«Лаборатория Касперского» раскрыла многомесячную кибератаку на разработчика ПО в России

Злоумышленники несколько месяцев контролировали инфраструктуру компании, а их конечной целью могла быть атака на цепочку поставок

К экспертам Kaspersky ICS CERT (центр исследования безопасности промышленных систем «Лаборатории Касперского») обратились представители компании-разработчика программного обеспечения, которые самостоятельно выявили подозрительную активность в информационной сети. На компьютерах системных администраторов организация зафиксировала попытки подключений от имени учётных записей, которые не должны были обращаться к этим системам.

Специалисты «Лаборатории Касперского» исследовали угрозу и помогли остановить атаку до того, как злоумышленники добились конечной цели. Уже в первый день анализа эксперты обнаружили признаки активности группы BO Team.

Масштаб атаки. Анализ показал, что атакующие захватили практически все ключевые элементы цифровой инфраструктуры, включая почтовые серверы, системы резервного копирования, сетевое оборудование, гипервизоры, доменные контроллеры и системы управления средствами информационной безопасности. Злоумышленники также добрались до репозитория с исходным кодом и до сервера подписания сборок — это позволяло незаметно встроить вредоносный код в дистрибутив. Под угрозой оказались организации в разных странах, использующие программное обеспечение атакованного разработчика.

Как скрывали следы. На протяжении всей атаки группа старалась минимизировать использование вредоносного ПО, чтобы избежать обнаружения. Вместо этого злоумышленники применяли системные утилиты для кражи учётных данных и развития атаки, маскировали вредоносные файлы под компоненты операционной системы, удаляли журналы событий и изменяли временные метки.

Ответные действия. По рекомендациям экспертов «Лаборатории Касперского» компания приняла меры, которые лишили атакующих доступа к инфраструктуре. Однако позднее злоумышленники предприняли попытки восстановить доступ. Сотрудникам организации были отправлены фишинговые письма с использованием ранее украденного закрытого ключа DKIM (технология аутентификации электронной почты) от почтового сервера компании. Таким образом атакующим удалось частично обойти средства защиты. Тем не менее рассылку обнаружили вовремя — утечки учётных данных не произошло. Кроме того, специалисты подготовили тестовые стенды, имитирующие инфраструктуру компании, — это позволило отследить дальнейшие действия злоумышленников и получить дополнительные данные об их методах.

«По нашей оценке, конечной целью группы могла быть атака на клиентов и контрагентов организации — в том числе через внедрение вредоносного кода в разрабатываемые продукты. По всей видимости, угрозу удалось нейтрализовать. Этот случай наглядно показывает, насколько важно сосредоточить усилия на защите разработчиков программных продуктов и производителей программно-аппаратных комплексов», — отметил Евгений Гончаров, руководитель Kaspersky ICS CERT.

Подробный технический отчёт доступен на сайте Kaspersky ICS CERT.

Чтобы снизить риски, эксперты «Лаборатории Касперского» рекомендуют организациям:

• внедрить решения для обнаружения целевых атак, такие как Kaspersky Anti Targeted Attack Platform, а также решения для безопасности конечных устройств класса EDR, такие как Kaspersky EDR Expert;
• использовать SIEM-систему для централизованного мониторинга событий безопасности, например Kaspersky Unified Monitoring and Analysis Platform (KUMA);
• обеспечить специалистам SOC доступ к актуальным данным об угрозах, например через Kaspersky Threat Intelligence, чтобы оперативно отслеживать тактики и инструменты злоумышленников;
• для защиты промышленной инфраструктуры использовать платформу Kaspersky Industrial CyberSecurity (KICS);
• регулярно обновлять операционные системы, средства виртуализации и прикладное ПО — особое внимание уделять сервисам, доступным из интернета;
• хранить пароли в специализированных менеджерах паролей и использовать многофакторную аутентификацию для доступа к критически важным системам;
• проводить регулярное обучение сотрудников правилам безопасной работы в интернете и с электронной почтой, например с помощью платформы Kaspersky Automated Security Awareness Platform (KASAP).