В ходе реагирования на инцидент на Ближнем Востоке эксперты «Лаборатории Касперского» обнаружили сложную кибератаку, направленную на получение выкупа у производственного предприятия. Кампания получила название Payload. В ходе нее злоумышленникам удалось получить контроль над корпоративной сетью, заблокировать компьютеры и вывести на экраны требование о выкупе — и все это без шифрования файлов и установки соответствующих вредоносных программ. Об этом CNews сообщили представители «Лаборатории Касперского».

Этот инцидент подтверждает тенденцию, о которой ранее сообщалось в отчете «Лаборатории Касперского»: в последнее время злоумышленники нередко отказываются от традиционного шифрования. Вместо этого они все чаще эксплуатируют человеческий фактор, например, крадут данные и угрожают их раскрытием в случае отказа жертвы от выплаты выкупа.

Как получают доступ. Атакующие не прибегают к установке сложного вредоносного ПО, а используют скомпрометированные аккаунты пользователей с повышенными привилегиями, чтобы подключиться к корпоративной сети через стандартные средства удаленного доступа и VPN. Они могут получить доступ к этим учетным данным, например, при помощи фишинга, методом перебора или купив их у брокеров первоначального доступа. Действия атакующих не привлекают внимание: для систем мониторинга их активность выглядит как обычный вход ИТ-специалиста.

Дальнейшее развитие атаки. Злоумышленники используют скомпрометированную инфраструктуру Active Directory, а также создают и привязывают к корню домена вредоносный объект групповой политики (GPO) под названием Payload. Сам по себе GPO используется сетевыми администраторами, чтобы централизованно менять настройки на компьютерах сотрудников. Правило, созданное злоумышленниками, позволяет отображать сообщения с требованием выкупа, изменять обои рабочего стола и экрана блокировки, показывать баннеры при входе в систему, а также отключать учетные записи администратора. Все эти действия происходят сразу после обновления политик в системе. Поскольку правила GPO подписаны, они считаются доверенными и необходимыми для работы ИТ-инфраструктур.

В ходе изученной атаки злоумышленники сосредоточились на краже ценных корпоративных данных. После завершения их эксфильтрации и блокировки административного доступа похищенная информация была опубликована в даркнете с целью требования выкупа у жертвы.

«Кампания Payload говорит о том, что злоумышленники продолжают обновлять свои методы. Если атакующим удается получить контроль над централизованными сетевыми политиками, у них появляется широкий выбор для дальнейших действий, и стандартного сканирования на наличие вредоносного ПО уже недостаточно. Чтобы противостоять подобным атакам, организациям необходимо в первую очередь отслеживать изменения групповых политик, строго контролировать доступ к учетным данным администраторов и уделять внимание мониторингу сетевой активности, а не только поиску вредоносного ПО», — сказал Константин Сапронов, руководитель глобальной команды «Лаборатории Касперского» по реагированию на инциденты.

Для защиты от подобных киберугроз «Лаборатория Касперского» рекомендует: внимательно отслеживать создание и изменение GPO. Необходимо настроить оповещения о том, что к корневому каталогу корпоративной сети привязано новое правило; убедиться, что доступ к административным системам в сети и точкам входа V*N осуществляется с использованием многофакторной аутентификации, устойчивой к фишингу (например, при помощи физических ключей безопасности); разграничивать права доступа: у администраторов ИТ-систем не должно быть «главных ключей», позволяющих одновременно получать доступ ко всем рабочим станциям и серверам, а учетные записи с повышенными привилегиями должны использоваться в выделенных изолированных системах.

• Что лучше — ГЛОНАСС или GPS: главные различия систем навигации