Шифровальщик Cring проникает в сети через уязвимость в Fortigate VPN

Шифровальщик Cring проникает в сети через уязвимость в Fortigate VPN

Шифровальщик Cring проникает в сети через уязвимость в Fortigate VPN

Команда Kaspersky ICS CERT опубликовала результаты расследования инцидента с участием вымогательской программы Cring. Как оказалось, для проникновения в сеть авторы атаки использовали известную уязвимость в VPN-серверах FortiGate.

Шифровальщик Cring появился на интернет-арене в конце 2020 года. В новом году злоумышленники провели серию атак с его использованием, от которых в числе прочих пострадали европейские промышленные предприятия.

Уязвимость CVE-2018-13379 в продуктах линейки FortiGate производства Fortinet открывает возможность для выхода за пределы каталога ресурса. Эксплойт позволяет удаленно и без авторизации получить аутентификационные данные для доступа по VPN — они содержатся в открытом виде в файле сеанса sslvpn_websession.

Патч для CVE-2018-13379 вышел в мае 2019 года, и с тех пор Fortinet неоднократно призывала пользователей его установить, предупреждая о возможности атак, в том числе со стороны APT-групп.

Разбор нападения Cring, проведенный специалистами «Лаборатории Касперского», показал, что злоумышленники вначале проверили VPN-шлюз на уязвимость, а затем уже проникли в сеть посредством эксплойта. С этой целью они могли провести сканирование блока IP-адресов либо просто купить готовый список уязвимых устройств FortiGate в даркнете.

Оказавшись в целевой сети, авторы атаки пустили в ход утилиту Mimikatz и с ее помощью заполучили логин и пароль администратора домена. Доступ к привилегированному аккаунту позволил им запустить на избранных машинах вредоносный PowerShell-скрипт для установки бэкдора Cobalt Strike Beacon. Его командный сервер был поднят в сетях американского хостинг-провайдера ColoCrossing.

Получив контроль над зараженной системой, злоумышленники загружали в нее cmd-скрипт, который запускал PowerShell с именем «kaspersky» и инициировал, таким образом, загрузку Cring. Активация зловреда производилась вручную.

Прежде чем приступить к шифрованию, Cring останавливает службы программ Veritas NetBackup и Microsoft SQL Server, а также службу SstpSvc, используемую для создания VPN подключений. Он также завершает процессы приложений Microsoft Office (mspub.exe) и Oracle Database (mydesktopqos.exe и mydesktopservice.exe), чтобы беспрепятственно шифровать соответствующие файлы данных.

Для удаления резервных копий, из которых можно было бы восстановить зашифрованную информацию, на диске создается cmd-скрипт kill.bat, который после исполнения удаляет сам себя.

Шифрование выполняется с использованием алгоритма AES; ключ при этом шифруется вшитым в код открытым ключом RSA длиной 8192-бит. Список файлов, подлежащих преобразованию, включает документы Microsoft Office, архивные файлы, файлы баз данных dBASE, резервные копии, созданные утилитой Microsoft Windows Backup, веб-страницы ASP.NET, PHP и Java, а также виртуальные диски. После выполнения основной задачи Cring создает RTF-файл с требованием выкупа — за возврат данных злоумышленники просят 2 биткоина, указывая два email-адреса для связи.

 

Аналитики не преминули отметить высокий уровень подготовки целевой атаки. В ходе разведки злоумышленники хорошо изучили целевую инфраструктуру, что обеспечило правильный выбор инструментов и тактики. Об этом говорит, например, способ маскировки вымогательской программы — ее выдали за защитное решение, используемое на предприятии (Kaspersky). В пользу такого вывода свидетельствует также выбор серверов для шифрования: потеря доступа к ним может вызвать сбой технологического процесса предприятия.

Успеху атаки в данном случае, по мнению экспертов, способствовали следующие обстоятельства:

  • использование устаревшей и уязвимой версии прошивки VPN сервера Fortigate (6.0.2);
  • отсутствие своевременного обновления антивирусных баз используемого защитного решения, в котором к тому же на момент атаки были отключены некоторые компоненты;
  • слабые настройки прав доступа в доменных политиках и доступа по RDP.

Представители Fortinet уже отреагировали на новость официальным заявлением:

«Безопасность клиентов – наш главный приоритет. Например, CVE-2018-13379 – это старая уязвимость, устранённая еще в мае 2019 года. Компания Fortinet немедленно выпустила рекомендации PSIRT и неоднократно коммуницировала с клиентами через статьи в корпоративном блоге, настоятельно рекомендуя устанавливать обновления, – в августе 2019 года, июле 2020 года, а также в апреле 2021 года».

«После решения проблемы мы постоянно общались с клиентами, в том числе и совсем недавно – в апреле 2021 года. Чтобы получить дополнительную информацию, посетите наш блог и незамедлительно обратитесь к рекомендациям от мая 2019 года. Мы настоятельно рекомендуем клиентам немедленно установить обновления и внедрить меры по снижению рисков, если это еще не было сделано».

Security Vision вошла в число лидеров международного рейтинга систем SOAR

Security Vision вошла в число лидеров в новом отчёте SPARK Matrix™ 2025: Security Analytics and Automation, который подготовила аналитическая компания QKS Group. В рейтинге, посвящённом системам SOAR, российская платформа заняла 7-е место по показателю Customer Impact и 4-е — по Technology Excellence.

Это уже не первое попадание компании в международные рейтинги за последнее время: ранее Security Vision вошла в топ-10 в исследовании по направлению Exposure Management.

В отчёте QKS среди сильных сторон платформы отдельно отмечены инструменты Low code / No code. По оценке аналитиков, они позволяют специалистам по ИБ самостоятельно настраивать и менять процессы реагирования на инциденты без программирования. Это упрощает адаптацию к новым угрозам и требованиям compliance, а для крупных компаний и MSSP снижает издержки на внедрение и доработку автоматизации.

Ещё один плюс — широкие возможности интеграции. В QKS считают, что платформа может выступать «центральным узлом» в сложных ИТ- и ОТ-средах, объединяя разрозненные инструменты и расширяя автоматизацию в гетерогенной инфраструктуре.

 

Также аналитики обратили внимание на архитектуру решения. В отчёте говорится, что Security Vision объединяет в одной платформе SOAR, анализ угроз, UEBA, управление уязвимостями и активами, а также инструменты GRC. Возможности реагирования выходят за рамки классических сценариев автоматизации и включают корреляцию событий, учёт контекста активов и аналитику уязвимостей — то есть полный цикл работы с инцидентом, от обнаружения до устранения последствий. Отдельно подчёркивается интеграция с нормативными требованиями CERT и инструменты управления рисками и непрерывностью бизнеса.

При этом в отчёте отмечено, что развитие глобальной экосистемы и облачной составляющей продолжается, однако глубина автоматизации и единая модель SecOps уже сейчас обеспечивают платформе устойчивые позиции.

«Результаты SPARK Matrix™ 2025 подтверждают, что Security Vision успешно конкурирует с крупнейшими мировыми вендорами. Архитектура нашей платформы позволяет организациям по всему миру не просто реагировать на инциденты, а опережать их. Высокая позиция в рейтинге - это признание эффективности нашего подхода к автоматизации и глубокой интеграции в сложные гетерогенные среды», - сказал Роман Душков, директор по международному развитию Security Vision.

Таким образом, российский разработчик укрепляет позиции не только на внутреннем, но и на международном рынке решений для автоматизации и аналитики в сфере кибербезопасности.

RSS: Новости на портале Anti-Malware.ru