🤔 Вы уже видели этот вредонос? Нет. А он есть, и PT Sandbox его видит

Специалисты экспертного центра безопасности Positive Technologies (@ptescalator) с помощью поведенческого анализа в PT Sandbox выявили новую вредоносную активность, направленную на российские компании.

Рассказываем, как это произошло.

1️⃣ Все началось c фишингового письма

Письмо было отправлено 14 октября: оно обошло первый эшелон защиты (почтовый шлюз) и попало на анализ в PT Sandbox. Внутри него содержалась фраза «Платежное поручение! Ждем от вас акты», а также ссылка на скачивание RAR-архива oplata_plateznoe_1C.rar с исполняемым файлом, замаскированным под PDF-файл.

Информация о файле появилась в VirusTotal (VT) в тот же день, однако не все средства защиты успели обновить свои базы и, соответственно, начать детектировать вредоносное содержимое. Поэтому письмо попало на анализ в песочницу.

2️⃣ Еще одно письмо с похожим текстом получено 20 ноября

Однако в нем использовалась другая ссылка (домен злоумышленников мимикрировал под сайт производителя СЗИ), по которой скачивался файл Платежное поручение 1С.rar с вредоносом внутри.

Информация о содержимом появилась в VT 20 ноября. Проверив домен на следующий день, специалисты увидели, что он ассоциируется со многими вредоносными файлами, замеченными в ноябре и ориентированными в первую очередь на российские организации.

🫣 Что общего у этих писем?

• Они рассылались с легитимных почтовых ящиков, которые, по предварительным данным, принадлежат реальным организациям (но были под контролем у злоумышленников).

• Оба извлеченных файла являются загрузчиками вредоносных программ (Trojan‑Downloader), написанными на .NET.

• У обоих файлов — общий адрес управляющего сервера, что говорит об их принадлежности к одной кампании.

• После запуска нагрузки первой стадии скачиваются другие: PureLogs Stealer, AsyncRAT или DarkVision RAT. Все они запускаются через внедрение кода в легитимный процесс Microsoft.NET Framework — InstallUtil.exe.

• На этой стадии файл детектируется песочницей как Trojan.Win32.Generic.a / Trojan.Win32.Inject.a. Все дополнительно скачиваемые нагрузки уже не один раз анализировались и хорошо известны.

💡 Из этих примеров видно, что новые вредоносы практически невозможно обнаружить статическими методами анализа: злоумышленники могут изменить схему обфускации, и файл пропадет с радаров. Не спасут и базовые средства защиты, так как письма могут приходить со взломанных легитимных почтовых ящиков контрагентов организации.

Но усиление безопасности решениями с поведенческим анализом вредоносов, например PT Sandbox, позволит обеспечить защиту от новых и неизвестных ранее угроз и заблокировать их проникновение в контур компании.

😲 Все технические подробности вы можете найти в материале на сайте anti-malware.ru.

#PTSandbox
@Positive_Technologies

🤝 Песочница PT Sandbox прошла тестирование на совместимость с почтовым сервером RuPost

Результатом успешной синергии двух продуктов стал технологический бандл, который мы презентовали совместно с «Группой Астра» — создателем российской системы управления электронной почтой RuPost.

«Новый бандл позволяет обоюдно контролировать полную совместимость решений. Интеграция песочницы PT Sandbox и сервера RuPost поможет компаниям не просто выполнить обязательства по импортозамещению сервиса электронной почты, но и обеспечить его комплексную защиту от угроз», — комментирует Сергей Осипов, руководитель направления защиты от вредоносного ПО Positive Technologies.

Вопрос защиты электронной почты особенно актуален, поскольку в 2023 году больше половины (57%) атак начинались именно с фишинговых писем.

Во избежание инфраструктурных рисков российские компании активно переходят на отечественные почтовые сервисы, но при этом хотят, чтобы те были защищены не только извне (при помощи подключения антивирусов или антиспам-систем), но и внутри.

⌛️ Наша песочница, интегрированная в почтовый сервис, проверяет все письма, поступающие пользователям, а подозрительные файлы и ссылки дополнительно анализирует в изолированной виртуальной среде, обнаруживая неизвестное, скрытое и маскирующееся вредоносное ПО и блокируя его попадание в контур компании.

#PTSandbox
@Positive_Technologies

🔧 Псссс , вы слышали что-нибудь о пользовательских правилах в PT Sandbox? Если нет — расскажем, если да — поможем с настройкой.

Поговорим об этом в прямом эфире 25 марта в 11:00.

Руководитель отдела экспертизы PT Sandbox Шаих Галиев даст практические рекомендации:

🔵по настройке правил предварительной фильтрации для источника;
🔵настройке правил поведенческого анализа для источника;
🔵проверке их корректной работы.

Это поможет песочнице эффективнее обнаруживать ВПО и быстрее анализировать файлы при большой нагрузке.

🎁 Каждому участнику — гайд по настройке пользовательских правил проверки в PT Sandbox в подарок.

✉️ Не забудьте зарегистрироваться заранее, а в день вебинара мы обязательно напомним вам о трансляции.

#PTSandbox
@Positive_Technologies

Что происходит, когда вредонос попадает в PT Sandbox? 🤨

Для него начинается киберприключение в изолированной среде, которое всегда заканчивается ☠️

О том, как это работает, на вебинаре 17 июня в 14:00 расскажет Шаих Галиев, руководитель отдела экспертизы PT Sandbox из антивирусной лаборатории PT ESC.

На трансляции вас ждут:

🤗 Аналитика эффективности поведенческого анализа при выявлении неизвестных угроз

✅ Реальные кейсы обнаружения сложных вредоносных программ

🔄 Обновленная экспертиза PT Sandbox для точного детектирования вредоносов

Регистрируйтесь заранее на нашем сайте, чтобы обсудить возможности нашего продукта вместе с экспертом.

#PTSandbox
@Positive_Technologies

👽👽 Каждая кибербитва Standoff — испытание для наших продуктов, которое они успешно проходят

Например, во время Standoff 15 на киберфестивале Positive Hack Days в мае этого года наша песочница PT Sandbox снова «сдала» свой ежегодный экзамен.

В новой статье на Хабре рассказываем, что ей удалось поймать и какие инструменты наиболее популярны у красных команд.

Вот вам для затравки топ-3 вредоносов:

👾 Бэкдоры
👾 Трояны
👾 Загрузчики ВПО

Всего за четыре дня кибербитвы песочница обнаружила более 1200 уникальных (по хеш-сумме) образцов вредоносных программ, около сотни из них — исключительно в ходе комбинированного поведенческого анализа (да, PT Sandbox и такое умеет).

Подробнее о вредоносах, об использовании каждого и о том, как их удалось задетектить, читайте в нашем блоге.

#PTSandbox
@Positive_Technologies

⌛ Как нам удается бесшовно интегрировать нашу песочницу PT Sandbox с большим количеством продуктов для ИТ и ИБ

Секрет вот в чем: благодаря асинхронному API-коннектору PT Sandbox может работать с уникальными источниками и легко интегрироваться с любыми системами.

Кроме того, мы плотно сотрудничаем со многими вендорами. Наша песочница на уровне кода интегрирована с решениями компаний «Группа Астра», «Код Безопасности», «РЕД СОФТ», MFlash.

В статье для Positive Research Сергей Осипов, руководитель направления защиты от вредоносного ПО, Positive Technologies, рассказал, как мы «подружили» PT Sandbox с файловыми хранилищами, подключили к защите почты, интегрировали с системами разных классов (NTA, NGFW, WAF, EDR) и анализатором защищенности кода. Сергей также поделился самыми важными обновлениями продукта и планами на будущее.

👀 Читайте, если хотите знать о нашей песочнице все и немного больше.

