• XSS.stack #1 – первый литературный журнал от юзеров форума

В Коста-Рике режим ЧП после кибератак вымогателей Conti

Rehub

LARVA-466
Забанен
Регистрация
01.11.2020
Сообщения
3 957
Решения
1
Реакции
3 544
Пожалуйста, обратите внимание, что пользователь заблокирован
С трудом вспоминается, но так и не вспомнится никак, когда после кибератак на территории целого государства вводилось бы чрезвычайное положение.

Но именно такая ситуация сложилась в Коста-Рике, руководитель которой Родриго Чавес ввел режим ЧП после кибератак вымогателей Conti на объекты в госсекторе. Это случилось сразу после вступления им в должность Президента 8 мая, ранее Чавес занимал пост министра финансов.

Следуя тактике двойного вымогательства, хакеры слили большую часть украденных данных, представленных на DLS. В паблике оказалось 97% дампа объемом 672 ГБ, который содержит данные, принадлежащие правительственным учреждениям Коста-Рики. Утечка последовала после отказа правительства Коста-Рики выплатить выкуп в размере 10 миллионов долларов.

В числе жертв: Министерства финансов, труда и социальной защиты, науки, инноваций, технологий и связи, Национальный метеорологический институт, Коста-риканский фонд соцобеспечения, Фонд соцразвития и семейных пособий, Административный совет электротехнической службы провинции Картаго и Межвузовская штаб-квартира Алахуэлы.

Анализ представленных Conti данных не оставляет сомнений в подлинности образцов исходного кода и базы данных SQL.

Официально на такой шаг вновь избранного президента подтолкнули непрекращающиеся уже на протяжении месяца атаки с использованием ransomware, которые затрагивает производственный сектор и цифровые услуги Минфина.

Но учитывая, что первой жертвой вымогателей как раз и стало ранее подшефное новому главе ведомство, можно предположить, что причинами ЧП могли стать вовсе не атаки, а скорее последствия утечки информации, прежде всего, финансовой. Или же смутить могли угрозы операторов Conti провести более серьезные атаки.

Но, на нашей памяти, пожалуй, это первый случай реагирования на атаку в масштабе целого государства.


source: twitter.com/ameliarueda/status/1523402545372143616
 
И не удивительно, публичный шантаж это способ настроить против себя всех его свидетелей, даже тех антигосудартсвенных сторонников, которые добивались посадки местных меров на 20 лет всего лишь за взятки размером в 15к$ и в 32к$. Ну и к тому же, отличный способ объявить миру о своей вынужденной позиции жертвы, которой необходимо помочь.
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Раскрыты подробности разрушительной атаки Conti на Коста-Рику

Атака привела к военному положению и остановке жизни в стране

В апреле 2022 года группировка Conti получила доступ к сети правительства Коста-Рики и для проведения масштабной кибератаки. В отчете компании AdvIntel подробно описываются шаги Conti от первоначальной позиции до захвата 672 ГБ данных и запуска программы-вымогателя.

Точкой входа злоумышленника была система Министерства финансов Коста-Рики, к которой участник группы «MemberX» получил доступ через VPN, используя скомпрометированные учетные данные. По словам генерального директора Advanced Intelligence Виталия Кремеза, учетные данные были получены с помощью вредоносного ПО, установленного на скомпрометированном устройстве в сети жертвы.

На ранних стадиях атаки было настроено более 10 сеансов маяка Cobalt Strike. Согласно отчету, Conti получила доступ к скомпрометированному журналу VPN, установив зашифрованную форму Cobalt Strike внутри подсети Коста-Рики.

Получив доступ администратора домена локальной сети, злоумышленник использовал инструмент командной строки Nltest для перечисления доверительных отношений домена. Затем он просканировал сеть на наличие файловых ресурсов с помощью утилит ShareFinder и AdFind.

MemberX затем использовал бэкдор-канал Cobalt Strike для загрузки файлового ресурса на локальный компьютер. Злоумышленник смог получить доступ к административным общим ресурсам, куда он загрузил маяк Cobalt Strike, а затем запустил его с помощью инструмента PsExec для удаленного выполнения файлов.

Группа Conti использовала Mimikatz для запуска атаки DCSync и Zerologon, которая дала им доступ к каждому хосту во взаимосвязанных сетях Коста-Рики. Используя инструмент пост-эксплуатации Mimikatz для эксфильтрации учетных данных, хакер получил «незашифрованные и поддающиеся подбору хэши локального администратора, домена и администратора предприятия».

Чтобы сохранить доступ в случае обнаружения, Conti установила инструмент удаленного доступа Atera на хосты с меньшей активностью пользователей, где у них были привилегии администратора.

Кража данных стала возможной с помощью программы командной строки Rclone, которая может управлять файлами в нескольких облачных хранилищах. Conti использовала Rclone для загрузки данных в файлообменник MEGA.

Схема атаки Conti:

content-img(217).png


Согласно примечанию на сайте утечки Conti, выкуп первоначально составлял $10 млн., а затем увеличился до $20 млн. после отказа Коста-Рики заплатить хакерам. Согласно AdvIntel , внутренняя переписка между членами Conti показала, что цена «была намного ниже $1 млн».

Кибератака известной российской группировки Conti началась 18 апреля с министерства финансов Коста-Рики и в конечном итоге охватила 27 различных учреждений в результате серии взаимосвязанных атак, которые разворачивались в течение нескольких недель.


source: advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion
 


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх