Аналитики центра исследования киберугроз Solar 4RAYS группы компаний «Солар» обнаружили неизвестную ранее восточно-азиатскую группировку, которая с помощью публичных инструментов атаковала веб-приложение неназванного федерального ведомства, работавшее на кастомном движке. По словам экспертов, хакеры сумели проникнуть в инфраструктуру жертвы и выполнить команды в ОС сервера. Как показало расследование, группировка использовала имена внутренних серверов жертвы для попыток взлома и в других госструктурах. Специалисты изучили атаку и смогли лишить хакеров доступа к инфраструктуре. На принадлежность злоумышленников к Восточной Азии указывают запросы хакеров к веб-серверу из этого региона, а также ряд других косвенных признаков — например, время начала атак (4 утра по МСК, когда начинается рабочий день в регионе). Группировка получила обозначение NGC4141 (NGC, new generic cluster — вредоносная активность, которую пока невозможно отнести к какой-либо известной группе атакующих). Исследователи пишут, что атака началась еще в декабре 2024 года. На протяжении нескольких дней хакеры интенсивно сканировали онлайн-ресурс на предмет различных уязвимостей, в определенные моменты нагрузка на систему измерялась тысячами запросов в час. Спустя еще несколько недель злоумышленники перешли на ручное сканирование уязвимостей. Обнаружив их, они использовали незадокументированные возможности публичной платформы для работы с API, чтобы внедрить на веб-сервер сайта жертвы веб-шеллы. Так атакующие смогли внедрить вредоносное ПО и получить доступ к инфраструктуре организации. Подчеркивается, что веб-приложение работало на кастомном движке, написанном с нуля или модифицированном на основе популярных платформ, и для него не существовало эксплоитов в открытом доступе. Такие веб-приложения сложнее поддаются взлому, по сравнению с ресурсами под управлением Tilda, WordPress и других платформ. Сам веб-сервер был защищен антивирусом и системой защиты от веб-атак (WAF). Несмотря на это, NGC4141 получили доступ к инфраструктуре жертвы, что указывает на высокую квалификацию хакеров. WAF и антивирус не смогли остановить продвижение атакующих, однако замедлили их и сигнализировали о возможном проникновении. Параллельно хакеры пытались использовать имена внутренних серверов атакованного ведомства, которых нет в открытом доступе, в других атаках на госструктуры (надеясь на совпадение). Из-за этого исследователи полагают, что хакеры могли обмениваться информацией со схожими группами и могли совершать атаки на веб-приложения других организаций госсектора. «По нашему мнению, атаки на кастомные веб-приложения для получения доступа к внутренней сети представляют собой недооцененную угрозу для владельцев онлайн-ресурсов. Данный кейс показал, что средства для автоматизированной защиты требуют дополнительного внимания и анализа событий, так как само наличие технических средств защиты усложняет атаку, но не делает её невозможной. При разработке кастомных веб-приложений мы рекомендуем держать в уме возможные риски: проводить аудит кода веб-приложения или даже полноценный пентест для оценки его устойчивости к кибератакам», — комментирует Иван Сюхин, руководитель группы расследования инцидентов центра исследования Solar 4RAYS, ГК «Солар».