Группировка Meowciety403 торгует украденными данными компаний в ОАЭ, Сингапуре и Германии

Модель работы заметно отличается от привычных программ-вымогателей. Файлы жертв группировка не шифрует - подтверждений этому нет. Вместо блокировки инфраструктуры она собирает документы и торгует доступом к ним. Для публикации украденного создан портал в анонимной сети, а переписка с пострадавшими и давление на них идут через каналы в Telegram. Деньги приносят аукционы данных, прямое вымогательство и двойное вымогательство, при котором плату требуют дважды: сначала за отказ от публикации, затем за удаление уже похищенного.

Публичные заявления группировки охватывают две-три жертвы. Финансовая брокерская и валютная фирма из ОАЭ, по версии злоумышленников, лишилась 216 внутренних документов. Среди них кадровые записи, ежедневные отчёты о корпоративных действиях, юридические бумаги и ключи доступа к программным интерфейсам компании. Вторая группа пострадавших - три сингапурские организации в сфере технологий и консалтинга. Германия пока упоминается только как перспективное направление: публичных заявлений о жертвах там нет.

По данным отчёта об атаке, в открытый доступ попали более 5 400 профилей кандидатов, платёжные реестры, внутренние документы, файлы баз данных, структуры серверного кода, номера банковских счетов и международные платёжные идентификаторы. Публикация о жертве из ОАЭ начинается с утверждения, что её системы были успешно взломаны. Именно кража данных, а не шифрование, составляет основу работы группировки и подкреплена наибольшим числом свидетельств.

Собранные факты указывают на роль брокера данных, а не на классическую программу-вымогатель. Этап шифрования остаётся неподтверждённым, и это важно учитывать при оценке рисков. Восстановить зашифрованные файлы обычно помогает резервная копия. Похищенные кадровые документы и банковские реквизиты вернуть нельзя: они уже проданы или выставлены на аукцион. Небольшая сумма требований - 5 тысяч долларов с сингапурской жертвы - говорит о ставке на малые и средние компании. Такие фирмы реже располагают зрелой службой безопасности и чаще готовы заплатить, лишь бы избежать огласки.

Ущерб выходит за рамки репутации. Номера счетов и платёжные идентификаторы открывают путь к поддельным платёжным поручениям от имени компании и к мошенничеству с контрагентами. Профили кандидатов и кадровые документы содержат персональные данные, за утечку которых в Сингапуре и Германии предусмотрены штрафы. Ключи доступа к программным интерфейсам позволяют обращаться к внешним сервисам компании от её имени, что расширяет атаку на клиентов и партнёров.

Часть мер защиты очевидна для служб безопасности. Удалённый доступ к рабочим столам стоит убрать из открытого интернета. Спрятать его можно за защищённым каналом или брокером нулевого доверия - посредником, проверяющим каждый запрос на подключение. Сессии, запущенные с обычных рабочих машин, а не с административных узлов, должны становиться поводом для проверки.

Второе направление - контроль за массовой выгрузкой. Группировка крадёт документы, базы данных и исходный код крупными партиями. Системы предотвращения утечек данных и наблюдение за сетевыми аномалиями на файловых серверах, в хранилищах кода, в кадровых и финансовых системах помогают заметить момент, когда один сотрудник за короткое время открывает сотни документов или формирует необычно крупный архив.

Резервные копии разумно держать вне основной сети, в неизменяемом или физически изолированном виде, защищая их от удаления вместе с рабочими системами. Проверять сроки восстановления нужно на практике, а не на бумаге. Брокерские, кадровые, расчётные и рекрутинговые платформы стоит вынести в отдельные сегменты сети с ограниченным внутренним трафиком.

Отдельного внимания требуют деловые партнёры. Сингапурские жертвы фигурируют в публикации как группа сайтов под общим управлением. Общая инфраструктура или общие административные учётные записи способны превратить одну компрометацию в несколько. Проверка подрядчиков, родственных фирм и переиспользованных паролей снижает этот риск.