SecAtor
tg42 тыс. подписчиков
Открыть пост ↗
Исследователи Лаборатории Касперского обнаружили попытку украинской хакерской группы BO Team осуществить атаку на цепочку поставок неназванного российского IT-провайдера.
В июне 2025 года представители компании-разработчика ПО обратились в ЛК с сообщением о подозрительной активности в их сети: на компьютерах сисадминов фиксировались попытки подключения по протоколу SMB с учетных записей, которые не должны были иметь доступа к этим системам.
В первый же день реагирования на инцидент Касперы обнаружили следы вредоносного ПО и восстановили команды, выполненные злоумышленниками на скомпрометированной системе, которые были характерны для APT-группы Black Owl (BO Team).
Дальнейшее расследование выявило масштабный взлом инфраструктуры пострадавшей организации. Хакеры оставались в сети атакованной организации в течение нескольких месяцев, похищая конфиденциальную информацию.
Злоумышленники захватили почти все её ключевые компоненты, включая серверы Windows и Linux, рабочие станции, гипервизоры, системы оркестрации Ansible, серверы резервного копирования, серверы управления решениями безопасности и даже сетевое оборудование.
Хакеры даже взломали инфраструктуру веб-серверов организации и получили контроль над её DNS-зоной.
Обычно BO Team крадет конфиденциальную информацию и выводит из строя ИТ-инфраструктуру, используя ransomware, после чего публикует результаты своих операций в Telegram-канале, что делает их похожими на хактивистов.
Однако в данном случае, похоже, они преследовали иные цели: не было ни уничтожения данных, ни пиар-кампаний с демонстрацией успешной операцией по краже данных.
Вместо этого злоумышленники работали над тем, как бы закрепиться в сети жертвы, создавая удобные каналы С2 и устанавливая бэкдоры для восстановления доступа в случае его утраты.
Компрометация инфраструктуры разработки программного обеспечения (CI/CD) и сервера цифровой подписи программного кода указывала на то, что атака, скорее всего, перерастет в сценарий атаки на цепочку поставок.
На основании анализа обширных данных, предоставленных ЛК в рамках реагирования на инцидент, мы считаем, что длительный характер атаки привел к неосторожности злоумышленников, и их действия были обнаружены.
По итогу атаку удалось раскрыть и предотвратить еще до того, как нападавшие достигли своей цели, а ряд ошибок, допущенных командой BO Team, позволив многое узнать о TTPs этой группы.
Почему инцидент оставался незамеченным так долго? Этому способствовали сразу несколько факторов:
- устаревшее решение в области безопасности, система SIEM, которая внедрялась только на момент атаки и, следовательно, фактически не существовала,
- отсутствие необходимых обновлений операционной системы и прикладного программного обеспечения,
- недостаточная сегментация сети,
- хранение данных аутентификации в открытом виде,
- нехватка персонала, занимающегося ИБ в организации.
С момента описанных событий прошел почти год. ЛК не публиковала исследование раньше, чтобы дать время на устранение всех недостатков по линии ИБ, а главное убедиться, что попытки BO Team вернуться к своей инфраструктуре оказались безуспешными.
Так что теперь, обширная аналитика и подробный технический обзор доступны - в отчете. Настоятельно рекомендуем ознакомиться.
В июне 2025 года представители компании-разработчика ПО обратились в ЛК с сообщением о подозрительной активности в их сети: на компьютерах сисадминов фиксировались попытки подключения по протоколу SMB с учетных записей, которые не должны были иметь доступа к этим системам.
В первый же день реагирования на инцидент Касперы обнаружили следы вредоносного ПО и восстановили команды, выполненные злоумышленниками на скомпрометированной системе, которые были характерны для APT-группы Black Owl (BO Team).
Дальнейшее расследование выявило масштабный взлом инфраструктуры пострадавшей организации. Хакеры оставались в сети атакованной организации в течение нескольких месяцев, похищая конфиденциальную информацию.
Злоумышленники захватили почти все её ключевые компоненты, включая серверы Windows и Linux, рабочие станции, гипервизоры, системы оркестрации Ansible, серверы резервного копирования, серверы управления решениями безопасности и даже сетевое оборудование.
Хакеры даже взломали инфраструктуру веб-серверов организации и получили контроль над её DNS-зоной.
Обычно BO Team крадет конфиденциальную информацию и выводит из строя ИТ-инфраструктуру, используя ransomware, после чего публикует результаты своих операций в Telegram-канале, что делает их похожими на хактивистов.
Однако в данном случае, похоже, они преследовали иные цели: не было ни уничтожения данных, ни пиар-кампаний с демонстрацией успешной операцией по краже данных.
Вместо этого злоумышленники работали над тем, как бы закрепиться в сети жертвы, создавая удобные каналы С2 и устанавливая бэкдоры для восстановления доступа в случае его утраты.
Компрометация инфраструктуры разработки программного обеспечения (CI/CD) и сервера цифровой подписи программного кода указывала на то, что атака, скорее всего, перерастет в сценарий атаки на цепочку поставок.
На основании анализа обширных данных, предоставленных ЛК в рамках реагирования на инцидент, мы считаем, что длительный характер атаки привел к неосторожности злоумышленников, и их действия были обнаружены.
По итогу атаку удалось раскрыть и предотвратить еще до того, как нападавшие достигли своей цели, а ряд ошибок, допущенных командой BO Team, позволив многое узнать о TTPs этой группы.
Почему инцидент оставался незамеченным так долго? Этому способствовали сразу несколько факторов:
- устаревшее решение в области безопасности, система SIEM, которая внедрялась только на момент атаки и, следовательно, фактически не существовала,
- отсутствие необходимых обновлений операционной системы и прикладного программного обеспечения,
- недостаточная сегментация сети,
- хранение данных аутентификации в открытом виде,
- нехватка персонала, занимающегося ИБ в организации.
С момента описанных событий прошел почти год. ЛК не публиковала исследование раньше, чтобы дать время на устранение всех недостатков по линии ИБ, а главное убедиться, что попытки BO Team вернуться к своей инфраструктуре оказались безуспешными.
Так что теперь, обширная аналитика и подробный технический обзор доступны - в отчете. Настоятельно рекомендуем ознакомиться.
Новый список