За атакой на Красный Крест стоит APT-группа, использовавшая баг Zoho

За атакой на Красный Крест стоит APT-группа, использовавшая баг Zoho

За атакой на Красный Крест стоит APT-группа, использовавшая баг Zoho

Представители международного гуманитарного движения Красного Креста рассказали детали кибератаки, которая в прошлом месяце поразила подрядчика. Оказалось, что за кампанией может стоять правительственная кибергруппировка, а причиной взлома сервера стал баг корпоративного менеджера паролей Zoho ManageEngine ADSelfService Plus.

Напомним, что киберинцидент произошёл в конце января 2022 года и затронул программу «Restoring Family Links», помогающую семьям воссоединиться после войн, катастроф и миграции. Злоумышленники взломали серверы и украли персональные данные 515 тысяч человек.

Жёсткая обфускация и серьёзные инструменты для взлома указывают на деятельность APT-группировки (advanced persistent threat). Также на работу хорошо подготовленных хакеров намекает использование кода, специально разработанного для атакуемых ICRC-серверов.

«Большинство вредоносных файлов, обнаруженных на целевых машинах, специально созданы для обхода наших защитных решений. Нам удалось обнаружить факт взлома только после установки EDR-системы», — гласит заявление Красного Креста.

Также в ходе расследования выяснилось, что атака началась 9 ноября 2021 года, преступники имели доступ к серверам в течение 70 дней. Для проникновения в сеть атакующие использовали уязвимость под идентификатором CVE-2021-40539 в  Zoho ManageEngine ADSelfService Plus — корпоративном менеджере паролей.

Поскольку администраторы не пропатчили брешь, она помогла злоумышленникам выполнить код удалённо. Исследователи из Palo Alto Networks приписывают эксплуатацию этой уязвимости китайской киберпреступной группировке APT27.

На Айдентити Конф 2026 обсудят, как защищать людей и цифровых агентов

7 октября в московском Кибердоме пройдёт Айдентити Конф 2026 — ежегодная конференция о защите учётных данных и управлении доступом. В этом году организаторы предлагают смотреть шире привычной связки «логин — пароль»: теперь идентичность нужна не только сотрудникам и сервисам, но и автономным ИИ-агентам.

В программе: PAM, IdM/IGA, MFA, регуляторные требования и новые модели доступа.

Отдельный блок посвятят ИИ-агентам как самостоятельным субъектам корпоративной инфраструктуры. Эксперты обсудят, как их аутентифицировать, кому поручать управление жизненным циклом и кто будет отвечать, если цифровой помощник внезапно решит проявить слишком много инициативы.

Не обойдётся без перезагрузки классических подходов. Участники поговорят об управлении привилегиями в DevOps и облаках, сокращении постоянных прав, защите неодушевлённых айдентити и переходе от статических ролей к более гибким моделям.

MFA тоже попадёт под разбор: злоумышленники давно научились обходить привычные сценарии, поэтому одного кода из СМС для спокойной жизни уже маловато.

Свои кейсы представят руководители и специалисты Банка ДОМ.РФ, Билайна, Шереметьево Хэндлинг, ГК «Элемент», Сбера, ЕВРАЗа, Яндекса и других российских компаний. Организаторы также планируют представить исследование Identity Security 2026 о зрелости рынка, востребованных классах решений и барьерах развития.

Конференция проводится с 2024 года при поддержке российского ИБ-разработчика «Индид». Среди партнёров заявлены BI.ZONE, «Солар», «Аладдин», Группа Астра, Yandex Cloud, BioSmart и другие компании.

Предварительная регистрация открыта на сайте Айдентити Конф 2026. Для представителей компаний-заказчиков участие бесплатное.

RSS: Новости на портале Anti-Malware.ru