В 2023 году Cisco Talos обнаружила широкомасштабную компрометацию критической инфраструктурной организации, в ходе которой было обнаружено наличие нескольких угроз. Используя различные инструменты удаленного администрирования, SSH и двухстороннюю передачу файлов, эти угрозы медленно и последовательно взламывали множество узлов в сети организации.
Описание
Главный брокер первоначального доступа, известный как "ToyMaker", обычно использует уязвимости систем, находящихся в сети Интернет, чтобы установить свой собственный бэкдор, который называется "LAGTOY", и украсть учетные данные. После этого доступ передается другой угрозе, названной "Cactus", которая занимается двойным вымогательством и распространением вредоносных программ по сети.
Исследование позволило построить хронологию событий от первоначальной компрометации до передачи доступа и последующей активности. ToyMaker проводит предварительную разведку, устанавливает бэкдор LAGTOY и извлекает учетные данные в течение недели, после чего прекращает активность. После примерно трехнедельного периода молчания, угроза Cactus проникает на организацию-жертву, используя украденные ToyMaker учетные данные.
Cisco Talos прослеживает связь между ToyMaker и Cactus и предполагает, что ToyMaker является финансово мотивированным брокером первоначального доступа, который передает доступ к ценной информации вторичным угрозам, которые затем монетизируют его путем вымогательства и инфицирования выкупным ПО.
ToyMaker использует свою собственную вредоносную программу, так называемый LAGTOY, чтобы установить свой бэкдор в среде организации. Успех компрометации зачастую связан с использованием известной уязвимости в серверах, подключенных к Интернету. В ходе компрометации ToyMaker осуществляет разведку, создает фальшивую учетную запись пользователя и запускает SSH-приемник на конечной точке. Затем конечная точка соединяется с удаленным узлом для извлечения учетных данных с использованием инструмента Magnet RAM Capture.
Индикаторы компрометации
