Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Представляйте решения на онлайн-конференции!

Вымогательское ПО распространялось через взломанных провайдеров управляемых услуг

21/06/19

hack45-1Операторы вредоносного ПО взломали инфраструктуру как минимум трех провайдеров управляемых услуг (MSP) и использовали их инструменты удаленного управления (в частности консоль Webroot SecureAnywhere) для заражения компьютеров их клиентов вымогательским ПО.

Первые сообщения о заражении появились в четверг, 20 июня, на форуме Reddit в разделе, посвященном MSP. Глава компании Huntress Lab Кайл Ханслован (Kyle Hanslovan) в режиме online помог некоторым провайдерам в расследовании инцидента.

Как пояснил Ханслован, злоумышленники взломали системы провайдеров через скомпрометированный удаленный рабочий стол (RDP), повысили свои привилегии и вручную деинсталлировали антивирусные продукты наподобие ESET и Webroot.

На второй стадии атаки злоумышленники искали учетные записи Webroot SecureAnywhere, консоли, используемой провайдерами для управления удаленными рабочими станциями в сетях их клиентов. С ее помощью злоумышленники выполнили на удаленных рабочих станциях скрипт Powershell для загрузки и выполнения вымогательского ПО Sodinokibi.

Sodinokibi является сравнительно новым вредоносом, впервые обнаруженным в конце апреля нынешнего года. В то время злоумышленники распространяли его через уязвимость в Oracle WebLogic.

В тот же день, когда появились первые сообщения об атаках, компания Webroot начала в принудительном порядке включать двухфакторную аутентификацию для учетных записей SecureAnywhere. Дело в том, что в консоли предусмотрен механизм двухфакторной аутентификации, но он отключен по умолчанию.

Темы:TelegramПреступленияSambaВымогателиудалённые услуги
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

  • Опасные связи
    Популярные мессенджеры оказались под прицелом из-за нарушений конфиденциальности. Можно ли им доверять?

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
3 апреля. Отечественные ИT-платформы и ПО для объектов КИИ
Участвуйте!

Еще темы...

More...