Gazdaság

A Netwalker zsarolóvírus betekintést nyújt a fenyegetők módszereibe

A Netwalker zsarolóvírussal kapcsolatos fertőzési kampány utáni nyomozás közben a Sophos a támadást végrehajtó bűnözők által használt fájlokra bukkant.

A vírusokat és egyéb fájlokat tartalmazó gyűjtemény számos részletet árul el a támadók módszereiről, melyeket a hálózatok kompromittálására, jogosultságaik magasabb szintre emelésére és a vírus munkaállomásokra való terjesztésére használtak a közelmúltbéli támadásokban.

A Netwalkert terjesztő bűnözői csapat változatos profilú célpontokat támadott meg az Egyesült Államokban, Ausztráliában és Nyugat-Európában. A legutóbbi jelentések arra utalnak, hogy a támadók úgy döntöttek, erőfeszítéseiket nagyobb szervezetekre összpontosítják, mint sem magánszemélyekre.

A Sophos által felfedezett eszköztár megerősíti ezt a feltevést, hiszen vállalati hálózatok rendszergazda hozzáférési adatainak megszerzésére szolgáló programokat is tartalmaz, melyeket Domain Controllerről való szoftverterjesztést alkalmazó eszközökkel kombináltak. Gyakori dolgok egy vállalati hálózatban, azonban ritkák az otthoni felhasználók esetében.

És bár a payload legnagyobb része a Netwalker volt, a Zeppelin Windows zsarolóvírus és a Smaug Linux zsarolóvírus különálló mintáit is megtalálták a kutatók.

Összegzés

A zsarolóvírus támadások napjainkban nem egyszeri események, mint a Wannacry volt 2017-ben. A bűnözők jól megalapozott procedúrákkal és eszköztárral rendelkeznek, melyeket rutinszerűen alkalmaznak. A támadások általában hosszabbak: a támadók napokat (akár heteket is) eltöltenek az áldozatnak jelölt szervezeten belül, alaposan feltérképezve a belső hálózatot, miközben hozzáférési adatokat és más hasznos információt gyűjtenek.

A Sophos kutatás eredményei jó példák a trendre, melyet mindannyian megfigyeltünk a fenyegetések terén. A bűnözők jól megtervezett manuális akciókat szerveznek meg, behatolnak az áldozat rendszereibe, alaposan felderítik őket és kikapcsolják a védelmet, mielőtt végrehajtanák a végső támadást.

A Netwalker zsarolóvírus mögött álló “threat actorok” kevésbé támaszkodnak a saját maguk által készített eszközökre, mint más zsarolóvírus csoportok. Az eszköztár legnagyobb része nyilvános forrásokból lett összegyűjtve. Az ilyen, úgynevezett “grey-hat” alkalmazások használatával spórolnak a fejlesztés idején, mely az eredetiség rovására megy.

Az ehhez hasonló, közvetlenül a támadók taktikáiba és eszközeibe való betekintések ritka lehetőséget kínálnak, hogy meglássuk, mi történik a színfalak mögött. Ez pedig drámai mértékben segíti a védekezőket abban, hogy felkészítsék a védelmüket a támadások korai szakaszai ellen, mielőtt a támadók terjeszteni kezdenék magát a zsarolóvírust.

Mit tartalmaz a bűnözők eszköztára?

Az archívum a fenyegetés mögött álló személyek által használt zsarolóvírus terjesztő csomagok legalább 12 különböző verzióját tartalmazta, illetve még számos más eszközt is:

egy átfogó eszközkészletet, melyekkel felderíthették a célzott hálózatokat,
a jogosultságok szintjét emelő és egyéb exploitokat, melyeket Windows számítógépek ellen lehet használni,
és olyan eszközöket, melyekkel ellophatják, kinyomozhatják vagy kierőszakolhatják az értékes információhoz vezető útvonalat egy gépről vagy egy hálózatról. (Beleértve a Mimikatzet, illetve a Mimidogz és Mimikittenz nevű változatait, utóbbiakat arra tervezték, hogy elkerüljék az endpoint biztonsági megoldás által való felfedezést.)

A szkriptek és exploit eszközök egy részét közvetlenül a Github repositorykból másolták le. Az eszközök egy része ingyenesen beszerezhető Windows segédprogram, mint például az Amplia Security Windows Credential Editorja.

