Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Злоумышленники проникли в корпоративную сеть через эксплойт и хозяйничали там целый месяц на правах администратора домена Active Directory. Доступ к нужному аккаунту они получили, воспользовавшись отсутствием контроля: владелец этой учетной записи умер за три месяца до атаки. Вторжение было обнаружено, когда в сети заработал шифровальщик Nefilim — за короткий срок он сумел поразить более сотни систем.

Вымогательская программа Nefilim, она же Nemty, попала в поле зрения ИБ-экспертов полтора года назад. Список ее жертв включает такие громкие имена, как Whirlpool и Orange. Операторы Nefilim обычно прибегают к двойному шантажу, угрожая публикацией украденных данных в случае неуплаты выкупа. С этой целью они создали специальный сайт — Corporate Leaks.

Новая жертва Nefilim не использует специализированную защиту от взлома  конечных устройств (Endpoint Detection and Response, EDR), но является клиентом Sophos. Столкнувшись с проблемой доступа к важным данным, организация призвала на помощь экспертов. Зловред был быстро найден и обезврежен.

Расследование показало, что точкой входа для авторов атаки послужил уязвимый экземпляр Citrix Storefront 7.15 CU3 — интерфейса, обеспечивающего удаленный доступ к приложениям и виртуальным десктопам в корпоративной сети или из внешнего источника.

В этом ПО был обнаружен целый букет незакрытых уязвимостей — CVE-2019-11634, CVE-2019-13608, CVE-2020-8269, CVE-2020-8270, CVE-2020-8283.

Эксплойт позволил злоумышленникам получить удаленный доступ к сети, который они закрепили, используя вход по RDP. Дальнейшее продвижение по сети им обеспечили Mimikatz и Cobalt Strike — инструменты для пентеста, позволяющие отыскать сохраненные пароли и получить представление об атакуемой инфраструктуре.

Вооружившись добытой информацией, непрошеные гости также добрались до заброшенного аккаунта администратора домена и целый месяц по ночам выкачивали данные, установив клиент файлообменника MEGA. После этого в ход был пущен шифровальщик Nefilim, которого внедрили в сеть жертвы с помощью системы интерфейсов Windows Management Instrumentation (WMI).

Заброшенные аккаунты, со слов экспертов, составляют большую угрозу для корпоративных сетей. Их статус надо обязательно контролировать, особенно когда речь идет об учетной записи администратора домена. В данном случае организация оставила аккаунт сотрудника активным, поскольку его используют некоторые сервисы.

В Sophos это сочли порочной практикой — с этой целью обычно создается учетная запись службы и вводится запрет на вход в диалоговом режиме. А число админ-аккаунтов в организации лучше сократить до минимума.

Снизить риски, по мнению экспертов, помогут следующие нехитрые правила:

  • выдавать разрешения на доступ только для выполнения конкретной задачи или ролевой миссии;
  • незамедлительно отключать аккаунт, если нужда в нем отпала;
  • ввести практику использования аккаунтов службы;
  • запретить вход в неконтролируемые аккаунты в диалоговом режиме;
  • регулярно проводить аудит Active Directory с целью мониторинга активности существующих админ-аккаунтов и выявления случаев внепланового добавления новых пользователей в группу админов домена.
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Более 30% специалистов по кибербезопасности сталкивались с харассментом

Около трети специалистов в области кибербезопасности ощутили на себе так называемый харассмент — приставание в грубой форме, нарушающее личные границы человека. Столкнуться с этим явлением можно как в Сети, так и в реальной жизни.

Инициатива, получившая название Respect In Security, поставила себе цель — бороться с любыми формами харассмента в среде экспертов по кибербезопасности. Представители проекта призывают организации создать для сотрудников рабочие места, свободные от домогательств, приставаний и страха.

Новое исследование аналитиков Sapio Research выявило немалый процент ИБ-сотрудников, столкнувшихся с приставаниями. Как выяснили исследователи, 32% из 302 опрошенных экспертов испытывали на себе харассмент посредством LinkedIn, Twitter и других соцсетей. 35% при этом ощущали то же самое, но уже в реальной жизни.

«Специалисты ИБ-сферы проводят много времени онлайн — пожалуй, гораздо больше, чем другие отрасли. Поэтому я считаю, что мы наиболее подвержены негативным проявлениям Сети», — объясняет один из основателей Respect In Security Лиза Форте.

В интервью Форте заявила, что в своё время получала неприличные видеоролики, а также встречала фейковые аккаунты, использовавшие её имя. Более того, по словам Форте, ей угрожали через сообщения в социальных сетях.

Также в исследовании Respect In Security отмечается, что с неприемлемым поведением сталкивались не только женщины, но и мужчины, а также люди с нетрадиционной ориентацией.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru