Jump to content
Forum Kopalni Wiedzy
Sign in to follow this  
KopalniaWiedzy.pl

Uniwersytet przyznaje, że zapłacił cyberprzestępcom

Recommended Posts

Holenderski Uniwersytet w Mastrich przyznał, że zapłacił cyberprzestępcom 30 bitcoinów, wartych 200 000 euro. Pod koniec grudnia przestępcy zaatakowali uniwersytecką sieć i zablokowali dostęp do komputerów. Za jego odblokowanie zażądali pieniędzy.

Rektor Nick Bos powiedział, że zadecydowano się zapłacić szantażystom po tym, gdy okazało się, że odzyskanie dostępu wymagałoby zbudowania od podstaw całej uniwersyteckiej infrastruktury IT.

Obecnie wiadomo, że do ataku doszło, gdyż miesiąc wcześniej jeden z pracowników uniwersytetu kliknął na link, który otrzymał w e-mailu. Firma analityczna Fox-IT, która pomagała uniwersytetowi w analizie ataku stwierdziła, że został on przeprowadzony przez rosyjskich przestępców z grupy TA505.


« powrót do artykułu
  • Haha 1

Share this post


Link to post
Share on other sites

To jest skandal. Płacenie przestępcom takiego okupu powinno być traktowane jako współudział, bo de facto sponsorują oni w tej sposób grupy przestępcze.

Share this post


Link to post
Share on other sites

Też myślę, że nie powinni płacić, bo teraz TA505 mają 200k na kolejne ataki i nie ułatwia to pracy bezpiecznikom. Uniwersytet natomiast jest biedniejszy, ale i tak musi solidnie przetrzepać sieć i infrastrukturę, co jest kosztowne i czasochłonne. Za 200k mogliby zatrudnić ze 3-4 osoby na pełen etat na cały rok i przydzielić ich do tego zadania, chociaż to skromny budżet i na nowy sprzęt i soft by nie starczyło. Z drugiej strony, byliby uziemieni przez wiele tygodni oraz prawdopodobnie stracili sporo danych oraz backupy i bieżącą konfigurację.

Share this post


Link to post
Share on other sites

Chodzi o czas i dane. Co z tego, że się da, ale ogólne koszty pracy, nie tylko IT, ale odtwarzania, rejestrowania etc., tracą całą historię i przez wiele tygodni mają problem. Do tego kij tam ze studentami, ale mogły tam być tez np. wyniki prac naukowych, badań etc.

Moim zdaniem musieli zapłacić, ale teraz powinni dopłacić drugie tyle nagrody za roz... TA505

Share this post


Link to post
Share on other sites

Dwóch podejrzanych jest już znanych, ale są w Rosji i mają szybkie fury:

https://www.databreachtoday.com/two-russians-indicted-over-100m-dridex-malware-thefts-a-13473


To jest ekipa odpowiedzialna za Dridex i Locky:

Quote

TA505, the name given by Proofpoint, has been in the cybercrime business for at least four years. This is the group behind the infamous Dridex banking trojan and Locky ransomware, delivered through malicious email campaigns via Necurs botnet. Other malware associated with TA505 include Philadelphia and GlobeImposter ransomware families.

https://malpedia.caad.fkie.fraunhofer.de/actor/ta505

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this  

  • Similar Content

    • By KopalniaWiedzy.pl
      Firma LifeLabs, największy kanadyjski dostawca usług laboratoryjnych, przyznała, że zapłaciła hakerom za zwrot danych 15 milionów klientów. Dnia 1 października firma poinformowała władze o cyberataku na bazę danych. Znajdowały się w niej nazwiska, adresy, adresy e-mail, loginy, hasła, numery w systemie opieki zdrowotnej oraz wyniki testów laboratoryjnych.
      Dyrektor wykonawczy firmy, Charles Brown, przyznał, że firma odzyskała dane dokonując płatności. Zrobiliśmy to we współpracy z ekspertami oraz po negocjacjach z cyberprzestępcami. Nie ujawniono, ile zapłacono złodziejom.
      Dotychczasowe śledztwo wykazało, że przestępcy uzyskali dostęp do testów wykonanych w roku 2016 i wcześniej przez około 85 000 osób. Dane dotyczące numerów w systemie opieki zdrowotnej również pochodziły z roku 2016 i lat wcześniejszych. Obecnie nie ma podstaw, by przypuszczać, że przestępcy przekazali te informacje komuś innemu.
      Teraz przedsiębiorstwo zaoferowało swoim klientom 12-miesięczny bezpłatny monitoring kradzieży danych osobowych oraz ubezpieczenie przed takim wydarzeniem.

