Хактивисты Hacking Cat перешли от подмены сайтов к уничтожению данных российских организаций

Для первоначального доступа злоумышленники используют уязвимости в почтовых серверах Exchange. Этот сервис отвечает за корпоративную почту. Он часто доступен из интернета. Поэтому своевременное обновление серверов напрямую влияет на защищённость всей сети. После успешного проникновения в систему разворачивается самописная программа удалённого доступа Gorilla RAT. Она позволяет управлять заражённым компьютером извне. Кроме того, инструмент открывает доступ к внутренней сети жертвы.

По данным "Лаборатории Касперского", Gorilla RAT умеет работать незаметно для средств защиты. Программа проверяет, не запущена ли на компьютере среда для анализа вредоносного кода. Она также следит за именем устройства и списком активных процессов. При обнаружении признаков исследования инструмент прекращает работу. Если проверки пройдены, программа закрепляется в системе. Затем она ждёт команд от командно-контрольного сервера.

Инструмент поддерживает широкий набор операций. Оператор может выполнять команды и передавать файлы. Он получает сведения о системе и список запущенных процессов. Отдельная функция открывает скрытые каналы к служебным сервисам внутри сети. Через них злоумышленники добираются до баз данных и внутренних приложений. В итоге доступ к одному компьютеру превращается в контроль над всей инфраструктурой. Такие возможности используются для подготовки к основной атаке.

Второй ключевой инструмент - шифровальщик Monkey Ransomware. Он существует в нескольких версиях. Они написаны на разных языках программирования. Часть вариантов работает под Windows. Часть - под Linux и системами виртуализации ESXi. Версии различаются метками, которые добавляют к именам зашифрованных файлов. Некоторые образцы дополнительно крадут учётные данные из почтовых клиентов. Отдельно отмечаются варианты для серверных систем, где хранятся виртуальные машины и базы данных.

Перед шифрованием программа повышает свои права в системе. Она также отключает механизмы восстановления данных. Часть вариантов шифровальщика не сохраняет ключ шифрования. В результате данные теряются безвозвратно. Программа фактически превращается в средство уничтожения информации. При этом записку с требованием выкупа такие версии всё равно оставляют. Другие образцы, напротив, сохраняют ключ. Но контакты для связи в записке они не указывают.

За короткий срок появилось множество модификаций Monkey Ransomware. Это указывает на применение генеративных моделей при разработке. Искусственный интеллект облегчает создание вредоносного ПО. Теперь даже неопытные авторы быстро собирают и адаптируют инструменты под разные платформы. Побочным следствием становятся логические ошибки. Например, одна из версий пытается удалять резервные копии, которых на её платформе в принципе нет.

Hacking Cat действует не в одиночку. Группировка сотрудничает с объединениями Cyber Anarchy Squad и Ukrainian Cyber Alliance. Совместно они использовали шифровальщик ClearWater. Его создатели, вероятно, распространяют программу среди единомышленников. Работает модель готового сервиса. ClearWater считается самым популярным шифровальщиком среди проукраинских хактивистов. Поэтому определить авторство конкретных инструментов становится сложнее.

В одной из атак обнаружен ранее не описанный Nemo Wiper - вайпер, то есть программа для безвозвратного уничтожения данных. Он перезаписывает содержимое файлов случайными данными. Перед этим скрипт создаёт новую учётную запись администратора. Затем он перезагружает машину в безопасном режиме. Дальше блокируются клавиатура и мышь. Жертва видит поддельное окно обновления Windows. В результате пользователь не может прервать уничтожение данных. Перед запуском вайпер останавливает базы данных и системы виртуализации. После обработки файлов он заполняет свободное место на диске мусорными данными.

Разные инструменты группировки размещаются у одного хостинг-провайдера. Общие серверы связывают несколько вредоносных программ с одной группой. Ранее в атаках применялся инструмент для удалённого управления Cobalt Strike. Позже злоумышленники заменили его на собственные разработки. Кроме того, часть серверов связана с сообществом, которое занимается деанонимизацией российских военных. Часть адресов связана и с прежними кампаниями. Совпадение сетевых признаков подтверждает, что все инструменты обслуживает одна команда.

Смена инструментов говорит о зрелости группировки. Общедоступные программы уступают место собственным разработкам. Одновременно разные хактивистские объединения используют одни и те же самописные цепочки заражения. Это указывает на общий источник инструментов. За ним может стоять отдельный разработчик или небольшая команда. В одном Telegram-канале даже появилось сообщение о продаже подобного шифровальщика. Единый набор инструментов затрудняет поиск виновных в конкретном инциденте.

Ущерб от таких атак измеряется не только деньгами. Потеря данных останавливает работу предприятия на дни и недели. Восстановление требует резервных копий и дополнительных затрат. Организациям стоит регулярно обновлять почтовые серверы. Важно хранить резервные копии в изолированной среде. Резервные копии обязательно проверяют на возможность восстановления. Полезны также двухфакторная аутентификация и строгий контроль доступа к внутренним сервисам.