Атаки программы-вымогателя Trigona используют специально разработанный инструмент для эксфильтрации данных с целью их кражи.

[zender]

В последнее время участились случаи атак программы-вымогателя Trigona, в которых используется специальный инструмент командной строки для более быстрой и эффективной кражи данных из скомпрометированных сред.


Данная утилита использовалась в атаках в марте, которые были приписаны связанному с преступной группировкой лицу, вероятно, в попытке обойти общедоступные инструменты, такие как Rclone и MegaSync, которые обычно активируют решения в области безопасности.


Исследователи из компании Symantec, занимающейся кибербезопасностью, считают, что переход на использование собственного инструмента может указывать на то, что злоумышленник «вкладывает время и усилия в разработку проприетарного вредоносного ПО, стремясь оставаться незаметным на критическом этапе своих атак».

В сегодняшнем отчете исследователи сообщают, что инструмент называется «uploader_client.exe» и подключается к жестко закодированному адресу сервера. Его производительность и возможности обхода защиты включают в себя:

• Поддержка пяти одновременных подключений к одному файлу для более быстрой утечки данных за счет параллельной загрузки.
• Переключение TCP-соединений после обработки 2 ГБ трафика с целью обхода мониторинга.
• Возможность выборочной утечки файлов определенных типов, за исключением больших и малоценных медиафайлов.
• Использование ключа аутентификации для ограничения доступа к украденным данным со стороны посторонних лиц.

В одном из инцидентов инструмент для эксфильтрации данных был использован для кражи ценных документов, таких как счета-фактуры и PDF-файлы, хранящиеся на сетевых дисках.

Вирус-вымогатель Trigona был запущен в октябре 2022 года как операция двойного вымогательства, в ходе которой жертвам требовали выкуп в криптовалюте Monero.


Хотя украинские кибер-активисты сорвали операцию Trigona в октябре 2023 года, взломав ее серверы и украв внутренние данные, такие как исходный код и записи базы данных, отчет Symantec предполагает, что злоумышленники возобновили свою деятельность.

Согласно наблюдениям Symantec за недавними атаками Trigona, злоумышленник устанавливает инструмент Huorong Network Security Suite HRSword в качестве службы драйвера ядра.


За этим этапом следует развертывание дополнительных инструментов, которые могут отключать продукты, связанные с безопасностью (например, PCHunter, Gmer, YDark, WKTools, DumpGuard и StpProcessMonitorByovd).


«Многие из них использовали уязвимые драйверы ядра для завершения процессов защиты конечных точек», — заявляет Symantec .

Некоторые из утилит запускались с помощью PowerRun, продукта, который может запускать приложения, исполняемые файлы и скрипты с повышенными привилегиями, тем самым обходя защиту пользовательского режима.


Для прямого удаленного доступа к взломанным системам использовалась программа AnyDesk, а для кражи учетных данных и восстановления паролей запускались утилиты Mimikatz и Nirsoft.


В нижней части отчета компания Symantec перечислила индикаторы компрометации (IoC), связанные с последней активностью Trigona, чтобы помочь в своевременном обнаружении и блокировании подобных атак.