      « powrót do artykułu
    • By KopalniaWiedzy.pl
      Rosyjska Federalna Służba Bezpieczeństwa (FSB) przyznała, że hakerzy uzyskali dostęp do jej specjalnych projektów internetowych. Cyberprzestępcy włamali się do sieci współpracującej z FSB moskiewskiej firmy SyTech i ukradli 7,5 terabajta danych.
      Jak informują media, hakerzy działający pod pseudonimem 0v1ru$ zastąpili stronę główną SyTechu memem Yoba Face. W rosyjskim internecie mem ten symbolizuje brak szacunku dla FSB. 0v1ru$ przekazali ukradzione dane znanej w Rosji grupie hakerskiej Digital Revolution. Do włamania miało dojść 13 lipca.
      Hakerzy ujawnili liczne projekty prowadzone przez SyTech wraz z nazwiskami menedżerów je nadzorujących. Na przykład projekty „Nautilus” i „Nautilus-S” "wydają się być próbą wykorzystania mediów społecznościowych do pozyskania danych oraz zidentyfikowaniu Rosjan łączących się z internetem za pośrednictwem Tor". Inny interesujący projekt to „Mentor”, którego celem uzyskanie informacji z rosyjskich firm. Z kolei w ramach projektów „Hope” i „Tax-3” powstają narzędzia pozwalające służbom specjalnym na odłączanie rosyjskiego internetu od światowej sieci.
      Jak twierdzą dziennikarze BBC Russia, firma SyTech współpracuje z 16. Dyrektoriatem FSB, Jednostką Wojskową 71330. Jesli to prawda, ma ona związki z grupą, która przeprowadziła w 2015 roku cyberatak na ukraiński wywiad.
      Niedawno prezydent Putin zaakceptował plan, którego celem jest upewnienie się, że rosyjski internet będzie w stanie działać oddzielnie od reszty ogólnoświatowej sieci. Plan zakłada, że Rosja będzie posiadała alternatywny system DNS. Zdaniem Forbesa może on zostać wprowadzony w życie, gdy Kreml uzna, że odłączenie Rosji od reszty świata jest korzystne. W takich sytuacji rosyjscy dostawcy internetu zostaliby przełączeni na wewnętrzny rosyjski DNS.

      « powrót do artykułu
    • By KopalniaWiedzy.pl
      Cyberprzestępcy wykorzystują krytyczną dziurę w linuksowym serwerze poczty elektronicznej Exim. Błąd pozwala napastnikowi na wykonanie dowolnego kodu, wgranie na komputer ofiary programów kopiących kryptowaluty oraz instalowanie szkodliwego oprogramowania. Cyberprzestępca ma tez możliwość zdalnego wykonywania komend na zaatakowanej maszynie. Zdaniem ekspertów, obecnie na całym świecie znajduje się ponad 3,5 miliona serwerów narażonych na atak.
      Szczególnie narażone są szeroko oferowane usługi poczy elektronicznej. Serwery pocztowe wykorzystujące Exim stanowią niemal 57% wszystkich obecnych w internecie serwerów pocztowych. Dziura, odkryta przed 2 tygodniami jest już wykorzystywana przez cyberprzestępców.
      Błąd bierze się z niewłaściwej weryfikacji adresu odbiorcy przez funkcję deliver_message(). Dziurę oceniono na 9,8 w 10-stopniowej skali zagrożeń. Występuje ona w wersjach od 4.87 do 4.91. Edycja 4.92 jest bezpieczna.
      Twórcy Exim już przygotowali odpowiednie poprawki dla wszystkich wersji. Obecnie są one testowane. Zauważają przy tym, że stopień narażenia serwera zależy w dużym stopniu od jego konfiguracji. Im bliżej standardowej konfiguracji, tym serwer jest bezpieczniejszy.
      Lukę odkryto 5 czerwca, a 4 dni później zanotowano pierwszą falę ataków. Niedługo później eksperci zauważyli drugą falę ataków, rozpoczętą najprawdopodobniej przez innego napastnika.
      Ta druga fala była już znacznie bardziej zaawansowana od pierwszej. Napastnik najpierw instalował na serwerze prywatny klucz uwierzytelniający, a następnie skaner portów, który wyszukiwał inne wrażliwe na atak serwery i instalował na nich oprogramowanie do kopania kryptowalut.

