Профиль преступника: Clop (TA505, FIN11, Lace Tempest)

Одна из самых опасных организованных и геораспределенных кибергрупп последних лет. За плечами — сотни успешных атак на международные компании и правительственные структуры. По некоторым данным, число жертв кибергруппировки составляет ~2 млн пользователей.

Национальная принадлежность
Предположительно связаны с Россией и СНГ. По информации от представителей Binance, часть арестованных или замороженных криптокошельков, через которые преступники проводили легализацию украденных средств, принадлежали задержанным подозреваемым из Украины.
❗️США назначили $10 млн за любую информацию, подтверждающую связь Clop с иностранным правительством.

Известные операции:
1️⃣ MOVEit Zero-Day CVE-2023-34362 (май–июнь 2023)
Масштабная эксплуатация нулевого дня в файлообменнике MOVEit. Пострадало более 130 организаций.
2️⃣ GoAnywhere MFT CVE-2024-0204 (февраль 2023)
Уязвимость в популярной платформе передачи файлов. Утечка данных из десятков компаний. Обнаружена и закрыта в 2023 году, однако опубликована позднее.
3️⃣ Accellion FTA (2021)
Clop использовала цепочку уязвимостей (CVE-2021-27101, CVE-2021-27102, CVE-2021-27103, CVE-2021-27104) в программно-аппаратном комплексе Accellion, который разворачивается в организациях для передачи большого объема данных. Среди жертв — Центробанк Новой Зеландии.

Тактики, техники, процедуры (TTP's)
Данные приведены из enterprise-версии матрицы MITRE ATT&CK.
Первичный доступ:
📎T1190 — эксплуатация уязвимостей в веб-приложениях (MOVEit, GoAnywhere, Accellion)
📎T1566 — фишинг: вложения или ссылки на загрузчики (Get2)
📎Используемые образы ВПО: SDBot, FlawedAmmyy, Cobalt Strike

Выполнение:
📎T1059 — PowerShell (T1059.001) и командная строка Windows (T1059.003)
📎T1129 — внедрение DLL-библиотек, загрузка и вызов полезной нагрузки для выполнения функций Native API (в операционных системах)

Закрепление:
📎T1505.003 — установка Web-Shell (LEMURLOOT, DEWMODE)
📎T1547.006 — модификация автозагрузки (через SDBot)

Повышение привилегий:
📎T1068 — эксплуатация уязвимостей для повышения привилегий

Уклонение от обнаружения:
📎T1055 — внедрение вредоносного кода в легитимные процессы
📎T1070 — удаление файлов-журналов и других доказательств вмешательства
📎T1574.002 — загрузка сторонних DLL с помощью легитимных приложений

Разведка и перемещение:
📎T1018 — сканирование сети
📎T1021.001 / T1021.002 — горизонтальное перемещение с помощью протоколов RDP и SMB

Сбор и эксфильтрация:
📎T1113 — создание скриншотов
📎T1074 — подготовка данных к экспорту
📎T1041 / T1567 — кража и передача данных по каналу C2 и через облачные хранилища (включая MegaUpload)

С&С:
📎T1071 — использование стандартных протоколов связи
📎T1105 — загрузка дополнительных инструментов

Ущерб и воздействие:
📎T1486 — шифрование файлов
📎T1485 — удаление исходных данных

Инструменты и вредоносное ПО
📎Truebot — первичный загрузчик, сбор системной информации, создание скриншотов, загрузка FlawedGrace или Cobalt Strike
📎FlawedGrace / FlawedAmmyy — RAT’ы для управления и сбора данных
📎SDBot — модульное вредоносное ПО, автоматизация действий
📎Cobalt Strike — доступ к сети после взлома Active Directory
📎LEMURLOOT — Web-Shell для MOVEit
📎DEWMODE — Web-Shell для Accellion

Что делать:
🔒 Немедленно обновлять уязвимые версии MOVEit, GoAnywhere, Accellion и прочих используемых внутренних файлообменников или программных комплексов для хранения/резервирования больших объемов данных.
🔒 Осуществлять непрерывный мониторинг активности в инфраструктуре на предмет наличия аномальных действий как на периметровых СЗИ, так и на конечных точках.
🔒 Обновлять и актуализировать детектирующую логику для используемых СЗИ в соответствии с появлением новых уязвимостей или образцов ВПО.
🔒 Использовать RT Protect EDR для обнаружения целенаправленных атак на конечных точках.