Továbbá a következőket is megtalálták:

a Microsoft SysInternals PsTools csomag egy majdnem teljes gyűjteményét,
az NLBrute egy másolatát (amely brute-force módszerrel próbálja feltörni a jelszavakat),
a kereskedelmi forgalomban kapható TeamViewer és AnyDesk távoli kisegítő eszközeinek telepítőit,
és számos olyan eszközt, melyet a végpontok biztosításával foglalkozó cégek hoztak létre abból a célból, hogy eltávolítsák a saját (vagy más cégek) endpoint biztonsági megoldásait és vírusirtóit a számítógépről.

A betörés részleteinek felderítése

„Nem teljesen egyértelmű, hogy a kampány mögött álló bűnözők hogyan vetik meg a lábukat az általuk célzott hálózaton, azonban a nyomok arra utalnak, hogy a gyakran használt, elavult szerverszoftverek (például a Tomcat vagy Weblogic) jól ismert, részletesen ismertetett gyengeségeit vagy a gyenge RDP jelszavakat használják ki.”

– mondta Szappanos Gábor, a Sophos kiberbiztonsági szakértője.

Az NLBrute nevű brute-force eszközt is megtalálta a Sophos. Az eszköz konfigurációs fájljai azt mutatják, hogy egy előre megadott felhasználónevekből és jelszavakból álló gyűjtemény használatára állították be, melyekkel olyan számítógépek feltörését kísérelték meg, ahol engedélyezték a távoli asztal használatát. Az NLBrute használható olyan támadásokban, melyek célja a hálózatra való behatolás kívülről vagy arra is, hogy laterális hozzáférést szerezzenek más számítógépekhez, miután megvetették a lábukat a hálózaton.

Miután bejutottak az áldozatuk hálózatára, a támadók a jelek szerint a SoftPerfect Network Scannerét használták arra, hogy azonosítsák a nyitott SMB portokkal rendelkező számítógépeket és célpontlistát készítsenek róluk. Később a Mimikatzet, a Mimidogzot vagy a Mimikittenzt használhatták arra, hogy megszerezzék hozzájuk a hozzáférési adatokat.

A megtalált fájlok a bűnözők preferált exploitjainak gyűjteményét is megmutatták. Ezek között a következők szerepeltek:

az EternalDarkness SMBv3 exploit variánsai (CVE-2020-0796),
a CVE-2019-1458 lokális jogosultság exploit Windows ellen,
a CVE-2017-0213 Windows COM jogosultság-növelő exploit, melyet a Google Security Github fiókján publikáltak,
a CVE-2015-1701 “RussianDoll” jogosultság-növelő exploit.

Továbbá megtalálták a dirtycow sebezhetőség ellen használt pokemon exploit firefart variánsának forráskódját is; ez pedig túl sok nevetséges elnevezés egyetlen Linux jogosultság-szint emelő exploitra. A támadók arra sem vették a fáradtságot, hogy megváltoztassák a firefart alapértelmezés szerint megadott felhasználónév értékét, ám ezt máshol még megtehetik.

Az exploitok és hackelésre használt eszközök mellett a támadók összeszedtek egy színes gyűjteményt is, mely olyan szoftverekből állt, melyeket endpoint biztonsági megoldások és antivírusok Windows számítógépekről való eltávolítására terveztek. A gyűjteményükben található eszközök között megtaláltuk az ESET által közzétett AV Remover és a TrendMicro WorryFree Uninstall programokat is.

A zsarolóvírus terjesztése

A támadók a Netwalker zsarolóvírus-t általában egy reflektív PowerShell betöltő szkript használatával terjesztik, amelyet több rétegnyi kódolás véd az egyszerűbb elemzések ellen. A folyamat végén a Netwalker payload betöltődik és végrehajtódik. A végső kártevő egy DLL vagy egy futtatható fájl. A célszámítógépen lévő fájlok titkosításra kerülnek, a felhasználó pedig egy ilyen jellegű üzenetet talál:

Ha ezt a szöveget valamilyen okból a titkosítás vége előtt olvassa, ezt érthető amiatt, mivel a számítógép lelassult,
a szívverése pedig felgyorsult, mivel nem tudja kikapcsolni,
így azt javasoljuk, hogy távolodjon el a számítógépétől és fogadja el a tényt, hogy kompromittálódott.
Az újraindítás/leállítás miatt el fogja veszíteni a fájlokat a visszaállítás lehetősége nélkül.

