В августе 2026 года в полностью изолированной сети произошла атака, которая длилась около 72 часов. Сеть представляла собой точную копию инфраструктуры крупной страховой компании. В ней насчитывалось более 2500 конечных точек и 500 пользователей. Инцидент начался с поддельной страницы проверки, на которой посетителю предлагали подтвердить, что он не робот. В результате злоумышленник получил административный контроль над доменом Active Directory. Эта служба каталогов используется в Windows для управления доступом к ресурсам сети. Важно отметить, что все действия происходили в ловушке, поэтому реальные системы не пострадали. Целью эксперимента было изучение поведения атакующего в условиях, максимально приближенных к реальной корпоративной сети.
Описание
Заражение произошло по схеме ClickFix, распространенной в последнее время среди киберпреступников. Сначала пользователь попадал на сайт финансовой компании, зарегистрированный злоумышленниками. Там отображалось сообщение о сбое проверки DNS, после чего появлялось окно с инструкцией. Требовалось открыть строку выполнения команд в Windows, вставить скопированный заранее текст и нажать Enter. После выполнения этих действий на компьютер загружалась первая вредоносная программа. Она давала злоумышленнику удаленный доступ к системе. В течение следующих часов оператор использовал этот доступ для установки дополнительных вредоносных модулей. Подобные атаки участились в 2026 году во многих отраслях.
Всего за три дня оператор развернул несколько семейств вредоносных программ. Помимо первого трояна, в систему попали еще как минимум три программы удаленного доступа. Отдельно была установлена вредоносная программа для кражи паролей и данных криптокошельков. Для запуска одного из компонентов использовалась легитимная программа для видеоконференций с цифровой подписью. Вредоносная библиотека загружалась из папки пользователя, что позволяло обойти доверие к подписанному файлу. Оператор также применял стандартные инструменты Windows для загрузки кода из интернета. Эти инструменты обычно не вызывают подозрений у систем безопасности, поэтому заражение долго оставалось незамеченным.
Примечательно, что на этом атака не закончилась. После автоматического сбора данных оператор переключился на ручное управление. Как показало исследование, проведенное на платформе Deception.Pro с телеметрией LimaCharlie EDR, злоумышленник скачал исходный код агента и скомпилировал его прямо на зараженном компьютере. Этот агент создавал скрытый канал связи с командным сервером. Трафик выглядел как обычные запросы к популярным облачным сервисам. Одновременно оператор скачивал дополнительные вспомогательные файлы, используя системные утилиты. Все эти действия фиксировались системами мониторинга, что позволило восстановить полную картину.
На второй день оператор приступил к глубокой разведке инфраструктуры. Он использовал встроенные команды Windows для получения сведений о компьютерах, пользователях и группах. Особый интерес вызывали сервисные учетные записи, которые часто имеют расширенные права. Злоумышленник скопировал хранилища паролей Windows, а также файлы браузеров с историей посещений и сохраненными логинами. В ловушке были намеренно оставлены подставные пароли, встроенные в атрибуты учетных записей. Оператор обнаружил их и применил для перемещения по сети. В итоге он получил доступ к контроллеру домена - серверу, управляющему всей сетью. После этого его действия стали еще более целенаправленными.
Следующей целью стал VPN-портал для удаленного подключения. На одном из серверов исследователи оставили заметку с паролем. Оператор нашел ее и запустил автоматический перебор паролей для входа в VPN. В течение нескольких часов он многократно пытался подобрать комбинацию, а также проверял веб-интерфейс на уязвимости. Все эти действия происходили с одного и того же удаленного адреса, что указало на единого оператора. По характеру ошибок аналитики заключили, что за атакой стоит человек, а не автоматизированный скрипт. Атакующий импровизировал на ходу и не имел заранее подготовленного плана для такой среды.
Ключевая ценность эксперимента в том, что все подставные приманки сработали. Пароли, оставленные в системных атрибутах, были найдены и использованы. Фиктивные данные о домене и серверах отвлекли злоумышленника от настоящих целей. Заметка с паролем привела его к тестовому порталу, где атака попала под полное наблюдение. Благодаря этому исследователи получили уникальный материал о тактике и приемах живого оператора. Подобные данные невозможно собрать при анализе обычных вредоносных программ, так как они показывают реальные решения человека в условиях неопределенности.
Этот инцидент демонстрирует, как быстро атака с использованием социальной инженерии может перерасти в полномасштабное вторжение. Компаниям следует серьезно относиться к любым подозрительным запросам выполнить команду на компьютере. Необходимо ограничивать права пользователей на установку программ и компиляцию кода. Пароли и конфиденциальные данные не должны храниться в открытом виде в системных атрибутах. Полезно внедрять двухфакторную аутентификацию для VPN и других критичных сервисов. Регулярное обновление программного обеспечения также снижает риск атак. Тщательный мониторинг действий с учетными данными помогает выявлять атаки на ранних стадиях.
Индикаторы компрометации
