CrowdStrike Falcon защищает от нового вредоносного ПО типа Wiper, используемого в кибератаках против Украины - стоимость решение по кибербезопасности в Украине от компании IIT Distribution

Новость

06.05.2022

Что нового в Labyrinth Deception Platform: релиз 2.0.32

22.04.2022

Palo Alto Networks проінформувала про вразливості, які можуть дозволити зловмиснику відключити платформу Cortex XDR

20.04.2022

Передовые anti-DDoS решения от A10 Networks доступны для инсталляции!

15.04.2022

Inspur второй год подряд становится образцовым поставщиком Cloud-Optimized оборудования по версии Gartner Hype Cycle.

07.04.2022

Быстрая доставка решений от INFINIDAT и Inspur доступна уже сейчас!

04.04.2022

Команда CrowdStrike провела исследование программы-вымогателя PartyTicket, нацеленной на украинские компании

26.03.2022

КАК НЕ СТАТЬ «НЕПРОИЗВОЛЬНЫМ СООБЩНИКОМ» РОССИЙСКИХ КИБЕРАТАК НА УКРАИНСКИЕ СИСТЕМЫ (PART 3)

22.03.2022

CrowdStrike Falcon защищает от нового вредоносного ПО типа Wiper, используемого в кибератаках против Украины

20.03.2022

Как не стать «непроизвольным сообщником» российских кибератак на украинские системы (часть 2)

16.03.2022

ИССЛЕДОВАНИЕ SECURITY-ГРУППЫ A10 NETWORKS: КАК НЕ СТАТЬ «НЕПРОИЗВОЛЬНЫМ СООБЩНИКОМ» РОССИЙСКИХ КИБЕРАТАК НА УКРАИНСКИЕ СИСТЕМЫ

23.02.2022

Демонстрація: CrowdStrike Falcon детектує набір вірусів WhisperGate

23.02.2022

Inspur — компания №1 по доле мирового рынка AI-серверов!

18.02.2022

Теперь компания iIT Distribution – официальный дистрибьютор решений Picus Security!

17.02.2022

Отчет о глобальных угрозах 2022 года от CrowdStrike!

14.02.2022

iIT Distribution подписала партнерское соглашение с компанией Inspur!

10.02.2022

Пост-релиз: Вебинар, посвященный обновленным возможностям Nakivo Backup & Replication v10.5

10.02.2022

Новейшая разработка Falcon XDR от компании CrowdStrike теперь доступна для пользователей!

02.02.2022

Знакомство с процессами Security Operations Center (SOC) и лучшие рекомендации для его эффективной работы от Lepide

27.01.2022

Кибератака на украинские государственные сайты: что нам известно сегодня

21.01.2022

Технический анализ вредоносного загрузчика WhisperGate, нацеленного на украинские организации

14.01.2022

CrowdStrike Services выпускает Incident Response Tracker для специалистов DFIR (Digital Forensics and Incident Response)

12.01.2022

Эксплойт noPac: Новая уязвимость Microsoft AD может привести к полной компрометации домена за считанные секунды

06.01.2022

7 IT-тенденций 2022 года, которые следует взять на вооружение

30.12.2021

Утечка секретных IP-адресов Pfizer не является редкостью. Защитите свои данные с помощью проактивного шифрования

30.12.2021

6 афер, которые вы можете избежать в эти рождественские праздники. Выборка рекомендаций от Panda Security

17.12.2021

Как CrowdStrike защищает клиентов от угроз, связанных с Log4Shell

16.12.2021

Що таке SCAR і якими технологіями керуються мисливці на загрози з команди Falcon OverWatch?

09.12.2021

Acra Community Edition 0.90.0: шифрування в SQL та NoSQL базах даних без додаткового програмування

08.12.2021

11 кроків до відновлення після фішингової атаки: рекомендації від Lepide

30.11.2021

Компания Аruba (HPE) шестнадцатый год подряд позиционируется как лидер в отчете Gartner Magic Quadrant for Enterprise Wired and Wlan Infrastructure 2021

23.11.2021

Серия вебинаров от iIT Distribution & NAKIVO: твой надежный бэкап!

