Всем привет,

Сегодня у нас очень большая и важная новость.

Экспертами нашей компании была обнаружена крайне сложная, профессиональная целевая кибератака с использованием мобильных устройств производства Apple. Целью атаки было незаметное внедрение шпионского модуля в iPhone сотрудников компании — как топ-менеджмента, так и руководителей среднего звена.

Атака проводится при помощи невидимого iMessage-сообщения с вредоносным вложением, которое, используя ряд уязвимостей в операционной системе iOS, исполняется на устройстве и устанавливает шпионскую программу. Внедрение программы происходит абсолютно скрытно от пользователя и без какого-либо его участия. Далее шпионская программа так же незаметно передаёт на удалённые серверы приватную информацию: записи с микрофона, фотографии из мессенджеров, местоположение и сведения о ряде других активностей владельца заражённого устройства.

Атака проводится максимально скрытно, однако факт заражения был обнаружен нашей системой мониторинга и анализа сетевых событий KUMA. Система выявила в нашей сети аномалию, исходящую с Apple устройств. Дальнейшее расследование показало, что несколько десятков iPhone наших сотрудников оказались заражены новой, чрезвычайно технологически сложной шпионской программой, получившей название Triangulation («Триангуляция»).

По причине закрытости в iOS не существует (и не может существовать) каких-либо стандартных средств операционной системы для выявления и удаления этой шпионской программы на заражённых смартфонах. Для этого необходимо прибегать к внешним инструментам.

Косвенным признаком присутствия Triangulation на устройстве является блокировка возможности обновления iOS. Для более точного распознавания заражения потребуется снять резервную копию устройства и проверить её специальной бесплатной утилитой (которую мы позже опубликуем на GitHub). Более подробные рекомендации изложены в технической статье на нашем блоге Securelist.

Из-за особенностей блокировки обновления iOS на заражённых устройствах нами пока не найдено действенного способа удаления шпионской программы без потери пользовательских данных. Это можно сделать только при помощи сброса зараженного iPhone до заводских настроек, установки последней версии операционной системы и всего окружения пользователя с нуля. Иначе, даже будучи удалённым из памяти устройства перезагрузкой, троянец-шпион Triangulation способен провести повторное заражение через уязвимости в устаревшей версии iOS.

Расследование шпионской операции Triangulation только начинается. Сегодня мы публикуем первые результаты анализа, но впереди ещё много работы. По ходу расследования инцидента мы будем обновлять эту страницу и подведём черту проделанной работе на международной конференции Security Analyst Summit в октябре (следите за новостями на сайте).

Мы уверены, что наша компания не была главной целью этой шпионской операции. Надеемся, что уже в ближайшие дни мы получим статистику распространения «троянского треугольника» в других странах и регионах.

Мы считаем, что главной причиной этого инцидента является закрытость iOS. Данная операционная система является «чёрным ящиком», в котором годами могут скрываться шпионские программы подобные Triangulation. Обнаружение и анализ таких угроз осложняется монополизацией Apple исследовательских инструментов, что создаёт для шпионских программ идеальное убежище. Иными словами, как я уже не раз говорил, у пользователей создаётся иллюзия безопасности, связанная с полной непрозрачностью системы. Что на самом деле происходит в iOS, специалистам по IT-безопасности неизвестно. Отсутствие новостей об атаках отнюдь не свидетельствует о невозможности самих атак — в чём мы только что убедились.

Хочется напомнить, что это не первый случай целевой атаки против нашей компании. Мы прекрасно понимаем, что работаем в очень агрессивном окружении и выработали соответствующие процедуры реагирования. Благодаря принятым мерам, компания работает в штатном режиме, бизнес-процессы и пользовательские данные не затронуты, угроза нейтрализована. Мы продолжаем защищать вас, как всегда.

P.S. А причём здесь триангуляция?

