Zawoo Team провела атаку с шифровальщиком через VPN

К началу августа 2026 года Zawoo Team провела атаку с шифровальщиком, управляя действиями вручную. Операция началась с подключения через VPN по действительным учётным данным привилегированной учётной записи. Многофакторная аутентификация не применялась, признаков эксплуатации уязвимостей или повышения привилегий исследователи не обнаружили. Атака произошла до того, как сайт группировки для публикации украденных данных стал общедоступным.

Доступ к домену и инструменты атаки

Источник учётных данных неизвестен. С учётом общедоступных данных о жертвах компрометация с помощью стилера выглядит правдоподобным распространённым способом первоначального доступа, но в этом случае её не подтвердили.

Для удалённого доступа злоумышленники использовали PsExec и RDP, а на контроллере домена применяли DSInternals. С его помощью можно было извлечь материалы учётных данных для всего домена, сопоставимые с дампом NTDS в стиле DCSync, что создавало путь к полной компрометации домена. Злоумышленники также получили экспорт реестра, аналогичный SAM и актуальный прежде всего для учётных данных локальных учётных записей.

Для обхода средств защиты конечных точек использовался HRSword, регистрирующий драйверы ядра. Операция также включала пользовательские сценарии PowerShell с именами по шаблонам G-*.ps1 и Cp-*.ps1. Сценарии запускали, а затем удаляли вручную, что указывает на попытку убрать артефакты инструментов. Команды удалось восстановить из истории PSReadLine скомпрометированного пользователя по пути %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt.

Во время операции злоумышленники загрузили Bandizip, хотя на системе уже был установлен инструмент архивации. Предположительно, Bandizip загрузили для размещения вредоносных компонентов.

Шифрование данных и возможности обнаружения

Данные были выведены из сети, но способ эксфильтрации не установлен. Исследователи не идентифицировали ни шифровальщик, ни механизм его развёртывания. Зашифрованные файлы переименовывали в строки из 16 шестнадцатеричных символов и добавляли новое расширение.

В записке-вымогательстве злоумышленники заявляли о краже личной, финансовой, сетевой и отраслевой информации и угрожали её публикацией. Формулировки записок и контактные адреса различались в разных образцах, поэтому их не следует считать надёжными идентификаторами.

К возможностям обнаружения относятся:

• имена пользовательских сценариев PowerShell;
• удалённые файлы BrowsingAudit_*.txt;
• наличие Everything.exe или bandizip.exe на серверах;
• артефакты HRSword, включая sysdiag.sys, hrwfpdrv.sys и usysdiag.exe;
• события установки службы PsExec;
• загрузка DSInternals на контроллерах домена;
• несанкционированные изменения сценариев Netlogon в SYSVOL;
• сохранение или анализ истории PSReadLine до её перезаписи.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.