Безумная банда вымогателей использует инструмент мониторинга сотрудников в своих атаках.

[admin]

Член группировки Crazy, занимающейся распространением программ-вымогателей, использует легитимное программное обеспечение для мониторинга сотрудников и инструмент удаленной поддержки SimpleHelp для обеспечения постоянного присутствия в корпоративных сетях, избегания обнаружения и подготовки к развертыванию программ-вымогателей.


Взлом был зафиксирован исследователями из Huntress , которые расследовали многочисленные инциденты, в которых злоумышленники использовали Net Monitor for Employees Professional совместно с SimpleHelp для удаленного доступа к взломанной сети, при этом незаметно внедряясь в обычную административную деятельность.


В одном из случаев взлома злоумышленники установили Net Monitor for Employees Professional с помощью утилиты Windows Installer msiexec.exe, что позволило им развернуть агент мониторинга на скомпрометированных системах непосредственно с сайта разработчика.

После установки инструмент позволял злоумышленникам удаленно просматривать рабочий стол жертвы, передавать файлы и выполнять команды, фактически обеспечивая полный интерактивный доступ к скомпрометированным системам.


Злоумышленники также попытались активировать локальную учетную запись администратора с помощью следующей команды:

Для обеспечения резервного сохранения активности злоумышленники загрузили и установили клиент удаленного доступа SimpleHelp с помощью команд PowerShell, используя имена файлов, похожие на легитимный файл vshost.exe из Visual Studio.


Затем вредоносная программа была запущена, что позволило злоумышленникам сохранить удаленный доступ даже после удаления инструмента мониторинга сотрудников.


Иногда исполняемый файл SimpleHelp маскировался под файлы с именами, которые якобы были связаны с OneDrive:


C:\ProgramData\OneDriveSvc\OneDriveSvc.exe

Злоумышленники использовали программное обеспечение для мониторинга, позволяющее удаленно выполнять команды, передавать файлы и отслеживать активность системы в режиме реального времени.

Исследователи также заметили, что злоумышленники отключали Windows Defender, пытаясь остановить и удалить связанные с ним службы.

Отключение Windows Defender
Источник: Охотница

В одном из инцидентов хакеры настроили в SimpleHelp правила мониторинга, которые оповещали их о доступе устройств к криптовалютным кошелькам или использовании инструментов удаленного управления в рамках подготовки к развертыванию программ-вымогателей и потенциальной краже криптовалюты.

«В логах видно, что агент постоянно переключается между событиями запуска и сброса для ключевых слов, связанных с криптовалютами, включая сервисы кошельков (metamask, exodus, wallet, blockchain), биржи (binance, bybit, kucoin, bitrue, poloniex, bc.game, noones), обозреватели блокчейна (etherscan, bscscan) и платежную платформу payoneer», — объясняет Хантресс.


«Помимо этого, агент также отслеживал ключевые слова инструментов удаленного доступа, включая RDP, anydesk, ultraview, teamview и VNC, вероятно, для того, чтобы определить, подключается ли кто-либо активно к машине».

Ключевые слова, отслеживаемые агентом SimpleHelp
Источник: Охотница

Использование нескольких инструментов удаленного доступа обеспечивало злоумышленникам резервирование, гарантируя сохранение доступа даже в случае обнаружения или удаления одного из инструментов.

Хотя распространение программы-вымогателя Crazy произошло лишь в одном случае, Huntress считает, что за обоими инцидентами стоит один и тот же злоумышленник.


«В обоих случаях использовалось одно и то же имя файла (vhost.exe) и пересекающаяся инфраструктура управления и контроля, что убедительно свидетельствует об участии одного оператора или группы лиц в обоих случаях», — объясняет Хантресс.


Использование легитимных инструментов удаленного управления и мониторинга становится все более распространенным явлением при вторжениях программ-вымогателей , поскольку эти инструменты позволяют злоумышленникам сливаться с легитимным сетевым трафиком.


Хантресс предупреждает, что организациям следует внимательно отслеживать несанкционированную установку инструментов удаленного мониторинга и поддержки.


Кроме того, поскольку оба взлома стали возможны благодаря скомпрометированным учетным данным SSL VPN, организациям необходимо внедрить многофакторную аутентификацию для всех служб удаленного доступа, используемых для доступа к сети.