Мы уже
рассказывали про февральскую атаку на ведущего поставщика телекоммуникационных и IT-решений для мировой пассажирской и грузовой авиации
SITA, в результате которой пострадали данные, хранившиеся на серверах системы
SITA Passenger Service System (SITA PSS).
В мае
Air India сообщила о том, что информация о 4,5 млн. ее пассажиров утекла в ходе атаки на
SITA. Кроме того, другие азиатские авиакомпании также сообщали об утечках клиентских данных. Считалось, что за атакой на
SITA стоял оператор ransomware, тем более после того, как информация
Air India нашлась в продаже на
Dark Leak Market.
Однако сингарусская компания
Group-IB предлагает альтернативную историю - ̶г̶д̶е̶ ̶Т̶р̶е̶т̶и̶й̶ ̶р̶е̶й̶х̶ ̶п̶о̶б̶е̶д̶и̶л̶ ̶в̶о̶ ̶В̶т̶о̶р̶о̶й̶ ̶м̶и̶р̶о̶в̶о̶й̶ ̶б̶л̶а̶г̶о̶д̶а̶р̶я̶ ̶т̶е̶х̶н̶о̶л̶о̶г̶и̶ч̶е̶с̶к̶о̶м̶у̶ ̶с̶к̶а̶ч̶к̶у̶ ̶и̶ ̶о̶к̶к̶у̶л̶ь̶т̶н̶ы̶м̶ ̶п̶р̶а̶к̶т̶и̶к̶а̶м̶. называет атаку делом рук китайской
APT 41, которую некоторые приравнивают к APT
Winnti (но, по нашему мнению, это не так). Киберкампанию ГрИБы назвали
ColunmTK.
Итак, исследователи посчитали появившуюся на
Dark Leak Market базу
Air India фейковой и решили разобраться в ситуации подробнее.
В феврале ГрИБная система
Threat Intelligence & Attribution обнаружила зараженные машины в сети
Air India, которые обменивались данными с управляющим центром. Первым компьютером, который начал обмен данными с этим С2 оказался хост SITASERVER4, который, по предположению экспертов, был связан с сервером обработки данных
SITA.
Далее более 20 машин в сети
Air India были взломаны в ходе бокового перемещения. Злоумышленники выкачали более 200 Мб информации с зараженных машин. Всего атака на авиакомпанию длилась, согласно
Group-IB, почти три месяца.
Исходя из изложенного, исследователи предположили, что сеть
SITA послужила точкой первичной компрометации
Air India. Таким образом вся киберкампания
ColunmTK была ни чем иным, как атакой на цепочку поставок.
Проанализировав вредоносную инфраструктуру и использованные хакерами SSL-сертификаты ресерчеры выявили ряд совпадений с ранее описанными другими инфосек командами киберкампаниями, которые атрибутировались как проведенные
APT 41.
Интересный поворот.
