Атакуващи пробиха европейска банка през шлюз на трета страна и се прицелиха в WSUS сървър

Европейска банка стана жертва на пробив през слабо защитен шлюз, управляван от трета страна, след което атакуващ се опита да експлоатира нейната инфраструктура за Windows Server Update Services (WSUS).

Случаят показва как откраднати данни за вход и слаб контрол на достъпа могат да изложат на риск централните софтуерни системи на банка без сложна верига от атаки.

Екипът по сигурност на банката разкри неоторизирани опити за VPN достъп, продължили няколко месеца, след като забеляза необичайна активност в централната си ИТ система.

Разследващите проследиха проникването до външен шлюз, управляван от трета страна, където строгата автентикация не е била правилно приложена.

Изследователи от Unit 42 идентифицираха проникването и опита за изпълнение на код, но в доклада им не се споменава конкретно семейство зловреден софтуер.

Публикуваното на 13 октомври 2026 г. разследване описва опортюнистичен атакуващ, чиито шумни действия разкриват базови пропуски в сигурността, а не потвърдена операция за усъвършенстван шпионаж.

Атакуващи пробиха европейска банка

Атакуващият е използвал компрометирани идентификационни данни, за да се впише във вътрешните системи през шлюза. Unit 42 не посочва производителя на устройството, нито обяснява как тези данни са били придобити първоначално.

Потвърдената входна точка е слаба автентикация на управляваното от външна страна устройство, а не оповестена софтуерна експлоатация на шлюза. Това разграничение е важно, тъй като валидните профили могат да осигурят достъп на натрапника, без да е необходима нова уязвимост.

Предишни доклади за brute-force атаки срещу VPN описват отделни инциденти със слаби пароли и устройства без многофакторна автентикация, което показва защо настройките за отдалечен достъп изискват внимателен преглед. Тези инциденти не са свързани с въпросната банка.

След като проникнал вътре, натрапникът многократно сканирал хостове и мрежи чрез различни протоколи, осъществявайки взаимодействие с хиляди системи.

Вместо тихо да следва една тясна пътека, атакуващият търсил мащабно допълнителни възможности за придобиване на достъп. Според Unit 42 обемът на сканиране и използването на стандартни системни идентификатори показват слаб стремеж за прикриване.

В продължение на няколко месеца атакуващият е провеждал и многократни кампании за отгатване на пароли срещу вътрешните системи, като основен фокус са били администраторските акаунти.

Тези опити са имали за цел придобиване на допълнителен достъп, докато натрапникът е проучвал средата. Отделни анализи на автоматизирани атаки за влизане във VPN показват как многократното тестване на идентификационни данни може да застраши услугите за отдалечен достъп, въпреки че докладваното отгатване на пароли в банката се е извършвало вътрешно.

Активността надхвърляла опитите за вход. Автоматизирани уеб заявки са извличали вътрешни страници и прикачени файлове, докато атакуващият е претърсвал оперативни и мрежови споделени ресурси.

Това е изложило на риск документация по време на проникването. В доклада обаче не се посочва обемът на откраднатите данни, не се идентифицират засегнати клиенти, нито се потвърждава, че са били отнети банкови записи на клиенти.

Опитът за експлоатация на WSUS е спрян

По-късно атакуващият се прицелил в уязвимост за отдалечено изпълнение на код в WSUS на централния сървър за управление на конфигурациите в банката.

Този сървър е управлявал разпространението на софтуер в цялата организация, което го прави привлекателна мишена за придобиване на по-високи привилегии и траен достъп. Контролът върху такава централна услуга би могъл да разшири въздействието на инцидента.

От Unit 42 не разкриват CVE идентификатора на уязвимостта. Въпреки че отделни доклади за активна експлоатация на уязвимости в WSUS разглеждат CVE-2025-59287, въз основа на публикуваните доказателства този идентификатор не може да бъде приписан на инцидента с банката.

Разграничаването на тези случаи предотвратява превръщането на свързан технически риск в непотвърдено заключение. Cortex XDR засече опита за изпълнение на неоторизиран код и локализира заплахата, преди тя да ескалира.

Unit 42 съобщи, че на атакуващия е било попречено да установи постоянен достъп или да се разпространи допълнително в мрежата. Това овладяване е последвало по-ранните сканирания, опити за автентикация и достъп до вътрешна документация; то не е предотвратило първоначалния пробив.

Екипът за реагиране при инциденти е прегледал записите от крайните точки на хиляди системи и журналите от десетки Windows и Linux сървъри. Не е открито допълнително присъствие на атакуващия или скрити вратички (backdoors) за постоянен достъп.

Ръководството на банката прегледа изложената документация и смени всички компрометирани идентификационни данни. Банката също така разшири обхвата на Cortex XDR и Cortex XSIAM и поддръжката за реагиране при инциденти.

Разследването подчертава автентикацията, навременното инсталиране на корекции за сигурност и засичането на ниво крайни точки като основни предпазни мерки. Управлението от трета страна не е премахнало излагането на риск на банката поради слаба конфигурация на шлюза, докато овладяването на инцидента и последващото търсене на заплахи са помогнали за ограничаване на щетите.

Урокът за екипите по сигурност е да преглеждат достъпа, управляван от външни доставчици, със същото внимание като вътрешните системи. Докладът призовава за строг контрол на идентичността, навременни обновления и мониторинг на крайните точки. Съвместната проверка на тези мерки за контрол е важна, тъй като в противен случай валиден вход може да превърне външен шлюз във вътрешен достъп.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (defanged, напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановявайте ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.