Для распознавания программной и аппаратной спецификации атакуемой системы Triangulation использует технологию Canvas Fingerprinting и рисует в памяти устройства жёлтый треугольник.

источник: https://e-kaspersky.livejournal.com/987692.html

Есть у меня сын. Прекрасное любопытное создание 11 лет отроду. И чтоб его любопытство не завело его в далекие дебри интернета, где много всякой разной непотребщины, и контролировать процесс залипания в телефоне установил ему Касперский Safe Kids.

Не так давно заметил, что устройство сына перестало отображаться в моем.

Понял, что не работает данная программа.

Взял его телефон, а Касперского и нет... Удален... Ну, думаю, нипарядок, надо все вернуть. Захожу на Google Play, что установтить сию программу заново, и вижу отзыв сына на нее...

Малолетний хаккер сломал защиту, удалил Касперского и не поленился написать отзыв...

Моя фамилия Кашпировский, достаточно известная на просторах СНГ. Скажу, что иногда помогает, меня запоминают в тех местах где нужно показывать пропуски, благосклонно относятся в гос. органах где работают те, кто заряжал воду под сеансы моего очень далекого "родственника". И тут на днях я прихожу в одну транспортную компанию забрать посылку, и девушка менеджер лет 22 мне говорит, какая знаменитая у вас фамилия, вы такой хороший антивирус написали...

Итак, в прошлом посте я просил помочь с удалением вируса-майнера. Напомню, что в гугле у всех, всё решается легко, 90%процентов видосов рассказывают про легкое исцеление с помощью dr.web, остальные 10%процентов лечат касперским и его утилитами. Мне это не помогло совсем. Более того, в одном из видео автор выдвигает теорию о самообучении данного вируса - возможно, т.к. dr.web, которого я удалил после неудачных проверок, установить я больше не смог.
Хочу сказать спасибо всем кто откликнулся, отдельное спасибо хочу выразить @CWMurphy, и @opachgi . Именно ваши советы в купе и дали результат.
Теперь подробнее. Через диспетчер задач я отследил расположение вируса, в моем случае в диспетчере всплывали 3 странные задачи. При открытии диспетчера сразу выскакивал процесс "системные прерывания" , который загружал цп на 100%, через пару секунд он пропадал и начинали скакать "nt kernel and system" и " realtek hd". Находились эти файлы в скрытой папке programdata/realtekHD. НО, несмотря на то что я отображаю скрытые файлы, я не видел ни папку реалтек ни файлы в ней. Тут помог совет @opachgi, с Kaspersky rescue-disk. На чистом компьютере я смонтировал загрузочную флешку. К сожалению касперский самостоятельно вирус не определил, но данная утилита показывает ВСЕ скрытые файлы и папки, по этому я без труда удалил папку реалтек и все файлы в ней.
Затем когда я перезагрузился, диспетчер все еще показывал "системные прерывания" и антивирусы я все еще не мог ставить. Все кроме malwarebytes, который посоветовал мне @CWMurphy. При сканировании он нашел !!500!! Троянов и вирусов, в имени которых были слова mine и bitcoin!. После их удаления процессор успокоился.... При этом без удаления папки realtekHD данный антивирус так же находит трояны, удаляет их и ничего не происходит. Т.е. в этой папке хранится похоже какой то корень вируса который плодит процессы и трояны(кто шарит в этом разъясните) и без ее удаления вирус размножается бесконечно. Поправьте если рассуждаю не верно.
Подведу итог. Данный вирус ооочень хитрый, рядовому пользователю не заметен и с трудом поддается удалению и самые извесные антивирусы его не видят. Надюсь мой пост будет кому то полезен, т.к. на этого майнера я потратил 2 вечера. Львиная доля времене ушла на сканирование системы доктором вебом и прочими ковыряниями в попытках установить каспера. Еще раз спасибо за советы, всем здоровья и успехов.
p.s. сорри за кашу в тексте, пишу на эмоциях.

Хороший пароль, надо брать!