Новая хак-группа Moses Staff атаковала израильские организации, взломала их сети, зашифровала данные, а затем отказалась вести переговоры о выплате выкупа. ИБ-исследователи считают, что это были политически мотивированные и нарочно деструктивные атаки.
Впервые обнаруженная в начале октября 2021 года, Moses Staff является третьей группировкой, атаковавшей исключительно израильские организации в последние месяцы (ранее аналогичный почерк демонстрировали группы Pay2Key и Black Shadow).
Однако, согласно отчету компании Check Point, хакеры из Moses Staff ведут себя не так, как их предшественники. Они даже не пытаются замаскировать свои атаки и последующие «сливы» данных под атаки программ вымогателей, вместо этого хакеры открыто заявляют, что их атаки имеют политическую подоплеку.
Согласно сообщению, размещенному на даркнет-сайте группы, Moses Staff о атакует израильский сионистский режим, поддерживая таким образом оккупированные палестинские территории. Именно по этой причине хакеры шифровали, а затем «сливали» данные жертв, даже не пытаясь получить выкуп.
По словам исследователей Check Point, у которых была возможность изучить прошлые атаки группы, Moses Staff действует по следующим схемам:
- группа взламывает сети жертв, используя старые уязвимости, которые не были исправлены;
- прошлые атаки были связаны с уязвимыми серверами Microsoft Exchange;
- после взлома системы группа использует такие инструменты, как PsExec, WMIC и Powershell;
- хакеры крадут конфиденциальную информацию из сетей жертв перед шифрованием данных;
- Moses Staff обычно развертывает опенсорсную библиотеку DiskCryptor для шифрования томов и блокировки компьютеров жертв с помощью загрузчика, который не позволяет машинам загружаться без правильного пароля (даже если указан правильный пароль, данные после загрузки системы все равно останутся зашифрованы);
- исследователи считают, что boot-пароль и ключ шифрования могут быть восстановлены при определенных обстоятельствах;
- у хакеров есть канал в Telegram и аккаунт в Twitter, где они объявляют о новых атаках и «сливах» данных, которые также публикуют на своем сайте.
Исследователи Check Point пока не связывают группировку с какой-то конкретной страной, однако отмечают, что некоторые образцы малвари Moses Staff были загружены на VirusTotal с IP-адресов в Палестине (за несколько месяцев до первой атаки группы).
На данный момент на сайте Moses Staff обнародована информация 16 жертв, в которую входят данные и документы объемом более 34 терабайт.
