Операторы Pay2Key проникли в американскую медицинскую организацию

В начале 2026 года активность шифровальщика Pay2Key возросла. Среди эпизодов этой активности было проникновение в организацию здравоохранения в США. Ранее операция была направлена на организации в США и Израиле и ассоциировалась со стратегическими интересами Ирана. Недавняя активность по набору участников и на форумах указывает на связи с русскоязычными сообществами киберкриминала. В конце 2025 года на продажу выставили инфраструктуру группы и исходный код шифровальщика, но результат сделки неизвестен.

Расследование вторжения выявило период около семи дней между первым использованием скомпрометированной учётной записи администратора и значительной активностью злоумышленников. Вектор первоначального доступа подтвердить не удалось из-за последующего уничтожения журналов. Операторы получили интерактивный доступ через TeamViewer, а затем извлекли учётные данные с помощью Mimikatz, LaZagne и ExtPassword. Для обнаружения устройств в сети и проверки учётных данных они использовали Advanced IP Scanner и инструмент, предположительно являющийся NetScan.

Для горизонтального перемещения злоумышленники применяли скомпрометированные учётные данные. Стандартную консоль Active Directory Users and Computers, dsa.msc, они использовали для поиска учётных записей и инфраструктуры резервного копирования, включая IBackup, Barracuda Yosemite и Windows Server Backup.

Шифровальщик доставили в самораспаковывающемся архиве 7-Zip с именем abc.exe. Встроенные сценарии PowerShell извлекли несколько пакетов данных и развернули набор инструментов для обхода средств защиты. Файл powrprof.exe проверял наличие более 30 продуктов защиты. Файл wsc_proxy.exe зарегистрировал поддельный антивирус Avast в Центре безопасности Windows, что привело к снижению или полному прекращению мониторинга со стороны Windows Defender. После шифрования набор инструментов удалили, а Defender включили повторно.

Шифровальщик сначала получил имя sfx-i386-amd64.exe, а затем browser.exe. Он больше не был защищён упаковщиком Themida, что снизило эффективность ранее разработанных правил обнаружения на основе Themida. Шифровальщик приостанавливал работу BitLocker, отключал функции энергосбережения, останавливал виртуальные машины Hyper-V, размонтировал файлы VHD и VHDX, отключал функции восстановления Windows и удалял каталоги резервных копий.

Для шифрования файлов использовался алгоритм ChaCha20 и отдельные 32-байтовые ключи для каждого файла. Ключи генерировала функция RtlGenRandom, а затем их защищали с помощью Curve25519. Зашифрованным файлам присваивали расширение .6zldh_p2k; крупные файлы могли шифроваться с пропусками.

После шифрования операторы очистили журналы событий Windows Security, System и Application и удалили компоненты обхода средств защиты. Признаков эксфильтрации данных не обнаружили. Это указывает на возможный отказ группы Pay2Key от прежней модели двойного вымогательства.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.