На сайте METAENCRYPTOR опубликованы заявления о четырёх жертвах
7 сентября 2026 года на сайте утечек METAENCRYPTOR появились заявления о четырёх жертвах: EllisDon, компании из сферы профессиональных услуг и строительства, производителе аэрокосмической продукции SIFCO, компании ST Engineering, занимающейся оборонной инженерией, и производителе медицинских изделий Hologic. По имеющимся данным, опубликованные записи охватывают США, Канаду и Сингапур. Они подтверждают только заявления самой группировки.
Операцию описывают как деятельность группы, работающей по модели «программа-вымогатель как услуга» и использующей аффилированных лиц для проникновения в сети и запуска вредоносного ПО. Оценка предложенной атрибуции первоначального доступа имеет умеренную степень достоверности.
Предполагаемые пути проникновения и действия до шифрования
Среди возможных путей первоначального доступа и эксплуатации в отчёте перечислены:
- уязвимость Check Point Security Gateway CVE-2026-50751;
- уязвимость ConnectWise ScreenConnect CVE-2024-1708;
- уязвимость Exchange CVE-2023-21529;
- уязвимость Windows CVE-2025-60710;
- скомпрометированные инструменты сборки Nx Console, связанные с CVE-2026-48027.
Злоупотребление средствами удалённого мониторинга и управления (RMM) и эксплуатация периметровых систем описаны как возможные пути первоначального доступа или закрепления. За ними следуют повышение привилегий и перемещение внутри компании. По оценке исследователей, до шифрования злоумышленники могут находиться в сети от четырёх до одиннадцати дней. Подготовка данных и их эксфильтрация предшествуют этапу воздействия.
К действиям, задокументированным до шифрования, относятся создание служб с помощью инструментов, подобных PsExec, или программного обеспечения RMM, например ScreenConnect; создание архивов с помощью 7-Zip или WinRAR; подозрительные сеансы RDP вне рабочего времени; закрепление через запланированные задачи; удаление теневых копий тома с помощью vssadmin, WMIC или PowerShell.
Обнаружение и рекомендации по реагированию
Предложенная логика обнаружения ищет подозрительные имена служб и пути к ним, команды удаления теневых копий тома, а также активность RDP из адресных диапазонов VPN. Поиск угроз в Microsoft Sentinel коррелирует создание архивов, активность RMM и вмешательство в теневые копии на одном хосте в пределах 72-часового окна.
Авторы отчёта рекомендуют:
- расследовать эти индикаторы вместе с необычными исходящими передачами данных и активностью процессов сервера Exchange;
- изолировать предположительно заражённые хосты, сохранив доказательства;
- пересмотреть доступ через VPN и RMM;
- проверить статус установки обновлений для упомянутых уязвимостей;
- убедиться, что резервные копии защищены от несанкционированного изменения.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
