Что произошло

Специалисты центра исследования безопасности промышленных систем Kaspersky ICS CERT расследовали и помогли остановить многомесячную целевую атаку на компанию-разработчика программного обеспечения из России. Тревогу забили сами администраторы организации: на машинах системных администраторов фиксировались попытки подключений от имени учётных записей, которые вообще не должны были обращаться к этим системам. Уже в первый день анализа эксперты обнаружили признаки активности группы BO Team.

К этому моменту атакующие захватили практически все ключевые элементы цифровой инфраструктуры: почтовые серверы, системы резервного копирования, сетевое оборудование, гипервизоры, доменные контроллеры и системы управления средствами защиты. Особо критичным стал доступ к репозиторию исходного кода и серверу подписи сборок — он позволял незаметно встроить вредоносный код в готовые дистрибутивы. По оценке «Лаборатории Касперского», конечной целью была атака на клиентов и контрагентов разработчика: продуктами компании пользуются организации в разных странах. Угрозу удалось нейтрализовать до достижения злоумышленниками финальной цели.

Как действовали атакующие

  • Минимум вредоносного ПО. Вместо троянов группа использовала легитимные системные утилиты для кражи учётных данных и развития атаки — такой трафик тяжело отделить от обычной работы администраторов.
  • Маскировка и уничтожение следов. Вредоносные файлы выдавались за компоненты операционной системы, журналы событий удалялись, временные метки подменялись.
  • Фишинг с украденным ключом DKIM. Лишившись доступа по рекомендациям экспертов, преступники попытались его восстановить: сотрудникам компании пришли письма, подписанные ранее украденным закрытым ключом почтового сервера. Рассылку вовремя обнаружили — утечки учётных данных не произошло.
  • Ответная разведка. Специалисты подготовили тестовые стенды, имитирующие инфраструктуру компании, что позволило отследить дальнейшие действия группы и изучить её методы.

Термины простыми словами

DKIM — механизм аутентификации электронной почты: сервер подписывает исходящие письма закрытым ключом, а получатели проверяют подпись. Украденный ключ позволяет преступникам рассылать письма, которые технически выглядят как настоящие письма компании.

Атака на цепочку поставок (supply chain) — проникновение не к конечным жертвам, а к поставщику ПО, чтобы через его доверенные продукты и обновления распространить вредоносный код среди всех клиентов поставщика.

Почему это актуально

Случай хорошо иллюстрирует новую реальность рынка: чем активнее госструктуры и критическая информационная инфраструктура переходят на отечественное ПО, тем привлекательнее становятся репозитории и сборки российских вендоров как единая точка влияния на сотни организаций-потребителей. Эксперты «Лаборатории Касперского» подчёркивают: усилия нужно сосредоточивать именно на защите разработчиков ПО и производителей программно-аппаратных комплексов.

В качестве системных мер рекомендуются: решения класса APT (Kaspersky Anti Targeted Attack Platform) и EDR для конечных устройств, централизованный мониторинг через SIEM (KUMA), доступ SOC к свежим данным об угрозах (Threat Intelligence), защита промышленных контуров (KICS), регулярное обновление ОС, виртуализации и сервисов, доступных из интернета, менеджеры паролей с многофакторной аутентификацией и обучение сотрудников — например, на платформе KASAP.

Итог: Инцидент показывает, что граница обороны в эпоху импортозамещения смещается к конвейеру создания продукта: контроль над сервером подписи сборки даёт злоумышленнику доступ к продуктам десятков и сотен организаций-клиентов. Для вендоров и производителей ПАК защита кода, сборки и почтовой аутентификации становится не формальной гигиеной, а условием доверия заказчиков и требованием к поставкам в КИИ. Продукты «Лаборатории Касперского» для защиты от целевых атак доступны у дистрибьютора MONT.

Читайте также: