`

СПЕЦИАЛЬНЫЕ
ПАРТНЕРЫ
ПРОЕКТА

Архив номеров

BEST CIO

Определение наиболее профессиональных ИТ-управленцев, лидеров и экспертов в своих отраслях

Человек года

Кто внес наибольший вклад в развитие украинского ИТ-рынка.

Продукт года

Награды «Продукт года» еженедельника «Компьютерное обозрение» за наиболее выдающиеся ИТ-товары

 

Старая уязвимость в VPN-серверах была использована в атаках шифровальщика Cring

0 
 

В начале года злоумышленники провели серию атак с использованием шифровальщика Cring. Среди жертв оказались промышленные предприятия в странах Европы. И, по крайней мере, в одном из случаев атака шифровальщика привела к временной остановке производства на двух заводах.

Расследование инцидента, проведенное экспертами Kaspersky ICS CERT, показало, что в атаках злоумышленники эксплуатировали уязвимость CVE-2018-13379 в VPN-серверах Fortigate для получения первоначального доступа к сети предприятия. Уязвимость позволяет злоумышленнику без аутентификации подключиться к устройству и удаленно получить доступ к файлу сеанса, который содержит имя пользователя и пароль в открытом виде. Проблема была исправлена производителем в 2019 г., но до сих пор не все владельцы устройств их обновили.

За некоторое время до начала основной фазы атаки злоумышленники выполняли тестовые подключения к VPN-шлюзу. Видимо, чтобы убедиться, что украденные в ходе атаки на VPN-сервер данные аутентификации остаются актуальными. В день атаки, получив доступ к первой системе в корпоративной сети, операторы Cring использовали утилиту Mimikatz для кражи учетных записей пользователей Windows, ранее выполнивших вход на первоначально скомпрометированном компьютере. С ее помощью злоумышленникам посчастливилось сразу украсть учетные данные доменного администратора.

После непродолжительной разведки злоумышленники выбрали несколько систем, которые сочли важными для функционирования промышленного предприятия, и сразу загрузили и запустили на них шифровальщик Cring.

По данным экспертов, отсутствие своевременного обновления антивирусных баз и программных модулей для защитного решения, используемого на атакуемых системах, также сыграло важную роль, не позволив решению обнаружить и заблокировать угрозу. Некоторые компоненты антивирусного решения на момент атаки были отключены, и это тоже снизило качество защиты системы.

Детали атаки указывают, что злоумышленники тщательно изучили инфраструктуру атакуемой организации, после чего подготовили свой инструментарий с учетом информации, собранной на этапе разведки. Например, скрипты злоумышленников маскировали активность вредоносного ПО под работу защитного решения, используемого на предприятии, и завершали процессы серверов баз данных (Microsoft SQL Server) и систем резервного копирования (Veeam), используемых на системах, которые были выбраны для шифрования. Анализ действий злоумышленников показывает, что в результате изучения сети атакуемой организации для шифрования были выбраны серверы, потеря доступа к которым, по мнению злоумышленников, могла нанести максимальный ущерб работе предприятия.

Старая уязвимость в VPN-серверах была использована в атаках шифровальщика Cring

Вы можете подписаться на нашу страницу в LinkedIn!

0 
 

Напечатать Отправить другу

Читайте также

 
 

  •  Home  •  Рынок  •  ИТ-директор  •  CloudComputing  •  Hard  •  Soft  •  Сети  •  Безопасность  •  Наука  •  IoT