Elastic: злоумышленники входят по украденным данным в среднем через 8 минут после заражения
Изображение: OpenAI
Злоумышленники входят в аккаунты по украденным учётным данным в среднем через восемь минут после заражения компьютера инфостилером. К такому выводу пришли исследователи Elastic Security Threat Command, изучив 27 подтверждённых случаев заражения, сообщает Help Net Security.
В 12 случаях заражение начиналось со страниц с поддельной проверкой по схеме ClickFix: пользователю предлагали скопировать и выполнить вредоносную команду. Этот способ позволяет обходить защиту, нацеленную на проверку почтовых вложений, поскольку пользователь сам запускает команду.
В одном из случаев в сфере здравоохранения вредоносный установщик доставили на компьютер, а код запустили через подгрузку вредоносной DLL примерно через 16 секунд после того, как пользователь попался на приманку.
Исследователи также описали, как злоумышленники выполняли команды через ИИ-приложения. На Windows атакующий удалённо подключился к компьютеру и через расширение Claude Code для Visual Studio Code (ИИ-ассистент для программирования) подготовил инструменты и установил скрытое соединение с внешним сервером. На macOS через настольное приложение ChatGPT злоумышленники прочитали внутренний документ об инфраструктуре, а затем обратились к хранилищу сохранённых паролей пользователя.
В обоих случаях злоумышленники уже имели доступ к компьютерам. Эти эпизоды не доказывают наличия уязвимостей в приложениях или взлома их поставщиков. По словам генерального менеджера Elastic по безопасности Майка Николса, агент с учётными данными и доступом в интернет — новая поверхность атаки, и когда им управляет злоумышленник, его действия выглядят так же, как действия установившего его сотрудника.
Исследователи также подтвердили 23 случая злоупотребления программами удалённого мониторинга и управления. Чаще всего в них фигурировала ScreenConnect. В одной кампании поддельное электронное приглашение привело к скрытой установке этой программы: она работала как служба Windows и соединялась с сервером злоумышленников.
В фишинговых атаках злоумышленники использовали инструменты, которые выступали посредником между жертвой и настоящей страницей входа. Это позволяло перехватить сессию после прохождения многофакторной аутентификации. В других выявленных случаях злоумышленники вводили украденные логины и пароли через устаревший способ аутентификации, который позволял войти без второго фактора. Авторы отчёта считают, что одних новых сигнатур против таких атак мало: нужны поведенческая аналитика UEBA, сквозная видимость всей инфраструктуры и корреляция событий.
