بایگانی برچسب برای: فیشینگ

نشت اطلاعات و بررسی تمام آنچه که باید درباره آن بدانید

نشت اطلاعات چیست؟

امروزه ارتباط و همکاری بیش از هر زمان دیگری در سازمان‌ها آسان شده است. کارها و وظایف‌، میتوانند از راه دور انجام شوند و به اتوماسیون اداری و اسناد سازمانی حتی از طریق تلفن‌های همراه هوشمند نیز میتوان دسترسی داشت.

تصور پیامدهای افشای داده‌های محرمانه‌ای که در بسیاری از دستگاه‌ها (سرورها، پایگاه های داده، رایانه های رومیزی، لپ تاپ ها، درایوهای USB و تلفن های همراه) وجود داشته و از طریق روش‌های مختلف در حال انتقال هستند، بسیار هولناک است.

نشت اطلاعات در ساده‌ترین حالت، وقتی اتفاق می‌افتد که اطلاعات مهم و حساستان به دست فرد دیگری می‌افتد و شما از نظر شخصی، حرفه‌ای، احساسی یا اقتصادی دچار مشکل می‌شوید.

هر چند گاهی اصطلاح نشست اطلاعات به جای اصطلاح از دست دادن داده (data loss) استفاده می‌شود اما از دست دادن داده بیشتر به معنی این است که داده‌های شما خراب شده یا دچار نقص و مشکلی می‌شوند.

بیشتر اطلاعات محرمانه از چه طریقی نشت پیدا کرده اند؟

جواب این سوال مرورگر است.

مرورگر کامپیوتر دروازه اصلی ورود به اینترنت است و احتمالاً پرکاربردترین اپلیکیشن روی کامپیوتر شمتا به حساب می آید. شاید این موضوع برای شما چندان قابل توجه نباشد چون استفاده از مرورگر تبدیل به یک عادت روزمره شده اما مجرمین سایبری از این موضوع به خوبی آگاه هستند. به همین دلیل این مجرمین از آسیب‌پذیری‌های مرورگر  برای پیدا کردن حفره‌های امنیتی استفاده می‌کنند تا کامپیوتر را به بدافزارهای مختلف آلوده کنند. هدف بدافزارها صرفا خرابکاری نیست چون این کار برایشان سودی ندارد (به‌جز باج افزارها). در واقع هدف اصلی این حملات این است که در فاز اول، کنترل سیستم شما را بدست بگیرند و در فاز بعد حداکثر اطلاعات ارزشمند را از آن استخراج کنند.

انواع اطلاعات قابل نشت

اطلاعاتی که می‌توانند دچار نشت شوند شامل طیف گسترده‌ای بوده و می‌توان آن‌ها را در گروه‌های زیر دسته‌بندی نمود:

  • اطلاعات آماری
  • اطلاعات پروفایلی
  • اطلاعات خبری – تحلیلی
  • دانش علمی – فنی
  • اطلاعات دسترسی به منابع سازمان

چرا مجرمین سایبری به دنبال داده‌های شما هستند؟

احتمالاً حجم بسیار زیاد داده‌هایی که توسط مجرمین سایبری به سرقت می‌روند موجب تعجب شما شده چون از علت سرقت این داده‌ها مطلع نیستید. مجرمین سایبری به دو دلیل اطلاعات مردم را به سرقت می‌برند.

  1. فروش اطلاعات
  2. باج گیری از قربانی ( معمولا در این صورت قربانی تهدید میشود که در صورت پرداخت نکردن مبلغ مورد نظرشان، اطلاعات او را منتشر می‌کنند)

مجرمین سایبری به این دلیل نام کاربری و پسورد ایمیل شما را هک می‌کنند تا به محتویات آن دسترسی پیدا کنند. این افراد می‌توانند از ایمیل‌ها و پیام‌های شما اطلاعات ارزشمندی استخراج کنند مثلا اطلاعات مربوط به اکانت‌های مختلف شما، رسید خریدهای آنلاین (که اغلب اوقات حاوی اطلاعات شخصی زیادی است)، زمان‌بندی سفر و خیلی از جزئیات دیگر…

مجرمین سایبری از کانتکت‌های موجود در ایمیل یا تلفن شما برای افزایش میزان گسترش بدافزارها استفاده می‌کنند بنابراین ممکن است کانتکت‌های شما قربانی کمپین‌های اسپم مختلفی شوند که همه نوع بدافزار را منتشر می‌کنند یا این که قربانی حملات فیشینگ شوند.

مجرمین سایبری اطلاعاتی مثل آدرس پستی، تاریخ تولد و سایر اطلاعات شخصی شما را به سرقت می‌برند تا از این داده‌ها برای ورود به سایر اکانت‌های شما یا جعل هویت (یا به عبارتی سرقت هویت) شما استفاده کنند. به همین دلیل است که این افراد به دنبال صورت‌حساب‌ها، قراردادها و سایر اسناد مهم شما هستند.

چه کار هایی باعث نشت اطلاعات میشوند؟

  1. عدم بروزرسانی مکرر نرم‌افزارها (اپلیکیشن‌ها، مرورگرها و …) سیستم‌عامل به محض انتشار جدیدترین نسخه
  2. عدم استفاده از آنتی‌ویروس و سایر لایه‌های امنیتی برای محافظت در برابر بدافزارهای نسل دوم (مثل فیلتر ترافیک یا traffic filtering)
  3. عدم توجه به امنیت رمز عبور و استفاده از رمز عبور تکراری
  4. استفاده از شبکه‌های وای‌فای عمومی برای کارهایی مثل بانکداری آنلاین و خرید اینترنتی
  5. انتشار اطلاعات شخصی در شبکه‌های اجتماعی یا ایمیل
  6. عدم استفاده از احراز هویت دومرحله‌ای
  7. عدم تنظیم دریافت هشدار از طرف بانک
  8. باز کردن ایمیل‌های ارسال شده از سوی افراد ناشناس
  9. دانلود و باز کردن ضمیمه‌های ارسال شده توسط افراد ناشناس

راهکارهای جلوگیری از نشت اطلاعات

با افزایش بی‌سابقه حجم اطلاعات سازمان‌ها و تعداد دستگاه‌های متصل به اینترنت، مدیریت و محافظت از اطلاعات محرمانه سازمانی تبدیل به یک امر حیاتی شده و نیازمند راهکاری جامع برای حفاظت از اطلاعات است. در این راستا محققان اقدام به ایجاد راهبردهای مختلف جهت جلوگیری از نشت اطلاعات نموده اند که با نام اختصاری DLP ( Data Leakage Preventionیا سامانه جلوگیری از نشت داده) از آن‌ها یاد می‌شود.

DLP یک راهکار فناورانه برای اطمینان از عدم خروج اطلاعات و منابع سازمان از شبکه و فضای ابری آن است. این راهکار شامل راه حل‌ها، فرایندها و سیاست‌هایی است که عملیات انتقال داده‌های حساس را شناسایی، ردیابی و کنترل می‌کند.

/توسط

مایکروسافت: چگونه “Zero Trust” می تواند در برابر حملات هک پیچیده محافظت کند

 

مدیر امنیت هویت مایکروسافت از مشتریان درخواست کرد تا احراز هویت چند عاملی را اعمال کرده و مجوزهای حساب کاربری و فروشندگان را تشدید کنند.

به گفته مایکروسافت ، انواع تکنیک های مورد استفاده هکرهای SolarWinds پیچیده بوده اما در بسیاری از موارد معمولی و قابل پیشگیری است.

مایکروسافت برای جلوگیری از حملات بعدی با سطوح پیچیده مشابه ، به سازمان ها توصیه می کند

“ذهنیت اعتماد صفر” را اتخاذ کنند ، که این فرض را رد می کند که همه چیز در یک شبکه فناوری اطلاعات ایمن است. به این معنا که سازمان ها باید صراحتاً امنیت حساب های کاربری ، دستگاه های نقطه پایانی ، شبکه و سایر منابع را تأیید کنند.

همانطور که مدیر امنیت مایکروسافت ، الکس واینرت ، در یک پست وبلاگ خاطرنشان کرد ، سه بردار اصلی حمله ، حساب های کاربری به خطر افتاده ، حساب های فروشنده و نرم افزار فروشندگان به خطر افتاده است.

هزاران شرکت تحت تأثیر نقض SolarWinds قرار گرفتند که در اواسط دسامبر فاش شد. هکرها که با نام UNC2452/Dark Halo شناخته می شوند ، محیط ساخت نرم افزار SolarWinds ‘Orion را هدف قرار دادند و وقتی برنامه ای از کد منبع به یک فایل اجرایی دودویی که توسط مشتریان مستقر شده است ، فرآیند را دستکاری کردند.

فروشنده امنیتی آمریکایی Malwarebytes  افشا کرد که تحت تأثیر همین هکرها قرار گرفته است ، اما نه از طریق به روز رسانی های خراب Orion. هکرها در عوض با سوء استفاده از برنامه های کاربردی با دسترسی ممتاز به Office 365 و زیرساخت Azure ، Malwarebytes را نقض کردند که با این کار “دسترسی به زیرمجموعه محدود” ایمیل های داخلی Malwarebytes داده شد.

به گفته واینرت ، مهاجمان از شکاف های “تأیید صریح” در هر یک از بردارهای اصلی حمله استفاده کردند.

هم چنین اشاره کرد: “در مواردی که حساب های کاربری به خطر می افتد ، تکنیک های شناخته شده مانند اسپری رمز عبور ، فیشینگ یا بدافزار برای به خطر انداختن اعتبار کاربران مورد استفاده قرار می گیرد و به مهاجم دسترسی مهمی به شبکه مشتری می دهد.”

او استدلال می کند سیستم های هویت مبتنی بر ابر مانند Azure Active Directory (Azure AD) از سیستم های هویت داخلی امن تر هستند زیرا این سیستم ها فاقد محافظت از ابر هستند مانند حفاظت از رمز عبور

Azure AD برای از بین بردن رمزهای عبور ضعیف ، پیشرفت های اخیر در تشخیص اسپری رمز عبور ، و هوش مصنوعی پیشرفته برای جلوگیری از سازش حساب.

در مواردی که هکر موفق شد ، واینرت خاطرنشان می کند که حسابهای فروشندگان دارای امتیاز ویژه فاقد حفاظت اضافی مانند احراز هویت چند عاملی (MFA) ، محدودیت های محدوده IP ، انطباق دستگاه یا بررسی دسترسی هستند. مایکروسافت دریافته است که 99.9 درصد از حساب های آسیب دیده ای که هر ماه دنبال می کند از MFA استفاده نمی کنند.

MFA یک کنترل مهم است ، زیرا می توان از حساب های دارای امتیاز بالا برای جعل نشانه های SAML برای دسترسی به منابع ابری استفاده کرد. همانطور که NSA در هشدار خود پس از افشای هک SolarWinds خاطرنشان کرد: “اگر بازیگران سایبری مخرب نتوانند کلید امضای غیرمجاز را بدست آورند ، سعی می کنند امتیازات اداری کافی را در مستاجر ابر برای افزودن یک رابطه اعتماد اعتماد گواهی بدست آورند. برای جعل نشانه های SAML. ”

در صورت وجود مجوزهای سختگیرانه در حساب ها و دستگاه های کاربر ، این روش حمله نیز می تواند خنثی شود.

واینرت خاطرنشان می کند: “حتی در بدترین حالت جعل رمز SAML ، مجوزهای بیش از حد کاربر و از دست رفتن محدودیت های خط مشی دستگاه و شبکه به حملات اجازه پیشرفت می دهد.”

“اولین اصل Zero Trust تأیید صریح است.

با استفاده از Solorigate – نامی که مایکروسافت برای بدافزار SolarWinds استفاده می کند – مهاجمان “از تکالیف نقش گسترده ، مجوزهایی که فراتر از الزامات نقش بودند ، استفاده کردند و در برخی موارد حساب ها و برنامه هایی را که باید هیچ گونه مجوزی نداشتند رها کردند.”

واینرت اذعان کرد که هک SolarWinds “یک حمله واقعاً مهم و پیشرفته” بود ، اما تکنیک هایی که آنها استفاده می کردند می تواند به طور قابل توجهی در خطر کاهش یابد یا با این بهترین شیوه ها کاهش یابد.

/توسط

مایکروسافت از جدیدترین حملات فیشینگ خبر می‌دهد!!

 

تیم اطلاعات امنیتی مایکروسافت به کاربران و مدیران دفتر 365 هشدار داده است که در جستجوی یک ایمیل فیشینگ “فریبنده” با آدرس فرستنده های جعلی هستند.

 

مایکروسافت پس از مشاهده یک کمپین فعال که در هدف قرار دادن سازمان های Office 365 با ایمیل های متقاعد کننده و چندین تکنیک برای دور زدن تشخیص فیشینگ ، از جمله صفحه فیشینگ Office 365 ، میزبانی برنامه های ابری گوگل Google و یک سایت خطرناک SharePoint که قربانیان را ترغیب می کند تا اطلاعات خود را تایپ کنند ، هشدار داد.

“تیم امنیتی مایکروسافت” اعلام کرد: یک کمپین فعال فیشینگ از ترکیب حیله گر آدرس های اصلی فرستنده با ظاهری مشروع ، آدرس های فرستنده نمایش جعلی که حاوی نام کاربری و دامنه های هدف هستند و نام هایی که از خدمات قانونی تقلید می کنند استفاده می کند.

“آدرس های فرستنده اصلی شامل تغییرات کلمه” ارجاع “است و از دامنه های مختلف سطح بالا استفاده می کند ، از جمله دامنه com [.] com ، که به طور گسترده توسط کمپین های فیشینگ برای جعل و غلط تایپی استفاده می شود.”

