Архив рубрики: Хакеры

Russian Military Spy Software is on Hundreds of Thousands of Home Routers

In May, the Justice Department told Americans to reboot their routers. But there’s more to do — and NSA says it’s up to device makers and the public.

LAS VEGAS — The Russian military is inside hundreds of thousands of routers owned by Americans and others around the world, a top U.S. cybersecurity official said on Friday. The presence of Russian malware on the routers, first revealed in May, could enable the Kremlin to steal individuals’ data or enlist their devices in a massive attack intended to disrupt global economic activity or target institutions.

On May 27, Justice Department officials asked Americans to reboot their routers to stop the attack. Afterwards, the world largely forgot about it. That’s a mistake, said Rob Joyce, senior advisor to the director of the National Security Agency and the former White House cybersecurity coordinator.

“The Russian malware is still there,” said Joyce.

On May 8, cybersecurity company Talos observed a spike in mostly Ukrainian victims of a new malware attack. Dubbed VPNFilter, the malware used code similar to the BlackEnergy tool that Russian forces have used (in modified form) to attack Ukrainian infrastructure. The U.S. intelligence community believes the culprits are the hackers known as APT 28 or Fancy Bear, Russian military operatives who were behind information attacks against the Democratic National Committee, State Department, and others. The new malware, if activated, could allow the Russian military to peer into the online activities of hundreds of thousands of people.

“The Cisco-Talos reports on the incident estimated hundreds of thousands of devices affected worldwide,” Joyce said.

Specifically, the May 23 report said, at least 500,000 victims in up to 54 countries.

The malware executes in three stages, according to the Talos report. The first stage is akin to a tick burrowing into a victim’s skin, to “dig in” with its teeth by changing the infected devices’ non-volatile persistent memory, the portion of the memory that persists even after the machine is turned off. During this phase, the malware also establishes links to any servers it finds.

Stages two and three are about receiving and executing the orders. These could include: stealing traffic data from the victim (via port 80), launching “man in the middle” attacks, using the router as a platform to attack other computers as part of a botnet, or overwriting the memory on the router to render it unusable.

The U.S. government effort to stop the attack “was effective at knocking down their command and control. But — and this is a ‘but’ we haven’t seen talked about that much — there was a persistent ‘stage one’ on all of those routers,” said Joyce. “If it was at a stage-two or stage-three implant, it knocked it back to one, which was power- and reboot-persistent. At that point, we couldn’t call back out via those two methods to re-establish command and control,” he told the crowd.

Bottom line: “It’s still on those routers and if you know the wake-up knock you can go in, control those routers, and put a stage two or three back on them… What do you think the odds are that the actors in Russia who put those down have the addresses of the places where the put the malware? I think it’s pretty high,” he said.

What’s needed now, Joyce said, is for government, industry, and cybersecurity professionals to find a way to straightforwardly tell individuals how to detect the presence of the malware on their routers and then to restore the device to its trustworthy state. The government won’t be able to do that for them “because, again, these are consumer devices…That’s the sort of thing we’re up against.”

Joyce served as the head of the NSA’s elite tailored access operations division. In effect, he was the official who presided over the NSA’s most sophisticated hacking research before joining the White House as cybersecurity coordinator. In April, the White House announced that Joyce would leave that job to return to the NSA, where he currently serves as an advisor to the director, Army Gen. Paul Nakasone, who also heads the military’s U.S.Cyber Command.

He used the majority of his Friday talk at DEFCON to focus on China, Russia, Iran, and North Korea and their malicious behavior online.

Like other cybersecurity professionals, he said that North Korea’s malicious targeting of financial institutions, particularly South Korean e-currency exchanges, was likely to continue. He also said that he expected to see probing of newly deployed missile defense radars and batteries in the region, such as Terminal High Altitude Area Defense, or THAAD, in South Korea.

Iranian hackers also pose a threat, Joyce said, saying that the demise of the Iran nuclear deal hinted at more attacks to come.

“When bilateral relations between Iran and Saudi Arabia decreased, we think that was a major factor in that January 2017 data deletion attacks in Saudi,” he said, referring to an incident where Iran state-backed hackers attacked 15 Saudi government and media targets with malware that was strikingly similar to the 2012 ‘Shamoon’ malware that Iran deployed against Saudi oil interests. “As we move to a point where the U.S. has just re-imposed sanctions on Iran, there’s a lot of focus on, ‘How are they going to respond?’”


