Крупные предприятия из разных отраслей столкнулись с новой волной атак программ-вымогателей. За ней стоит группировка Global Group, запустившая платформу Ransomware-as-a-Service (RaaS - модель, при которой разработчики вымогательского ПО сдают его в аренду исполнителям за долю от выкупа). Схема проверенная и потому опасная: злоумышленники проникают в сеть, шифруют конфиденциальные данные и удерживают ключевые системы в заложниках, пока компания не заплатит выкуп в криптовалюте. Осложняет картину двойное вымогательство. Перед шифрованием атакующие копируют чувствительную информацию и угрожают опубликовать её при отказе от платежа. Бизнес теряет не только доступ к своим системам, но и контроль над репутацией. Остановка производства, срыв поставок и утечка данных клиентов обходятся дороже самого выкупа. География пострадавших широка, отраслевой привязки нет.
Описание
Global Group выросла из двух известных семейств вымогателей - Black Lock и Mamona. Новая группировка унаследовала готовую серверную инфраструктуру и переиспользовала части прежнего кода, что заметно сократило сроки подготовки кампаний. Отдельно организация выстраивает партнёрство с брокерами первичного доступа (Initial Access Brokers, IAB - посредники, продающие доступы к уже взломанным корпоративным сетям). Покупая чужие учётные данные, исполнители обходят защитный периметр и не тратят недели на самостоятельный взлом. Платформа работает по партнёрской схеме. Одни готовят инфраструктуру и ведут переговоры, другие проводят атаку на конкретную компанию и получают свой процент. Разделение труда ускоряет всё: от покупки доступа до первого зашифрованного файла проходят считаные дни. Целями выбирают крупные предприятия с высокой выручкой - чем дороже простой, тем выше шанс на быструю оплату.
Расследование Cofense Phishing Defense Center показало, как выглядит начальный этап нападения. Жертве приходит письмо с предложением графика платежей по открытому счёту. Отправитель использует бесплатный почтовый ящик, поэтому сообщение выглядит обычной деловой перепиской. Внутри - PDF-документ с кнопкой скачивания. Нажатие переводит человека на посторонний ресурс, где ему предлагают сохранить файл под видом коммерческого предложения. Дальше скачивается образ диска. Внутри него два объекта: исполняемая программа и ярлык, замаскированный под документ с тем же названием. Пользователь открывает ярлык, считая, что перед ним безобидный файл, и тем самым запускает вредоносную программу. Для сотрудника вся цепочка выглядит рутинной работой с входящей корреспонденцией.
На следующем шаге атака опирается на доверие к легитимному софту. Вредоносная программа запускает давно известную утилиту для сравнения и слияния файлов, которой пользуются системные администраторы по всему миру. Посторонний процесс не привлекает внимания защитных средств. Через эту утилиту устанавливается связь с командно-контрольным сервером (C2-сервер, центр управления атакой). С него загружается модуль-шифровальщик - основная полезная нагрузка. Такой приём усложняет обнаружение: защита видит знакомое приложение, а не чужой код.
Получив нагрузку, программа сканирует локальные диски, сетевые ресурсы и базы данных. Параллельно она отключает защитные процессы, чтобы никто не помешал шифрованию. Сотрудники замечают проблему, когда привычные файлы перестают открываться и получают необычное расширение. Рабочий стол подменяется запиской с требованием выкупа. С этого момента техническая часть атаки переходит в переговорную. У крупной компании на восстановление уходят недели, а простой каждые сутки стоит миллионы.
Записка подробно расписывает, что ждёт жертву после оплаты. Вымогатели обещают ключ для расшифровки, удаление похищенных данных, технический отчёт о маршруте атаки и найденных уязвимостях. Отдельным пунктом идёт инструкция по обращению в страховую компанию. Ещё один пункт - управление репутацией, то есть гарантия, что о взломе не узнают за пределами организации. Выкуп подаётся как обычная деловая статья расходов, а не как преступление. Переговоры строятся так, чтобы у жертвы сложилось ощущение сделки с надёжным партнёром. На практике гарантий никто не даёт, а украденные данные нередко всплывают на теневых площадках спустя месяцы.
Компаниям стоит исходить из того, что взлом мог случиться задолго до его обнаружения. Помогают регулярные обновления программного обеспечения, двухфакторная аутентификация (дополнительное подтверждение входа помимо пароля) и ограничение прав сотрудников. Резервные копии лучше держать в изолированной среде, недоступной из основной сети. Сотрудников имеет смысл учить распознавать письма с неожиданными вложениями и ссылками. Полезен и постоянный поиск следов чужого присутствия в инфраструктуре. Он позволяет найти точку входа раньше, чем сработает шифровальщик. Отдельно проверяют учётные данные: если они уже продаются на теневых площадках, значит, доступ к сети потерян. Партнёрская модель вроде Global Group снижает требования к квалификации исполнителей. Поэтому число подобных атак будет расти, а подготовка к ним перестаёт быть разовой кампанией.
Индикаторы компрометации
