В ходе реагирования на инцидент на Ближнем Востоке эксперты «Лаборатории Касперского» обнаружили сложную кибератаку, направленную на получение выкупа у производственного предприятия. Кампания получила название Payload. В ходе неё злоумышленникам удалось получить контроль над корпоративной сетью, заблокировать компьютеры и вывести на экраны требование о выкупе — и всё это без шифрования файлов и установки соответствующих вредоносных программ. 

 

Этот инцидент подтверждает тенденцию, о которой ранее сообщалось в отчёте «Лаборатории Касперского»: в последнее время злоумышленники нередко отказываются от традиционного шифрования. Вместо этого они всё чаще эксплуатируют человеческий фактор, например, крадут данные и угрожают их раскрытием в случае отказа жертвы от выплаты выкупа.

 

Как получают доступ. Атакующие не прибегают к установке сложного вредоносного ПО, а используют скомпрометированные аккаунты пользователей с повышенными привилегиями, чтобы подключиться к корпоративной сети через стандартные средства удалённого доступа и VPN. Они могут получить доступ к этим учётным данным, например, при помощи фишинга, методом перебора или купив их у брокеров первоначального доступа. Действия атакующих не привлекают внимание: для систем мониторинга их активность выглядит как обычный вход ИТ-специалиста. 

 

Дальнейшее развитие атаки. Злоумышленники используют скомпрометированную инфраструктуру Active Directory, а также создают и привязывают к корню домена вредоносный объект групповой политики (GPO) под названием Payload. Сам по себе GPO используется сетевыми администраторами, чтобы централизованно менять настройки на компьютерах сотрудников. Правило, созданное злоумышленниками, позволяет отображать сообщения с требованием выкупа, изменять обои рабочего стола и экрана блокировки, показывать баннеры при входе в систему, а также отключать учётные записи администратора. Все эти действия происходят сразу после обновления политик в системе. Поскольку правила GPO подписаны, они считаются доверенными и необходимыми для работы ИТ-инфраструктур. 

 

В ходе изученной атаки злоумышленники сосредоточились на краже ценных корпоративных данных. После завершения их эксфильтрации и блокировки административного доступа похищенная информация была опубликована в даркнете с целью требования выкупа у жертвы. 

 

«Кампания Payload говорит о том, что злоумышленники продолжают обновлять свои методы. Если атакующим удаётся получить контроль над централизованными сетевыми политиками, у них появляется широкий выбор для дальнейших действий, и стандартного сканирования на наличие вредоносного ПО уже недостаточно. Чтобы противостоять подобным атакам, организациям необходимо в первую очередь отслеживать изменения групповых политик, строго контролировать доступ к учётным данным администраторов и уделять внимание мониторингу сетевой активности, а не только поиску вредоносного ПО», — комментирует Константин Сапронов, руководитель глобальной команды «Лаборатории Касперского» по реагированию на инциденты. 

 

Подробный отчёт доступен на сайте Securelist.ru. Решения «Лаборатории Касперского» эффективно выявляют описанную вредоносную активность.

 

Для защиты от подобных киберугроз «Лаборатория Касперского» рекомендует: 

 

·         внимательно отслеживать создание и изменение GPO. Необходимо настроить оповещения о том, что к корневому каталогу корпоративной сети привязано новое правило;

·         убедиться, что доступ к административным системам в сети и точкам входа VPN осуществляется с использованием многофакторной аутентификации, устойчивой к фишингу (например, при помощи физических ключей безопасности);