Хакеры взломали сеть SmarterTools, используя уязвимость в собственном программном обеспечении компании.

[admin]

На прошлой неделе компания SmarterTools подтвердила, что группа злоумышленников, занимающаяся распространением вируса-вымогателя Warlock, взломала её сеть, скомпрометировав систему электронной почты, но это не повлияло на работу бизнес-приложений или данных учётных записей.


Главный коммерческий директор компании, Дерек Кертис, заявляет, что взлом произошел 29 января через одну виртуальную машину SmarterMail, созданную сотрудником.


«До взлома у нас в сети было установлено около 30 серверов/виртуальных машин со SmarterMail», — пояснил Кертис .

«К сожалению, мы не знали об одной виртуальной машине, созданной сотрудником, которая не обновлялась. В результате этот почтовый сервер был взломан, что привело к утечке данных».


Хотя компания SmarterTools заверяет, что данные клиентов напрямую не пострадали от этого взлома, подтверждено, что были скомпрометированы 12 серверов Windows в офисной сети компании, а также дополнительный центр обработки данных, используемый для лабораторных исследований, контроля качества и хостинга.

Злоумышленники переместились по сети с этой уязвимой виртуальной машины через Active Directory, используя инструменты и методы обеспечения постоянного присутствия в системе Windows. Серверы Linux, составляющие большую часть инфраструктуры компании, не были скомпрометированы в результате этой атаки.


Уязвимость, использованная в атаке для получения доступа, — это CVE-2026-23760 , уязвимость обхода аутентификации в SmarterMail до сборки 9518, которая позволяет сбросить пароли администратора и получить полные привилегии.


Издание SmarterTools сообщает, что атаки были совершены группой вымогателей Warlock , которая также затронула компьютеры клиентов, используя аналогичную тактику.


После получения первоначального доступа операторы программы-вымогателя выжидали примерно неделю, после чего заключительным этапом стало шифрование всех доступных машин.


Однако в данном случае, как сообщается, продукты безопасности Sentinel One предотвратили выполнение шифрования финальной полезной нагрузкой, затронутые системы были изолированы, а данные были восстановлены из новых резервных копий.

В атаках использовались такие инструменты, как Velociraptor, SimpleHelp и уязвимые версии WinRAR, а для обеспечения постоянного присутствия в системе использовались элементы автозагрузки и запланированные задачи, как сообщила компания.


Ранее Cisco Talos сообщала о том, что злоумышленники использовали инструмент цифровой криминалистики с открытым исходным кодом Velociraptor.


В октябре 2025 года компания Halcyon, занимающаяся кибербезопасностью, связала группу, занимавшуюся распространением программы-вымогателя Warlcok, с китайским государственным субъектом, отслеживаемым как Storm-2603.


Компания ReliaQuest опубликовала сегодня отчет , подтверждающий, что данная активность связана со штормом № 2603, с умеренной или высокой степенью достоверности.


«Хотя эта уязвимость позволяет злоумышленникам обходить аутентификацию и сбрасывать пароли администратора, Storm-2603 объединяет этот доступ со встроенной в программное обеспечение функцией «Монтирование томов», чтобы получить полный контроль над системой», — заявили в ReliaQuest.

«После проникновения группа устанавливает Velociraptor, легитимный инструмент цифровой криминалистики, который она использовала в предыдущих кампаниях, чтобы сохранить доступ и подготовить почву для запуска программы-вымогателя».


Компания ReliaQuest также обнаружила уязвимость CVE-2026-24423, еще одну уязвимость SmarterMail, которая , по данным CISA, активно используется злоумышленниками, занимающимися программами-вымогателями, на прошлой неделе, хотя основным вектором атаки была CVE-2026-23760.


Исследователи отмечают, что CVE-2026-24423 предоставляет более прямой путь через API для удаленного выполнения кода, но CVE-2026-23760 может быть менее заметной, сливаясь с легитимной административной деятельностью, поэтому Storm-2603, возможно, выбрал именно её.


Для устранения всех недавних недостатков в продукте SmarterMail администраторам рекомендуется обновиться до сборки 9511 или более поздней версии . как можно скорее