Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Злоумышленники проникли в корпоративную сеть через эксплойт и хозяйничали там целый месяц на правах администратора домена Active Directory. Доступ к нужному аккаунту они получили, воспользовавшись отсутствием контроля: владелец этой учетной записи умер за три месяца до атаки. Вторжение было обнаружено, когда в сети заработал шифровальщик Nefilim — за короткий срок он сумел поразить более сотни систем.

Вымогательская программа Nefilim, она же Nemty, попала в поле зрения ИБ-экспертов полтора года назад. Список ее жертв включает такие громкие имена, как Whirlpool и Orange. Операторы Nefilim обычно прибегают к двойному шантажу, угрожая публикацией украденных данных в случае неуплаты выкупа. С этой целью они создали специальный сайт — Corporate Leaks.

Новая жертва Nefilim не использует специализированную защиту от взлома  конечных устройств (Endpoint Detection and Response, EDR), но является клиентом Sophos. Столкнувшись с проблемой доступа к важным данным, организация призвала на помощь экспертов. Зловред был быстро найден и обезврежен.

Расследование показало, что точкой входа для авторов атаки послужил уязвимый экземпляр Citrix Storefront 7.15 CU3 — интерфейса, обеспечивающего удаленный доступ к приложениям и виртуальным десктопам в корпоративной сети или из внешнего источника.

В этом ПО был обнаружен целый букет незакрытых уязвимостей — CVE-2019-11634, CVE-2019-13608, CVE-2020-8269, CVE-2020-8270, CVE-2020-8283.

Эксплойт позволил злоумышленникам получить удаленный доступ к сети, который они закрепили, используя вход по RDP. Дальнейшее продвижение по сети им обеспечили Mimikatz и Cobalt Strike — инструменты для пентеста, позволяющие отыскать сохраненные пароли и получить представление об атакуемой инфраструктуре.

Вооружившись добытой информацией, непрошеные гости также добрались до заброшенного аккаунта администратора домена и целый месяц по ночам выкачивали данные, установив клиент файлообменника MEGA. После этого в ход был пущен шифровальщик Nefilim, которого внедрили в сеть жертвы с помощью системы интерфейсов Windows Management Instrumentation (WMI).

Заброшенные аккаунты, со слов экспертов, составляют большую угрозу для корпоративных сетей. Их статус надо обязательно контролировать, особенно когда речь идет об учетной записи администратора домена. В данном случае организация оставила аккаунт сотрудника активным, поскольку его используют некоторые сервисы.

В Sophos это сочли порочной практикой — с этой целью обычно создается учетная запись службы и вводится запрет на вход в диалоговом режиме. А число админ-аккаунтов в организации лучше сократить до минимума.

Снизить риски, по мнению экспертов, помогут следующие нехитрые правила:

  • выдавать разрешения на доступ только для выполнения конкретной задачи или ролевой миссии;
  • незамедлительно отключать аккаунт, если нужда в нем отпала;
  • ввести практику использования аккаунтов службы;
  • запретить вход в неконтролируемые аккаунты в диалоговом режиме;
  • регулярно проводить аудит Active Directory с целью мониторинга активности существующих админ-аккаунтов и выявления случаев внепланового добавления новых пользователей в группу админов домена.

Мужчина доказал измену жены с помощью камеры робота-пылесоса

Житель Тайваня доказал измену жены с помощью камеры робота-пылесоса, отсудил компенсацию, а затем сам получил пять месяцев тюрьмы за незаконную съёмку. Мужчина заподозрил супругу после того, как нашёл чужую зубную щётку в их загородном доме. Записи с камеры на парковке показали человека, который ранее подвозил его жену.

Через три месяца мужчина попытался связаться с супругой через приложение робота-пылесоса и увидел в трансляции того же гостя.

Камера устройства записала, как жена переодевается, ложится с мужчиной в кровать и ходит по дому обнажённой. Владелец сохранил видео и предъявил его суду как доказательство романа.

Сама измена на Тайване не считается уголовным преступлением, однако нарушение супружеских прав может стать основанием для денежной компенсации. Мужчина потребовал 2 млн тайваньских долларов, но получил 500 тыс. — около $19 тыс.

После этого жена подала встречный иск. Она заявила, что интимные кадры были записаны без её согласия, а датчики и индикаторы пылесоса не давали понять, что ведётся съёмка. Муж утверждал, что суд уже принял видео как доказательство, а значит, оно допустимо.

Суд с такой логикой не согласился. Использовать запись в гражданском деле оказалось можно, но незаконный способ её получения никуда не исчез. Право на неприкосновенность частной жизни признали более значимым, чем супружеские обязанности.

В итоге мужчина получил пять месяцев заключения и штраф 150 тыс. тайваньских долларов — 30% от выигранной компенсации.

RSS: Новости на портале Anti-Malware.ru