Сентябрьская атака программы-вымогателя Akira на одну из организаций закончилась шифрованием рабочих данных. Разбор инцидента выявил неприятную деталь. Злоумышленник оказался внутри сети раньше, чем компания успела развернуть средство мониторинга конечных точек. Вход, разведка и отключение защиты остались вне записанных журналов. Восстанавливать ход событий пришлось по косвенным следам на заражённом узле.
Описание
Подобная ситуация встречается всё чаще. Средство мониторинга конечных точек, или EDR (система обнаружения и реагирования на конечных точках), записывает запуск программ, обращения к файлам и сетевые соединения. Установка такого средства после взлома закрывает от аналитиков раннюю часть атаки: первичный доступ, разведку в сети, закрепление и кражу учётных данных. Один потерянный поток данных не означает полную слепоту. Разбираться всё равно приходится дольше и осторожнее.
Способ входа удалось установить. Атакующий подключился к машине по протоколу удалённого рабочего стола (RDP) с рабочей станции, которая компании не принадлежала. Сценарий типичен для вымогателей. Один незакрытый канал удалённого доступа даёт полный контроль над внутренним сервером. Сразу после подключения злоумышленник открыл консоль антивируса BitDefender и остановил связанные с ним службы. Защита перестала работать, и дальнейшие действия никто не блокировал.
Затем последовал перехват учётных данных. Атакующий выгрузил содержимое памяти системного процесса, отвечающего за проверку паролей, и получил доступ к служебным записям с расширенными правами. Через несколько часов на узле появился инструмент туннелирования GOST - открытая программа для защищённых каналов связи. По данным Huntress, туннель развернули примерно через четыре часа после начала шифрования, вероятно для закрепления в системе. Гибкость инструмента позволяет перенаправлять трафик через подставные узлы. Отследить настоящий командно-контрольный сервер (C2-сервер) в такой схеме заметно сложнее.
Рядом с туннелем заработала утилита Rclone, созданная для синхронизации файлов с облачными хранилищами. Для злоумышленников это удобный канал эксфильтрации данных, то есть выкачивания информации на сторонние серверы. Копирование идёт постепенно, небольшими порциями. Внешне оно почти не отличается от обычной работы с облаком. Точный объём выгруженных сведений не раскрывается. Сам факт копирования указывает на двойное вымогательство - угрозу опубликовать украденное при отказе платить. К моменту шифрования часть данных уже покинула периметр компании.
Шифрование началось после того, как атакующий изучил структуру сетевых папок. Перед запуском вымогателя он удалил теневые копии томов - встроенный механизм резервного копирования Windows. Этот шаг лишает жертву быстрого способа вернуть файлы. Дальше обработка шла волнами. Программа шифровала одну папку, злоумышленник открывал её через проводник и проверял результат, затем переходил к следующей. Цикл повторился несколько раз.
Полной телеметрии у аналитиков не было, поэтому сведения собирали по крупицам. Помогли журналы событий Windows, записи самого вымогателя и артефакты системного реестра, которые хранят историю открытых папок. Записей о запуске вредоносной программы не осталось. Их отсутствие компенсировали совпадением по времени: следы доступа к каталогу, запись в журнале вымогателя и команда удаления теневых копий появлялись почти одновременно. Сопоставление таких следов восстанавливает последовательность событий даже при неполных данных.
Инструмент GOST встречался и в других кампаниях. Ранее Google Mandiant описала группировку, связанную с интересами Китая, которая применяла это средство для доставки вредоносных программ на рабочие станции. Агентство по кибербезопасности и защите инфраструктуры США указывало, что партнёры Akira используют и другие программы туннелирования. С их помощью создаются шифрованные каналы связи в обход контроля периметра.
Защита от похожих сценариев опирается на несколько базовых мер. Удалённый доступ, который приходится держать открытым, закрывают многофакторной аутентификацией (MFA, дополнительное подтверждение входа). Полный перечень устройств и приложений помогает вовремя заметить лишнее. Сокращение поверхности атаки уменьшает объём того, что нужно обслуживать и проверять. Отдельного контроля требуют подключения с чужих и подозрительных рабочих станций. Полезно следить за системными каталогами, в которых обычно не появляются новые исполняемые файлы.
Akira и её партнёры работают по одной схеме: сначала кража данных, затем шифрование. Компании, которые разворачивают средства мониторинга уже после вторжения, узнают о масштабе утечки с задержкой. Для бизнеса это означает простой, расходы на восстановление инфраструктуры и риск публикации украденных сведений. Ранняя установка защиты и строгий контроль удалённого доступа сокращают время, в течение которого атакующий остаётся незамеченным.
Индикаторы компрометации
