FireEye Mandiant, которая скоро будет просто
Mandiant, выпустили
материал про хакерскую группировку, которую они называют
UNC2465, ранее являвшуюся одним из основных операторов ransomware
Darkside (владельцы которого ответственны за взлом трубопровода
Colonial Pipeline).
Чтобы вновь подписавшиеся на наш канал не запутались в терминологии - мы называем операторами группы, сотрудничающие с владельцами ransomware по схеме as a Service. При этом одна и та же группа может быть оператором разных штаммов вымогателей.
По мнению американских исследователей,
UNC2465 работала с
Darkside как минимум с марта 2020 года. Где-то во время разгона
Darkside по причине атаки на
Colonial Pipeline в мае этого года группа совершила гибрид атак на водопой и на цепочку поставок, чтобы проникнуть в корпоративные сети и доставить туда вымогатель.
Как все происходило. В июне
Mandiant была привлечена для реагирования на вторжение в сеть некой организации, в ходе которого эксперты обнаружили, что точкой компрометации послужило затрояненое легальное ПО, которое поставлял своим клиентам неназванный производитель систем видеонаблюдения.
Хакеры сломали сайт компании и внедрили в предлагаемую к загрузке программу удаленного просмотра IP-видеокамер бэкдор
Smokedham, который
FireEye называют эксклюзивным вредоносом
UNC2465. Бэкдор, в свою очередь, развертывал
ngrok чтобы прокинуть туннель к управляющему центру. Дальше устанавливался имплант
Cobalt Strike и осуществлялось боковое перемещение.
Всего хакеры присутствовали в атакованной сети с 18 мая по 8 июня. Исследователи же отмечают, что злоумышленникам потребовалось пять дней на боковое перемещение, установку кейлогера и импланта
Cobalt Strike.
По всей видимости,
UNC2465 планировали установить в скомпрометированных сетях
Darkside, но этому помешал разгон банды. В то же время никто не мешал хакерам запустить другого вымогателя - видимо, просто не успели договориться с владельцами.
В качестве резюме. Что-то мы не припомним, чтобы операторы ransomware ранее использовали атаки на цепочку поставок - это была привилегия прогосударственных APT, требующая тщательного планирования и трудозатрат. Но ничего не стоит на месте и если что-то может эволюционировать и к этому есть стимул (в виде пары миллионов долларов), то это обязательно эволюционирует.
Что дальше? Внедрение загрузчиков ransomware в скрытые сектора жестких дисков прямо на заводе-производителе?