      « powrót do artykułu
    • By KopalniaWiedzy.pl
      Eksperci wpadli na ślad dwóch cyberprzestępczych kampanii, w ramach których zainfekowano ponad 200 aplikacji na Androida, a aplikacje te zostały pobrane ponad 250 milionów razy.
      Obie kampanie skierowano wyłącznie przeciwko użytkownikom Androida, a przeprowadzono je nakłaniając programistów do używania złośliwych pakietów SDK (software development kits). W ramach jednej z kampanii aplikacje zostały zarażone adware'em, a w ramach drugiej – dokonują kradzieży informacji.
      Jeden z ataków, nazwany „SimBad” gdyż zainfekował głównie gry, doprowadził do zarażenia 206 aplikacji, które zostały pobrany 150 milionów razy. Szkodliwe oprogramowanie znalazło się w SKD o nazwie RXDroider oferowanego przez witrynę addroider.com. Gdy tylko użytkownik zainstaluje jedną z zainfekowanych aplikacji, SimBad rejestruje się na jego urządzeniu i zyskuje prawo do anonimowego przeprowadzania różnych działań. Szkodliwy program łączy się z serwerem, z którego otrzymuje polecenia. Może to być zarówno polecenie połączenia się za pośrednictwem przeglądarki z konkretnym adresem, jak i nakaz usunięcia ikony jakiejś aplikacji. Najważniejszymi funkcjami szkodliwej aplikacji są wyświetlanie reklam, otwieranie witryn phishingowych oraz oferowanie użytkownikowi innych aplikacji. Napastnik ma też możliwość instalowania dodatkowych aplikacji na urządzeniu ofiary, co daje mu możliwość dalszego infekowania.
      Obecnie SimBad działa jako adware, ale dzięki możliwości wyświetlania reklam, otwierania witryn i oferowania innych aplikacji może on wyewoluować w znacznie poważniejsze zagrożenie, stwierdzili badacze w firmy CheckPoint Research.
      Druga z cyberprzestępczych operacji została nazwana „Operation Sheep”. W jej ramach napastnicy zainfekowali 12 aplikacji na Androida, które zostały pobrane już ponad 111 milionów razy. Aplikacje te na masową skalę kradną dane o kontaktach przechowywanych w telefonie. Tutaj ataku dokonano za pomocą SDK o nazwie SWAnalytics, za pomocą którego powstały aplikacje obecne przede wszystkim w sklepach chińskich producentów telefonów, takich jak Huawei App Store, Xiaomi App Store i Tencent MyApp.
      Badacze trafili na ślad tej kampanii we wrześniu 2018 roku. Stwierdzili, że po zainstalowaniu którejś ze szkodliwych aplikacji, cała lista kontaktów użytkownika jest pobierana na serwery firmy Shun Wang Technologies. Jako, że z samego tylko Tencent MyApp pobrano szkodliwe aplikacje ponad 111 milionów razy, to teoretycznie Shun Wang Technologies może mieć w swojej bazie nazwiska i telefony co najmniej 1/3 populacji Chin. Jako, że ani Shun Wang nie informuje, w jaki sposób wykorzystuje te dane, ani nie ma nad nimi żadnego nadzoru z zewnątrz, teoretycznie firma może te dane sprzedać np. na czarnorynkowych giełdach internetowych.
      W porównaniu z danymi finansowymi oraz rządowymi dokumentami identyfikacyjnymi dane dotyczące kontaktów osobistych są zwykle traktowane jako mniej wrażliwe. Powszechnie uważa się, że wykorzystanie takich danych i zarobienie na nich jest trudne i niewarte wysiłku. Jednak krajobraz się zmienia, a nielegalne rynki coraz bardziej się specjalizują, powstają nowe modele biznesowe pozwalające na zarobienie na takich danych, stwierdzili eksperci.

      « powrót do artykułu
×
×
  • Create New...