Вымогательское ПО распространялось через взломанных провайдеров управляемых услуг

Операторы вредоносного ПО взломали инфраструктуру как минимум трех провайдеров управляемых услуг (MSP) и использовали их инструменты удаленного управления (в частности консоль Webroot SecureAnywhere) для заражения компьютеров их клиентов вымогательским ПО.

Первые сообщения о заражении появились в четверг, 20 июня, на форуме Reddit в разделе, посвященном MSP. Глава компании Huntress Lab Кайл Ханслован (Kyle Hanslovan) в режиме online помог некоторым провайдерам в расследовании инцидента.

Как пояснил Ханслован, злоумышленники взломали системы провайдеров через скомпрометированный удаленный рабочий стол (RDP), повысили свои привилегии и вручную деинсталлировали антивирусные продукты наподобие ESET и Webroot.

На второй стадии атаки злоумышленники искали учетные записи Webroot SecureAnywhere, консоли, используемой провайдерами для управления удаленными рабочими станциями в сетях их клиентов. С ее помощью злоумышленники выполнили на удаленных рабочих станциях скрипт Powershell для загрузки и выполнения вымогательского ПО Sodinokibi.

Sodinokibi является сравнительно новым вредоносом, впервые обнаруженным в конце апреля нынешнего года. В то время злоумышленники распространяли его через уязвимость в Oracle WebLogic.

В тот же день, когда появились первые сообщения об атаках, компания Webroot начала в принудительном порядке включать двухфакторную аутентификацию для учетных записей SecureAnywhere. Дело в том, что в консоли предусмотрен механизм двухфакторной аутентификации, но он отключен по умолчанию.