В конце июня 2024 года злоумышленники успешно провели сложную атаку на корпоративную сеть, начав с эксплуатации уязвимости в сервере Atlassian Confluence и завершив развертыванием ransomware ELPACO-team - варианта известного Mimic ransomware. Эксперты The DFIR Report детально восстановили ход атаки, выявив ключевые этапы компрометации.
Описание
Атака началась с эксплуатации критической уязвимости CVE-2023-22527, позволяющей выполнять произвольный код на интернет-ориентированном сервере Confluence. Первоначально злоумышленники провели разведывательную операцию, выполнив команду whoami, а через 20 минут загрузили Meterpreter-пейлоад с IP-адреса 91.191.209[.]46, установив таким образом первый канал управления.
После получения первоначального доступа атакующие развернули комплекс мер по закреплению в системе. Они установили AnyDesk для постоянного удаленного управления, создали локальную учетную запись администратора с именем "noname" и паролем "Slepoy_123", а также повысили привилегии до уровня SYSTEM, используя технику Named Pipe Impersonation (RPCSS Variant). Для сбора учетных данных применялись такие инструменты как Mimikatz, ProcessHacker и Impacket Secretsdump.
Получив доступ к учетной записи доменного администратора, злоумышленники начали активное перемещение по корпоративной сети. С помощью SoftPerfect NetScan они провели сканирование сети, пытались, хотя и безуспешно, эксплуатировать уязвимость Zerologon (CVE-2020-1472) на контроллерах домена. Для перемещения между системами использовались WMIExec и RDP-подключения, при этом атакующие создавали SMB-шары для распространения своих инструментов.
Кульминацией атаки стало развертывание ransomware ELPACO-team через 62 часа после первоначального взлома. Злоумышленники вручную, через RDP-подключения, запустили вредоносный файл ELPACO-team.exe на сервере резервного копирования и файловом сервере. После шифрования файлы получали расширение .ELPACO-team, а в системах оставался файл с инструкциями Decryption_INFO.txt.
Этот инцидент демонстрирует несколько важных тенденций. Уязвимость Confluence CVE-2023-22527 продолжает оставаться популярным вектором атак. AnyDesk и RDP активно используются злоумышленниками для удаленного управления. ELPACO-team показывает значительное сходство с Mimic ransomware, что указывает на возможную связь между этими угрозами.
Индикаторы компрометации