Israel Hacked Kaspersky, Caught Russian Spies Hacking American Spies


The cold cyber war has just turned hot.

According to a story published today by the New York Times, Israeli government hackers hacked into Kaspersky’s network in 2015 and caught Russian government hackers red-handed hacking US government hackers with the help of Kaspersky.

In other words — Russia spying on America, Israel spying on Russia and America spying on everyone.

What the F^#% is going around?

It is like one is blaming another for doing exactly the same thing it is doing against someone else. Wow!

Well, the fact that everyone is spying on everyone is neither new nor any secret. However, somehow now Kaspersky Labs is at the centre of this international espionage tale for its alleged devil role.

Just last week, the Wall Street Journal, an American media agency, published a story against the Kaspersky, a Russian antivirus provider, claiming that the Russian government hackers stole highly classified NSA documents and hacking tools in 2015 from a staffer’s home PC with the help of Kaspersky Antivirus.

Even if the incident is real, quoting multiple anonymous sources from US intelligence community, Wall Street Journal article failed to provide any substantial evidence to prove if Kaspersky was intentionally involved with the Russian spies or some hackers simply exploited any zero-day vulnerability in the Antivirus product.

Now, the latest NYT story, again quoting an anonymous source from Israeli Intelligence Agency, seems another attempt to justify the claims made by WSJ article about Russians hacking NSA secrets.

«The role of Israeli intelligence in uncovering [the Kaspersky Labs] breach and the Russian hackers’ use of Kaspersky software in the broader search for American secrets have not previously been disclosed,» the NYT reported.

According to the report, United States officials began an immediate investigation in 2015 after Israel officials notified the U.S. National Security Agency (NSA) about the possible breach.

Indeed, in mid-2015, Moscow-based Kaspersky Lab detected sophisticated cyber-espionage backdoor within its corporate network and released a detailed report about the intrusion, although the company did not blame Israel for the attack.

At the time, Kaspersky said that some of the attack code the company detected shared digital fingerprints first found in the infamous Stuxnet worm, same malware which was developed by America and Israel to sabotage Iran’s nuclear program in 2010.

This suspicion of malicious Kaspersky’s behaviour eventually leads the U.S. Department of Homeland Security (DHS) to ban and remove Kaspersky antivirus software from all of its government computers.

Moreover, just last month, the U.S. National Intelligence Council shared a classified report with NATO allies concluding that the Russian FSB intelligence agency had access to Kaspersky’s databases and as well as the source code.

However, Kaspersky Lab has always denied any knowledge of, or involvement in, any cyber espionage operations.

«Kaspersky Lab has never helped, nor will help, any government in the world with its cyberespionage efforts,» Kaspersky’s founder Eugene Kaspersky said in a statement.

Eugene today also announced that he has just launched an internal investigation to cross-check if United States LEA has relevant facts.

Eugene previously admitted there’s a possibility that NSA hacking tools could have been picked up as malware by their Anti-malware scanner because antivirus products are designed to work in that way.

«We absolutely and aggressively detect and clean malware infections no matter the source,» the antivirus company said.

Until now it is quite tough to judge if Kaspersky was involved in any wrongdoing, but the ball is in America’s court, who has to provide the actual evidence to the world about the highly classified Israeli counter-intelligence operation.

Хакеры из Fancy Bear шпионили за украинской армией через Android-троян с 2014 по 2016-й — исследование

акерскую группировку Fancy Bear, которую связывают с российским правительством и атаками на Демократическую партию в ходе прошедших президентских выборов в США, заподозрили в слежке за украинской армией с 2014-го по 2016-й годы. Об этом сообщает Reuters со ссылкой на отчет компании Crowdstrike, которая специализируется на кибербезопасности. В компании считают, что шпионаж осуществлялся посредством Android-трояна, которым заражали устройства украинских артиллеристов.

Попадая на устройство, вредонос мог перехватывать коммуникации и данные о его местоположении. По мнению составителей исследования, эта информация могла в дальнейшем быть использована для атак на украинские артиллерийские подразделения в боях на востоке страны.

Оранжевым на схеме отечен период развртывания и использования вредоноса-шпиона

Оранжевым на схеме отечен период развертывания и использования вредоноса-шпиона

Как сообщает Reuters, свидетельства, обнаруженные экспертами Crowdstrike, позволяют западным исследователям и чиновникам в сфере кибербезопасности укрепиться в мысли, что российский президент Владимир Путин все больше использует хакеров для атак на своих геополитических противников. Группировка Fancy Bear, также известная как APT 28, по мнению американских чиновников, работает непосредственно на российское Главное разведывательное управление (ГРУ). По заключениям ЦРУ и ФБР, Fancy Bear и другие российские хакеры неоднократно вмешивались в предвыборный процесс в США, а по мнению двух правительственных чиновников, даже поспособствовали победе Дональда Трампа. Россия, впрочем, отрицает какую-либо причастность, как и новоизбранный президент Трамп.

В заключении экспертов говорится, что вредонос, который шпионил за украинской армией, принадлежит к тому же виду, что и троян, использовавшийся для атаки на демократов в ходе выборов. Об этом информагентству сообщил сооснователь CrowdStrike Дмитрий Алперович. По его мнению, эта связь и то, что конкретные украинские военные подразделения, атакованные трояном, понесли подозрительно большие потери, говорят о причастности именно Fancy Bear. «Это не может быть какая-то независимая группа или просто кучка преступников, они должны быть связаны с российскими военными», — заявил Алперович.

По мнению CrowdStrike, вредонос был внедрен в легитимное ПО, позволяющее ускорить обработку данных о координатах цели, которое разработал украинский офицер Ярослав Шерстюк. Его распространение позволяло пророссийским хакерам получать информацию о передвижении и дислокации украинских войск и предоставлять сепаратистам другую стратегическую информацию. Ссылка на зараженное приложение распространялась через аккаунт ВСУ в социальной сети «ВКонтакте». По данным CrowdStrike, в магазине Google Play приложения не было, что несколько ограничивало его распространение.

В исследовании также подчеркивают, что это первый зафиксированный кейс использования группировкой Fancy Bear платформы Android для разработки вредоносного ПО.

Напомним, хакеры, атаковавшие в начале декабря сайты Министерства финансов, Государственной казначейской службы и Пенсионного фонда Украины, вывели из строя сетевое оборудование. Позже глава РНБО Александр Турчинов заявил, что атака исходила из России.


США обвинили РФ в кибератаке против Украины

Доказательства атаки представил заместитель министра энергетики США.

Хакеры атаковали шесть различных энергокомпаний одновременно в декабре 2015 года

Отключение электроэнергии на западе Украины в декабре 2015 года было вызвано российской кибератакой. Об этом свидетельствуют данные презентации, сделанной заместителем министра энергетики США Элизабет Шервуд-Рэндалл на встрече с представителями энергетической отрасли, передает телекомпания CNN.


Официальные представители офиса Шервуд-Рэндалл отказались дать комментарии по ее презентации в связи со специфичностью представленной информации. Ранее официальные представители сил безопасности США отказывались напрямую связывать инцидент на западе Украины с действиями России.

В ходе масштабного расследования представители ФБР, Госдепартамента, министерства внутренней безопасности и министерства энергетики США посетили Украину, где обнаружили доказательства того, что за атакой на украинскую энергосистемустояла группа хорошо подготовленных хакеров из России. Это была первая в своем роде хакерская атака на гражданские объекты.

Хакеры атаковали шесть различных энергокомпаний одновременно, используя вредоносную программу, более мощную, чем так называемый вирус BlackEnergy, уже применявшийся ранее при кибератаках на промышленные системы. В результате произошло отключение электроэнергии в 103 населенных пунктах Украины.

По мнению экспертов, энергосистема США имеет ряд уязвимостей, схожих с теми, что позволили произвести кибератаку в Украине.

Источник: Русская служба DW

Хакеры США тренируются в специально созданном виртуальном городе

Хакеры, работающие на правительство, учатся защищать компьютерные системы объектов критической инфраструктуры США от кибератак.

ВВС США разработали виртуальный город для того, чтобы подготовить работающих на правительство хакеров к столкновениям в киберпространстве.