Minden egyes alkalommal, amikor új szervezet az áldozat, a támadók a Netwalker DLL egy egyedi buildjét használják. Érdekes módon számos Netwalker DLL ugyanazt a létrehozási dátumot tartalmazza a PE headerben. Sőt, az egyetlen eltérés az encrypted blob store resource numberjében található, mely 1337 vagy 31337 lehet. Valószínűnek tűnik, hogy a legtöbb alkalommal ugyanazt a DLL template-et használják és csak ezt a encrypted blobot változtatják meg.

Related Topics:2020 betekintés netwalker sophos zsarolóvírus

Up Next

Újjászületik a magyar vasúti járműgyártás

Don't Miss

Online számálázóval segíti a Budapest Bank csoport a kisvállalkozókat

Gazdaság

A Schneider Electric-el robog tovább a McLaren csapat

A Schneider Electric lett a McLaren Racing hivatalos energia-technológiai partnere. A vállalat és a McLaren Racing közösen olyan technológiákat fejlesztenek és vezetnek majd be, amelyek a legzordabb körülmények között is biztosítják a csúcsteljesítményt.

A Schneider Electric, a világ egyik vezető energia-technológiai vállalata és a McLaren Racing együttműködése kiterjed a McLaren Mastercard Formula 1 Teamre, az Arrow McLaren IndyCar Teamre, a McLaren F1 Academy-re, valamint a McLaren United Autosports WEC Hypercar Teamre. A partnerség keretében a vállalat és a McLaren Racing a több mint 20 éves beszállítói kapcsolatukra építve olyan kihívást jelentő energiaügyi problémákra keresnek megoldásokat, amelyeknél a magasszintű teljesítmény és a folyamatos működés egyaránt elvárás.

Olyan energia-technológiai megoldások létrehozása a cél, amelyek a legzordabb körülmények között is csúcsteljesítményt biztosítanak, akár a világ legkülönbözőbb pontjain lévő versenypályákon is, vagy éppen a McLaren Technology Centre Egyesült Királyság-beli Wokingban található bázisán. Az együttműködés egyik fontos törekvése, hogy a szélcsatornában, a gyártóüzemekben, az IT-adatközpontokban és másutt található, jelenleg is használt eszközöket rugalmas rendszerek alkalmazásával optimalizálják az energiafogyasztás csökkentése érdekében. A célok között szerepel továbbá a fejlett energia-technológiák révén történő elektrifikáció megvalósítása, valamint a digitális iker technológiában rejlő lehetőségek kihasználása annak érdekében, hogy az adatokból kinyerhető átfogó tudás révén javítsák a hatékonyságot és a fenntarthatóságot.

„Büszkék vagyunk arra, hogy a Schneider Electric-et hivatalos energia-technológiai partnerünkként üdvözölhetjük. Ez az együttműködés szilárd alapokra épül, és tükrözi közös elkötelezettségünket az innováció és az energiahatékonyság iránt. A Schneider energia-technológiai szakértelmének és a McLaren teljesítményre való törekvésének ötvözésével új módszereket fogunk keresni, hogy működésünket intelligensebbé és hatékonyabbá tegyük”

– mondta el a partnerség kapcsán Zak Brown, a McLaren Racing vezérigazgatója.

„Az autóversenyzés az egyik legnagyobb kihívást jelentő környezet, amelyben jól kimutatható, hogy mekkora értéket képvisel a fejlett energia- és digitális technológia. A McLaren Racing minden rendszer esetében a határok elérésére törekszik, és pontosan itt jön jól a teljesítmény, a megbízhatóság és a hatékonyság területén szerzett szakértelmünk. Büszkék vagyunk arra, hogy a McLaren hivatalos energia-technológiai partnere lettünk, és mind a pályán, mind azon kívül biztosítjuk számukra a szükséges energiaintelligenciát”

– hangsúlyozta Olivier Blum, a Schneider Electric vezérigazgatója.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!

Gazdaság

A mobilhálózatok is extra figyelmet kapnak a szokatlan hidegben

Az elmúlt hetekben tapasztalható zord időjárás nemcsak nekünk jelent kihívásokat. A szélsőséges hideg a mobilhálózatot is meg tudja viselni, ezért az infrastruktúraszolgáltatónak fel kell készülnie, hogy a felhasználók ilyenkor is zökkenőmentesen tudják használni mobileszközeiket.

