Безработный француз случайно взломал телефонную сеть Банка Франции

 Уголовный суд города Ренн, что на северо-западе Франции, закрыл уголовное дело против 37-летнего бретонца, обвиняемого во взломе внутренней телефонной сети Банка Франции. Как следует из материалов дела, в 2008 году тридцатисемилетний безработный бретонец, пытаясь получить бесплатный доступ к платным функциям Skype, случайно подключился к внутренней системе телефонной службы кредитного отдела Банка Франции. 

По словам адвокатов, их подзащитный не знал, что подключился к телефонной системе банка, так как автоматическая система приема звонков не сообщила об этом. По словам обвиняемого, его просто попросили ввести действующий шестизначный код доступа, и он набрал первое, что пришло на ум: 123456, после чего система включила сигнализацию. Горе-взломщика арестовали через два года, и завели на него уголовное дело.

Учитывая тот факт, что при регистрации в Skype взломщик указал реальный домашний адрес, вычислить его было не так уж сложно. И то, что на это ушло два года, по меньшей мере, странно. Единственное, что может служить оправданием данного факта, это то, что телефонная служба кредитного отдела Банка Франции находится в Люксембурге.

Основанием для прекращения дела стало то, что, по мнению судей, обвинение не смогло представить достаточно убедительных доказательств наличия преступного умысла в действиях обвиняемого.

Представители Банка Франции заявляют, что бретонцу не удалось получить доступ к конфиденциальной информации, хотя банку пришлось приостановить работу на 48 часов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Злоумышленники проникли в корпоративную сеть через эксплойт и хозяйничали там целый месяц на правах администратора домена Active Directory. Доступ к нужному аккаунту они получили, воспользовавшись отсутствием контроля: владелец этой учетной записи умер за три месяца до атаки. Вторжение было обнаружено, когда в сети заработал шифровальщик Nefilim — за короткий срок он сумел поразить более сотни систем.

Вымогательская программа Nefilim, она же Nemty, попала в поле зрения ИБ-экспертов полтора года назад. Список ее жертв включает такие громкие имена, как Whirlpool и Orange. Операторы Nefilim обычно прибегают к двойному шантажу, угрожая публикацией украденных данных в случае неуплаты выкупа. С этой целью они создали специальный сайт — Corporate Leaks.

Новая жертва Nefilim не использует специализированную защиту от взлома  конечных устройств (Endpoint Detection and Response, EDR), но является клиентом Sophos. Столкнувшись с проблемой доступа к важным данным, организация призвала на помощь экспертов. Зловред был быстро найден и обезврежен.

Расследование показало, что точкой входа для авторов атаки послужил уязвимый экземпляр Citrix Storefront 7.15 CU3 — интерфейса, обеспечивающего удаленный доступ к приложениям и виртуальным десктопам в корпоративной сети или из внешнего источника.

В этом ПО был обнаружен целый букет незакрытых уязвимостей — CVE-2019-11634, CVE-2019-13608, CVE-2020-8269, CVE-2020-8270, CVE-2020-8283.

Эксплойт позволил злоумышленникам получить удаленный доступ к сети, который они закрепили, используя вход по RDP. Дальнейшее продвижение по сети им обеспечили Mimikatz и Cobalt Strike — инструменты для пентеста, позволяющие отыскать сохраненные пароли и получить представление об атакуемой инфраструктуре.

Вооружившись добытой информацией, непрошеные гости также добрались до заброшенного аккаунта администратора домена и целый месяц по ночам выкачивали данные, установив клиент файлообменника MEGA. После этого в ход был пущен шифровальщик Nefilim, которого внедрили в сеть жертвы с помощью системы интерфейсов Windows Management Instrumentation (WMI).

Заброшенные аккаунты, со слов экспертов, составляют большую угрозу для корпоративных сетей. Их статус надо обязательно контролировать, особенно когда речь идет об учетной записи администратора домена. В данном случае организация оставила аккаунт сотрудника активным, поскольку его используют некоторые сервисы.

В Sophos это сочли порочной практикой — с этой целью обычно создается учетная запись службы и вводится запрет на вход в диалоговом режиме. А число админ-аккаунтов в организации лучше сократить до минимума.

Снизить риски, по мнению экспертов, помогут следующие нехитрые правила:

  • выдавать разрешения на доступ только для выполнения конкретной задачи или ролевой миссии;
  • незамедлительно отключать аккаунт, если нужда в нем отпала;
  • ввести практику использования аккаунтов службы;
  • запретить вход в неконтролируемые аккаунты в диалоговом режиме;
  • регулярно проводить аудит Active Directory с целью мониторинга активности существующих админ-аккаунтов и выявления случаев внепланового добавления новых пользователей в группу админов домена.
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru