Федералы: остерегайтесь атак программ-вымогателей AvosLocker на критически важную инфраструктуру

На этой неделе власти США выпустили предупреждение о потенциальных кибератаках на критически важную инфраструктуру в результате операции «программы-вымогатели как услуга» (RaaS) AvosLocker.

In совместная консультация по безопасностиАгентство инфраструктуры и безопасности кибербезопасности (CISA) и ФБР предупредили, что AvosLocker атаковал несколько критически важных отраслей в США еще в мае, используя широкий спектр тактик, методов и процедур (TTP), в том числе двойное вымогательство и использование проверенного собственного программного обеспечения с открытым исходным кодом.

Рекомендация AvosLocker была выпущена на фоне рост атак программ-вымогателей в нескольких секторах. В отчет опубликован 13 октябряКомпания Corvus, занимающаяся киберстрахованием, обнаружила почти 80-процентное увеличение количества атак с использованием программ-вымогателей по сравнению с прошлым годом, а также более чем 5-процентное увеличение активности по сравнению с предыдущим месяцем в сентябре.

Что нужно знать о группе программ-вымогателей AvosLocker

AvosLocker не делает различий между операционными системами. На данный момент он скомпрометировал Windows, Linux, и среды VMWare ESXi в целевых организациях.

Пожалуй, наиболее примечательно то, сколько законных инструментов с открытым исходным кодом он использует для компрометации жертв. К ним относятся RMM, такие как AnyDesk, для удаленного доступа, Chisel для сетевого туннелирования, Cobalt Strike для управления и контроля (C2), Mimikatz для кражи учетных данных, файловый архиватор 7zip и многое другое.

Группа также любит использовать тактику «жизни за пределами земли» (LotL), используя собственные инструменты и функции Windows, такие как Notepad++, PsExec и Nltest, для выполнения действий на удаленных хостах.

ФБР также заметило, что филиалы AvosLocker используют специальные веб-оболочки для обеспечения доступа к сети, а также запускают сценарии PowerShell и bash для горизонтального перемещения, повышения привилегий и отключения антивирусного программного обеспечения. И всего несколько недель назад агентство предупредило, что хакеры дважды обманули: совместное использование AvosLocker и других разновидностей программ-вымогателей для одурения своих жертв.

После компрометации AvosLocker одновременно блокирует и удаляет файлы, чтобы обеспечить возможность последующего вымогательства, если жертва не желает сотрудничать.

«Честно говоря, все это примерно то же самое, что мы наблюдали в течение последнего года или около того», — говорит Райан Белл, менеджер по разведке угроз в Corvus, об AvosLocker и TTP других групп RaaS. «Но они становятся все более смертоносными. Со временем они становятся лучше, быстрее и быстрее».

Что компании могут сделать для защиты от программ-вымогателей

Для защиты от AvosLocker и ему подобных CISA предоставила длинный список способов, которыми поставщики критически важной инфраструктуры могут защитить себя, включая внедрение стандартных передовых методов кибербезопасности, таких как сегментация сети, многофакторная аутентификация и планы восстановления. CISA добавила более конкретные ограничения, такие как ограничение или отключение служб удаленного рабочего стола, служб общего доступа к файлам и принтерам, а также действий и разрешений командной строки и сценариев.

Организациям было бы разумно принять меры прямо сейчас, поскольку группы вымогателей будут становиться только более плодовитыми в последующие месяцы.

«Обычно группы, занимающиеся вымогательством, берут небольшой летний отпуск. Мы забываем, что они тоже люди», — говорит Белл, ссылаясь на снижение количества программ-вымогателей за последние месяцы. По его словам, сентябрьский рост числа кибератак с использованием программ-вымогателей составил 5.12% - это канарейка в угольной шахте.

«Они увеличат количество атак в четвертом квартале. Обычно это самый высокий показатель, который мы наблюдаем в течение года, как в 2022, так и в 2021 году, и мы видим, что это справедливо даже сейчас», — предупреждает он. «Дела определенно растут по всем направлениям».

• SEO-контент и PR-распределение. Получите усиление сегодня.
• PlatoData.Network Вертикальный генеративный ИИ. Расширьте возможности себя. Доступ здесь.
• ПлатонАйСтрим. Интеллект Web3. Расширение знаний. Доступ здесь.
• ПлатонЭСГ. Углерод, чистые технологии, Энергия, Окружающая среда, Солнечная, Управление отходами. Доступ здесь.
• ПлатонЗдоровье. Биотехнологии и клинические исследования. Доступ здесь.
• Источник: https://www.darkreading.com/ics-ot/feds-beware-avoslocker-ransomware-attacks-critical-infrastructure