Обнаружена серия целевых кибератак на промышленные предприятия

Во время атак применялось более 15 вредоносных имплантов для кражи данных — сообщает Бизнес Волгограда

«Лаборатория Касперского» завершила расследование серии кибератак на промышленные предприятия в Восточной Европе. Злоумышленники использовали продвинутые тактики, методы и процедуры (TTPs), чтобы скомпрометировать предприятия производственного сектора, а также занимающиеся инжинирингом и интеграцией автоматизированных систем управления (АСУ).

Злоумышленники стремились обойти защитные решения и использовали более 15 имплантов, чтобы получить доступ к данным организаций, в том числе из изолированных частей инфраструктуры.

Специалисты «Лаборатории Касперского» выяснили, что эта серия целевых атак была направлена на создание постоянного канала кражи данных, в том числе из изолированных от внешнего мира систем. По ряду признаков эта вредоносная кампания похожа на ранее исследованные атаки ExCone и DexCone, которые предположительно связаны с группой APT31, также известной как Judgment Panda и Zirconium. Злоумышленники продемонстрировали обширные знания и опыт в обходе мер безопасности, отмечает пресс-служба защитного сервиса.

Инструментарий и тактики атакующих

Злоумышленники активно использовали техники DLL-подмены, чтобы избегать обнаружения во время работы имплантов. DLL-подмена подразумевает использование легитимных исполняемых файлов сторонних разработчиков, в которых есть уязвимости, позволяющие загрузить в их память вредоносную динамическую библиотеку.

Для эксфильтрации данных и доставки вредоносного ПО использовались облачные сервисы для хранения информации и платформы для обмена файлами. Злоумышленники развёртывали инфраструктуру управления и контроля (C2) скомпрометированных систем в облачной платформе и на частных виртуальных серверах.

Также в атаках использовались новые версии вредоносного ПО FourteenHi. Впервые оно было обнаружено в 2021 году в ходе кампании ExCone, которая была нацелена на госучреждения. Годом позже появились новые варианты программ этого семейства. Они использовались в атаках на промышленные организации.

Кроме того, в ходе расследования был обнаружен новый имплант, который получил название MeatBall. Он предоставлял обширные возможности для удалённого доступа.

Другая отличительная особенность — то, что атакующие копировали данные из изолированных компьютерных сетей через последовательное заражение съёмных носителей. Это не новая тактика, однако в данном случае её реализация, по мнению специалистов, оказалась оригинальной и эффективной. Она включала как минимум четыре различных модуля:

  • модуль работы со съёмными носителями и сбором информации о них;
  • модуль заражения съёмного носителя;
  • модуль сбора и сохранения данных на заражённом носителе;
  • модуль заражения и сбора информации с удалённого компьютера.

Комментарий

«Нельзя недооценивать серьёзность последствий целевых атак на промышленный сектор.
Факт, что злоумышленники находят способы добраться до наиболее защищённых систем промышленных предприятий, говорит о том, насколько важно следовать лучшим практикам обеспечения кибербезопасности, включая обучение сотрудников, получение, анализ и правильное использование информации об актуальных угрозах, внедрение специализированных решений для защиты промышленной инфраструктуры», — комментирует Кирилл Круглов, старший разработчик-исследователь в Kaspersky ICS CERT.

Ознакомиться с подробным отчётом команды исследователей Kaspersky ICS CERT можно на сайте ics-cert.kaspersky.ru/.

Защита

Для защиты АСУ ТП от киберугроз, специалисты рекомендуют:

  • регулярно проводить оценку безопасности OT-систем, чтобы выявить и устранить возможные проблемы;
  • предоставлять специалистам, ответственным за защиту АСУ, современные средства аналитики киберугроз. Сервис ICS Threat Intelligence Reporting аккумулирует данные о текущих киберугрозах и векторах атак, а также о наиболее уязвимых элементах ОТ и о том, как повысить их устойчивость к атакам;
  • использовать интегрированные защитные решения, такие как промышленная XDR-платформа Kaspersky Industrial CyberSecurity c возможностями обнаружения и автоматизированного реагирования на разнообразные угрозы системам технологической сети;
  • проводить тренинги для ИБ-специалистов и технических специалистов всех профилей, занятых на различных производственных участках предприятия и имеющих доступ к автоматизированным системам, чтобы предотвращать и своевременно обнаруживать инциденты компьютерной безопасности и улучшать качество противодействия различным, в том числе новым и продвинутым, техникам и тактикам атакующих.

Смотрите также:

За последние три месяца, камышинские производители нефтегазового оборудования, предприятие «РИВЭЛЛ» провели оптимизацию производства регулирующей арматуры с помощью бережливого подхода. По иинформациии…

Отмечен рекордный рост использования отечественных алюминиевых порошков, что открывает новую страницу в российском медицинском протезировании Компания РУСАЛ, один из гигантов металлургической…

Волгоградская область готовится к началу весенних полевых работ, сообщает пресс-служба администрации Волгоградской области Губернатор Андрей Бочаров провел оперативное совещание, где обсуждались…

Цифровизация медицинских услуг набирает обороты в Волгоградской области Региональный телемедицинскиий центр оказал уже более 200 квалифицированных консультаций за первые полтора месяца…