Halcyon: зафиксированы атаки программ-вымогателей, занимающие менее часа
Изображение: grok
Хакерская группировка Akira резко сократила время атак — полный цикл взлома, шифрования и вымогательства теперь укладывается в 4 часа, а порой и меньше чем за час. За время существования с марта 2023 года группа собрала около 244 миллионов долларов с жертв по всему миру. Такую скорость и эффективность фиксируют аналитики компании Halcyon.
Проникновение начинается через уязвимые VPN-устройства и системы резервного копирования — особенно там, где не настроена многофакторная аутентификация. Ранее группа активно эксплуатировала решения SonicWall, Veeam и Cisco. В арсенале также кража учётных данных, целевой фишинг, перебор паролей и услуги брокеров доступа, продающих готовые входы в корпоративные сети.
Высокую слаженность операций аналитики объясняют опытом участников, предположительно вышедших из группировки Conti. Это отражается на точности каждого шага и общей дисциплине. Вместо громких и заметных атак Akira делает ставку на скрытность и минимум лишних движений внутри сети.
Получив доступ, атакующие действуют по отработанной схеме двойного вымогательства. Сначала данные выгружаются наружу, затем запускается шифрование. Для передачи файлов используются FileZilla, WinRAR, WinSCP и RClone — стандартные инструменты, не вызывающие подозрений. Перед этим злоумышленники отключают защитные механизмы, чтобы не спровоцировать тревогу раньше времени.
Отдельного внимания заслуживает метод шифрования. Akira не шифрует файлы целиком — достаточно около 1% данных в каждом, зато операция охватывает всю инфраструктуру сразу. Это позволяет быстро вывести системы из строя, не тратя время на полное шифрование каждого файла.
Преимущество дают уязвимости нулевого дня и заранее похищенные учётные данные. С ними злоумышленники входят в системы без шума и легко обходят стандартные инструменты контроля.
Эксперты Halcyon настаивают на многоуровневом подходе к киберзащите. Приоритетами называют жёсткий контроль доступа, обязательную многофакторную аутентификацию и непрерывный мониторинг инфраструктуры — без этого реагирование на подобные атаки превращается в погоню за уже ушедшим противником.
