Атакующие пытались развернуть программу-вымогатель через поставщика ИТ-услуг
Злоумышленники попытались развернуть программу-вымогатель на предприятии через его поставщика управляемых ИТ-услуг. Попытки не удались: шифрования и дальнейшего распространения не произошло. Примерно через 15 минут атакующий повторил ту же процедуру на пяти дополнительных конечных точках.
Противник использовал доверительное соединение между поставщиком и клиентом и приложение для удалённой поддержки рабочего стола ScreenConnect, чтобы получить доступ к нескольким конечным точкам. Через ScreenConnect на целевые системы скопировали пакетный файл и удалённо запустили команды. В файле находился скрипт PowerShell, закодированный в Base64. Он проверял архитектуру процессора, загружал дополнительное содержимое с Pastebin с помощью класса .NET WebClient и выполнял его через командлет Invoke-Expression, или IEX.
Атакующие также пытались внедрить код в процессы PowerShell. Такой приём мог позволить выполнить код внутри существующего процесса и потенциально помочь обойти средства защиты или выполнить код с повышенными привилегиями. Подозрения вызвала иерархия процессов: cmd.exe и powershell.exe были дочерними процессами ScreenConnect.WindowsClient.exe.
Потоки, в которые внедрили код, содержали строки и демонстрировали поведение, характерное для Sodinokibi, также известного как REvil, и исторически связанных с ним образцов GandCrab. Среди примечательных индикаторов компрометации были команды Invoke-LJJJIWVSRIMKPOD и Start-Sleep, а также загрузка и выполнение кода с помощью PowerShell. Извлечённые строки совпадали со строками в образцах Sodinokibi, загруженных в VirusTotal примерно во время инцидента. Наблюдаемая активность соответствовала этому семейству программ-вымогателей, однако окончательной атрибуции не было.
Злоупотребление доступом через поставщика управляемых ИТ-услуг может проявляться в аномальных дочерних процессах, неожиданных сетевых соединениях приложений удалённой поддержки, скриптах, закодированных в Base64, загрузках через PowerShell, внедрении кода в процессы и выполнении кода, полученного с публичных хостинговых сервисов, таких как Pastebin.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
