Подробный анализ вируса-вымогателя DragonForce и его связи с Scattered Spider

[admin]

Исследователи безопасности провели углубленный анализ вируса-вымогателя DragonForce , который первоначально появился в 2023 году и с тех пор превратился в так называемый «картель программ-вымогателей».


Последняя версия использует уязвимые драйверы, такие как truesight.sys и rentdrv2.sys, для деактивации программ безопасности, завершения защищенных процессов и исправления уязвимостей шифрования, которые ранее были связаны с вирусом-вымогателем Akira.


Обновленная схема шифрования устраняет уязвимости, которые были открыто задокументированы в публикации на Habr, на которую ссылается сайт утечки DragonForce.


DragonForce активизировала свои операции против организаций по всему миру, опубликовав сведения о большем количестве скомпрометированных объектов, чем в предыдущем году.


Самый громкий взлом, произошедший в отношении розничной компании Marks & Spencer, был осуществлен группой в сотрудничестве с хакерским сообществом киберпреступников Scattered Spider .

Появление DragonForce​

DragonForce действует по принципу «программы-вымогатели как услуга» (RaaS). Группировка возобновила деятельность, связанную с программами-вымогателями, и активно вербует злонамеренных сообщников через подпольные платформы для киберпреступности.


Сначала банда использовала скомпрометированный конструктор LockBit 3.0 для создания своих инструментов шифрования, а затем перешла на модифицированную версию исходного кода Conti v3.

Превращение из группировки, занимающейся вымогательством, в «картель»​

Вернувшись в 2025 году, DragonForce переименовал себя в « картель программ-вымогателей », что ознаменовало собой резкое изменение оперативной стратегии.


Предлагая партнерам 80% прибыли, настраиваемые шифраторы и инфраструктуру, DragonForce снижает барьер для входа для новых и неопытных киберпреступников.


Этот шаг поощряет присоединение к картелю большего числа филиалов и расширение его присутствия.

DragonForce и его связь с Scattered Spider​

Партнерство DragonForce со Scattered Spider, финансово мотивированной группировкой киберпреступников, известной своими сложными методами социальной инженерии и операциями по получению первоначального доступа, доказало свою эффективность в обеспечении возможности развертывания программ-вымогателей среди особо важных целей.


«Scattered Spider» обычно начинает свое вторжение с проведения разведывательной работы среди персонала организации, чтобы выявить потенциальные цели и разработать убедительные персоны и предлоги.


Группа собирает такие данные, как имена, должности и другую общедоступную информацию, используя платформы социальных сетей и инструменты разведки с открытым исходным кодом. Затем они используют продвинутые методы социальной инженерии для получения или сброса учётных данных и обхода многофакторной аутентификации с помощью обманных приёмов, таких как усталость от многофакторной аутентификации (MFA) или подмена SIM-карты.


Получив доступ, Scattered Spider входит в систему как скомпрометированный пользователь и регистрирует свое собственное устройство для сохранения доступа.


После первоначального взлома Scattered Spider обеспечивает устойчивость, развертывая инструменты удаленного мониторинга и управления (RMM) или службы туннелирования.


Например, к таким инструментам могут относиться ScreenConnect, AnyDesk, TeamViewer и Splashtop. Попав в сеть, Scattered Spider проводит тщательную разведку, проверяя активы в SharePoint, хранилища учётных данных, серверы резервного копирования и документацию по настройке VPN.


В недавней активности Scattered Spider использовал AWS Systems Manager Inventory для выявления дополнительных систем, подверженных боковому перемещению. Они используют инструменты извлечения, преобразования и загрузки (ETL) для компиляции собранных данных в центральную базу данных, которая затем переносится в контролируемые злоумышленниками хранилища MEGA или Amazon S3.


Операция завершается развертыванием вируса-вымогателя DragonForce, шифрующего данные в средах Windows, Linux и ESXi.

Вместе лучше вымогателей​

DragonForce представляет собой новую, более организованную и устойчивую угрозу, созданную на основе устоявшихся фреймворков программ-вымогателей, но постепенно совершенствующуюся и распространяющуюся в больших масштабах.


В отличие от групп, которые тщательно адаптируют свой код, DragonForce фокусируется на наборе персонала в картельном стиле, гибкости работы с филиалами и широких партнерствах, что делает ее грозным и легко адаптируемым игроком.


В сочетании с Scattered Spider киберпреступные группировки, действующие по моделям сотрудничества, а не исключительно конкуренции, знаменуют собой сдвиг, который усложняет защитные усилия организаций по всему миру.

Ключевые выводы​

Дуэт DragonForce и Scattered Spider — это сигнал к началу киберпреступности в формате «картельного сговора», когда узкоспециализированные злоумышленники объединяют свои навыки (в данном случае — элитные навыки социальной инженерии и первоначального доступа Scattered Spider, а также мощную модель «программ-вымогателей как услуги» DragonForce) для осуществления разрушительных, нашумевших атак.


Их стратегический альянс значительно улучшает ландшафт угроз, создавая более эффективную и адаптивную преступную операцию, направленную на прорыв обороны путем использования человеческих ошибок перед применением сложного вредоносного ПО.


Заглядывая в будущее, специалисты по ИТ-безопасности должны учитывать, что защита требует немедленного решения проблем, связанных с моделями сотрудничества в борьбе с программами-вымогателями.


Внедрить и строго применять методы многофакторной аутентификации (MFA), устойчивые к фишингу, для нейтрализации основных векторов начального доступа Scattered Spider и сосредоточиться на надежных решениях по обнаружению и реагированию на конечные точки (EDR), которые оповещают о развертывании инструментов удаленного мониторинга и использовании уязвимых драйверов, являющихся техническими индикаторами передачи данных от брокера начального доступа к партнеру программы-вымогателя.


Службам безопасности необходимо предвидеть, что атаки больше не будут представлять собой единичные угрозы, а станут скоординированными многоэтапными вторжениями с использованием лучших инструментов и методов экосистемы специализированных киберпротивников.