Атака с Qilin, вероятно, началась через SonicWall SSL-VPN

Взлом с применением шифровальщика Qilin/Agenda, вероятнее всего, начался с доступа к SonicWall SSL-VPN по действительным учётным данным. Для подключения не требовалась многофакторная аутентификация. Первоначальная учётная запись имела обычные права доменного пользователя, но проверка учётных данных и повторное использование паролей позволили получить доступ с правами локального администратора.

Доступ к учётным данным и передача документов

Злоумышленники могли получить учётные данные уровня домена: учётная запись администратора леса запускала службы резервного копирования на серверах, входивших в домен, а секреты учётных записей служб там можно было прочитать локально. Отдельная учётная запись резервного копирования уже имела права Domain Admin. Захвату контроля способствовали широкие права администратора, повторное использование локальных паролей, плоская сетевая архитектура, отсутствие обнаружения угроз на конечных точках и централизованного журналирования.

Помимо шифровальщика, злоумышленники развернули S5PIVOT, ранее не задокументированный прокси-сервер обратного подключения на базе Python. Запланированная задача SYSTEM каждую минуту запускала встроенный интерпретатор Python без аргумента скрипта. Стартовый хук sitecustomize.py загружал семислойную зашифрованную полезную нагрузку. Она запускала клиент SOCKS5, который устанавливал исходящее TLS-соединение через порт 443. Клиент проходил аутентификацию по схеме «вызов — ответ» на основе HMAC-SHA256 и обменивался JSON-сообщениями с кадрированием по длине, начинавшимися с маркера S5BC. Так как соединение инициировала жертва, прокси-серверу не требовался входящий порт для прослушивания.

По имеющимся данным, загрузчик и криптер совпадают с аналогичными компонентами VIPERTUNNEL, что указывает на возможное родство кода. Для копирования деловых документов в контейнер Azure Blob Storage, контролируемый злоумышленниками, они использовали WinRM и AzCopy. Авторизация проходила по общей подписи доступа (shared access signature).

Дамп Windows Error Reporting сохранил командные строки AzCopy и сведения о ходе передачи после удаления инструментов и файлов заданий. Среди других сохранившихся доказательств исследователи обнаружили записи SRUM, журнал изменений USN, резервные копии реестра и остатки очищенных журналов событий.

Действия шифровальщика и последствия для систем

До шифрования злоумышленники пытались отключить Defender и удалить программное обеспечение для резервного копирования. Шифровальщик Qilin удалил теневые копии, отключил службы резервного копирования и базы данных, изменил настройки SMB и символьных ссылок. На большинстве затронутых серверов он выполнялся с отключёнными фильтрами исключений.

Шифрование системных каталогов привело к тому, что несколько хостов перестали загружаться. Имеющиеся данные указывают на то, что процедура освобождения файлов шифровальщика могла завершить процесс lsass.exe, вызвав принудительные перезагрузки.

Шифровальщик также очистил журналы событий Windows и закрепился через значение Run на уровне компьютера. Это значение впоследствии перезапускало его при входе администраторов. Запланированная задача S5PIVOT оставалась активной и обеспечивала отдельный путь для повторного проникновения в сеть.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.