21.11.2021

Решение CrowdStrike Falcon получило наивысшую оценку AAA по результатам тестирования организации SE Labs

15.11.2021

Бизнес-ужин CrowdStrike: как это было?

08.11.2021

iIT Distribution – официальный дистрибьютор компании Nakivo!

05.11.2021

Компания CrowdStrike признана мировым лидером в области современной защиты конечных точек в последнем отчете IDC MarketScape!

03.11.2021

Что такое информационная безопасность предприятия, какие основные принципы защиты данных существуют?

02.11.2021

CrowdStrike и AWS расширяют свою интеграцию: теперь клиенты смогут получить многоуровневую защиту от ransomware и сложных угроз

29.10.2021

Global Threat Report 2021 от CrowdStrike уже доступен на украинском языке!

25.10.2021

SDP или VPN? (Или оба варианта?)

19.10.2021

CrowdStrike представляет первый в своем роде XDR Module, обеспечивающий выявление инцидентов в реальном времени и автоматическое реагирование по всему стеку безопасности

19.10.2021

Infinidat – лидер среди первичных систем хранения данных согласно отчету Gartner Magic Quadrant 2021

18.10.2021

Компания iIT Distribution получила статус официального дистрибьютора A10 Networks

11.10.2021

Внедрение инновации no-code в сетевые процессы

11.10.2021

iIT Distribution расширил арсенал своих достижений: профессиональный сертификат NetBrain Certified Platform Associate

05.10.2021

SuperMem: Бесплатный инструмент CrowdStrike Incident Response для автоматизации обработки образов памяти

30.09.2021

Мероприятие, которое расширяет границы знаний и возможностей: Первый Ежегодный Форум по Кибербезопасности CS² DAY 2021 произвел настоящий фурор!

23.09.2021

В завершение знакомства с партнерами мероприятия CS² DAY представляем компанию-системного интегратора – CS Consulting!

21.09.2021

Ведущий специалист Security-подразделения компании IBM Виталий Воропай посетит CS² DAY в качестве спикера!

20.09.2021

Список спикеров Первого Ежегодного Форума по Кибербезопасности только пополняется: знакомьтесь с Дмитрием Петращуком от компании IT-Specialist

20.09.2021

На CS² DAY выступят представители государственного сектора: Виктор Жора и Александр Галущенко!

17.09.2021

Встречайте следующего приглашенного спикера долгожданного CS² DAY - Алексея Зайончковского от компании Netwave!

16.09.2021

Представляем второго спикера CS² DAY: Михаил Кропива – InfoSec Director топовой украинской IT-компании SoftServe!

16.09.2021

Познакомьтесь ближе с компанией-главным партнером CS² DAY и первым спикером – Майклом Чальватцисом!

08.09.2021

IIT DISTRIBUTION И CROWDSTRIKE ПРИГЛАШАЮТ НА CS² DAY – ПЕРВЫЙ ЕЖЕГОДНЫЙ ФОРУМ ПО КИБЕРБЕЗОПАСНОСТИ!

03.09.2021

Компания iITD собрала своих партнеров на бизнес-ужине A10 Vendor`s Day

30.08.2021

Модель Zero Trust и DLP-система: что нового рассказали наши представители и партнеры на международной конференции «Digital Change & Customers — Digital Changes and Customer Service»

05.08.2021

Приглашаем на международную конференцию «Digital Change & Customers - Цифровые изменения и клиентский сервис»

28.07.2021

Пришло время остановить страх перед новыми технологиями: как сменить привычных производителей решений и внедрить более прогрессивные технологии в свою инфраструктуру?

20.07.2021

Обеспечьте защиту данных петабайтного масштаба с молниеносным восстановлением!

12.07.2021

Infinidat — лучший выбор клиентов Gartner Peer Insights 2021!

06.07.2021

CrowdStrike заняла первое место по доле рынка Modern Endpoint Security 2020!

05.07.2021

Контроллер доставки приложений А10 Thunder ADC на нашем складе!

22.06.2021

Анонс нового продукта для хранения данных корпоративного класса InfiniBox SSA от Infinidat!

10.06.2021

Приглашаем на третий виртуальный форум CrowdStrike!

07.06.2021

Первые поставки сетевого оборудования Aruba

01.06.2021

Комплексное DLP-решение компании GTB Technologies получило сертификат Государственной службы специальной связи и защиты информации Украины

31.05.2021

Как изощренные атаки максимизируют прибыль хакеров и к каким действиям по защите необходимо прибегнуть прямо сейчас

19.05.2021

iIT Distribution – официальный дистрибьютор решения Automox

18.05.2021

Серия обучающих воркшопов от CrowdStrike

11.05.2021

CrowdStrike во второй раз стала лидером в Gartner Magic Quadrant 2021 года среди платформ защиты конечных точек!

11.05.2021

Обзор новой Версии NetBrain Integrated Edition 10.0. Продолжение

28.04.2021

Обзор новой Версии NetBrain Integrated Edition 10.0

26.04.2021

Компания Infinidat запускает программу аккредитации партнеров

16.04.2021

iIT Distribution – официальный дистрибьютор компании Lookout

12.04.2021

iIT Distribution расширяет свой портфель сетевыми решениями от Aruba Networks

12.04.2021

Компания iIT Distribution получила статус Business Partner в партнерской программе Hewlett Packard Enterprise

08.04.2021

Почему провайдерам хостинга нужно обратить внимание на решение хранения данных Infinidat? Практический опыт использования

05.04.2021

Модель ZTNA помогает сократить стрессовые нагрузки на сотрудников, которые возникают в результате дистанционного формата работы

30.03.2021

CrowdStrike назван лидером среди сервисов по обнаружению угроз информационной безопасности, реагированию на них и расследованию киберинцидентов (MDR)!

24.03.2021

Falcon X от CrowdStrike признан лидером в отчете Forrester Wave: External Threat Intelligence Services за первый квартал 2021 года!

15.03.2021

Новое исследование Forrester показывает все экономические преимущества от использования Falcon Complete!

02.03.2021

iITD - официальный партнер Международного Гранд Форума "BIT&BIS-2021"!

24.02.2021

CrowdStrike объявил о приобретении ведущей высокопроизводительной лог менеджмент платформы Humio!

18.02.2021

Выступление Intelligent IT Distribution на международной конференции «Go Digital - 2021: ускорение & миграция. Деньги идут в Online».

08.02.2021

Международная конференция «Go Digital - 2021: ускорение & миграция. Деньги идут в Online»!

25.01.2021

Ответ CrowdStrike на недавние атаки Supply Chain

08.10.2020

Intelligent IT Distribution приняла участие в Третьем Ежегодном Международном Форуме «Кибербезопасность - Защитим Бизнес, Защитим Государство»

29.09.2020

iITD - партнер форума "Кибербезопасность - защитим бизнес, защитим страну" 2020

24.09.2020

Компания IIT Distribution получила статус дистрибьютора решений NetBrain Technologies на территории Украины

28.08.2020

Fal.Con 2020 от CrowdStrike - iIT Distribution

25.08.2020

Соблюдение норм страхования киберрисков

25.08.2020

Автоматически блокируйте скомпрометированые учетные записи с Lepide Active Directory Self Service 20.1

25.08.2020

Компания Cossack Labs приглашает посетить NoNameCon - iIT Distribution

22.07.2020

Подписание дистрибьюторского соглашения с компанией Safe-T

21.07.2020

Международная конференция "Online Banking - время инноваций!"

18.06.2020

Глобальный отчет о киберугрозах 2020

11.06.2020

Четверг, 25 июня 2020. Не пропустите!

20.05.2020

Отчет PandaLabs: Понимание угроз 2020

05.05.2020

Анонс: новая версия Acra Enterprise, который обеспечивает повышенную гибкость для высоконагруженных систем

13.04.2020

Lepide Remote Worker Monitoring Pack – это простая в развертывании и легкая платформа безопасности, которая предлагает немедленную защиту данных бизнеса в течение непредвиденного периода удаленной работы.

12.04.2020

Обеспечение кибербезопасности для удалённых пользователей

08.04.2020

Labyrinth Technologies предлагает воспользоваться специальным предложением - лицензия на 12 месяцев по цене 6 месяцев.

07.04.2020

CrowdStrike: удаленная работа и IT-безопасность во время кризиса - сокращенная лицензионная программа на 3-6 месяцев

23.03.2020

Компания iIT Distribution получила статус дистрибьютора решений RedSeal Networks на территории Украины.

