Операторы Medusa крадут данные и шифруют файлы
Программа-вымогатель Medusa появилась в конце 2021 года и использует модель двойного вымогательства. Атрибуция остаётся неясной: упоминается возможная связь с киберпреступной группировкой UNC7885, но окончательных доказательств нет.
Доступ и действия в сети
Первоначальный доступ Medusa может получать несколькими способами:
- рассылать фишинговые сообщения со вредоносными ссылками или вложениями;
- эксплуатировать уязвимости в не обновлённом программном обеспечении и операционных системах;
- атаковать системы со слабыми или открытыми конфигурациями Протокола удалённого рабочего стола.
Для получения действительных учётных данных могут применяться попытки подбора паролей методом брутфорса. После установления доступа операторы проводят разведку и перемещаются внутри компании, чтобы получить доступ к дополнительным системам и критически важным ресурсам. Они также могут использовать легитимные административные утилиты и другие методы использования штатных средств системы (living-off-the-land), снижая вероятность обнаружения.
Перед шифрованием Medusa может искать ценные файлы и каталоги, а также выводить данные. Затем программа шифрует файлы, блокируя доступ к ним, и доставляет требование о выкупе с угрозой опубликовать украденную информацию, если выкуп не будет выплачен. Атака может нарушить операционную деятельность и создать риск раскрытия данных.
Инфраструктура и техники MITRE ATT&CK
Инфраструктура группы включает адреса сайтов утечек на базе Tor и набор доменов управления, которые, предположительно, она использует. Среди артефактов, связанных с образцами Medusa, приводятся несколько хешей файлов.
В описании атаки с техниками MITRE ATT&CK сопоставлены следующие действия:
- «Выполнение с участием пользователя» (T1204.002), когда жертва открывает вредоносный файл или ссылку;
- «Нарушение работы средств защиты: отключение или перенастройка средств защиты» (T1562.001), при которой злоумышленники вмешиваются в работу средств защиты или систем мониторинга;
- «Изучение файлов и каталогов» (T1083) для выявления данных, предназначенных для кражи и шифрования;
- «Шифрование данных» (T1486) на финальном этапе воздействия.
В описании кампании также перечислены социальная инженерия, атаки на учётные данные, эксплуатация уязвимостей, распространение по сети, обход средств защиты, кража данных и шифрование данных с помощью программы-вымогателя.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