#PTSandbox #PositiveResearch
@Positive_Technologies

👌 Делиться честными кейсам работы с PT Sandbox и PT NAD — отличная традиция

Продолжим ее 16 сентября в 15:00 на втором митапе NetCase Day, где вы сможете посмотреть на сетевую безопасность глазами специалистов, которые каждый день сталкиваются с угрозами, и послушать о реальном опыте использования нашей песочницы и системы поведенческого анализа трафика.

👀 Программа митапа — уже на сайте. Эксперты из Positive Technologies, Т-банка, HeadHunter, K2 Cloud и других компаний расскажут:

🌟 О реальных кейсах обнаружения угроз и нюансах сетевых атак
🌟 О новых и уже проверенных временем сценариях использования PT NAD и PT Sandbox
🌟 О бенефитах от синергии продуктов для максимальной защиты

Приглашаем на NetCase Day всех, кто уже использует PT Sandbox или PT NAD для защиты, только планирует их внедрять или просто интересуется сетевой безопасностью.

Будет много технических деталей и практических инсайтов. Регистрируйтесь заранее, чтобы ничего не пропустить!

#PTNAD #PTSandbox
@Positive_Technologies

А что вы находили в песочнице? 🧸

В детской, как мы убедились, можно наткнуться на лопатку. В сетевой — совсем другие «сокровища»: вредоносы, в том числе неизвестные, которые могут угрожать вашему бизнесу.

Уже 16 сентября на онлайн-митапе NetCase Day пользователи PT Sandbox — HeadHunter и Т‑Банк — поделятся реальным опытом использования продукта в своих компаниях.

⏳ Регистрируйтесь заранее на нашем сайте и присоединяйтесь в 15:00, чтобы узнать про новые сценарии использования PT Sandbox и PT NAD, а также о преимуществах синергии двух продуктов.

#PTSandbox #PTNAD
@Positive_Technologies

🔍 Мы добавили в PT Sandbox новую ML-модель, которая выявляет по следам в сети неизвестное и скрытое ВПО, необнаруживаемое другими методами

Наши специалисты разработали и обучили ML-модель, отличающую чистый трафик от зловредного путем поиска особых признаков поведения ВПО. Благодаря этому возможно обнаружить неизвестные вредоносы до того, как на них будет написана сигнатура.

🔥 Кроме того, мы обогатили экспертизу в PT Sandbox, в которой за последние полгода появилось более 100 новых поведенческих сигнатур и 900 уникальных сетевых правил, позволяющих песочнице фиксировать любые подозрительные действия в трафике. Всего встроенная в продукт база насчитывает свыше 16 500 поведенческих и сетевых правил для своевременного обнаружения любых угроз.

«Мы непрерывно совершенствуем механизмы обнаружения и развиваем встроенную в PT Sandbox экспертизу по поиску ВПО и защите от него. Одним из главных нововведений в этом году стало внедрение в песочницу еще одной ML-модели. Новый метод анализа на основе машинного обучения помогает еще качественнее определять ВПО и защищать инфраструктуру от угроз нулевого дня», — комментирует Шаих Галиев, руководитель отдела экспертизы PT Sandbox антивирусной лаборатории PT ESC.

😍 Что еще новенького в нашей песочнице

1️⃣ Проверка QR-кодов в теле письма и в прикрепленных к нему PDF-документах: PT Sandbox может извлекать из них ссылки и анализировать их на потенциальную опасность.

2️⃣ Возможность кастомизации YARA-правил: раньше их разрабатывал исключительно PT ESC, а сейчас пользователи могут писать и добавлять в PT Sandbox собственные правила, максимально учитывающие специфику защиты их компаний.

3️⃣ Поддержка S3-совместимых облачных и локальных хранилищ файлов для непрерывного отслеживания безопасности популярных отечественных «облаков» (Cloud․ru, Yandex Cloud и VK Cloud).

