Сервер, раскрывший международный канал киберпреступности

Неправильно настроенный или иным образом раскрытый сервер приоткрыл завесу над деятельностью русскоязычного брокера первоначального доступа (initial access broker, IAB) — киберпреступника, специализирующегося на взломе корпоративных сетей и последующей продаже этого доступа тому, кто больше заплатит. Согласно отчёту об этом обнаружении, сервер выявил масштабную операцию, выполняющую двойную функцию: она обеспечивает атаки программ-вымогателей против организаций по всему миру, а также используется для слежки за целями на Украине.

Брокеры первоначального доступа занимают уникальную и часто недооцениваемую роль в экономике киберпреступности. Вместо того чтобы разворачивать программы-вымогатели самостоятельно, они выступают в роли поставщиков: проникают в сети с помощью фишинга, подбора учётных данных (credential stuffing), незащищённых инструментов удалённого доступа или неисправленных уязвимостей, а затем упаковывают этот доступ для перепродажи. Группировки вымогателей, которым часто не хватает терпения или навыков для первоначального взлома, покупают такой доступ и сразу переходят к шифрованию файлов и требованию выкупа. Такое разделение труда сделало экосистему программ-вымогателей быстрее, масштабируемее и сложнее для пресечения, поскольку ликвидация одной группы вымогателей почти не мешает брокерам, обеспечивающим непрерывный поток жертв.

Когда киберпреступность пересекается с кибершпионажем

Особенность этого случая — двойное назначение операции. Та же инфраструктура и украденный доступ, которые, по всей видимости, использовались для снабжения групп вымогателей, оказались также связаны с деятельностью по наблюдению, направленной против Украины. Смешение финансово мотивированной киберпреступности с тем, что выглядит как около-государственный или геополитически обусловленный шпионаж, — модель, встречавшаяся и ранее в аналогичных расследованиях, включая более ранний репортаж о российском хакере, продающем украденный корпоративный доступ и шпионящем за Украиной. Независимо от того, являются ли причастные лица фрилансерами-преступниками, подрабатывающими на разведку, или операторами с непрочными связями с государственными интересами, результат один: инструменты и доступ, используемые для вымогательства у бизнеса, можно так же легко перепрофилировать для слежки за противником в военное время.

Для организаций, становящихся жертвами таких брокеров, это пересечение значительно повышает ставки. Взлом, который обычно рассматривается как рядовой инцидент с программой-вымогателем — сдержать, восстановиться из резервных копий, уведомить пострадавших, — может также означать, что конфиденциальные данные, переписка или точки закрепления в сети оказались доступны субъектам с более широкими геополитическими мотивами. Это различие важно для групп реагирования на инциденты при решении, насколько серьёзно отнестись к компрометации и насколько тщательно проверять, к чему был получен доступ до того, как была развёрнута программа-вымогатель.

Почему брокеры первоначального доступа важны для обычных пользователей интернета

Легко предположить, что рынки брокеров доступа — это проблема исключительно крупных предприятий с ценными сетями для защиты. В реальности учётные данные и точки опоры, которые продают эти брокеры, часто берут начало из куда более обыденных источников: повторно используемых паролей, фишинговых писем, открытых одним сотрудником, или забытых подключений удалённого рабочего стола, оставленных открытыми в интернет. Люди, использующие одни и те же пароли для личных и рабочих учётных записей или попадающиеся на убедительные фишинговые попытки, могут невольно передать злоумышленникам ту самую точку входа, которая через несколько месяцев будет упакована и продана филиалу программы-вымогателя.

Раскрытый в этом случае сервер служит напоминанием, что инфраструктура крупных атак программ-вымогателей не всегда управляется теневыми, высокотехнологичными государственными хакерскими подразделениями. Иногда это один-единственный брокер с плохо защищённым сервером, который по иронии судьбы допускает утечку подробностей о собственной деятельности к исследователям и журналистам.

Что это значит для вас

Для большинства читателей эта история — не повод для паники, а полезное окно в то, как на самом деле начинаются атаки программ-вымогателей. Задолго до того, как компания объявляет о том, что стала жертвой вымогателя, кто-то где-то, вероятно, продал доступ к этой сети на криминальном форуме или через частные связи с брокером. Укрепление базовых основ личной и организационной безопасности напрямую разрушает эту цепочку поставок.

Если вы управляете ИТ-системами или работаете в сфере, где важна безопасность, рассматривайте это как подтверждение необходимости инвестиций в гигиену учётных данных, многофакторную аутентификацию и мониторинг открытых сервисов удалённого доступа. Если вы обычный пользователь, вывод проще: уникальные пароли, менеджер паролей и скептическое отношение к неожиданным запросам входа или фишинговым письмам — всё это снижает вероятность того, что ваши учётные данные пополнят каталог брокера доступа.

Ключевые выводы

  • Брокеры первоначального доступа, подобные раскрытому здесь, действуют как посредники, продавая украденный доступ к сети группировкам вымогателей, вместо того чтобы самостоятельно осуществлять атаки.
  • Эта конкретная операция, по-видимому, служила двойной цели: поддержка преступлений с использованием программ-вымогателей и деятельность по наблюдению, связанная с Украиной.
  • Включите многофакторную аутентификацию на всех критически важных учётных записях и избегайте повторного использования паролей на разных сервисах.
  • Организациям следует регулярно проводить аудит инструментов удалённого доступа и систем, обращённых в интернет, поскольку они остаются распространёнными точками входа для брокеров.
  • Будьте в курсе того, как работают цепочки поставок программ-вымогателей; понимание роли брокеров доступа помогает расставлять приоритеты в защите на этапе первоначальной компрометации, а не только после развёртывания программы-вымогателя.