13 марта 2022
Conti Ransomware
Шифровальщик Conti — ransomware-as-a-service (RaaS), является самым популярным шифровальщиком в Darkweb
Conti Ransomware
Шифровальщик Conti — ransomware-as-a-service (RaaS), является самым популярным шифровальщиком в Darkweb.
По данным источников из США на 28.02.2022г., зафиксировано более 1000 случаев, когда совершались атаки на организации с применением Conti. Основной вектор атак включал использование злоумышленниками Trickbot и Cobaltstrike.
Для повышения защищенности инфраструктуры организации, рекомендуется: использовать мультифакторную аутентификацию (MFA), обеспечить сегментацию сети инфраструктуры, поддерживать актуальные обновления ОС и компоненты безопасности.
Индикаторы компрометации в STIX формате.
Злоумышленники группировки Conti часто используют получение доступа [TA0001] к инфраструктуре сети организации через:
Злоумышленники Conti известны тем, что эксплуатируют ПО для удаленного мониторинга и централизованного управления, для закрепления в инфраструктуре и создания бэкдора в сети жертвы. Члены группировки используют легитимные утилиты, которые уже установлены в организации, а также по-необходимости загружают свои (дополнительные) утилиты такие как Mimikatz и Windows Sysinternals для получения хешей паролей пользователей и повышения привилегий [TA0004] в домене, что позволяет производить постэксплуатацию и lateral movement tasks [TA0008], в некоторых случаях, злоумышленники используют TrickBot Malware для этих целей.
Согласно отчету Cisco Talos, для эскалации привилегий [TA0004] и продвижения в сети жертвы [TA0008], Conti использовали уязвимости в непропатченном ПО на хостах:
Артефакты, найденные в некоторых сценариях реагирования указывали на использование различных IP адресов управляющих серверов (C2) для коммуникации Cobalt Strike (для каждой жертвы адрес был уникальный):
и угрожали публикацией данных в открытом доступе, в случае отказа.
По данным источников из США на 28.02.2022г., зафиксировано более 1000 случаев, когда совершались атаки на организации с применением Conti. Основной вектор атак включал использование злоумышленниками Trickbot и Cobaltstrike.
Для повышения защищенности инфраструктуры организации, рекомендуется: использовать мультифакторную аутентификацию (MFA), обеспечить сегментацию сети инфраструктуры, поддерживать актуальные обновления ОС и компоненты безопасности.
Индикаторы компрометации в STIX формате.
Злоумышленники группировки Conti часто используют получение доступа [TA0001] к инфраструктуре сети организации через:
- Кампанию фишинговой рассылки используя продуманные e-mail письма, содержащие вредоносные вложения [T1566.001] или вредоносные ссылки [T1566.002].
- Получение доступа к слабозащищенному RDP или похищение кредов [T1078];
- Телефонные звонки;
- Распространение и продвижение фейкового софта с использованием движка поисковика;
- Другие способы распространения вредоносного ПО (в том числе Zloader);
- Уязвимости во внешних активах организаций.
Злоумышленники Conti известны тем, что эксплуатируют ПО для удаленного мониторинга и централизованного управления, для закрепления в инфраструктуре и создания бэкдора в сети жертвы. Члены группировки используют легитимные утилиты, которые уже установлены в организации, а также по-необходимости загружают свои (дополнительные) утилиты такие как Mimikatz и Windows Sysinternals для получения хешей паролей пользователей и повышения привилегий [TA0004] в домене, что позволяет производить постэксплуатацию и lateral movement tasks [TA0008], в некоторых случаях, злоумышленники используют TrickBot Malware для этих целей.
Согласно отчету Cisco Talos, для эскалации привилегий [TA0004] и продвижения в сети жертвы [TA0008], Conti использовали уязвимости в непропатченном ПО на хостах:
- Уязвимости 2017 Microsoft Windows Server Message Block 1.0;
- Незакрытую уязвимость «PrintNightmare» (CVE-2021-34527) в службе Windows Print Spooler;
- Уязвимость «Zerologon» (CVE-2020-1472) в Microsoft Active Directory Domain Controller.
Артефакты, найденные в некоторых сценариях реагирования указывали на использование различных IP адресов управляющих серверов (C2) для коммуникации Cobalt Strike (для каждой жертвы адрес был уникальный):
- 162.244.80[.]235
- 85.93.88[.]165
- 185.141.63[.]120
- 82.118.21[.]1
и угрожали публикацией данных в открытом доступе, в случае отказа.
MITRE ATT&CK TECHNIQUES
Conti ransomware используют различные техники получения доступа и закрепления в инфраструктуре организации и продвижения:
Conti ransomware используют различные техники получения доступа и закрепления в инфраструктуре организации и продвижения:
Индикаторы компрометации:
Исполнение rundll32.exe для выполнения кода загруженных библиотек DLL.
Для обхода средств защиты информации, злоумышленники используют инъекции в запущенные процессы (подробнее в отчете):
Исполнение rundll32.exe для выполнения кода загруженных библиотек DLL.
Для обхода средств защиты информации, злоумышленники используют инъекции в запущенные процессы (подробнее в отчете):
Домены используемые группировкой:
