В мае 2025 года финансовое учреждение в Азии стало жертвой атаки с использованием вредоносного ПО Fog Ransomware. Однако в отличие от стандартных сценариев, злоумышленники применили необычный набор инструментов, включая легальное ПО для мониторинга сотрудников и несколько открытых пентест-утилит, которые ранее не ассоциировались с ransomware-атаками.
Описание
Атакующие использовали программу Syteca (ранее известную как Ekran) - легальное решение для мониторинга активности сотрудников, способное записывать действия на экране и перехватывать нажатия клавиш. Это первый зафиксированный случай применения подобного ПО в цепочке атак ransomware. Кроме того, в ходе инцидента были задействованы открытые инструменты для пентеста - GC2, Adaptix и Stowaway, которые редко встречаются в подобных атаках.
Особенностью этой атаки стало также создание сервиса для поддержания доступа к сети жертвы уже после развертывания ransomware. Обычно злоумышленники прекращают активность после шифрования данных, но в данном случае они явно стремились сохранить контроль.
Fog Ransomware впервые была замечена в мае 2024 года, первоначально атакуя образовательные учреждения в США через скомпрометированные VPN-учетные данные. Позже злоумышленники начали эксплуатировать уязвимость CVE-2024-40711 (CVSS 9.8) в серверах Veeam Backup & Replication, а также распространяли вредоносное ПО через фишинговые письма. В некоторых случаях вымогатели насмешливо упоминали в ransom-нотах «Департамент эффективности правительства» Илона Маска (DOGE), предлагая жертвам «бесплатное» дешифрование в обмен на распространение ransomware.
В ходе последней атаки злоумышленники провели на сети жертвы около двух недель перед развертыванием ransomware. Среди использованных инструментов - GC2, который позволяет выполнять команды через Google Sheets или SharePoint, а также Stowaway, применявшийся для доставки Syteca. Атакующие активно использовали PsExec и SMBExec для перемещения по сети, а также утилиты для кражи данных, включая FreeFileSync и MegaSync.
Необычный набор инструментов и попытки сохранить доступ к сети после шифрования данных позволяют предположить, что атака могла преследовать не только финансовые цели, но и задачи кибершпионажа. Этот инцидент подчеркивает необходимость усиления защиты корпоративных сетей, особенно в финансовом секторе, где злоумышленники применяют все более изощренные методы.
Индикаторы компрометации
