Hunters International: угроза программ-вымогателей в 2023 году
Источник: www.picussecurity.com
В октябре 2023 года мир кибербезопасности столкнулся с появлением новой и опасной группы программ-вымогателей под названием Hunters International. Данная группа применяет модель «Программы-вымогатели как услуга» (RaaS) и уже нацелилась на более чем 200 атак в различных секторах экономики, вызывая серьезные утечки данных и репутационные потери.
Целевые отрасли и заметные инциденты
Hunters International осуществляет свои атаки на ключевые отрасли, включая:
- Здравоохранение
- Автомобилестроение
- Финансовый сектор
Среди заметных инцидентов можно выделить атаки на Промышленный и коммерческий банк Китая и компанию Anderson Oil & Gas, что привело к значительным утечкам данных и ущербу их репутации.
Технические аспекты атак
Программа-вымогатель, используемая Hunters International, построена на архитектуре Rust и обладает усовершенствованными параметрами командной строки, управление ключами и процессы шифрования. Основные этапы атак включают:
- Использование переименованной вредоносной программы AutoIt для сканирования сети.
- Эксплуатация известных уязвимостей, таких как CVE-2020-1472 (Zerologon) и CVE-2020-14644 (Oracle WebLogic).
- Сбор информации с помощью команд ipconfig /all и nltest для понимания сетевой топологии.
- Извлечение хэшированных паролей из менеджера учетных записей безопасности с использованием метода DCSync.
Методы для поддержания постоянного доступа
Hunters International использует различные инструменты удаленного доступа, такие как AnyDesk и RDP, для усовершенствования дальнейших перемещений в уязвимых средах. Основные действия включают:
- Эксплуатация конфиденциальной информации из баз данных.
- Распространение вредоносного файла под названием delete.me, связано с протоколом SMB в Windows.
- Разрушение теневых копий с помощью команды vssadmin.exe для предотвращения восстановления данных.
Рекомендации по защите
Чтобы защититься от угроз от Hunters International, организациям следует:
- Приоритизировать управление уязвимостями. Своевременно исправлять уязвимое ПО, включая Oracle WebLogic.
- Внедрять решения EDR. Для мониторинга сетевой активности и раннего выявления нарушений.
- Обучать сотрудников. Предоставлять знания по фишингу и социальной инженерии.
- Использовать многофакторную аутентификацию.
Принятие этих мер может значительно снизить риск первоначального доступа хакеров и сохранить безопасность организаций.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
