Три хакерские группы, включая NightEagle, Hacking Cat и Toy Ghouls, усиливают атаки на российские компании, используя руткиты и программы-вымогатели. По данным Kaspersky, эта угроза уже привела к серьезным утечкам данных и выходу из строя критически важной инфраструктуры.
Кто стоит за атакующими группами
NightEagle, известная своими атаками с 2023 года, использует новые методы для получения доступа к корпоративным VPN. Эти атаки происходят с IP-адресов, связанных с Cloudflare WARP и европейскими провайдерами, и позволяют злоумышленникам использовать действительные учетные данные.
Kaspersky сообщила, что злоумышленники запускают модульный руткит GhostContainer, который дает полный доступ к серверу Microsoft Exchange. Эта программа маскируется под обычные компоненты сервера, что делает её обнаружение сложным процессом.
Методы и уязвимости
Хотя конкретные методы доставки GhostContainer неизвестны, экспертам Kaspersky известно, что злоумышленники могли извлекать криптографические ключи из конфигурации ASP.NET, что позволяло им запускать вредоносный код в памяти серверов. Для перемещения внутри сети злоумышленники используют инструменты туннелирования и уязвимости в Active Directory, такие как CVE-2019-0708 (BlueKeep).
Хакерская группа Hacking Cat, поддерживаемая украинскими хактивистами, меняет тактику и приобретает навыки шифрования данных. Они используют уязвимости в Exchange, чтобы развернуть руткиты и программное обеспечение-вымогатели, позволяя злоумышленникам получить доступ к внутренним сетям компаний.
Практические выводы
Для российской IT-аудитории эти атаки подчеркивают необходимость в повышении уровня кибербезопасности. Необходимо обратиться к регулярным обновлениям систем и патчам уязвимостей, а также рассмотреть использование многофакторной аутентификации для защиты корпоративных ресурсов. Организациям следует подготовить планы по реагированию на инциденты, чтобы минимизировать последствия потенциальных атак.
В ближайшие месяцы мы можем ожидать роста активности хакеров и усиления атак. Центры кибербезопасности должны быть готовы к новым вызовам и обязательному сотрудничеству с государственными учреждениями для защиты критической инфраструктуры.