19/01/24
В недавнем отчёте компании Huntress было выявлено, что киберпреступники снова используют TeamViewer, легитимный инструмент удалённого доступа, для первоначального проникновения на корпоративные устройства и попыток развёртывания шифровальщиков.
Впервые массовое использование TeamViewer злоумышленниками наблюдалось в марте 2016 года при развёртывании программы-вымогателя Surprise, напоминает Securitylab. Тогда же представители TeamViewer заверили общественность, что несанкционированный доступ стал возможен благодаря утечкам учётных данных пользователей, а не уязвимости в самой программе для удалённого доступа.
«Поскольку TeamViewer является широко распространённым программным обеспечением, многие онлайн-преступники пытаются войти в целевую систему, используя данные скомпрометированных учётных записей, чтобы выяснить, существует ли учётная запись TeamViewer с такими же учётными данными», — объяснил тогда поставщик программного обеспечения.
Возвращаясь к текущей вредоносной кампании, можно с уверенностью сказать, что TeamViewer снова в ходу у киберпреступников. В рассмотренной Huntress цепочке атаки злоумышленники проникли в целевую систему с помощью TeamViewer и пытались развернуть вредоносную полезную нагрузку с помощью батника «PP.bat», который запускал вредоносный DLL-файл через команду rundll32.exe.
Хотя рассмотренная специалистами атака и не увенчалась успехом, так как была отражена антивирусным ПО, оставленных злоумышленниками «хлебных крошек» стало достаточно для проведения расследования.
В Huntress не смогли точно установить, к какой известной вымогательской группе относились эти атаки, однако отметила сходство с шифровальщиками LockBit, созданными с использованием утекшего в сентябре 2022 года конструктора LockBit Black.
