В кампании злоумышленники используют вредоносный объект групповой политики Payload
В ходе реагирования на инцидент на Ближнем Востоке эксперты «Лаборатории Касперского» обнаружили сложную кибератаку, направленную на получение выкупа у производственного предприятия. Кампания получила название Payload. В ходе неё злоумышленникам удалось получить контроль над корпоративной сетью, заблокировать компьютеры и вывести на экраны требование о выкупе — и всё это без шифрования файлов и установки соответствующих вредоносных программ.
Этот инцидент подтверждает тенденцию, о которой ранее сообщалось в отчёте «Лаборатории Касперского»: в последнее время злоумышленники нередко отказываются от традиционного шифрования. Вместо этого они всё чаще эксплуатируют человеческий фактор, например, крадут данные и угрожают их раскрытием в случае отказа жертвы от выплаты выкупа.
Как получают доступ. Атакующие не прибегают к установке сложного вредоносного ПО, а используют скомпрометированные аккаунты пользователей с повышенными привилегиями, чтобы подключиться к корпоративной сети через стандартные средства удалённого доступа и VPN. Они могут получить доступ к этим учётным данным, например, при помощи фишинга, методом перебора или купив их у брокеров первоначального доступа. Действия атакующих не привлекают внимание: для систем мониторинга их активность выглядит как обычный вход ИТ-специалиста.
Дальнейшее развитие атаки. Злоумышленники используют скомпрометированную инфраструктуру Active Directory, а также создают и привязывают к корню домена вредоносный объект групповой политики (GPO) под названием Payload. Сам по себе GPO используется сетевыми администраторами, чтобы централизованно менять настройки на компьютерах сотрудников. Правило, созданное злоумышленниками, позволяет отображать сообщения с требованием выкупа, изменять обои рабочего стола и экрана блокировки, показывать баннеры при входе в систему, а также отключать учётные записи администратора. Все эти действия происходят сразу после обновления политик в системе. Поскольку правила GPO подписаны, они считаются доверенными и необходимыми для работы ИТ-инфраструктур.
В ходе изученной атаки злоумышленники сосредоточились на краже ценных корпоративных данных. После завершения их эксфильтрации и блокировки административного доступа похищенная информация была опубликована в даркнете с целью требования выкупа у жертвы.
«Кампания Payload говорит о том, что злоумышленники продолжают обновлять свои методы. Если атакующим удаётся получить контроль над централизованными сетевыми политиками, у них появляется широкий выбор для дальнейших действий, и стандартного сканирования на наличие вредоносного ПО уже недостаточно. Чтобы противостоять подобным атакам, организациям необходимо в первую очередь отслеживать изменения групповых политик, строго контролировать доступ к учётным данным администраторов и уделять внимание мониторингу сетевой активности, а не только поиску вредоносного ПО», — комментирует Константин Сапронов, руководитель глобальной команды «Лаборатории Касперского» по реагированию на инциденты.
Подробный отчёт доступен на сайте Securelist.ru.
Для защиты от подобных киберугроз «Лаборатория Касперского» рекомендует:
- внимательно отслеживать создание и изменение GPO. Необходимо настроить оповещения о том, что к корневому каталогу корпоративной сети привязано новое правило;
- убедиться, что доступ к административным системам в сети и точкам входа VPN осуществляется с использованием многофакторной аутентификации, устойчивой к фишингу (например, при помощи физических ключей безопасности);
- разграничивать права доступа: у администраторов ИТ-систем не должно быть «главных ключей», позволяющих одновременно получать доступ ко всем рабочим станциям и серверам, а учётные записи с повышенными привилегиями должны использоваться в выделенных изолированных системах.
