Взломщики брутфорсят серверы MS SQL для внедрения шифровальщика FreeWorld

Взломщики брутфорсят серверы MS SQL для внедрения шифровальщика FreeWorld

Взломщики брутфорсят серверы MS SQL для внедрения шифровальщика FreeWorld

По данным Securonix, в текущих атаках используется множество различных инструментов, в том числе RAT и Cobalt Strike. Первичный доступ к корпоративным сетям осуществляется через брутфорс MS SQL, конечной целью является засев шифровальщика.

Выявленной киберкампании было присвоено имя DB#JAMMER, новому Windows-зловреду — FreeWorld (по имени бинарных файлов и расширению, добавляемому к зашифрованным файлам). Сам шифровальщик, как показал анализ, является модификацией Mimic, объявившейся в прошлом году.

Каким образом осуществляется подбор пароля к SQL-серверу, перебором по словарю или подстановкой по методу password spray, установить не удалось. Обнаружив включенную опцию xp_cmdshell, авторы атаки используют ее для поиска данных о хосте, выполнения шелл-команд для ослабления защиты и развертывания инструментов, гарантирующих постоянное присутствие.

В частности, непрошеные гости отключают межсетевой экран Windows, создают новый админ-аккаунт, вносят изменения в системный реестр. Дополнительные инструменты, в том числе для горизонтального перемещения по сети, скачиваются из общей папки, специально созданной на удаленном SMB-сервере.

Боевой арсенал злоумышленников включает C2-агент Cobalt Strike (srv.exe), AnyDesk, сканер сетевых портов и Mimikatz, с помощью которого осуществляется кража учетных данных. В ходе DB#JAMMER была также замечена попытка использования Ngrok с целью установить RDP-соединение, но она оказалась безуспешной.

Кто стоит за FreeWorld, неизвестно. Брутфорс MS SQL в настоящее время использует как минимум еще одна группа вымогателей — операторы Mallox.

Ozon Банк, Яндекс Банк и WB Банк попали под новые санкции ЕС

Евросоюз утвердил 21-й пакет санкций против России — под ограничения попали сразу 94 банка, Московская биржа и несколько платёжных организаций. Финансовый сектор получил внушительный чёрный список, но его участники хором отвечают: работаем как обычно.

С 23 июля санкции действуют против Россельхозбанка, «Дом.рф», «МТС-банка», «Ак Барса», «Уралсиба», «Зенита», «Абсолют банка», WB Банка, Ozon Банка, «Точки», «Яндекс Банка», «Почта Банка» и других организаций.

В список также включили НКО «Мобильная карта» и РНКО «Платёжный Центр».

Персональные ограничения затронули зампреда Банка России Сергея Белова, главу РЖД Олега Белозёрова и других лиц. Кроме финансов, новый пакет касается энергетики, торговли и криптовалют.

Московская биржа заявила, что торги и расчёты продолжатся без изменений. Ozon Банк, «Точка» и «Финам» тоже заверили клиентов, что сервисы и платежи работают в штатном режиме. Брокер «Финам» под санкции не попал. АФК «Система» назвала решение ЕС незаконным и пообещала справиться с ограничениями.

Однако первые неудобства уже появились. Платёжная система «Золотая Корона» остановила переводы в Грузию и ряд других стран: в поддержке подтвердили, что некоторые направления временно недоступны.

Следующим сюрпризом может стать исчезновение банковских приложений из App Store и Google Play. Ранее после санкций из магазинов уже удаляли приложения российских банков и VK. Пока это лишь вероятный сценарий, но владельцам затронутых банков лучше не спешить удалять установленные приложения.

В российской миссии при ЕС предупредили об адекватном ответе.

RSS: Новости на портале Anti-Malware.ru