Исследователи кибербезопасности из Acronis TRU зафиксировали новую волну атак вымогателя Makop, производного от печально известного семейства Phobos. Злоумышленники продолжают эксплуатировать слабые места в безопасности, такие как незащищённые службы удалённого рабочего стола (RDP), но при этом значительно расширили свой арсенал. В него теперь входят эксплойты для локального повышения привилегий (LPE) и загрузчик вредоносного ПО GuLoader, что делает атаки более изощрёнными и опасными.
Описание
Типичная атака начинается с компрометации RDP, часто с помощью брутфорс-атак устаревшим инструментом NLBrute. После получения первоначального доступа злоумышленники разворачивают сетевые сканеры, такие как NetScan или Advanced IP Scanner, для разведки инфраструктуры жертвы. Следующим шагом становится повышение привилегий с помощью набора эксплойтов для уязвимостей Windows, включая CVE-2017-0213 и CVE-2021-41379. Затем атака переходит к этапу обхода защиты. Операторы Makop активно используют инструменты для отключения антивирусов, уязвимые драйверы (BYOVD) и даже целевые утилиты для удаления конкретного ПО безопасности, такого как Quick Heal AV в Индии.
Особенностью последних кампаний стало использование загрузчика GuLoader. Этот троянец, известный с 2019 года, применяется для доставки финальной вредоносной нагрузки. Интеграция GuLoader в цепочку атак Makop указывает на эволюцию тактики группы. Использование загрузчика позволяет обходить традиционные средства защиты и доставлять дополнительные вредоносные модули, что повышает живучесть угрозы в системе. Это первый задокументированный случай применения загрузчика операторами Makop.
Атаки носят ярко выраженный оппортунистический характер. Большинство инцидентов (55%) зафиксировано в Индии, что, вероятно, связано с распространённостью определённого антивирусного ПО и общей уязвимостью инфраструктур. Также атаки отмечены в Бразилии, Германии и других странах. Злоумышленники выбирают цели не по географическому принципу, а исходя из слабости их безопасности. Они демонстрируют подход, требующий относительно низких усилий, но остающийся эффективным против организаций с устаревшими системами и слабой аутентификацией.
Эксперты подчёркивают, что подобные атаки наглядно демонстрируют критическую важность базовых мер кибергигиены. Защита служб RDP с помощью многофакторной аутентификации (MFA), регулярное обновление ПО для устранения известных уязвимостей и внедрение решений для обнаружения и реагирования (EDR) способны значительно снизить риски. Даже такие обыденные векторы атаки, как незащищённый удалённый доступ, могут привести к масштабным инцидентам с шифрованием данных и серьёзными финансовыми потерями.
Индикаторы компрометации
