Атакующие выгрузили данные и зашифровали файлы на виртуальных дисках

Атакующий удалил резервные копии и выгрузил 336 ГБ данных по FTPS. На 19-й день шифровальщик для Windows зашифровал 485 224 файла на двенадцати смонтированных томах. Активность с умеренной уверенностью связывают с семейством Akira, но установить конкретное аффилированное лицо не удалось.

От ClickFix к доступу к инфраструктуре

Взлом начался после того, как инженер посетил скомпрометированный сайт спортивного лагеря и выполнил инструкцию ClickFix: вставил команду в окно «Выполнить» Windows. Команда запустила PowerShell, который скачал и выполнил полезную нагрузку, а также создал закрепление через скрытую запланированную задачу. Она запускалась каждые 40 минут, оставалась активной во время двухнедельного отключения от интернета и впоследствии возобновила работу.

На второй день закодированный PowerShell запросил в Active Directory атрибуты Description и comment для всех пользователей. По умолчанию эти поля доступны для чтения обычным аутентифицированным пользователям домена. Расследователи считают вероятным, но не подтверждённым, что из них могли получить учётные данные: вывод запроса удалили, а инструментов для извлечения учётных данных не обнаружили.

Через 48 минут действительные учётные данные использовали для доступа к резервному серверу SQL. Оператор включил xp_cmdshell и, вероятно, применил его для создания локальной учётной записи. Затем он получил доступ к гипервизору с учётной записью Domain Administrator. Атакующий также проник в подключённое к домену хранилище данных.

Доступ к хранилищу и шифрование виртуальных машин

Когда доменные учётные данные не сработали при подключении по SSH, оператор повторно активировал неиспользовавшуюся локальную учётную запись администратора и сменил её пароль. Получив права root на устройстве, он установил бэкдор, а позднее использовал это устройство для подготовки шифровальщика для Linux из семейства Akira.

На 19-й день оператор создал виртуальную машину на гипервизоре, остановил шесть виртуальных машин производственной среды и подключил их диски к виртуальной машине под контролем злоумышленника. Шифровальщик для Windows зашифровал файлы на двенадцати смонтированных томах. Агенты защиты, установленные в выключенных системах, не видели эту активность.

Ключевые возможности обнаружения включают:

• аудит свободнотекстовых атрибутов каталогов на предмет раскрытых секретов;
• мониторинг активности PowerShell и запланированных задач в каталоге ProgramData;
• расследование неожиданных изменений xp_cmdshell и подозрительной повторной активации учётных записей устройств;
• отслеживание неизвестных виртуальных машин или подключений виртуальных дисков на производственных гипервизорах.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.