Исследователи компании Sekoia с высокой степенью уверенности подтвердили, что программа-вымогатель Helldown активно эксплуатирует уязвимости в брандмауэрах Zyxel для проникновения в корпоративные сети. Этот опасный троян, впервые обнаруженный в августе 2024 года, быстро набирает обороты, о чем свидетельствует большое количество жертв, перечисленных на его портале для вымогательства. Helldown демонстрирует высокую агрессивность, атакуя не только Windows-системы, но и разрабатывая версию для Linux, нацеленную на виртуальные машины VMware.
Описание
Helldown для Windows, по мнению экспертов, основан на утечке исходного кода вымогателя LockBit 3 и имеет схожие операционные черты с такими семействами вредоносного ПО, как Darkrace и Donex. Однако точная связь между ними пока не установлена. Особенностью Helldown является отсутствие избирательности в выборе данных для кражи - злоумышленники публикуют на своем сайте огромные объемы похищенной информации, включая пакеты данных объемом до 431 ГБ.
Шифрование файлов жертв происходит с использованием случайно сгенерированного расширения, которое также фигурирует в файле с требованием выкупа. По данным Sekoia, Helldown может использовать уязвимость CVE-2024-42057 в брандмауэрах Zyxel, связанную с инъекцией команд в IPSec VPN. Эта брешь позволяет злоумышленникам выполнять произвольные команды в операционной системе и закрепляться в корпоративных сетях. После проникновения хакеры создают вредоносные учетные записи, получают доступ к контроллерам домена, перемещаются по сети и отключают защитные механизмы на конечных устройствах.
Интересно, что вредоносная полезная нагрузка, связанная с атаками на Zyxel, была загружена в VirusTotal из России, что может указывать на использование частного эксплойта n-day. Это означает, что злоумышленники могли получить доступ к уязвимости до того, как разработчики выпустили исправление, либо использовали неофициальные методы эксплуатации.
На данный момент на сайте Helldown зафиксировано 31 подтвержденная жертва, среди которых преобладают малые и средние предприятия в США и Европе. Эксперты по кибербезопасности настоятельно рекомендуют организациям, использующим брандмауэры Zyxel, немедленно проверить их на наличие уязвимостей и установить последние обновления. Также важно усилить мониторинг сетевой активности, особенно в части подозрительных подключений и изменений в учетных записях.
Учитывая растущую активность Helldown, компании должны быть готовы к возможным атакам и иметь резервные копии критически важных данных. Специалисты также советуют ограничить доступ к VPN-сервисам и контроллерам домена, чтобы минимизировать риски компрометации. В случае обнаружения подозрительной активности необходимо немедленно обратиться в службы информационной безопасности и, при необходимости, в правоохранительные органы.
Helldown - очередное подтверждение того, что киберпреступники постоянно совершенствуют свои методы, используя как известные, так и новые уязвимости. В условиях растущей цифровизации бизнеса защита корпоративных сетей должна быть приоритетом для каждой организации.
Индикаторы компрометации
