06/08/19
Печально известная APT-группа Fancy Bear (другое название APT28) атакует корпоративные IoT-устройства с целью проникновения в сети компаний и создания плацдарма для дальнейших атак.
«В апреле исследователи безопасности Microsoft Threat Intelligence Center обнаружили, что инфраструктура известного противника подключается к нескольким внешним устройствам. В ходе дальнейших исследований были выявлены попытки злоумышленников скомпрометировать популярные IoT-устройства (телефон VOIP, офисный принтер, видеодекодер)», - сообщают специалисты компании Microsoft.
В двух случаях злоумышленники использовали заводские пароли по умолчанию, а еще в одном проэксплуатировали уязвимость в устройстве, на котором не были установлены последние обновления. Через скомпрометированное IoT-устройство атакующие могли проникнуть в корпоративную сеть и взломать подключенные к ней уязвимые компьютеры. С помощью несложного сканирования они могли продвигаться по сети и получать доступ к привилегированным учетным записям.
Используя анализатор пакетов tcpdump, атакующие анализировали трафик в локальной сети в поисках дополнительных данных о следующих жертвах и административных группах. На каждое скомпрометированное устройство группировка устанавливала shell-скрипт, непрерывно передающий на C&C-сервер поток информации, позволяющей ей сохранять свое присутствие в корпоративной сети.
Хотя специализацией Fancy Bear является кибершпионаж, специалисты Microsoft затрудняются сказать, какие цели преследовала группировка в данной конкретной кампании. Атаки были обнаружены на ранних стадиях, и установить их цель пока нельзя.