Виртуальный город населяют около 15 тыс. людей. В нем также есть банк, больница, электростанция, водонапорная башня, железнодорожная станция и кафе (с бесплатным Wi-Fi). Компьютеры моделируют связь, а также работу электронной почты, систем отопления, отправку поездов и работу социальной сети под названием FaceSpace.

В виртуальном городе хакеров будут обучать тому, как действовать во время атак на объекты критической инфраструктуры США, компьютерные системы которых слишком уязвимы.

«Все наши системы взаимосвязаны – финансовые и энергетические системы, а также сайты социальных сетей и пр., — заявил Доктор Майк Лойд, главный директор по технологиям компании RedSeal Networks. – Они соединены между собой очень тесно».

Работа виртуального города началась два года назад после того, как инфраструктура ядерных объектов Ирана была атакована вирусом Stuxnet. С тех пор американские военные проводят киберэксперименты для того, чтобы иметь возможность защищаться от кибернападений, которые могут повторить историю Перл-Харбор.

«Дело в том, что плохие парни справляются гораздо быстрее нас, — заявил один из разработчиков виртуального города Эд Скудис (Ed Skoudis). – Мы не хотим и дальше отставать».

Хакеры, которые оттачивают свои навыки в виртуальном городе, проводят операции против взлома социальной сети FaceSpace, а также против нарушения графика движения поездов, перевозящих оружие, и судов военно-морского флота.
Подробнее: http://www.securitylab.ru/news/433043.php

Хакеры объявили кибервойну российским властям

Группа хакеров GhostShell заявила о начале кибервойны с российским правительством, по вине которого «слишком долго страна находится в состоянии тирании и горя».

Хакерская группа GhostShell объявила о начале масштабной кибервойны с Россией, которая слишком долго находилась в «состоянии тирании».

Киберпреступники анонсировали кампанию Project BlackStar, заявив, что начинают масштабную интернет-герилью против российского правительства. Кибервоины разместили соответствующее заявление на сайте pastebin.com, который и ранее использовался для сообщений овзломах.

В качестве подтверждения весомости своих слов хулиганы опубликовали 2,5 млн аккаунтов и различных записей государственных учреждений, а также большое количество адресов электронной почты с логинами и паролями.

Среди выложенной информации — описание баз данных и списки файлов, размещенных на взломанных серверах, а также большое количество адресов электронной почты, в том числе с логинами и паролями. В некоторых случаях пароли зашифрованы. Файлы, которыехакерыотнесли к правительственной информации, содержат только email-адреса, причем многие из них размещены на бесплатных почтовых службах.

Свой поступок GhostShell объяснили тем, что Россия «слишком долго была государством тирании» и погрязла в коррупции, а ее граждане «вынуждены жить в изоляции от остального мира». В заявлении отмечается, что, «хотя страна переживает тяжелые времена и многие люди голодают, российское правительство находит ресурсы для финансирования шпионов».

Противники режима, которые пытаются донести правду и отстаивать свои ценности, просто исчезают, а российские власти год за годом регулярно арестовывают и отправляют в тюрьму недовольных. Те же, кто становится глашатаем власти и трубит о достижениях страны, живут припеваючи, имея собственные дорогие автомобили и яхты.

Хакеры приходят к выводу, что пора покончить с этой системой вещи и начать масштабную игру с российскими властями.


Хакеры захватили контроль над двумя военными спутниками США

Как сообщается, что хакерам удалось установть контроль над спутниками Landsat-7 и Terra AM-1 был установлен на 12 и 2 минуты соответственно.

В вероятности захвата не сомневаются и эксперты. Так исследователь в области телекоммуникаций Пол Марш на конференции Security B-Sides event, прошедшей в Лондоне сообщил, что обычным хакерам такое осуществить довольно сложно, поскольку для этого необходимо соответствующее дорогостоящее оборудование. В подтверждение своих слов он привел в пример подобный случай, который произошел еще в далекие 90е годы. Тогда хакерам удалось получить доступ к военной телекоммуникационной сети Великобритании SkyNet и вывести один из спутников из режима синхронизации.

Остается надеяться, что данные спутники, выведенные на околоземную орбиту не являются критическим элементом технологической инфраструктуры планеты и возможные уязвимости в их системе безопасности исправлены.