В июле и сентябре две компании пострадали от новой программы-вымогателя Settra. Первая работает в сфере потребительских услуг и розничной торговли, вторая - производственное предприятие. Вариант впервые заметили в июне, так что он относится к числу новых. В обоих случаях злоумышленники зашифровали данные и оставили в папках текстовые файлы с требованием выкупа. Все описанные события происходили на рабочих станциях под управлением Windows.
Описание
Публичные отчёты о Settra начали появляться почти сразу после первого наблюдения. В конце июля компания MoxFive описала активность группировки по состоянию на середину месяца. Доступ в инфраструктуры жертв злоумышленники получали через скомпрометированные VPN-подключения (защищённые туннели для удалённого доступа в корпоративную сеть) и уже похищенные учётные данные. Затем они загружали уязвимый легитимный драйвер - приём известен как BYOVD, то есть использование собственного драйвера с уязвимостью для вывода из строя защитных средств. Параллельно устанавливалось средство удалённого мониторинга и управления MeshAgent, которое обеспечивало долгое присутствие в системе. По оценке SOCRadar, за атаками стоит группировка, совмещающая шифрование данных с вымогательством и угрозами публикации украденной информации. Модель "вымогатель как услуга", когда разработчики сдают вредоносное ПО в аренду другим командам, с Settra публично пока не связывают.
Две атаки, которые разбирали аналитики Huntress, развивались по схожему сценарию. Во втором случае средство защиты установили уже в разгар инцидента: конечная точка к тому моменту была скомпрометирована, и атакующий мог продолжать работу. Точный способ первичного проникновения в обе сети установить не удалось. Зато обнаружились другие следы. Одна деталь совпала сразу: исполняемый файл программы-вымогателя назывался по доменному имени пострадавшей организации с одинаковым служебным суффиксом. Такой приём помогает маскировать вредоносный файл под штатное корпоративное приложение.
В июльской атаке первой сработала система обнаружения на конечных точках, сокращённо EDR, - средства контроля рабочих станций и серверов. Она заметила средство удалённого управления MeshAgent, переименованное под системную службу. Экземпляр обращался к внешнему серверу управления. На следующий день злоумышленники запустили программу-вымогатель из служебной папки, которую Windows использует для профилирования. Зашифрованные файлы получили новое расширение, а в каталогах появилась записка с требованием выкупа. Сразу после запуска атакующие очистили несколько журналов событий Windows, отключили среду восстановления, сбросили локальный кэш сетевых настроек и запустили встроенную утилиту для работы с разделами диска. Судя по набору команд, они пытались удалить служебный раздел восстановления. Сам скрипт восстановить не удалось. Отдельно злоумышленники задействовали встроенную утилиту шифрования, которая затирает свободное место на дисках. После такой операции восстановить удалённые файлы почти невозможно.
Сентябрьский инцидент показал, что набор приёмов у группы меняется. Здесь появился уязвимый легитимный драйвер, которым выводят из строя защитные службы и антивирусные компоненты. Средство удалённого управления на этот раз не переименовывали. Его связь с сервером злоумышленников подтвердили данные сертификата программы и активные сетевые соединения на машине. Программа-вымогатель стартовала из папки документов скомпрометированного пользователя. Расширение зашифрованных файлов отличалось от июльского, а записка с требованием выкупа разошлась по нескольким каталогам. Встроенные команды снова отключили восстановление и очистили большинство журналов событий. Один журнал уцелел случайно: в его имени разработчики вредоносной программы допустили опечатку, и команда очистки не сработала.
Всплыло и имя рабочей станции, которое аналитики Huntress встречали в других расследованиях с декабря 2024 года. Тот же узел связывали с конкретным адресом сервера управления в ноябре 2025-го и в феврале 2026-го. Совпадение говорит об устойчивой инфраструктуре и о том, что группа возвращается к проверенным узлам. В остальном обе атаки оказались похожи. Отличались лишь имена файлов, адреса серверов и папки, откуда запускали программу-вымогатель. Значительная часть совпадений объясняется просто: команды для отключения восстановления и очистки журналов встроены в сам исполняемый файл.
Защита от подобных атак строится на базовых мерах. Стоит держать под контролем средства удалённого мониторинга и управления: если такие программы не используются в компании официально, их установку нужно блокировать. Права на установку драйверов разумно ограничить узким кругом администраторов. Журналы событий лучше дублировать на внешний сервер - тогда локальная очистка не уничтожит доказательства. Резервные копии должны храниться отдельно от основной сети и проверяться на восстановление. Для удалённого доступа необходима двухфакторная аутентификация. Учётные данные администраторов стоит пересматривать после любого подозрительного входа. Новые варианты программ-вымогателей появляются регулярно, и Settra - не первый и не последний пример. Приёмы при этом почти не меняются: легитимные инструменты, уязвимые драйверы и зачистка следов остаются основой сценария.
Индикаторы компрометации
