Международная операция Operation Endgame привела к изъятию 235 серверов и 257 доменов, связанных с Gootloader, CastleRAT и StealC. Для российских компаний это не повод выдохнуть: в инфраструктуре преступников нашли данные 6,4 млн жертв, а украденные учётные записи обычно переживают отключение конкретного сервера и продолжают работать на следующих атаках.
В операции участвовали правоохранительные органы Болгарии, Канады, Дании, Германии, Молдовы, Нидерландов, Польши, Великобритании и США. Координацию обеспечивали Europol и Eurojust, сообщает BleepingComputer. Вместе с частными партнёрами следователи идентифицировали, заблокировали и изъяли инфраструктуру трёх вредоносных семейств, которыми пользовались разные криминальные группы, включая операторов вымогательского ПО.
Целью стали не только отдельные заражения, а сервисная прослойка киберпреступности. Gootloader действует с 2020 года и используется как загрузчик: он помогает доставить на устройство следующий этап атаки. StealC специализируется на краже чувствительных данных, в том числе паролей и криптокошельков. CastleRAT, обнаруженный в прошлом году, даёт злоумышленнику удалённый доступ к заражённой машине. В связке такие инструменты превращают компрометацию одного браузера или рабочего ПК в удобную точку входа для фишинга, кражи данных или шифровальщика.
Особенно показательная цифра операции — 6,4 млн наборов данных жертв, обнаруженных на изъятой инфраструктуре. Речь идёт об информации, собранной с уже заражённых устройств и пригодной для перепродажи или повторного использования. Украденные доступы ценны не сами по себе: их проверяют в корпоративной почте, облачных сервисах, VPN, панелях администрирования и на сайтах, где сотрудники по привычке повторно используют пароль. Поэтому между заражением устройства и вымогательской атакой может пройти время — иногда достаточно долгое, чтобы команда успела забыть об исходном инциденте.
Europol планирует передавать данные о скомпрометированных учётных записях через Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation и Национальный центр кибербезопасности Нидерландов. Отдельно ведомство призвало пользователей WordPress сменить учётные данные, включить многофакторную аутентификацию и закрыть известные уязвимости. Это важная оговорка: очистка серверов управления не лечит сайты и устройства, где уже закрепился вредоносный код или остались украденные пароли.
Текущий этап Operation Endgame продолжает серию масштабных действий против инфраструктуры «киберпреступности как услуги». В июне правоохранители очистили почти 15 тыс. заражённых сайтов на WordPress и изъяли 106 серверов, которые использовали ботнет SocGholish и группировка Evil Corp. Позже в том же месяце была нарушена работа инфраструктуры Amadey и StealC: тогда изъяли 326 серверов и 142 домена, а также обнаружили около 27 млн учётных данных, похищенных более чем с 385 тыс. скомпрометированных систем.
Годом ранее участники той же международной инициативы отключили свыше 1 тыс. серверов, обслуживавших Rhadamanthys, VenomRAT и ботнет Elysium. В прежних эпизодах операция также затрагивала DanaBot, IcedID, Pikabot, Trickbot, Smokeloader, Bumblebee и SystemBC. Список важен не как коллекция громких названий: он показывает смену тактики. Правоохранители всё чаще бьют по инфраструктуре, которую арендуют или используют сразу несколько групп, а не только по одному оператору вымогателя.
Для разработчиков и ИБ-команд практический вывод довольно приземлённый. Если сотрудник скачал архив или скрипт из поисковой выдачи, открыл «документ» с подозрительного сайта либо использовал корпоративный пароль вне работы, инцидент не заканчивается удалением файла антивирусом. Нужны сброс потенциально затронутых паролей, отзыв активных сессий и токенов, проверка журналов входа, контроль MFA и аудит административных учётных записей. Для WordPress и других публичных CMS это также означает регулярное обновление ядра, плагинов и тем — не после новости о захвате серверов, а до неё.
Бизнесу полезно смотреть на подобные операции без магического мышления. Изъятие серверов повышает стоимость работы злоумышленников, лишает их части данных и временно обрывает цепочки заражения. Но криминальные сервисы умеют мигрировать, а похищенные учётные данные уже могли разойтись по другим площадкам. Реальная ценность Operation Endgame для защитников — в возможности сопоставить собственные логи, уведомления о компрометации и инвентаризацию доступов с известной кампанией, пока эти следы ещё не превратились в следующий вход в сеть.
Следующий этап противостояния будет зависеть не только от новых изъятий, но и от того, насколько быстро компании отработают уже похищенные доступы. Инфраструктуру можно отключить за неделю; привычку повторно использовать пароли, откладывать патчи и выдавать лишние привилегии — заметно сложнее.