4️⃣ Ручной поведенческий анализ отдельных файлов в веб-интерфейсе PT Sandbox для выполнения с ними любых необходимых действий.

Больше о том, как работает обновленный PT Sandbox, расскажем на примере реальных кейсов 16 сентября во время онлайн-митапа NetCase Day, присоединяйтесь!

#PTSandbox
@Positive_Technologies

🐟 А что попадается в ваших сетях: золотые рыбки мечты или аномалии? 👾

Если не получается определиться с уловом самостоятельно, доверьтесь PT NAD — системе поведенческого анализа трафика, которая умеет искать угрозы в инфраструктуре компаний.

🔍 Как она это делает на практике, расскажет наша команда, а также эксперты из HeadHunter, K2 Cloud и «Программного продукта» 16 сентября в 15:00 на онлайн-митапе NetCase Day.

Никакой теории, только реальные кейсы использования PT NAD — отдельно и в синергии с песочницей PT Sandbox (о преимуществах такого объединения тоже обязательно расскажем!).

👉 Регистрируйтесь и присоединяйтесь к митапу уже в следующий вторник.

#PTSandbox #PTNAD
@Positive_Technologies

🙂 Все скрытые возможности и фишки PT Sandbox в одном флаконе онлайн-воркшопе

Встречаемся 2 декабря в 12:00, чтобы узнать секретные лайфхаки и подходы для исследования вредоносов от команды нашей песочницы.

Рассказываем, что будет:

🔴 Практика с примерами анализа: запустим актуальное ВПО под Windows- и Linux-системы и вместе определим, насколько оно опасно.

🔴 Расшифровка отчетов: объясним, как правильно интерпретировать результаты работы PT Sandbox.

🔴 Использование фильтров: покажем, как они помогают сосредоточиться на подозрительной активности.

🔴 «Перевод с вредоносного на русский» — научим понимать, что делает ВПО: крадет данные, создает бэкдор или распространяется по сети.

Приходите на воркшоп, чтобы PT Sandbox в ваших руках стал мощным инструментом для анализа даже самых сложных образцов и обнаружения скрытых угроз.

#PTSandbox
@Positive_Technologies

Как завод «Солид» перестал бояться вредоносных писем 📨

Прочный фундамент держит здание, надежная песочница — корпоративную почту, останавливая вредоносное ПО и сложные угрозы до того, как они проникнут в сеть компании.

Для торгово-промышленной группы «Солид», крупнейшего российского производителя отделочных материалов из полистирола и пенополистирола, это не просто метафора. Здесь работают 500 специалистов, а бизнес-процессы группы зависят от бесперебойной работы ключевых ИТ-систем и сервисов: «1С», CRM, корпоративной почты, файловых хранилищ и сервисов доступа. Любая их остановка из-за кибератаки грозит простоями и серьезными денежными потерями.

Долгое время корпоративная почта оставалась уязвимой: подозрительные вложения проверялись вручную по запросу пользователей. Это было долго и рискованно — письмо с шифровальщиком могло пройти незамеченным. Дополнительно риски усиливались требованиями закона № 152-ФЗ и рекомендациями ФСТЭК. Успешная атака могла обернуться штрафами и репутационными потерями.

Чтобы автоматизировать процесс анализа входящих писем, группа искала российское решение и обратила внимание на PT Sandbox 👀

Во время пилотного проекта система проверила около 40 тысяч объектов: входящие письма и файлы из хранилищ. Наиболее частые находки — загрузчики, трояны, вспомогательные инструменты для установки вредоносов, стилеры, эксплойты и потенциально нежелательные программы.

По итогам испытаний PT Sandbox была успешно внедрена в ИТ-инфраструктуру группы «Солид». Песочница работает в режиме мониторинга и реагирования — выявляет подозрительные письма, блокирует их и сообщает об этом администратору. PT Sandbox помогла повысить киберустойчивость завода и стала критически важным звеном в системе ИБ группы.

