Эксперты RED Security SOC и CICADA8 обнаружили хакерскую группировку, ведущую целенаправленные атаки на промышленность
Киберпреступники похищают учетные записи сотрудников предприятий, используя продвинутой фишинг. Данная группировка уже атаковала ряд крупнейших производственных организаций России.
На этапе подготовки атаки киберпреступники анализируют кадровые перестановки в компании. Они устанавливают, кто покинул компанию недавно, в каком подразделении он работал, а также находят адреса рабочей почты его коллег. На эти адреса злоумышленники направляют письма, в которых представляются HR-специалистами компании, куда якобы планирует устроиться уволившийся человек. В письме содержится просьба дать обратную связь о бывшем коллеге, для чего нужно перейти на веб-ресурс и ввести на нем логин и пароль от рабочей учетной записи, чтобы скачать форму обратной связи. Поскольку письмо содержит достоверные данные о человеке, ранее работавшем в компании, и рассылка ведется только в адрес людей, которые могли взаимодействовать с ним по рабочим вопросам, сообщение вызывает высокую степень доверия.
Ресурс, на котором сотрудник промышленного предприятия вводит логин и пароль, в режиме реального времени применяет эти данные для взлома ИТ-инфраструктуры. Если человек ввел неправильный пароль, ему автоматически выводится соответствующее сообщение. Такая механика не только повышает вероятность успеха киберпреступников, но и позволяет обойти любую техническую защиту учетных записей, включая двухфакторную аутентификацию.
Кроме того, действующие таким образом хакеры, могут моментально получить доступ в ИТ-инфраструктуру компании-жертвы и быстро развить атаку – например, с помощью вируса-шифровальщика – до того, как служба ИБ сможет принять меры реагирования.
«Целевой фишинг, таргетированный под конкретных получателей, встречается все чаще, особенно в финансовом секторе. Однако в данном случае мы также имеем дело с очень тщательной проработкой вредоносного ресурса, которая указывает на достаточно высокую квалификацию злоумышленников. Атаки с применением этого инструментария были зафиксированы исключительно в промышленном секторе, поэтому есть основания говорить о том, что мы имеем дело с политически мотивированной группировкой, имеющей целью дестабилизацию конкретной отрасли», – считает Алексей Кузнецов, CEO CICADA8.
В 2024 году в организациях промышленной сферы было зафиксировано свыше 40 тысяч инцидентов информационной безопасности. Это около трети общего объема атак, отраженных специалистами RED Security SOC за год.
Доля инцидентов высокой критичности в отрасли составила 18%. Почти половина (45%) всех атак на промышленность пришлась на выходные и праздничные дни или часы, которые традиционно являются нерабочими – с 19:00 до 09:00. При этом доля критических инцидентов в ночное время заметно возрастала: с 12% в рабочие часы компаний до 25% — в ночные.
Также аналитики RED Security SOC отмечают, что трояны и черви, используемые для атак на промышленность, чаще, чем в других отраслях имеют функциональность кражи учетных данных и шпионажа (38%) или шифрования данных (19%).
«Сфера промышленности и машиностроения является целевым направлением для шпионажа и кражи данных прогосударственными APT-группировками. С относительно недавних пор участились атаки с целью нанесения деструктивного ущерба и нарушения работы компаний,– сообщил Ильназ Гатауллин, технический руководитель центра мониторинга и реагирования на кибератаки RED Security SOC компании RED Security. — В данном случае о конечной цели злоумышленников трудно судить однозначно, поскольку атаки были выявлены и заблокированы на ранней стадии, а фишинговые домены, которые использовались в ходе атак, разделегированы. Однако злоумышленники могут продолжать создавать двойники таких ресурсов и использовать такие же или аналогичные схемы целевого фишинга. Поэтому мы рекомендуем всем организациям отрасли усилить меры защиты от фишинговых атак и повышать киберграмотность своих сотрудников».
О компаниях
CICADA8 – компания по управлению уязвимостями и цифровыми угрозами в реальном времени. Направления работы компании включают продукты и услуги по наступательной безопасности, анализу защищенности, расследованию инцидентов, анализу компрометации инфраструктуры и консалтингу.
*
RED Security – открытая экосистема ИБ-решений и экспертизы для комплексной защиты бизнеса. Портфель RED Security включает сервисы центра мониторинга и реагирования на кибератаки RED Security SOC, сервисы по защите от DDoS-атак (Anti-DDoS) и атак на веб-приложения (WAF), сервисы шифрования каналов связи по ГОСТ (ГОСТ VPN), многофакторной аутентификации (MFA) и повышения киберграмотности пользователей (Security Awareness), а также сервис по защите веб-сайтов и API от ботов (Antibot).