فیشینگ همچنان مشکلی سخت برای مشاغل است که نیاز به آموزش منظم راه حل های فنی ، مانند احراز هویت چند عاملی در همه حساب ها داردکه مایکروسافت و CISA به شدت آن را توصیه می کنند.

فیشینگ جزء اصلی حملات سازش با ایمیل تجاری (BEC) است که بر اساس آخرین آمار FBI در سال گذشته بیش از 4.2 میلیارد دلار برای آمریکایی ها هزینه داشته است. هزینه آن بسیار بیشتر از حملات باج افزارهای معروف است. BEC ، که متکی بر حساب های ایمیل آسیب دیده یا آدرس های ایمیل مشابه آدرس های مجاز است ، فیلتر نمی شود زیرا در ترافیک معمولی و مورد انتظار ترکیب می شوند.

این حملات از Microsoft SharePoint در نام نمایشی استفاده می کند تا قربانیان را ترغیب کند تا روی پیوند کلیک کنند. این ایمیل به عنوان یک درخواست “اشتراک فایل” برای دسترسی به “گزارش کارکنان” ، “پاداش ها” و سایر محتواهایی که در یک صفحه گسترده اکسل قرار گرفته اند ، مطرح می شود. همچنین دارای پیوندی است که به صفحه فیشینگ منتقل می شود و مارک های مایکروسافت زیادی وجود دارد.

در حالی که لوگوهای متقاعد کننده مایکروسافت در سراسر ایمیل پراکنده شده اند ، آدرس اصلی فیشینگ به یک منبع ذخیره سازی Google متکی است که قربانی را به دامنه Google App Engine AppSpot می‌کشاند.

ایمیل ها حاوی دو نشانی اینترنتی هستند که هدرهای HTTP را نادرست نشان داده اند. نشانی اینترنتی فیشینگ اصلی یک منبع ذخیره سازی Google است که به یک دامنه AppSpot اشاره می کند و نیاز به کاربر دارد که قبل از ارائه دامنه دیگری از محتوای کاربر Google با صفحه فیشینگ Office 365 وارد سیستم شود.

نشانی اینترنتی دوم در تنظیمات اعلانات قربانی را به یک سایت SharePoint آسیب دیده پیوند می دهد. هر دو نشانی اینترنتی برای ورود به صفحه نهایی نیاز به ورود به سیستم دارند .مایکروسافت خاطرنشان می کند که این کمپین “زیرکانه تر از حد معمول” است.مایکروسافت از ویژگی “Safe Links” Defender for Office 365 phishing برای حفاظت از فیشینگ استفاده می کند که ایمیل فیشینگ را “در لحظه ای که کاربر روی پیوندی کلیک می کند که با لیست صفحات فیشینگ شناخته شده خود مطابقت دارد” از بین می‌برد.همچنین جزئیاتی را در GitHub در مورد زیرساخت های مرتبط با ایمیل های جعلی که از SharePoint و سایر محصولات برای فیشینگ معتبر تقلید می کنند ، منتشر کرده است.

و خاطرنشان کرد: “اپراتور همچنین از زیرساخت های URL مجاز مانند Google ، Microsoft و Digital Ocean برای میزبانی صفحات فیشینگ خود استفاده می کند.”

/توسط

ترفندهای جدید Bazar Backdoor

ترفندهای جدید مبهم سازی برای به چالش کشیدن امنیت

یک کمپین فیشینگ جدید با بدافزار BazarBackdoor کشف شده است. این کمپین از روش فشرده سازی برای مخفی کردن بدافزار به عنوان یک پرونده تصویری استفاده می کند. این روش می تواند Secure Email Gateways (SEGs) را فریب دهد تا پیوست های مخرب را به عنوان پرونده های تمیز شناسایی کند.

به گفته محققان Cofense ، روش فشرده سازی می تواند برخی SEG ها را دور بزند زیرا محدودیت هایی در بررسی کامل یا اسکن یک پرونده فشرده دارد.

کمپین جدید BazarBackdoor از ماه گذشته فعال است و چندین گیرنده شرکت را با استفاده از موضوع روز محیط زیست ، که در 5 ژوئن جشن گرفته می شود ، فریب داد.

این ایمیل حاوی بایگانی های ZIP و RAR در پیوست است. این یک فایل JavaScript است که بدافزار BazarBackdoor را برای دسترسی از راه دور به ماشین های هدف ارائه می دهد.

هم چنین از پرونده جاوا اسکریپت بسیار مبهم برای بارگیری مخرب با پسوند تصویر استفاده می شود.

این عمل ، همانطور که کارشناسان می گویند ، در بین هکرها روندی رو به رشد است زیرا احتمال پرونده های مخرب را برای جلوگیری از شناسایی افزایش می دهد.

استفاده از چندین نوع بایگانی به طور عمدی توسط مهاجمان استفاده می شود زیرا این امکان را دارد که حد فشرده سازی SEG را از بین ببرد یا به دلیل ناشناخته بودن نوع بایگانی امکان پذیر نیست.

جاوا اسکریپت مبهم پس از اجرا ، با استفاده از اتصال HTTP GET ، محموله BazarBackdoor را با پسوند .png بارگیری می کند.

این بدافزار پس از استقرار در رایانه قربانی ، می تواند Cobalt Strike را که یک ابزار واقعی است که برای تمرینات پس از بهره برداری ایجاد شده و به صورت جانبی گسترش می یابد ، بارگیری و اجرا کند.

با شروع سال ، BazarBackdoor تغییر شکل داد. در حال حاضر ، عوامل تهدید در پشت آن پیچیده تر شده و از روش های جدیدی برای انتشار بدافزار استفاده می کنند.

این تهدیدی نگران کننده است و نیاز به نظارت مستمر از سوی نهادهای امنیتی دارد.

/توسط

مراقب فایل های پیوست باشید!

دروازه های ایمیل و نرم افزارهای امنیتی در تلاش برای انطباق با مبارزات فیشینگ همیشه در حال پیشرفت هستند و به همین دلیل ، عوامل تهدید هنگام فرار از شناسایی به فرمت های فایل غیرمعمول متوسل می شوند .

اخیراً کلاهبردارهای فیشینگ به سمت ایجاد فایلهای پیوست غیرمعمول مانند فایل های ISO یا TAR رفته اند.

جدیداً محققان Trustwave در گزارشی روشی را توضیح داده اند که عوامل تهدید شروع به استفاده از پیوست های WIM (قالب تصویربرداری ویندوز) برای توزیع تروجان دسترسی از راه دور Agent Tesla می کنند.

تمام پرونده های WIM جمع آوری شده حاوی بدافزار Agent Tesla بودند. این تهدید یک Trojan Access Remote (RAT) است که با دات نت نوشته شده است و می تواند کنترل کاملی بر سیستم آسیب دیده داشته باشد و می تواند داده ها را از طریق HTTP ، SMTP ، FTP و تلگرام از بین ببرد.

کمپین های فیشینگ با ایمیل هایی که وانمود می کنند اطلاعات را از DHL یا Alpha Trans ارسال می کنند و شامل پیوست های WIM هستند که برای دور زدن نرم افزارهای امنیتی طراحی شده اند ، راه اندازی می شوند.

قالب تصویربرداری ویندوز (WIM) یک قالب تصویر دیسک مبتنی بر فایل را نشان می دهد که شامل مجموعه ای از پرونده ها و فراداده سیستم فایل مربوطه است.

پرونده های WIM چیست؟

پرونده های WIM می توانند حاوی چندین تصویر دیسک باشند ، و به دلیل استفاده از حافظه ذخیره سازی یک نمونه ، هرچه اشتراک هر تصویر دیسک متوالی با تصاویر قبلی اضافه شده به پرونده WIM بیشتر باشد ، داده های جدید کمتری اضافه می شود.

یک واقعیت جالب در مورد تصاویر WIM این واقعیت است که می توان آنها را بوت (WIMBoot) کرد ، زیرا لودر بوت ویندوز از راه اندازی ویندوز از داخل یک فایل WIM پشتیبانی می کند.

شایان ذکر است که اگرچه پرونده های WIM کمتر قابل شناسایی است ، اما کمپین های فیشینگ که از آنها استفاده می کنند با مشکل بزرگتری روبرو هستند زیرا ویندوز هیچ مکانیسم داخلی برای باز کردن یک پرونده WIM ندارد ، و بنابراین هنگامی که کاربران سعی می کنند آنها را باز کنند فقط با پیامی که از آنها می خواهد برنامه ای برای باز کردن پرونده انتخاب کنند ، استقبال می شود.

این به این معنی است که برای باز شدن پرونده های WIM ، کاربر باید از برنامه خود خارج شود و فایل را با استفاده از برنامه ای مانند 7-Zip استخراج کند و سپس بر روی پرونده موجود در آن دوبار کلیک کند.

 می توانیم فرض کنیم که به زودی این پیوست ها توسط دروازه های ایمیل مسدود می شوند ، اما تا آن زمان کاربران باید محتاط باشند.

/توسط