Изследователи по киберсигурност предупредиха, че киберпрестъпници използват идентификационни данни за VPN за първоначален достъп и внедряват RMM инструменти.
Изследователи по сигурността предупреждават, че новооткрит вариант на ransomware, наречен Settra, насочва атаките си към среди на виртуални частни мрежи (VPN) или използва компрометирани идентификационни данни за първоначален достъп, преди да внедри инструменти за отдалечен мониторинг и управление (RMM) с цел осигуряване на траен достъп в атакуваните среди.
Изследователи от Huntress са наблюдавали две конкретни атаки през последните месеци, включително инцидент през юли в организация от сектора на потребителските услуги и търговията на дребно и инцидент през септември в производствена фирма, се казва в публикация в блога на компанията, публикувана в четвъртък.
„Атакуващите могат да бъдат описани по-скоро като умели, отколкото като изключително сложни“, заявява Линдси О’Донъл-Уелч, главен автор за ангажираност на техническата общност в Huntress. „Те използваха ефективни, утвърдени похвати за ransomware атаки: MeshAgent за осигуряване на траен достъп, уязвим драйвер за потенциално забавяне на защитите, изтриване на логове и манипулиране на възстановяването.“
Изследователи от MoxFive заявиха, че авторите на заплахата зад Settra са използвали компрометирани VPN данни за достъп, за да получат първоначален вход, и са публикували множество организации-жертви на своя сайт за изнудване. Групата твърди, че се насочва към организации с уязвимости, които могат да бъдат експлоатирани, като например системи без инсталирани корекции за сигурност или лошо управление на достъпа, се посочва в публикация в блога на MoxFive.
По време и на двете атаки киберпрестъпниците са използвали изпълними файлове за ransomware със същото име като домейна на засегнатата организация. От Huntress съобщават, че при първия инцидент организацията е била съществуващ клиент, а при инцидента през септември фирмата за сигурност е инсталирала агент по средата на ескалацията на атаката. Въпреки това Huntress не успя да потвърди метода за първоначален достъп и в двата случая.
По време на атаката през юли Huntress отбеляза използването на RMM инструмента MeshAgent. Той е бил преименуван на mvtcs.exe, който е водил към адрес за управление и контрол (C2). Изпълнимият файл на ransomware е бил стартиран на следващия ден, според Huntress. Файловете са били криптирани и преименувани, преди атакуващият да изпрати бележка с искане за откуп.
Атакуващите са предприели няколко стъпки, за да заличят следите си, включително изтриване на дневниците със събития на Windows (Windows Event Logs), деактивиране на средата за възстановяване на Windows (Windows Recovery Environment) и премахване на дял за възстановяване.
По време на инцидента през септември Huntress откри доказателства, че киберпрестъпниците са използвали тактиката „bring your own vulnerable driver“ (BYOVD) с цел да засегнат инсталираните инструменти за сигурност. Изпълнимият файл на ransomware също е съдържал команди, предназначени да деактивират опциите за възстановяване и да изтрият редица дневници със събития на Windows.