Группировка Shedding Zmiy атаковала десятки российских организаций - «Новости»

Аналитики исследования киберугроз Solar 4RAYS ГК «Солар» рассказали об активности прогосударственной хакерской группировки Shedding Zmiy, которая шпионит за российскими организациями минимум с 2022 года. На счету этой группы несколько десятков кибератак на госсектор, промышленность, телеком и другие отрасли. Скомпрометированные данные они использовали в последующих атаках, а также публиковали в открытом доступе.

С 2022 года по настоящее время специалисты расследовали уже семь инцидентов, связанных с Shedding Zmiy. Поначалу исследователи сочли, что за атаками стоит группировка Cobalt (exCobalt), так как уже в первом расследованном инциденте был обнаружен ее «фирменный» бэкдор CobInt. Однако дальнейшие расследования выявили разницу в мотивах. По сравнению с Cobalt, нацеленной на финансовую выгоду, группа, названная впоследствии Shedding Zmiy, интересовалась не деньгами – она охотилась за данными.

Хотя в каждой атаке хакеры старались действовать по-разному, аналитики обнаружили следы использования одних и тех же вредоносных техник, инструментов, сетевой инфраструктуры и названий компонентов. По этим признакам семь на первый взгляд разных инцидентов были объединены в один кластер под именем Shedding Zmiy.

Проведенные расследования показали, что группировка представляет серьезную угрозу для российской инфраструктуры. Хакеры применяют как публично доступную малварь так и уникальную, разработанное специально под конкретные цели (включая загрузчики, бэкдоры и веб-шеллы).

Для загрузки вредоносов в системы жертвы иногда использует скомпрометированные легитимные серверы. Также хакеры эксплуатировали специфичную и еще незакрытую вендором уязвимость в ASP.NET.

В общей сложности эксперты Solar 4RAYS обнаружили следы использования 35 различных инструментов для разведки, доставки малвари, скрытного бокового перемещения внутри сетей и кражи данных. Для проникновения в сеть, повышения привилегий и закрепления, атакующие использовали 20 известных уязвимостей в распространенном корпоративном ПО.

Также  в отчете отмечается, что Shedding Zmiy умеет запутывать следы. Группировка владеет обширной сетью управляющих серверов на территории России, арендует ресурсы у различных хостинг-провайдеров и на облачных платформах. Это помогает злоумышленникам обходить блокировки атак по территориальному признаку.

Shedding Zmiy активно прибегает и к высокопрофессиональной социальной инженерии. К примеру, для одной из атак хакеры создали фейковый Telegram-профиль, выдавая себя за специалиста ИБ-службы, и «выпросили» у сотрудника компании пароль от учетной записи. Используя скомпрометированный аккаунт, хакеры успели побывать еще на нескольких хостах, где разместили малварь.

Помимо этого, группа была замечена в эксплуатации доверительных отношений между организациями (атаки типа Trusted Relationship). Например, заразив сеть неназванного телеком-провайдера, хакеры попытались атаковать еще три организации, разослав из взломанной сети несколько десятков писем с вредоносными вложениями.