatási képzések terén komoly tapasztalatokkal rendelkező Toyota Sakura támogatásával megvalósuló tanszék ilyen módon az autóipar jelenében és jövőjében egyaránt releváns tudást fog átadni a hallgatóknak. A képzés olyan kompetenciával vértezi fel őket, amelyeket a tudományos életben és a gyakorlati munka során egyaránt közvetlenül és azonnal fognak tudni hasznosítani. Hozzáadott értékként a Toyota átfogó filozófiája és a Sakura vállalkozási tapasztalatai is érvényesülnek a tanszék életében, amelyre évtizedek óta meghatározó irányító elvként tekintenek a modern projekt- és vállalatirányítási gyakorlatokban.

A közös tanszék alapításáról szóló együttműködési megállapodást május 6-án írta alá Füredi István, a Toyota Sakura alapító tulajdonosa, valamint Prof Dr. Kovács Levente, az Óbudai Egyetem rektora, Szilasi János Toyota Sakura vezérigazgató, az új tanszék vezetője jelenlétében. A két szervezet együttműködése egyébként nem csak szakmai, hanem közösségi alapokon is nyugszik, hiszen mindketten a főváros harmadik kerületét tekintik otthonuknak. A tanszék a lehető leghamarabb megkezdi munkáját, a pontos szakmai részletekről a felek később adnak ki részletes tájékoztatást.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!

Tovább

Gazdaság

Intelligens világításvezérlést kaptak a francia Lidl-üzletek

IoT világítási megoldásokkal teszik fenntarthatóbbá a működésüket.

Felére csökkentette egyes üzleteinek világításból adódó energiafogyasztását a Lidl Franciaországban. A kiskereskedelmi üzletlánc a Siemens francia vállalatát választotta partnernek, hogy az elmúlt három évben együttműködve 13 bolt és két logisztikai üzem energiahatékonyságát javítsák.

Többfunkciós IoT-szenzorokat szereltek fel az érintett épületekben, amelyek valós idejű adatokat továbbítanak a világításvezérlő rendszer számára, például egy-egy terület hőmérsékletéről, a napsugárzás mértékéről, valamint az adott részlegen történő mozgásokról. Ezek alapján a szoftver képes dinamikusan optimalizálni a fényszinteket, és lekapcsolni a lámpákat a nem használt területeken.

A felhasználói igényeket akár előjelezni is képes, intelligens világításvezérlés emellett segít az üzemeltetőknek feltérképezni a vásárlói szokásokat, még kényelmesebbé téve így a vásárlást.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!

Tovább

Gazdaság

Használt házat a legnehezebb eladni

Az emelkedő tranzakciószám ellenére is nő a forgási idő, vagyis az ingatlanok mindhárom lakástípus esetében a korábbinál hosszabb időt töltenek a piacon, ami a vevők kivárásával magyarázható, mutatott rá Kosztolánczy György az Otthon Centrum vezérigazgatója az első negyedév egyik tanulságára.

Lassult az év első negyedévében az ingatlanpiac tempója – ismertette az Otthon Centrum legfrissebb felmérését Kosztolánczy György, aki arról is beszámolt, hogy mindhárom használt lakástípus esetében nőtt a forgási idő, vagyis az ingatlanok az előző mérés adataihoz képest hosszabb idő után találnak vevőre. Nem csak az idő, de a különbség is nőtt az ingatlantípusok között: továbbra is panelt lehet a leggyorsabban eladni és itt nőtt legkevésbé a forgási idő, míg az eddig is a leghosszabb ideig piacon lévő családi házak esetében nőtt leginkább az értékesítési idő.

Az év első három hónapjának statisztikái alapján a panelek átlagosan 97 napot töltenek a piacon az eladásig, ami két nappal hosszabb az előző negyedévben mért országos átlagnál. Bár Budán néhány nappal csökkent ez az érték, a legtöbb térségben nőtt a forgási idő: a panelpiac Budapesten a legaktívabb, a leginkább pörgő Budán és a külső pesti kerületekben, ahol 86 nap az átlag érték, míg a belvárosban mért 99 nap lényegében az országos átlaggal megegyező. A régióközpontokban, valamint Pest vármegyében 102 nap, a többi megyei jogú városban 108 nap az értékesítési átlag, míg a kisebb városokban már a négy hónapot is meghaladja a piacon töltött idő.

A társasházi lakások átlagos értékesítési ideje idén 120 nap, ami egy héttel hosszabb az előző negyedévi átlag értéknél. A legtöbb térségben szintén nőtt az értékesítési idő, egyedül a régióközpontokban tapasztalható megközelítőleg kéthetes csökkenés. Csak a nagyobb városokat jellemzik az átlagnál jobb értékek: Budán és a hat régióközpontban a legkedvezőbb a helyzet 105 nappal, de a belvárosi 115 napos átlag szintén kedvezőnek mondható. A többi vidéki városban és a külső pesti kerületekben 130 nap, Pest vármegyében 150 nap kell az eladáshoz.

A használt házak országos átlagban már 185 napig vannak a piacon, ami az előző negyedévi átlag értéknél 30 nappal hosszabb idő. Ebben a szegmensben is a budai kerületeké a legkedvezőbb átlag 160 nappal, míg a hatrégió központ 166 nappal a második. A többi településtípus között nem kiugróak a különbségek: a községekben 175, Pest vármegyében és a megyei jogú városokban 190, a kisebb városokban 195, a külső pesti kerületekben pedig 200 nap az átlagos értékesítési idő.

A szakember elmondta, noha az értékesítési idő növekvő trendje idén sem tört meg, az év második felében előreláthatólag kevesebb idő kell majd az értékesítéshez. A piacon a növekvő tranzakciószámok ellenére is még mindig sokan kivárnak a vásárlással, ami az egyre kedvezőbb lakáshitel kamatokkal, valamint a nemrégiben meghirdetett otthonfelújítási program közeljövőben elérhető kedvezményeivel is magyarázható.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!

Tovább