Злоумышленник использовал групповые политики AD для вымогательства без шифрования

В апреле 2026 года злоумышленник получил доступ к сети производственной организации через FortiGate SSL VPN, используя действующую учётную запись. Затем он получил контроль над Active Directory с правами, эквивалентными правам администратора домена, и создал или изменил вредоносные объекты групповой политики, связанные с корнем домена. Атака использовала доверенную инфраструктуру Active Directory для шифровального вымогательства без шифрования файлов. Криминалистический анализ не выявил исполняемого файла программы-вымогателя, зашифрованных файлов Windows, вредоносных механизмов закрепления на конечных точках или активных вредоносных процессов.

Изменение групповых политик

Путь первоначальной компрометации учётных данных, перемещения внутри организации и повышения привилегий реконструировать не удалось. Среди возможных методов названы:

• распыление пароля;
• фишинг;
• кража учётных данных;
• DCSync;
• керберостинг;
• активность, связанная с передачей билета (Pass the Ticket) или хэшей.

Основная групповая политика с названием PAYLOAD использовала легитимные клиентские расширения групповой политики, а не вредоносное программное обеспечение. Она изменяла параметры реестра, связанные с юридическими уведомлениями, чтобы показывать сообщение о выкупе, распространяла записку с требованием выкупа через SYSVOL в виде файла README-payload.txt, а также копировала файлы на рабочие столы и в корневые каталоги локальных дисков.

Эта же политика задавала изображение из SYSVOL в качестве обоев рабочего стола и изображения экрана блокировки. Параметры безопасности в файле GptTmpl.inf использовались для отключения или блокировки учётной записи локального администратора. В SYSVOL находились файлы payload.jpg и hello.txt. История и состояние групповой политики, а также ключи реестра подтвердили применение политики и обработку в режиме loopback.

Отдельная групповая политика, связанная с корнем домена и названная «win Firewall Off», отключала брандмауэр Windows для профилей публичной, частной и доменной сетей. Закрепление атаки осуществлялось через ссылку групповой политики в Active Directory.

Последствия и варианты PAYLOAD

Данные извлекались с файловых серверов и других систем. Впоследствии похищенная информация была опубликована. При этом в ходе анализа не обнаружили шифрования файлов Windows и исполняемого файла программы-вымогателя.

Публичный анализ также связывает вариант PAYLOAD для Windows с очисткой журналов событий, завершением работы служб безопасности и других служб, а также с удалением копий тома (Volume Shadow Copy). В данном инциденте эти возможности не подтвердились.

На серверах Linux обнаружили вариант PAYLOAD, нацеленный на ESXi. Конкретные действия по ослаблению политик гипервизора установить не удалось.

Источники обнаружения изменений

Высокоценными источниками обнаружения названы события Directory Service Changes 5136, 5137 и 5141. Особое внимание уделяется несанкционированным изменениям в корневом узле домена, включая gPLink, атрибуты расширений групповой политики, пути к файлам и номера версий.

Мониторинг целостности SYSVOL должен выявлять неожиданные изменения следующих объектов:

• изображений;
• текстовых файлов;
• скриптов;
• ScheduledTasks.xml;
• registry.pol;
• GptTmpl.inf.

Операционные журналы групповой политики и изменения состояния политик на конечных точках могут выявить внезапное развёртывание политики по всему домену. Прямые изменения в SYSVOL без соответствующих событий службы каталогов могут указывать на вмешательство с использованием инструментов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.