Рансъмуер атаките Feral Wolf експлоатират Atlassian Confluence и грешно конфигурирани системи 1C

Групата Feral Wolf използва достъпен за обществеността бизнес софтуер и слаби конфигурации на сървъри, за да проникне в корпоративни мрежи, след което криптира файлове с рансъмуер. Кампанията показва как един пренебрегнат и достъпен от интернет ресурс може да се превърне в начална точка за значително по-голям инцидент.

Групата атакува руски организации в секторите на търговията на дребно, строителството, производството и информационните технологии от май до август 2026 г. Атакуващите комбинират експлоатация на уязвимости, откраднати или слаби идентификационни данни, отдалечен достъп и персонализирани задни врати (backdoors), преди да внедрят GenieLocker за криптиране на данни.

Анализатори от BI.ZONE идентифицираха тази активност по време на разследване на пробиви, документирайки вектори на атака през уязвими инсталации на Atlassian Confluence, среди на изпълнители и лошо защитени клъстери на 1C:Enterprise. Тези случаи подчертават защо външните услуги се нуждаят от същото внимание, както и основните бизнес системи.

От BI.ZONE съобщават в доклад, споделен с Cyber Security News (CSN), че атакуващите са използвали и легитимно изглеждащи комуникационни канали, за да останат незабелязани по-дълго време. Този избор позволява на враждебния трафик да се смеси с обичайната мрежова активност и да забави реакцията на екипите по защита.

Рансъмуер Feral Wolf

Едно от проникванията започва през публично достъпен Confluence сървър, работещ в Docker контейнер зад прокси. Feral Wolf експлоатира CVE-2023-22515, създава акаунт и го добавя към групата на администраторите в Confluence.

Предишни анализи на активно експлоатираната zero-day уязвимост в Atlassian показват защо е критично застрашените платформи за съвместна работа да получават бързо корекции за сигурност и редовно да се извършва одитиране на акаунтите.

От контейнера атакуващите установяват позиция, извършват разузнаване на мрежата и откриват услуга PostgreSQL, използваща слаба парола.

Достъпът до тази база данни им осигурява маршрут от изолирания контейнер към основния хост, където изпълняват команди и продължават сканирането на вътрешната мрежа.

Операцията също така се възползва от незащитени сървърни клъстери на 1C:Enterprise, изложени в интернет. Тъй като администрирането на клъстера не е било защитено, киберпрестъпниците са успели да се свържат с услугата за управление и да извършват административни действия, без първо да потвърждават самоличността си.

След това те са използвали специално подготвено съдържание в базата данни на 1C или външни файлове за обработка, за да накарат сървъра да изпълнява команди на операционната система.

Отделен инцидент включва мениджър на клъстер, работещ в режим на отладка (debug mode). Неговите допълнителни функции са били злоупотребени за стартиране на външни приложения, оставяйки временни командни файлове като възможен предупредителен знак.

Тези пътища на проникване приличат на рисковете при рансъмуер атаките срещу Confluence сървъри, където първоначалното компрометиране на приложението бързо се превръща в по-широк достъп до мрежата.

Задни врати, кражба на идентификационни данни и защита

След получаване на достъп Feral Wolf използва новодокументирани задни врати, които комуникират през MQTT и Matrix, заедно с прокси инструмент, който тунелира трафика през съществуваща сесия по протокола Remote Desktop Protocol (RDP).

Разчитайки на широко използвани протоколи, вместо на необичаен метод за връзка, авторът на заплахата затруднява разграничаването на командния трафик (C2) от нормалната активност. Атакуващите също така извличат оперативна памет от Windows системи с легитимни инструменти и я анализират за налични идентификационни данни.

В друг случай те се опитват да заличат доказателства, използвайки PowerShell скрипт, предназначен за премахване на криминалистични следи. Тези действия помагат на атакуващия да се придвижва между системите, ограничавайки следите, налични за екипите за реагиране на инциденти.

Организациите трябва незабавно да инсталират корекции за сигурност в Confluence, да премахнат ненужния публичен достъп и да прегледат администраторските акаунти и логовете на прокси сървърите.

Екипите, работещи с 1C, трябва да изискват надеждна автентификация за администраторите на клъстери, да държат услугите за управление извън публичния интернет и да изключат възможностите за отладка, освен ако не са от съществено значение.

Сегментирането на мрежите за бази данни и средите на Docker хостовете също намалява щетите при пробив в едно приложение. Екипите по сигурност трябва да следят за неочаквани административни промени, подозрителен изходящ трафик през разрешени протоколи, необичайна Remote Desktop активност и създаване на дъмп файлове на паметта.

Мониторингът на събития на ниво сървъри, контейнери, системи за идентичност и мрежови граници може да разкрие свързаните действия на по-ранен етап. Рискът от компрометиране на Docker хоста е особено актуален, когато компрометирана работна среда може да достигне до услуги извън нейната предвидена изолирана среда.

Разследването е напомняне, че атаките с рансъмуер рядко са резултат от единичен пропуск. Feral Wolf комбинира познати уязвимости и пропуски в конфигурацията с достъп до идентификационни данни, скрита комуникация и криптиране на данни.

Блокирането на откритите входни точки и откриването на последващото движение са еднакво важни за спиране на атаката преди нейния финален етап.

Тази дисциплина е важна, тъй като рутинните проверки могат да свържат излагането в интернет, промените в конфигурацията, поведението на администраторите, аномалната отдалечена активност и необичайния вътрешен достъп още преди да е започнало криптирането.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайното им разрешаване или създаване на хипервръзки. Възстановете ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.