28/04/25
Злоумышленник продает скомпрометированные системы операторам программ-вымогателей, в частности, группировке CACTUS.
Хакер применяет специально разработанное вредоносное ПО LAGTOY, также известное под названием HOLERUN, которое создает обратные оболочки и выполняет команды на зараженных устройствах.
Первые сведения об этой угрозе появились в конце марта 2023 года в отчетах компании Mandiant, сообщает Securitylab. Тогда его связали с группой UNC961, также известной под названиями Gold Melody и Prophet Spider.
В ходе атак эксплуатируется обширный набор известных уязвимостей в приложениях с выходом в интернет. Получив начальный доступ, злоумышленник изучает инфраструктуру жертвы, собирает учетные данные и внедряет LAGTOY — весь процесс занимает не более недели.
В ходе операции ToyMaker подключается через SSH к удаленному серверу, чтобы загрузить специализированный инструмент Magnet RAM Capture. С его помощью создается дамп оперативной памяти машины — предположительно так добываются учетные данные.
LAGTOY взаимодействует с жестко закодированным сервером управления и контроля (C2), который передает команды для последующего выполнения. По данным Mandiant, вредоносное ПО запускает процессы и исполняет команды от имени определенных пользователей с соответствующими привилегиями.
Технический анализ выявил: программа обрабатывает три команды от управляющего сервера с интервалом в 11000 миллисекунд между ними. Таким образом контролировать зараженные сети можно максимально эффективно.
После того как ToyMaker получил первоначальный доступ к системам пострадавшей компании и похитил учетные данные, в его активности наступило затишье примерно на три недели. Затем команда Talos обнаружила: вымогательская группировка CACTUS проникла в корпоративную сеть той же организации, используя украденные сведения.
Характер действий злоумышленника — короткое пребывание в системе и быстрая передача доступа коллегам без масштабного хищения файлов — указывает на чисто финансовую мотивацию. О каких-либо разведывательных целях в данном случае речи не идет.
После того как операторы CACTUS получили доступ, они провели собственное исследование сети и подготовили плацдарм для долговременного присутствия. Чтобы закрепиться, они также задействовали различные легитимные инструменты: OpenSSH, AnyDesk и eHorus Agent.