23.03.2020

Компания iIT Distribution получила статус дистрибьютора решений Lepide на территории Украины.

16.03.2020

Компания iIT Distribution начинает дистрибуцию решений CrowdStrike на территории Украины.

19.02.2020

20 февраля в Киеве состоится ежегодная конференция CISO DX DAY 2020

18.02.2020

Компания iIT Distribution получила статус дистрибьютора решений Instana на территории Украины

CrowdStrike – компанія, яка може пишатися не лише своїми високоякісними та потужними рішеннями для захисту кінцевих точок, а й розвиненою корпоративною політикою. Компанія з першого дня свого існування співпрацює лише з країнами, які демонструють свою відданість європейським цінностям та ненасильницькій політиці. Команда CrowdStrike не розділяє бізнес та моральну складову. У той час, як багато IT-компаній у світлі сьогоднішніх кривавих подій в Україні лише починають усвідомлювати всю низькоморальність тіньової сторони країни-агресора, CrowdStrike жодного разу з моменту створення не працювала з такими країнами як росія, Іран, Китай, Північна Корея тощо. Ми закликаємо й інші IT-компанії припинити партнерські відносини з країною-агресором і щиро радіємо тому, що вже більшість наших вендорів це зробили.

23 февраля 2022 года стало известно о появлении новой вредоносной wiper-программы, поразившей украинские системы. После серии атак типа "denial-of-service" и взлома ряда украинских веб-сайтов новая вредоносная программа нарушила работу главной загрузочной записи (MBR), а также разделов и файловой системы всех доступных физических дисков на машинах Windows.

Разведка CrowdStrike дала название этому новому разрушительному ПО — DriveSlayer, и это уже вторая программа типа Wiper, поразившая Украину в свете недавних атак с использованием вредоносной программы WhisperGate. DriveSlayer имеет цифровую подпись с использованием действующего сертификата. Это ПО злоупотребляет легитимным драйвером EaseUS Partition Master для получения доступа к диску и управления им с целью привести систему в неработоспособное состояние.

Платформа CrowdStrike Falcon способна обеспечить надежную и непрерывную защиту от DriveSlayer и угроз типа wiper, предоставляя возможность отслеживать рабочие нагрузки в реальном времени для защиты клиентов.

Проверьте эффективность решения от CrowdStrike лично, отправив нам запрос на тестирование высокоэффективной платформы Falcon.

Технический анализ

В отличие от WhisperGate, который использует высокоуровневые вызовы API, DriveSlayer использует прямой доступ к диску с целью уничтожения данных.

При инициализации, два дополнительных параметра командной строки могут быть использованы для указания времени сна вредоносной программы перед началом процесса уничтожения и перезагрузкой системы. Если они не указаны, то по умолчанию будет задано значение 20 и 35 минут.

Далее вредоносная программа убеждается в том, что у нее есть соответствующие привилегии для выполнения своих разрушительных действий. Она использует API AdjustTokenPrivileges для присвоения себе следующих привилегий: SeShutdownPrivilege, SeBackupPrivilege и SeLoadDriverPrivilege.

Название привилегии	Описание
SeShutdownPrivilege	Обеспечивает возможность выключения локальной системы
SeBackupPrivilege	Обеспечивает возможность выполнения операций резервного копирования системы
SeLoadDriverPrivilege	Обеспечивает возможность загрузки или выгрузки драйвера устройства

Разнообразные драйверы будут загружаться в зависимости от версии системы. Вредоносная программа использует IsWow64Process для определения версии загружаемого драйвера. Эти драйверы хранятся в секции ресурсов двоичного файла и сжимаются с помощью алгоритма Lempel-Ziv. Файл драйвера записывается в system32\drivers с 4-символьным, псевдослучайно сгенерированным именем. Затем этот файл распаковывается с помощью LZCopy в новый файл с расширением ".sys".

Пример названия файла	Описание
C:\Windows\System32\drivers\bpdr	Драйвер, сжатый с помощью алгоритма Лемпеля-Зива
C:\Windows\System32\drivers\bpdr.sys	Декомпрессированный драйвер

Перед загрузкой драйвера вредоносная программа отключает аварийный дамп, устанавливая следующий ключ реестра:

Реестр	Значение	Описание
HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl\CrashDumpEnabled	0	Отключает аварийный дамп

Для загрузки драйвера создается новая служба с помощью API CreateServiceW. Именем и отображаемым именем для этой службы является 4-символьное значение, используемое для имени файла. Затем StartServiceW запускается в цикле пять раз, чтобы убедиться, что драйвер загружен. Сразу после загрузки драйвера служба уничтожается путем удаления всего ключа реестра.

После завершения процесса загрузки драйвера служба VSS отключается с помощью диспетчера служб управления. Затем создается несколько дополнительных потоков. Один из потоков создается с целью обработки перезагрузки системы. Он будет находиться в режиме сна в течение времени, указанного параметром командной строки, равного 35 минутам, после чего система будет перезагружена вызовом API InitializeSystemShutdownExW.

Другой поток отключает функции пользовательского интерфейса, которые могут предупредить пользователя о подозрительной активности, происходящей в системе, перед итерацией подключенных дисков.

Реестр	Значение	Описание
HKU\Software\Microsoft\Windows\CurrentVersion\ Explorer\Advanced\ShowCompColor	0	Отключение цветов для сжатых и зашифрованных файлов NTFS
HKU\Software\Microsoft\Windows\CurrentVersion\ Explorer\Advanced\ShowInfoTip	0	Отключение всплывающей информации о папках и элементах рабочего стола

Наконец, вредоносная программа начинает свою разрушительную работу, порождая множество дополнительных потоков, которые перезаписывают файлы на диске и уничтожают таблицы разделов. После перезагрузки системы пользователь увидит пустой экран с надписью "Операционная система отсутствует".

Непрерывный мониторинг и видимость, предоставляемые платформой Falcon останавливают разрушительное влияние DriveSlayer

Платформа Falcon использует многоуровневый подход для защиты рабочих нагрузок. Используя on-sensor и cloud-based машинное обучение, behavior-based обнаружение с использованием индикаторов атак (IOA) и разведданные о тактиках, методах и процедурах (TTP), применяемых субъектами угроз, платформа Falcon обеспечивает видимость, обнаружение и непрерывный мониторинг для любой среды, сокращая время на поиск и устранение угроз.

Как показано на рисунке 1, платформа Falcon использует облачное машинное обучение для обнаружения DriveSlayer и предотвращения выполнения вредоносной программой зловредных действий, таких как загрузка дополнительных компонентов.

Рисунок 1. Облачное машинное обучение платформы Falcon обнаруживает DriveSlayer wiper

IOA платформы Falcon, основанные на поведенческих факторах, могут выявлять и предотвращать выполнение подозрительных процессов или загрузку дополнительных компонентов, а также другие виды вредоносного поведения. Например, Falcon способен определить такое поведение DriveSlayer, как вмешательство в определенные ключи реестра. Behavior-based выявление дополнительно накладывается на традиционное обнаружение хэшей на основе индикаторов компрометации (IOC) (см. Рисунок 2).

Рисунок 2. CrowdStrike Falcon выявляет и предотвращает деструктивную деятельность DriveSlayer

DriveSlayer не имеет встроенных технологий распространения по инфраструктурам, а сведения о его использовании в атаках на украинские системы пока ограничены. Компания CrowdStrike и дальше будет следить за ситуацией и сообщать о происходящем по мере ее развития.

Клиенты CrowdStrike Falcon могут осуществлять проактивный мониторинг своих сред с помощью hunting-запросов для выявления индикаторов присутствия DriveSlayer. Ознакомьтесь с кратким описанием DriveSlayer и способами его поиска на портале поддержки CrowdStrike.

iIT Distribution как официальный дистрибьютор решений компании CrowdStrike настоятельно рекомендуем организациям, сталкивающимися с рисками киберинцидентов, принять меры по повышению своей операционной устойчивости. Решения безопасности от CrowdStrike способны защитить от вредоносного ПО и угрозы уничтожения данных, обеспечивая полную видимость среды и интеллектуальный мониторинг облачных ресурсов с целью обнаружения и реагирования на потенциальные угрозы - в том числе разрушительные - и ограничения возможного ущерба.