Исследование Лаборатории Касперского: как хакеры крадут информацию из АСУ

«Лаборатория Касперского» провела расследование ряда кибератак на промышленные объекты в Восточной Европе. Целью атакующих были предприятия производственного сектора, а также занимающиеся разработкой и внедрением автоматизированных систем управления (АСУ). Злоумышленники использовали продвинутые тактики, методы и процедуры (TTPs), пишет Securitylab.

Эксперты компании установили, что эта серия целевых атак была ориентирована на создание постоянного канала похищения данных, в том числе из систем, изолированных от внешнего мира. По некоторым признакам эта вредоносная кампания схожа с ранее исследованными атаками ExCone и DexCone, которые предположительно связаны с группой APT31, также известной как Judgment Panda и Zirconium.

Расследование показало, что для получения удалённого доступа к системам жертв, сбора и похищения данных использовалось более 15 различных имплантов. Они позволяли создавать множество постоянно действующих каналов для вывода украденной информации, в том числе из высокозащищённых систем. Атакующие продемонстрировали обширные знания и опыт в обходе мер безопасности.

Атакующие активно использовали техники DLL-подмены, чтобы избегать обнаружения во время работы зловредов. DLL-подмена подразумевает использование легитимных исполняемых файлов сторонних разработчиков, в которых есть уязвимости, позволяющие загрузить в их память вредоносную динамическую библиотеку.

Для эксфильтрации данных и доставки вредоносного ПО злоумышленники использовали облачные сервисы для хранения информации и платформы для обмена файлами. Они развёртывали инфраструктуру управления и контроля (C2) скомпрометированных систем в облачной платформе и на частных виртуальных серверах.

В атаках также использовались новые версии вредоносного ПО FourteenHi. Впервые оно было обнаружено в 2021 году в ходе кампании ExCone, которая была нацелена на госучреждения. Годом позже появились новые варианты этой программы, которые использовались для атак на промышленные организации..

Кроме того, в ходе расследования был обнаружен новый зловред, который получил название MeatBall. Он обеспечивал обширные возможности для удалённого доступа.

Другой отличительной особенностью является копирование данных из изолированных компьютерных сетей через последовательное заражение съёмных носителей. Это не новая тактика, однако в данном случае её реализация, по мнению специалистов, оказалась оригинальной и эффективной. Она включала как минимум четыре различных модуля:

• модуль работы со съёмными носителями и сбор информации о них;
• модуль заражения съёмного носителя;
• модуль сбора и сохранение данных на заражённом носителе;
• модуль заражения и сбор информации с удалённого компьютера.

Эксперты компании подчеркивают, что целевые атаки на промышленный сектор могут иметь серьёзные последствия. Они советует организациям, которые занимаются цифровизацией, учитывать риски атак на критически важные системы и следовать лучшим практикам обеспечения кибербезопасности.