[👾👾👾]🔫⌛️

#PTSandbox
@Positive_Technologies

Агрохолдинг «Дороничи» использует PT Sandbox и PT NAD для защиты от целевых атак

Сельское хозяйство в России цифровизуется быстрыми темпами: все больше технологий помогают автоматизировать производственные процессы, управлять техникой и повышать эффективность работы предприятий.

Однако вместе с уровнем цифровизации растет и интерес злоумышленников к таким организациям. Только в прошлом году, по данным АО «Агропромцифра», на предприятия агропромышленного комплекса было совершено более 800 кибератак.

В этих условиях особенно важно быть готовыми к целевым атакам, направленным на конкретную компанию, чтобы своевременно выявлять угрозы и выстраивать эффективную систему защиты.

👀 Так, «Дороничи» — крупнейший агропромышленный холдинг Кировской области с производством полного цикла — внедрил комплекс PT Anti-APT, в который входят PT NAD и PT Sandbox. 

Результаты появились уже на этапе пилота: PT NAD зафиксировал подозрительную активность в ритейл-сегменте холдинга. Выяснилось, что в оборудовании от проверенного поставщика был инфостилер — вредонос для кражи данных. Угроза была оперативно расследована и устранена.

Сегодня PT NAD позволяет команде ИБ «Дороничей» в режиме реального времени выявлять атаки, анализировать сетевую активность и контролировать состояние инфраструктуры — в центре обработки данных и производственном сегменте. Только за последний месяц PT NAD обнаружил несколько критичных инцидентов. Кроме внешних угроз, продукт помогает выявлять нарушения правил кибергигиены на устройствах сотрудников и подрядчиков.

В связке с ним работает PT Sandbox: песочница анализирует файлы из сетевого трафика, фиксируемого PT NAD. Также PT Sandbox проверяет почтовые сообщения, в том числе с помощью нашего антивируса PT AV, выявляя сложные угрозы еще до того, как они могут стать инцидентом. Чаще всего обнаруживаются трояны, бэкдоры, эксплойты, средства удаленного доступа и другое нежелательное ПО.

При этом специалисты по кибербезопасности агрохолдинга фиксируют большой поток фишинговых писем. Чтобы снизить риски, в компании развивают культуру кибергигиены и используют сервис Checkme: с его помощью сотрудники могут самостоятельно отправлять файлы и ссылки на проверку в PT Sandbox и быстро получать вердикт о том, безопасны ли они.

🌐 ⌛️ В итоге совместная работа PT NAD и PT Sandbox обеспечивает агрохолдингу «Дороничи» защиту производственных процессов от киберугроз и связанных с ними бизнес-рисков. В планах холдинга — масштабировать PT NAD на другие системы и подключить к PT Sandbox межсетевой экран уровня веб-приложений.

#PTSandbox #PTNAD
@Positive_Technologies

❤️❤️❤️ Киберзащита на вес золота

И это не метафора, если вы — полиметаллический холдинг «Селигдар», который производит порядка 8 тонн золота в год и входит в десятку крупнейших золотодобытчиков России. А еще — единственный в стране, кто добывает рудное олово. То самое, без которого не сделать ни микрочип, ни нержавейку, ни стекло, ни химикаты. Добыча золота кипит в Якутии, Бурятии и на Алтае, олова — в Хабаровском крае. И это не считая перспективных проектов на Чукотке, в Оренбургской и Иркутской областях.

Стратегически компании «нужно больше золота» (вы ведь прочитали это голосом из мема?), да и без олова тоже никуда. И то и другое обычно добывают в удаленных районах с суровым климатом и нестабильной связью. Сбой ИТ-систем может обернуться остановкой производства и реальными финансовыми потерями. Так что киберустойчивость здесь — не прихоть, а вопрос выживания компании.