Összességében elmondható, hogy a mai korszerű mobiltávközlési berendezések nagyon szélsőséges hőmérsékleti tartományok között is képesek megfelelően működni, de a nagy hideg azért okozhat kisebb-nagyobb problémákat. Az ország egyik legjelentősebb távközlési hálózati infrastruktúráját – mintegy 4060 bázisállomást – tulajdonló és üzemeltető CETIN Hungary az előrelátható extrém időjárás esetén megteszi a megelőző védelmi intézkedéseket. Így történt ez most is: a vállalat felhívta az üzemeltetési feladatokban közreműködő partnerei figyelmét, hogy több hiba és leállás várható, ezért akár plusz erőforrásokkal, járművekkel, valamint tartalék generátorokkal is készüljenek fel a várható többletfeladatokra.

„A CETIN Hungary 24/7 üzemelő felügyeleti rendszere révén automatikus riasztást kap minden meghibásodásról

– mondta el Urbán István, a CETIN Hungary hálózatfelügyeleti központjának vezetője.

– Extrém időjárási helyzetekben a hibajelzések száma a szokásos volumen többszörösére – szélsőséges esetben akár tízszeresére – nőhet. Kollégáinkkal most is felkészülten vártuk az extrém időjárást, de a nagy hideg nem okozott komolyabb problémát a hálózati infrastruktúrában.”

A szolgáltató minden paraméterezhető beállítást és konfigurációmódosítást távolról tud végrehajtani – így amikor a nagyon alacsony hőmérséklet ezt indokolja, akár a fűtés is bekapcsolható távolról. Helyszíni beavatkozás csak akkor szükséges, ha cserélni kell valamilyen berendezést.

Hogyan viseli a hálózat a szélsőséges időjárást?

A szélsőséges időjárási helyzetekben a leggyakrabban az áramellátási láncban fordul elő hiba. Ez bármelyik bázisállomásnál előfordulhat, de ilyenkor a felhasználók sokszor nem érzékelnek semmit, mert az áramellátást átmenetileg a tartalék áramforrás veszi át – ennek kapacitása az állomás hálózatban betöltött fontosságától függ –, hosszabb áramszünet esetén pedig mobilgenerátorokat használ a szolgáltató.

Erős fagyra a magyarországi körülmények között nagyon ritkán van példa, és jellemzően nem is tart hosszú ideig. Ilyenkor a mikrohullámú berendezések részben vagy teljesen eljegesedhetnek, ami lecsökkentheti kapacitásukat, vagy szélsőséges esetben akár az adott bázisállomás teljes leállása is bekövetkezhet. Előfordulhat az is, hogy a karbantartók nem tudnak felmenni az eljegesedett toronyra, és emiatt átmenetileg nem javítható ki egy bármilyen egyéb okból meghibásodott berendezés. Néha pedig a jég fagy rá a bázisállomás áramellátását biztosító vezetékre, amelynek ettől annyira megnő a súlya, hogy leszakad.

Az időjárásból fakadó leggyakoribb problémát egyébként nem a hideg időjárás, hanem a nagy viharok és zivatarok jelentik. Ezek koncentráltan, egy helyen tudnak gondot okozni, elsősorban szintén az áramellátásban – az ilyenkor jellemző viharos szél például elszakíthatja az áramkábelt, kidöntheti az áramoszlopot vagy villámcsapás miatt túlfeszültség keletkezhet az áramhálózatban. A távközlési infrastruktúraszolgáltató ilyenkor is felkészül a hibákkal vagy esetleges leállással járó várható többletfeladatokra.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!

Gazdaság

Úttörő hűtési megoldás az MI-gyárak számára a Motivair by Schneider Electric-től

Új, 2,5 MW-os hűtőfolyadék-elosztó egységgel (CDU) bővült a Motivair by Schneider Electric portfóliója.

Az MCDU-70 rugalmas és skálázható megoldást kínál a következő generációs GPU-k (grafikus processzorok) és gigawatt-méretű MI-gyárak által támasztott hűtési követelmények teljesítéséhez.

