Gruparea de ransomware care folosește aplicații legitime de monitorizare a angajaților pentru atacuri cibernetice: Cum funcționează tactica

O nouă serie de atacuri cibernetice scoate la iveală o tactică tot mai frecventă în zona criminalității digitale: folosirea unor instrumente legitime de administrare și monitorizare IT în scopuri malițioase.

Membri ai grupării de ransomware cunoscută sub numele de Crazy au fost identificați folosind software de monitorizare a angajaților și soluții comerciale de acces remote pentru a-și menține accesul în rețelele corporative compromise, pentru a evita detectarea și pentru a pregăti lansarea atacurilor ransomware.

Cazurile au fost documentate de cercetătorii în securitate cibernetică de la Huntress, care au analizat mai multe incidente în care atacatorii au instalat aplicații comerciale reale, mascându-și activitatea ca administrare IT normală, scrie Bleeping Computer.

Strategia este periculoasă tocmai pentru că aceste instrumente sunt utilizate legitim în multe companii, ceea ce le permite infractorilor să se „piardă” în traficul obișnuit de rețea și în activitățile administrative curente.

Cum au fost folosite aplicațiile legitime ca arme cibernetice

În cel puțin un atac documentat, infractorii au instalat aplicația Net Monitor for Employees Professional, un software comercial de monitorizare a angajaților, folosind utilitarul standard Windows Installer (msiexec.exe).

Instalarea a fost realizată direct din sursa oficială a dezvoltatorului, ceea ce a redus suspiciunile și șansele de detecție automată de către soluțiile de securitate.

Odată activată, aplicația le-a oferit atacatorilor acces complet la sistemele compromise: vizualizarea desktopului în timp real, transfer de fișiere, execuție de comenzi și control interactiv asupra calculatoarelor. Practic, sistemele infectate deveneau complet administrabile de la distanță, fără a fi nevoie de malware clasic.

Vezi și:

Pericol pentru milioane de utilizatori Android. Un nou malware fură date bancare și poate prelua complet controlul telefonului

Datele unor utilizatori Vimeo au fost expuse după un atac informatic legat de Anodot

Pentru consolidarea accesului, atacatorii au încercat activarea contului de administrator local din Windows, iar ulterior au instalat și instrumentul SimpleHelp, o soluție legitimă de suport remote.

Aceasta a fost descărcată prin comenzi PowerShell și camuflată sub denumiri de fișiere care imitau aplicații cunoscute, inclusiv componente asociate cu OneDrive sau Visual Studio, pentru a părea inofensive.

Concret, abordarea a creat un sistem de acces redundant: dacă una dintre aplicații era detectată și eliminată, cealaltă asigura continuitatea controlului asupra rețelei.

În paralel, cercetătorii au observat și tentative de dezactivare a Windows Defender, prin oprirea și ștergerea serviciilor asociate, pentru a reduce protecția sistemelor compromise.

Monitorizare internă pentru pregătirea atacurilor ransomware

Atacatorii nu s-au limitat la controlul sistemelor, ci au folosit funcțiile avansate ale aplicațiilor de monitorizare pentru a-și optimiza atacul.

Într-unul dintre incidente, au configurat reguli automate de alertare care îi notificau atunci când utilizatorii accesau portofele de criptomonede, platforme de schimb crypto sau servicii financiare online.

De asemenea, sistemele erau monitorizate pentru detectarea altor instrumente de administrare la distanță, precum RDP, AnyDesk, TeamViewer sau VNC, semn că atacatorii voiau să știe dacă alți administratori sau tehnicieni legitimi se conectau la aceleași dispozitive.

Supravegherea le oferea o imagine în timp real asupra activității interne din companie și asupra momentului optim pentru lansarea ransomware-ului sau pentru tentative de furt de criptomonede.

Deși doar unul dintre cazuri a dus efectiv la activarea ransomware-ului Crazy, specialiștii Huntress au concluzionat că ambele incidente sunt foarte probabil opera aceluiași actor sau grup, pe baza infrastructurii de comandă și control și a fișierelor identice utilizate în atacuri.

Cazul evidențiază o tendință îngrijorătoare în securitatea cibernetică modernă: transformarea software-ului legitim în vector de atac.

În locul malware-ului clasic, detectabil mai ușor, infractorii folosesc aplicații comerciale reale, perfect funcționale, pentru a obține control asupra infrastructurii IT.

Specialiștii avertizează că organizațiile trebuie să monitorizeze atent instalările neautorizate de aplicații de acces remote și software de monitorizare, chiar dacă acestea sunt produse legitime.

În plus, atacurile analizate au pornit de la compromiterea credențialelor SSL VPN, ceea ce subliniază necesitatea implementării autentificării multifactor (MFA) pe toate serviciile de acces la distanță.

Dacia în 2027 și mai departe: cât de mult va putea păstra rețeta low cost într-o piață tot mai scumpă