Угроза из тени: хакеры месяцами контролировали инфраструктуру разработчика ПО
Представьте себе ситуацию, когда незваные гости не просто входят в ваш дом, но и живут там несколько месяцев, меняя замки и наблюдая за каждым шагом хозяев. Именно это произошло с одной крупной компанией-разработчиком программного обеспечения. Злоумышленники долго и методично контролировали ключевые системы организации, и их главная цель, как выяснилось позже, могла стать настоящей бедой для всего рынка - атака на цепочку поставок.
Сигналом тревоги стали не типичные взломы, а странная активность в сети. Представители компании сами заметили подозрительные попытки подключений от имени учетных записей, которые по логике вещей никогда не должны были обращаться к системам администраторов. Это вызвало обоснованную тревогу, и эксперты Kaspersky ICS CERT были незамедлительно привлечены к делу.
Работа началась с полной мобилизации сил. Уже в первый день анализа специалисты «Лаборатории Касперского» обнаружили отпечатки пальцев известной преступной группы BO Team. Оказалось, что масштаб вторжения был колоссальным: атакующие захватили практически всю критическую цифровую инфраструктуру.
- Почтовые серверы и системы резервного копирования;
- Сетевое оборудование и гипервизоры;
- Доменные контроллеры и системы управления ИБ;
- Репозиторий с исходным кодом и сервер подписания сборок.
Последний пункт особенно пугает. Получив доступ к серверу подписания, злоумышленники могли незаметно внедрить вредоносный код в легитимные продукты. Это ставило под угрозу безопасность организаций по всему миру, использующих ПО атакованной компании.
Хищная тактика: минимум шума, максимум ущерба
Что особенно впечатляет (и пугает) в действиях группы BO Team - это их осторожность. Вместо громкого использования сложных вирусов, хакеры предпочитали «тишину». Они активно использовали штатные системные утилиты для кражи данных и развития атаки, маскировали вредоносные файлы под компоненты операционной системы, стирали журналы событий и даже изменяли временные метки файлов. Их задача была проста: остаться невидимыми как можно дольше.
Контратака и фишинг с «золотым ключом»
Эксперты Касперского оперативно помогли компании отсечь атакующих. Однако злоумышленники не сдавались. В попытках вернуть доступ они пошли на хитрый ход: отправили сотрудникам фишинговые письма, подписанные украденным закрытым ключом DKIM (технология аутентификации электронной почты) с почтового сервера компании.
Это позволило им частично обойти защитные механизмы. Но, к счастью для всех, рассылка была обнаружена вовремя - утечка учетных данных не произошла. Более того, специалисты Касперского развернули тестовые стенды, имитирующие инфраструктуру жертвы. Этот шаг оказался гениальным: он позволил отслеживать дальнейшие действия хакеров и собрать еще больше доказательств их методов работы.
«По нашей оценке, конечной целью группы могла быть атака на клиентов и контрагентов организации - в том числе через внедрение вредоносного кода в разрабатываемые продукты. По всей видимости, угрозу удалось нейтрализовать. Этот случай наглядно показывает, насколько важно сосредоточить усилия на защите разработчиков программных продуктов и производителей программно-аппаратных комплексов», - отметил Евгений Гончаров, руководитель Kaspersky ICS CERT.
Фото: Unsplash