Az MCDU-70 a Motivair eddigi legnagyobb kapacitású hűtőfolyadék-elosztó egysége. Kompakt kialakítása és hatékony működése lehetővé teszi, hogy a legnagyobb léptékű létesítmények igényeit is kiszolgálja – például az NVIDIA Omniverse DSX Blueprint koncepció alapján tervezett MI-gyárakét. Ezekben a rendszerekben a gigawattos teljesítmény eléréséhez akár 10 MW hűtési kapacitásra is szükség lehet. A Schneider Electric EcoStruxure szoftverét felhasználva a Motivair CDU-i központosított rendszerként működnek, és a mai hűtési követelményeknek megfelelően akár 10 MW-ot meghaladó teljesítményre is skálázhatók.

Az MI-gyárakban használt GPU-k 20-50-szer több hőt termelnek, mint a hagyományos CPU-k (központi feldolgozóegységek), ezért a mesterséges intelligencia (MI) korszakban elengedhetetlen a folyadékhűtés. Az MI alkalmazásokat kiszolgáló infrastruktúrát üzemeltető szervezeteknek szembe kell nézniük a rendkívül nagy, a rackenként 1 MW-ot elérő, vagy akár azt meghaladó teljesítménysűrűség jelentette kihívásokkal. A Motivair by Schneider Electric megoldása lehetővé teszi a felhasználók számára, hogy megfeleljenek ezeknek a követelményeknek, és okosan növeljék a kapacitásukat a kínálatban szereplő CDU modellekkel vagy a szükséges teljesítményhez tökéletesen hozzáigazított, egyedi gyártású CDU-kkal.

„Az MI terjedése nem lassul. Megoldásainkat úgy alakítottuk ki, hogy lépést tartsanak a chipek fejlődésével, és következő generációs teljesítményt nyújtsanak, amikor ez a leginkább számít. Az adatközpontok sikere ma már attól függ, hogy képesek-e olyan skálázható, megbízható és hatékony infrastruktúra-megoldásokat nyújtani, amelyek megfelelnek a következő generációs MI-gyárak elvárásainak. Mi erre a kihívásra olyan bevált folyadékhűtési megoldásokkal válaszolunk, amelyek ügyfeleink igényeinek megfelelően skálázhatók”

– mondta el Rich Whitmore, a Motivair by Schneider Electric vezérigazgatója.

Az MCDU-70 főbb tulajdonságai és teljesítménye

Az MCDU-70 bevezetésével a Schneider Electric folyadékhűtési portfóliója most már 105 kW-tól 2,5 MW-ig terjedő CDU-kat tartalmaz, amelyek egyaránt megfelelnek a jelenlegi és jövőbeli követelményeknek. Minden CDU skálázható és zökkenőmentesen integrálható más egységekkel, valamint a Schneider Electric szoftverével, hogy pontos és megbízható hűtési kapacitást biztosítson az adatközpontok üzemeltetőinek.

Teljesítmény és hatékonyság: A kettős hőcserélőkkel tervezett MCDU-70 párhuzamos szűrést biztosít minimális rendszernyomásesés mellett, és fenntartja az iparági célértéket, azaz 1,5 LPM/kW-t, miközben biztosítja a rendszer hatékony működését.
Teljesítmény és megbízhatóság: Minden CDU modell szigorú, valós körülmények között végzett tesztelésen esik át, amely lehetővé teszi a digitális iker szimulációkat és a gyártósor végén végzett tesztelést, ahol a szivattyúk teljes terheléssel működnek. A Schneider Electric globális szakértői hálózata a tervezéstől a karbantartásig támogatja a felhasználókat.
Skálázhatóságra tervezve: Az MCDU-70 egy olyan CDU-termékcsalád része, amelyet moduláris felépítésre terveztek. Ennek köszönhetően a rendszer rugalmasan bővíthető, így a felhasználók könnyen kiválaszthatják azt a megoldást, amely leginkább illeszkedik az adott MI-alkalmazás igényeihez.

A Motivair teljes CDU-kínálata (MCDU-25-től MCDU-70-ig terjedő modellek) támogatja a fejlett hőkezelési stratégiákat, precíz áramlásszabályozást, valós idejű felügyeletet és adaptív terheléselosztást az üzemeltetés optimalizálása és az energiafogyasztás csökkentése érdekében.

Az MCDU-70 hamarosan elérhető lesz Magyarországon.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!