В начале 2021 года злоумышленники провели серию атак с использованием шифровальщика Cring. Об этих атаках упоминали исследователи Swisscom CSIRT, однако не было известно, как именно шифровальщик попадает в сеть организаций. Расследование инцидента, проведенное экспертами Kaspersky ICS CERT на одном из атакованных предприятий, выявило, что в атаках используется уязвимость в VPN-серверах Fortigate.
Среди жертв злоумышленников оказались промышленные предприятия в странах Европы. По крайней мере в одном из случаев атака шифровальщика привела к временной остановке производства на двух итальянских заводах международного промышленного холдинга с головной организацией в Германии.
В серии атак злоумышленники эксплуатировали уязвимость CVE-2018-13379 в VPN-серверах Fortigate для получения первоначального доступа к сети предприятия. Эта уязвимость позволяет неаутентифицированному злоумышленнику подключиться к устройству и удаленно получить доступ к файлу сеанса, который содержит имя пользователя и пароль в открытом виде. Проблема была исправлена производителем в 2019 году, но обновления по-прежнему установили не все. Осенью 2020 в даркнете начали появляться предложения о покупке базы IP-адресов уязвимых устройств.
В ходе расследования выяснилось: за некоторое время до начала основной фазы атаки злоумышленники выполнили тестовые подключения к VPN-шлюзу, видимо, чтобы убедиться, что украденные в ходе атаки на VPN-сервер данные аутентификации остаются актуальными. В день атаки, получив доступ к первой системе в корпоративной сети, операторы Cring использовали Mimikatz для кражи учетных записей пользователей Windows, ранее выполнивших вход на скомпрометированном компьютере. С ее помощью злоумышленникам посчастливилось сразу украсть учетные данные доменного администратора.
После непродолжительной разведки злоумышленники выбрали несколько систем, которые сочли важными для функционирования промышленного предприятия, и сразу загрузили и запустили на них шифровальщик Cring.
«Различные детали атаки указывают, что злоумышленники тщательно изучили инфраструктуру атакуемой организации, после чего подготовили свой инструментарий с учетом информации, собранной на этапе разведки. Например, скрипты злоумышленников маскировали активность вредоносного ПО под работу защитного решения, используемого на предприятии, и завершали процессы серверов баз данных (Microsoft SQL Server) и систем резервного копирования (Veeam), используемых на системах, которые были выбраны для шифрования. Анализ действий злоумышленников показывает, что в результате изучения сети атакуемой организации для шифрования были выбраны серверы, потеря доступа к которым, по мнению злоумышленников, могла нанести максимальный ущерб работе предприятия», — комментирует Вячеслав Копейцев, старший эксперт Kaspersky ICS CERT.