#ПрофильПреступника

[ВЕБИНАР] Контроль на входе: новый модуль RT Protect EDR

Уже через 30 минут стартует вебинар от РТ-ИБ, где Алексей Жуков расскажет всё об обновленной версии флагманского продукта RT Protect EDR 3.0 и его встроенных модулях: «Контроль USB» и «Антишифр».

Вас ждут:
📎Возможности продукта
📎Реальные кейсы
📎Настоящая экспертиза от руководителя Департамента сервисов и продуктов RT Protect

Подключайтесь, смотрите, задавайте вопросы!

📢 Вебинар — по ссылке!

Киберугрозы нового уровня: что значит 3 трлн событий для безопасности страны и бизнеса

По данным отчёта RT Protect, в 2024 году Центр мониторинга и реагирования на инциденты информационной безопасности RT Protect SOC зафиксировал почти 3 триллиона событий информационной безопасности. Это в два раза больше, чем в предыдущем году.

Речь идет не о гипотетических угрозах. Это целенаправленные попытки дестабилизировать работу ключевых предприятий: от промышленного оборудования до ведомственных сетей.
📎За год обработано 2,94 трлн событий
📎Системы зафиксировали 1,2 млн срабатываний
📎Ручной проверке подверглись 360 тысяч потенциальных инцидентов
📎Подтверждено 2230 атак, представляющих угрозу устойчивости систем и производственных процессов

Суть киберугроз меняется. Хакеры больше не действуют в лоб, они ведут себя как разведчики: заходят незаметно, долго наблюдают, маскируются под штатную активность, а затем атакуют точечно. В 2024 году наш SOC обработал 2,94 трлн событий, подтвердил более 2 тыс. атак и научился выявлять угрозы еще до того, как они успеют нанести вред,

— отметил Артем Сычев, первый заместитель генерального директора РТ-Информационная безопасность.

Почему это важно для всех, а не только для специалистов по ИБ
Каждое подключённое устройство, каждый аккаунт, каждое действие в цифровой среде — потенциальная точка риска.

📢 Подробнее — в материале «Известий».

Доступ открыт: отчет RT Protect SOC

Команда РТ-ИБ опубликовала отчет RT Protect SOC, ранее доступный только ограниченному кругу специалистов. Теперь каждый может ознакомиться с ключевыми данными о киберугрозах — бесплатно.

Что в отчете:
📎Ландшафт киберугроз
📎Действия APT-группировок и их тактики
📎Индикаторы компрометации
📎Статистика реальных инцидентов
📎Корреляция атак с политическими событиями

Скачивайте отчет и будьте на шаг впереди угроз 🔥

Mattel внедрит ChatGPT в игрушки

📢 Американская компания Mattel объявила о сотрудничестве с OpenAI. В ближайшее время популярные игрушки бренда получат встроенные функции искусственного интеллекта на базе ChatGPT.

Согласно заявлению компании, кукла Барби сможет поддерживать осмысленные диалоги, объяснять сложные темы и участвовать в придуманном сюжете. Машинки Hot Wheels, в свою очередь, смогут комментировать трассы, собранные ребёнком. Однако запуск таких продуктов вызывает обеспокоенность среди специалистов по информационной безопасности.

Главные опасения экспертов:
1️⃣ Для обеспечения безопасности общения с детьми Mattel и OpenAI предстоит значительно ограничить модель ИИ. Это может превратить нейросеть в статичный набор заранее запрограммированных реплик.
2️⃣ Даже при строгой фильтрации невозможно полностью исключить нежелательный контент. Понятие «уместного» остаётся субъективным, несмотря на то, что модель обучается на специализированной детской выборке.
3️⃣ ChatGPT остаётся языковой моделью, которая имитирует человеческие высказывания. Дети, особенно младшего возраста, могут воспринимать реплики ИИ как однозначную истину и не распознать ошибки или неуклюжие формулировки.
4️⃣ Игрушка — это IoT устройство с микрофоном и интернетом → хакеры могут подключаться к устройству по Wi Fi/Bluetooth, получать аудио/видео и даже отправлять сообщения ребёнку .
5️⃣ Взлом игрушки = возможность проникновения во внутреннюю домашнюю сеть (смарт ТВ, роутер) с целью кражи данных.

Mattel подчёркивает, что планирует внедрить механизмы контроля и защиты конфиденциальности. Тем не менее слишком строгие ограничения снизят ценность интерактивности, а чрезмерная свобода — может привести к нежелательным последствиям.

#Новости