Специалисты Group-IB выпустили аналитический отчет  «OldGremlin. Анализ атак группы вымогателей, нацеленных на российский бизнес», посвященный атакам русскоязычной хак-группы OldGremlin. На данный момент OldGremlin атакует исключительно российские цели, однако исследователи считают, что аппетиты группировки потенциально могут иметь более широкую географию.

Всего за два с половиной года хакеры провели 16 вредоносных кампаний с целью получения выкупа за расшифровку данных. К тому же вымогатели второй год подряд бьют рекорды: если в 2021 году группа требовала у жертвы 250 млн рублей за восстановление доступа к данным, то в 2022 году ценник поднялся до 1 миллиарда рублей.

Эксперты рассказывают, что, несмотря на молниеносный рост угрозы атак шифровальщиков на международном рынке, бизнес в России долгое время считал себя непривлекательной целью для этой угрозы. Однако в 2021 год опроверг это устоявшееся мнение: тогда количество кибератак вымогателей на российские компании увеличилось более чем на 200%. Одним из заметных и наиболее «жадных» вымогателей, атакующим на данный момент исключительно российские компании стала группа OldGremlin (она же TinyScouts).

Впервые активность OldGremlin была обнаружена в марте 2020 года и подробно описана в сентябре 2020 года. За прошедшие два с половиной года OldGremlin, по данным Group-IB, провели 16 кампаний по рассылке вредоносных писем по российским организациям.

Как видно на иллюстрации выше, самым насыщенным для «гремлинов» стал 2020 год — вымогатели отправили десять рассылок якобы от имени микрофинансовых организаций, металлургического холдинга, белорусского завода «МТЗ», а также медиахолдинга РБК.

В 2021 году была проведена всего одна, но крайне успешная кампания от имени «Ассоциации интернет-торговли», в 2022 году — уже пять — от лица сервисов «Консультант Плюс», «1С-Битрикс», платежной системы и так далее.

Аналитики пишут, что рассылки OldGremlin четко нацелены на определенные отрасли. Среди жертв группировки банки, логистические, промышленные и страховые компании, а также ритейлеры, девелоперы, компании, специализирующиеся на разработке программного обеспечения. В 2020 году группа атаковала даже один из оружейных заводов России.

По оценкам экспертов, средняя сумма требуемого выкупа OldGremlin составляет около 100 млн рублей, а максимальная сумма требуемого выкупа — это рекорд по России в 2022 году — достигла 1 миллиарда рублей.

Отмечается, что в отличии от других групп вымогателей, которые «охотятся» на крупные цели, после проведения успешной атаки участники OldGremlin могут позволить себе длительные отпуска.

Как и большинство «классических» вымогателей, специализирующихся на атаках на корпоративные сети, для получения первоначального доступа участники OldGremlin используют фишинговые письма. Актуальная повестка и тема этих рассылок (пандемия, удаленная работа, антироссийские санкции) в сочетании с качественно подготовленным текстом писем в виде запроса на интервью, коммерческого предложения или финансового документа, позволяла злоумышленникам без особого труда заставить получателей перейти по ссылкам и загрузить вредоносные файлы. Массовый характер рассылок позволял атакующим скомпрометировать рабочие станции сразу несколько сотрудников, что упрощало развитие атаки внутри сети жертвы.

Хотя в основном OldGremlin нацелены на корпоративные сети под управлением Windows, последние атаки показали, что в их арсенале есть и вымогатель, разработанный для Linux.

Кроме того, хакеры следят за последними трендами в области кибербезопасности и смешивают новые уязвимости и методы проведения атак с проверенными временем инструментами, например, Cobalt Strike и опенсорсными проектами (например, PowerSploit). В качестве способа повышения привилегий была выявлена эксплуатация уязвимостей в Cisco AnyConnect. Отчет гласит, что для своих атак группировка разработала целый Tiny-framework и активно развивала его от кампании к кампании.

Отмечается, что в среднем  OldGremlin проводят в сети жертвы 49 дней перед тем, как развернуть вымогатель, что делает актуальными не только реактивные, но и проактивные методы обнаружения киберугроз, отсекающие возможность заражения шифровальщиком через канал электронной почты и так далее.

«По нашим данным, на счету OldGremlin почти два десятка атак с многомиллионными выкупами, причем в качестве жертв атакующие выбирают все более крупные корпорации, — замечает Иван Писарев, руководитель отдела динамического анализа Group-IB Threat Intelligence. — Несмотря на то, что пока география атакованных OldGremlin организаций ограничивается Россией, мы полагаем, что не стоит их недооценивать: многие русскоязычные преступные группировки, начав свою деятельность на постсоветском пространстве постепенно переключались на международные цели».

Подписаться
Уведомить о
0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии