Эксперты центра исследования киберугроз Solar 4Rays группы компаний «Солар» расследовали кибератаку на спортивную организацию. Группировка NGC8211 атаковала компанию через крупного интегратора ПО — от ее имени она внедрила в инфраструктуру жертвы бэкдор для получения доступа к серверам под видом обновления одной из лицензионных программ. В итоге хакеры смогли полностью зашифровать инфраструктуру и потребовали выкуп. Об этом CNews сообщил представитель ГК «Солар».

По результатам расследования эксперты Solar 4Rays выяснили, что хакеры проникли в инфраструктуру за две недели до шифрования всех данных, используя информацию из старой утечки у крупного подрядчика — интегратора ПО — ее услугами и пользовалась спортивная организация.

Воспользовавшись утекшими данными, NGC8211 получили доступ к инфраструктуре спортивной организации и разместили в ней вредоносное ПО, которое мимикрировало под легитимную программу — так они получили доступ к серверам компании.

Неделю злоумышленники не совершали никаких действий — а затем начали активно сканировать инфраструктуру и подбирать пароли к учетным записям в ИТ-системах компании-жертвы. За 12 часов до уничтожения ИТ-систем хакеры смогли войти в сервисную учетную запись с нетипичного IP-адреса — а после этого зашифровали данные и потребовали выкуп.

Организация смогла восстановить систему из бэкапов — однако на тот момент и они уже были заражены. Solar 4Rays расследовал кибератаку и очистил инфраструктуру от следов заражений и возможного присутствия хакеров.

«Маскировка вредоносного ПО под легитимное часто вводит в заблуждение системных администраторов — мы регулярно наблюдаем случаи, когда у них возникают вопросы о том, можно ли удалять подобные файлы, не навредив рабочим процессам. Данный кейс также отражает тренд на кибератаки даже небольших компаний с целью вымогательства. Поэтому мы активно призываем не только крупные, но и небольшие компании всерьез заниматься выстраиванием информационной безопасности, а в случае атаки — не вестись на предложения выкупа. Злоумышленники либо попросту не отдадут дешифратор после перевода необходимой суммы, либо оставят «закладку» в системах, чтобы повторно зашифровать данные спустя время и потребовать выкуп снова», — сказал Денис Чернов, эксперт Solar 4Rays ГК «Солар».

Для защиты от подобных атак через подрядчиков эксперты Solar 4Rays рекомендуют организациям: регулярно проводить инвентаризацию доступов внешних подрядчиков в инфраструктуру; не пренебрегать сегментацией инфраструктуры, эта мера существенно затрудняет продвижение атакующих; при подозрении на атаку не медлить с обращением к экспертам по реагированию на ИБ-инциденты.

Также специалисты Solar 4Rays опубликовали индикаторы компрометации по этой атаке.

Короткая ссылка