Бивш инфраструктурен инженер бе осъден на 32 месеца във федерален затвор за саботаж на Windows мрежата на своя работодател и изнудване за откуп в криптовалута.
Даниел Райн, на 59 години, от Канзас Сити, Мисури, получи присъдата си на 28 септември 2026 г. във федералния съд в Трентън. Райн по-рано се призна за виновен по обвинения в изнудване, свързано със заплахи за увреждане на защитена компютърна система, и в умишлено нанасяне на щети на защитена компютърна система.
Федералният съдия Майкъл А. Шип наложи присъдата, след като Райн призна, че е атакувал неназована промишлена компания със седалище в Ню Джърси.
Райн е работил като главен инфраструктурен инженер и е заемал позицията на специалист по хостинг на виртуални машини в компанията. Според наказателното постановление разследващите са проследили злонамерената дейност до неоторизирана виртуална машина, създадена в мрежата на компанията на 9 ноември 2023 г.
Скритата машина се превърнала в трамплин към домейн контролера на компанията, който управлявал автентикацията в мрежата. Разследващите установили, че чрез нея неколкократно е осъществяван достъп до легитимен профил на домейн администратор чрез сесии за отдалечен работен плот между 10 и 25 ноември 2023 г.
Бивш инфраструктурен инженер е осъден
На 25 ноември, започвайки около 8:12 сутринта, администраторският профил е създал приблизително 16 неоторизирани планирани задачи (scheduled tasks). Шест от тях са били конфигурирани да се изпълнят същия следобед, изтривайки 13 профила на домейн администратори и променяйки паролите за 301 профила на потребители в домейна.
Останалите задачи са били настроени да изключат десетки сървъри, започвайки от 3 декември. Атаката е използвала стандартни инструменти за администрация на Windows, вместо описан криптиращ зловреден код.
Служебната програма „net user“ е извършила промените по профилите в домейна, докато инструментът Sysinternals PsPasswd на Microsoft е променил локалните администраторски пароли. Тези промени на локални идентификационни данни са засегнали профили на 254 сървъра и 3284 работни станции.
Около 16:00 ч. на 25 ноември администраторите са започнали да получават известия за нулиране на пароли. Впоследствие те са открили, че други профили на домейн администратори са били изтрити, което им е отнело администраторския достъп до мрежата.
Около 44 минути по-късно служителите са получили външен имейл със заглавие „Your Network Has Been Penetrated“. В него се изисквал откуп от 20 биткойна (на стойност около 750 000 долара по онова време) със краен срок за плащане 2 декември 2023 г.
Съобщението съдържало заплаха за ежедневно изключване на 40 произволни сървъра в продължение на 10 дни, ако компанията не плати. В него също така се твърдяло, че резервните копия (backups) са били изтрити.
Въпреки това в постановлението изтриването на резервните копия се описва като твърдение в имейла за откуп, а не като отделно потвърдена криминалистична констатация.
Разследващите са свързали скритата виртуална машина с назначения на Райн лаптоп и потребителски профил. Записите за физически достъп и видеокамерите за наблюдение са го поставили в централата на компанията малко преди съответните влизания от лаптопа и последващия достъп до виртуалната машина.
Отдалечените връзки също така са произхождали от IP адрес, заделен за неговото жилище. В сутринта на атаката разследващите са възстановили последователност, свързваща влизането от неговия лаптоп, връзката от домашната му мрежа, достъпа до скритата виртуална машина и сесията през отдалечен работен плот към домейн контролера.
Друга връзка е била повторната употреба на пароли. Скритата виртуална машина, променените профили в домейна и профилът на имейла за изнудване са споделяли една и съща парола „TheFr0zenCrew!“. Разследващите са открили и свързани търсения за промяна на пароли, изтриване на профили, отдалечено изключване и изчистване на Windows логове.
Спира заплахите преди въздействие с 21 минути по-бързо MTTR. Интегрирайте изолираната среда (Sandbox) на ANYRUN във вашия SOC