Программа-вымогатель INC поразила организацию, в которой пострадали не менее 175 устройств и доменные контроллеры - серверы, отвечающие за учётные записи и права доступа во всей сети. Название компании не раскрывается. Злоумышленники не ограничились шифрованием файлов: они оставили две записки с требованием выкупа. Вторая появилась меньше чем через час после первой и содержала угрозы подключить к давлению сотрудников, партнёров и журналистов.
Описание
Двойное вымогательство давно перестало быть исключением. Сначала преступники копируют данные, потом блокируют доступ к ним, а затем начинают торг. Иногда к угрозам добавляются звонки клиентам и деловым партнёрам жертвы. Расчёт простой: чем выше репутационные риски, тем быстрее компания заплатит. Атаки с таким сценарием чаще всего затрагивают средний бизнес и госсектор, где меньше ресурсов на защиту.
Разбираться в случившемся пришлось уже после того, как программа отработала. Средства наблюдения за конечными устройствами на тот момент не собирали данные в нужном объёме. Поэтому полной картины вторжения не получилось. Журналы событий частично перезаписались: техника продолжала работать в обычном режиме, и старые записи вытеснялись новыми. Восстановить способ, которым злоумышленники получили первый доступ к сети, так и не удалось. Все выводы пришлось строить на косвенных признаках. Однако отдельные фрагменты сохранились, и их хватило, чтобы описать дальнейшие шаги атакующих и оценить масштаб.
По данным Huntress, активность на пострадавших машинах прослеживается с начала августа, а затем прерывается на 17 дней. Пауза такого рода намекает на участие двух разных групп: одна продала доступ к сети, вторая развернула программу-вымогателя. Разделение труда между брокером первоначального доступа и исполнителем давно стало привычной практикой.
Пауза в две с половиной недели - не редкость. После получения доступа злоумышленники обычно изучают сеть: ищут резервные копии, привилегированные учётные записи и ценную документацию. Именно на этом этапе их проще заметить, поскольку следов в журналах остаётся куда больше, чем во время финального запуска шифрования.
Долгая пауза объясняет и детальность второй записки. За две с лишним недели злоумышленники успели не только скопировать файлы, но и разобраться в их содержимом. В записке перечислялись каталоги, которые они просматривали, и документы, которые забрали, - с описанием содержимого каждого. Такие сведения дорого стоят при торге.
Первую фазу восстановили по обрывкам записей. В начале августа в системе появились задания планировщика - задачи, которые операционная система запускает автоматически по расписанию. Названия состояли из случайных наборов букв, а описания выглядели бессмысленными. Одно из заданий запускало скрытый сценарий, поддерживавший связь с внешним сервером управления. Тогда же зафиксировали боковое перемещение: скомпрометированная учётная запись переходила с одного устройства на другое по протоколу удалённого рабочего стола. Затем активность резко прекратилась и возобновилась только через две с половиной недели.
В конце августа тот же аккаунт вернулся. На нескольких машинах снова зарегистрировали задания планировщика, причём с другими именами. Одно из них ссылалось на переименованный исполняемый файл, спрятанный в папке популярного архиватора, - маскировка под штатное обновление. Параллельно на устройстве установили программу удалённого доступа AnyDesk. Через неё злоумышленники развернули сканер сети и специально подобранный уязвимый драйвер. Загрузка такого драйвера даёт права на уровне ядра операционной системы. Проще говоря, это открывает доступ к самым глубоким настройкам машины и позволяет отключать защитные средства перед запуском программы-вымогателя. Следы утилиты нашли на доменном контроллере.
Записки о выкупе добавили к картине вторжения важную деталь. Первая выглядела стандартно: угроза опубликовать украденные данные, обещание прислать средство расшифровки после оплаты, заверения в отсутствии политических мотивов. Вторая, обнаруженная примерно через 53 минуты, была оформлена как заготовка пресс-релиза об утечке. Жертве давали 48 часов на ответ и обещали уведомить СМИ, сотрудников, партнёров и клиентов. Копии записки оказались идентичными. Такой уровень детализации говорит о том, что данные не просто скопировали, а внимательно изучили.
Подробный перечень меняет оценку ущерба. Компания рискует не только простоем и потерей файлов. Утечка с описанием содержимого даёт конкурентам и вымогателям лишний довод в переговорах. Часть организаций теряет клиентов и партнёров быстрее, чем восстанавливает инфраструктуру. Консультанты по реагированию на инциденты платить не советуют: оплата не гарантирует удаления копий и повышает интерес к организации в будущем.
Остаточные следы всё равно помогают восстановить ход вторжения. Задания планировщика, средства удалённого доступа, новые службы драйверов и сами записки складываются в связную картину. Чтобы усложнить похожие атаки, удалённый доступ стоит ограничить и держать под наблюдением. Многофакторная аутентификация нужна для всех учётных записей без исключений. Привилегированные права разумно выдавать только тем, кому они нужны для работы. Полезно отслеживать необычные задания планировщика, неожиданные средства удалённого управления и новые драйверы без цифровой подписи. Резервные копии лучше хранить вне сети и регулярно проверять их восстановление. План реагирования должен включать быстрое отключение заражённых сегментов, иначе злоумышленник успеет переместиться по сети, вывезти данные и запустить шифрование.
Индикаторы компрометации
