Операция Beast возобновила атаки на жертв
Beast возобновила атаки на жертв после, по всей видимости, оперативной паузы с ноября 2025 года по январь 2026 года. В феврале и марте 2026 года операция продолжила публиковать сведения о жертвах. Beast продвигали как программу-вымогатель как услугу на подпольном форуме RAMP в июне 2024 года; по сообщениям, она связана с более ранней операцией Monster. Офлайн-конструктор, продвигавшийся в августе 2024 года, поддерживал Windows, сетевые хранилища данных (NAS) и VMware ESXi. По сообщениям, программа-вымогатель избегает шифрования систем в нескольких странах Содружества Независимых Государств.
Инструменты на сервере оператора Beast
Анализ сервера оператора Beast выявил инструменты для обнаружения систем в сети, кражи учётных данных, горизонтального перемещения, кражи данных и развёртывания программ-вымогателей. По всей видимости, Advanced IP Scanner и Advanced Port Scanner применялись для поиска внутренних узлов и открытых служб RDP или SMB. Everything.exe помогала быстро находить конфиденциальные файлы, а FolderSize-x64, определять системы с большими объёмами данных, чтобы расставить приоритеты.
Для получения учётных данных использовались Mimikatz, LaZagne и Automim. Эти инструменты позволяют извлекать пароли из оперативной памяти и восстанавливать учётные данные, сохранённые в браузерах, базах данных и почтовых клиентах. Изменение реестра enable_dump_pass.reg, вероятно, включило хранение учётных данных в открытом виде в WDigest, что облегчало их сбор с помощью Mimikatz. Скрипт Kerberos.ps1, по всей видимости, предназначался для керберостинга: получения билетов учётных записей служб и подбора их паролей в автономном режиме.
Для горизонтального перемещения и удалённого выполнения кода в инструментарий входили AnyDesk, PsExec и OpenSSH for Windows. AnyDesk мог обеспечивать постоянный удалённый доступ и потенциально обходить стандартные средства защиты, а PsExec позволял выполнять команды на разных системах Windows.
Кража данных и развёртывание программ-вымогателей
Для эксфильтрации данных использовались MEGASync, WinSCP и Klink. Они поддерживали передачу данных в Mega и другие места назначения по протоколу SFTP или аналогичным протоколам. На сервере также обнаружили disable_backup.bat, который удаляет теневые копии томов (Volume Shadow Copies) и отключает резервное копирование Windows. Файл CleanExit.exe, вероятно, применялся для удаления журналов и инструментов злоумышленника после шифрования.
Полезные нагрузки Beast включали исполняемые файлы для Windows и Linux. Это указывает на нацеливание на рабочие станции под управлением Windows и серверы Linux, в том числе среды на гипервизоре VMware ESXi.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
