Группа EndZone за неделю заявила о пяти жертвах и угрожает отключением сервисов

Обращения на сайте вымогателей адресованы конкретным организациям, иногда - конкретным руководителям и отделам. Связаться с группой предлагают через защищённый мессенджер, а для журналистов выделен отдельный адрес электронной почты. Под каждым объявлением стоит дата, после которой похищенные сведения обещают обнародовать. Чтобы подтвердить серьёзность намерений, злоумышленники публикуют фрагменты записей. Одно из объявлений обновили повторным сообщением: оно давит на жертву и требует возобновить контакты. Переговоры в частном порядке, судя по текстам публикаций, уже велись, но результата не дали. Теперь давление идёт публично.

Среди заявленных жертв - глобальная кадровая компания, которая занимается подбором персонала. EndZone утверждает, что похитила около 15 тысяч записей о сотрудниках. В них входят имена, домашние адреса, даты рождения, удостоверяющие номера, телефоны, условия контрактов, привязка к руководителям и даже размер зарплат. Другой заметный эпизод касается поставщика облачных коммуникаций. Там речь идёт о доступе к служебной системе диагностики и настройки услуг, который группа получила через стороннего оператора. Заявлено о персональных сведениях более 7,5 миллиона пользователей. Кроме того, злоумышленники говорят об удалении клиентских пакетов, из-за которого без связи остались около 100 тысяч человек. В одной из публикаций упоминаются и записи, связанные с обслуживанием граждан через государственные сервисы.

Ни одну из этих заявок независимо не подтвердили, и сами вымогатели остаются единственным источником сведений о масштабе атак. По данным CyberXTron, вход в инфраструктуру строился не на эксплуатации уязвимостей, а на доверии между компаниями и их подрядчиками. Группа описывает доступ через скомпрометированного стороннего оператора и учётную запись внешнего подрядчика. Затем она использовала чужую виртуальную рабочую среду как промежуточную точку. Оттуда выгружались сертификаты аутентификации из консоли управления. Присутствие на рабочих станциях расширяли через самоустанавливающийся агент. Несколько раз доступ возвращали после попыток его закрыть.

Шифрование файлов в заявлениях группы не упоминается вовсе. Схема опирается на кражу сведений, а отключение услуг служит дополнительным рычагом давления. Для бизнеса это создаёт отдельный набор проблем. Восстановление обслуживания занимает дни, а уведомление пострадавших требует юридических процедур и работы с регуляторами. Удаление сервисных профилей бьёт по выручке и репутации быстрее, чем публикация документов. Риск особенно высок для компаний с большим числом подрядчиков: у внешних исполнителей часто широкие права и слабый контроль за их действиями. Краденые сертификаты аутентификации опасны тем, что позволяют входить в системы без пароля, а значит, привычные проверки логина и пароля такую попытку не остановят.

Защита начинается с проверки внешних точек входа. Двухфакторная аутентификация нужна и штатным сотрудникам, и подрядчикам, и внешним операторам. Доступ к системам удалённого управления нужно ограничить по числу пользователей и по времени работы. Сети лучше разделить на сегменты, чтобы чужая учётная запись не открывала путь ко всем ресурсам сразу. Полезно отслеживать действия с сертификатами и массовые операции в системах настройки услуг. Исходящий трафик тоже требует внимания: крупные передачи сведений в неизвестном направлении - повод для проверки. Средства предотвращения утечек данных помогают блокировать такие попытки автоматически. Средства обнаружения и реагирования на конечных точках фиксируют подозрительное поведение программ, а не только известные образцы вредоносного кода. Резервные копии конфигураций и клиентских профилей лучше держать вне рабочей среды и регулярно проверять их пригодность. План реагирования должен учитывать не только шифрование, но и утечку с отключением сервиса.

Отдельного внимания заслуживает работа с подрядчиками. Внешним исполнителям нужны те же правила доступа, наблюдения и отключения, что и штатным сотрудникам. Операции с системами диагностики и управления сертификатами разумно проводить с подтверждением от нескольких ответственных лиц и с записью в журнале. Раз в квартал стоит пересматривать список партнёров, у которых есть доступ к общим платформам. Заранее подготовленные шаблоны уведомлений клиентов и порядок восстановления услуг сэкономят часы в момент инцидента.

Пока EndZone остаётся новой и малоизученной силой. Её размер, происхождение и связи с известными вымогательскими семействами не установлены. Число жертв невелико, а срок существования группы измеряется неделями. Каждое заявление нужно проверять отдельно, поскольку подтверждённых данных о взломах пока нет. Схема доступа через подрядчиков и общие инструменты - реальный риск, который требует действий уже сейчас. Особенно внимательными стоит быть компаниям, которые передают внешним исполнителям работу с диагностикой, настройкой услуг и управлением сертификатами.