Выявлена серия целевых кибератак на промышленные предприятия

В ходе атак злоумышленники использовали более 15 имплантов, чтобы получить доступ к данным организаций, в том числе из изолированных частей инфраструктуры.

Специалисты «Лаборатории Касперского» выяснили, что эта серия целевых атак была направлена на создание постоянного канала кражи данных, в том числе из изолированных от внешнего мира систем. По ряду признаков эта вредоносная кампания похожа на ранее исследованные атаки ExCone и DexCone, которые предположительно связаны с группой APT31, также известной как Judgment Panda и Zirconium. Расследование показало, что для получения удалённого доступа к системам жертв, сбора и кражи данных использовалось более 15 различных имплантов. Они позволяли создавать множество постоянно действующих каналов для вывода украденной информации, в том числе из высокозащищённых систем. Злоумышленники продемонстрировали обширные знания и опыт в обходе мер безопасности.

Злоумышленники активно использовали техники DLL-подмены, чтобы избегать обнаружения во время работы имплантов. DLL -подмена подразумевает использование легитимных исполняемых файлов сторонних разработчиков, в которых есть уязвимости, позволяющие загрузить в их память вредоносную динамическую библиотеку.

Для эксфильтрации данных и доставки вредоносного ПО использовались облачные сервисы для хранения информации и платформы для обмена файлами. Злоумышленники развёртывали инфраструктуру управления и контроля ( C 2) скомпрометированных систем в облачной платформе и на частных виртуальных серверах.

Также в атаках использовались новые версии вредоносного ПО FourteenHi. Впервые оно было обнаружено в 2021 году в ходе кампании ExCone, которая была нацелена на госучреждения. Годом позже появились новые варианты программ этого семейства. Они использовались в атаках на промышленные организации.

Кроме того, в ходе расследования был обнаружен новый имплант, который получил название MeatBall. Он предоставлял обширные возможности для удалённого доступа.

Другая отличительная особенность — то, что атакующие копировали данные из изолированных компьютерных сетей через последовательное заражение съёмных носителей. Это не новая тактика, однако в данном случае её реализация, по мнению специалистов, оказалась оригинальной и эффективной. 

«Нельзя недооценивать серьёзность последствий целевых атак на промышленный сектор. Поскольку многие организации начинают или продолжают активную цифровизацию, стоит учитывать и пропорционально возрастающие риски атак на критически важные системы. Факт, что злоумышленники находят способы добраться до наиболее защищённых систем промышленных предприятий, говорит о том, насколько важно следовать лучшим практикам обеспечения кибербезопасности, включая обучение сотрудников, получение, анализ и правильное использование информации об актуальных угрозах, внедрение специализированных решений для защиты промышленной инфраструктуры», — комментирует Кирилл Круглов, старший разработчик-исследователь в Kaspersky ICS CERT. 

Заметили неточность или опечатку в тексте? Выделите её мышкой и нажмите: Ctrl + Enter. Спасибо!