Значит, защищенность надо качать. Самые опасные угрозы для добывающей отрасли — фишинг, вредоносные вложения в письмах, дыры в софте и атаки на поставщиков (когда взламывают вашего подрядчика и через него пытаются добраться до вас).

«Селигдар» наши продукты уже знал и использовал, поэтому для управления уязвимостями и защиты почты выбрал связку MaxPatrol VM и PT Sandbox, встроив их в существующую систему киберзащиты холдинга.

1️⃣ MaxPatrol VM теперь следит за безопасностью около 2000 активов — от офисных ПК до производственных cистем. Сканирование ускорилось, прозрачность инфраструктуры выросла, а специалисты по кибербезу, сверяясь с информацией о трендовых уязвимостях, быстрее расставляют приоритеты обновления систем и устранения угроз. Это особенно важно, когда остановка производства даже ненадолго может стоить как несколько новых Porsche.

2️⃣ PT Sandbox встал на защиту почты, работая в режимах мониторинга и MTA (когда продукт встраивается в почтовый трафик, проверяя все письма и вложения на лету, а не просто наблюдая со стороны). Кроме того, песочница подключена к хранилищам и проверяет файлы перед тем, как они попадут в корпоративные сетевые папки, не давая вредоносам никаких шансов.

Уязвимости теперь под контролем, фишинговые письма надежно изолированы в песочнице, а компания может сосредоточиться на развитии бизнеса, а не переживать о киберугрозах.

#MaxPatrolVM #PTSandbox
@Positive_Technologies

💼 💼 💼 💼 💼 — вот что мы приготовили для NetCase Day

Пять честных кейсов по сетевой безопасности от тех, кто не понаслышке знаком с PT Sandbox и PT NAD. Хотите посмотреть, что внутри? Встречаемся онлайн 10 сентября в 15:00.

В этот раз главными действующими лицами станут компании, которые готовы поделиться реальными историями о том, как наши продукты каждый день помогают им защищать свою инфраструктуру.

🌐 PT NAD и решение проблемы с качеством захвата трафика в сетевой организации.

⌛️ «Песочница общего режима!», или Как «Вайлдберриз Банк» научил команды любить проверки ИБ при помощи PT Sandbox.

🌐 Как PT NAD помог организовать контроль входящего трафика в аэропорту «Пулково».

⌛️ PT Sandbox как анти-APT-решение для пивоваренной компании «Балтика»: от этапа PoC до практической эксплуатации.

💼 Бонусный совместный кейс про комплексный подход к защите финтеха.

Команды продуктов расскажут, какой «улов» им попадается в сетях российских компаний, проанализируют тренды, поделятся статистикой угроз и ответят на все ваши вопросы.

Вы еще можете зарегистрироваться. Ждем вас в прямом эфире уже послезавтра!

#PTNAD #PTSandbox
@Positive_Technologies

Как наша песочница вычисляет «умные» вредоносы и совершенствует защиту при помощи ML

Атакующие не стоят на месте: они все лучше маскируют вредоносные файлы, чтобы те выглядели безопасно для средств защиты. Поэтому важно, чтобы такие файлы проходили проверку, а при малейших подозрениях попадали в песочницу — например, в нашу PT Sandbox.

На вебинаре уже завтра, 20 октября, в 14:00, расскажем, как новые возможности продукта помогают быстрее обнаруживать и разбирать угрозы, куда движутся его экспертиза и ML-технологии и как извлечь из него максимум пользы для расследования.

Что будет:

1️⃣ Разберем, что нового появилось в экспертизе PT Sandbox и как это помогает в анализе вредоносного ПО.

2️⃣ Представим ByteDog — новую ML-модель внутри песочницы — и объясним, как с ее помощью обнаруживать зловреды.

3️⃣ Расскажем, как подключить большие языковые модели к PT Sandbox и какие возможности это открывает для пользователей.

Будет интересно всем: от исследователей безопасности до аналитиков SOC. Регистрируйтесь и приходите ✋🤚

#PTSandbox
@Positive_Technologies