Як повідомляє Bleeping Computer, компанія Cisco підтвердила, що група хакерів зламала її корпоративну мережу наприкінці травня, і що були спроби вимагання під загрозою витоку викрадених файлів в Інтернеті.
Компанія виявила, що зловмисники могли зібрати та викрасти лише неконфіденційні дані з папки Box, пов’язаної з обліковим скомпрометованим записом працівника.
«Наприкінці травня 2022 року у Cisco стався інцидент безпеки в нашій корпоративній мережі, і ми негайно вжили заходів, щоб стримати та знищити зловмисників», — повідомив BleepingComputer представник Cisco. - «Cisco не виявила жодного впливу на наш бізнес у результаті цього інциденту, включно з продуктами або послугами, конфіденційними клієнтськими даними або конфіденційною інформацією про співробітників, інтелектуальною власністю або операціями ланцюжка поставок. 10 серпня зловмисники опублікували у darknet список файлів із цього інциденту безпеки. Ми також запровадили додаткові заходи для захисту наших систем і ділимося технічними деталями, щоб захистити ширшу спільноту безпеки».
Як повідомляється, зловмисники Yanluowang отримали доступ до мережі Cisco,
використовуючи вкрадені облікові дані співробітника після викрадення особистого облікового запису у Google, який містив облікові дані, синхронізовані з браузером для входу у корпоративну мережу.
Зловмисник переконав співробітника Cisco прийняти push-повідомлення багатофакторної автентифікації (MFA) через серію складних голосових фішингових атак, ініційованих бандою Yanluowang, яка видавала себе за співробітника служби підтримки.
Зрештою зловмисники обманом змусили жертву прийняти одне зі сповіщень MFA та отримали доступ до VPN у контексті цільового користувача.
Після того, як вони закріпилися в корпоративній мережі компанії, оператори Yanluowang зайшли на сервери Citrix і контролери домену. Отримавши роль адміністратора домену, хакери використовували різні інструменти, щоб зібрати більше інформації та встановили низку корисних навантажень на скомпрометовані системи, включаючи бекдор.
Зрештою Cisco виявила та витиснула зловмисників зі свого середовища, але останні продовжували намагатися відновити доступ протягом наступних тижнів.
Щоб допомогти мережевим адміністраторам і фахівцям із безпеки виявити зловмисне програмне забезпечення,
використане в атаці, Cisco створила два нових інструменту ClamAV для бекдору та експлойта Windows, який використовується для підвищення привілеїв.
Зловмисник заявив, що вкрав 2,75 ГБ даних, які складаються з приблизно 3100 файлів. Багато з цих файлів є угодами про нерозголошення, дампами даних і технічними кресленнями. Зловмисники також надіслали відредагований документ NDA, викрадений під час атаки, на BleepingComputer як доказ атаки та «натяк», що вони зламали мережу Cisco та викрали файли.
Cisco повідомила, що, незважаючи на те, що група Yanluowang відома тим, що шифрує файли своїх жертв, вона не знайшла жодних доказів програм-вимагачів під час атаки.
«Поки ми не спостерігали розгортання програм-вимагачів у цій атаці використовувані TTP відповідали «діяльності перед програмним забезпеченням-вимагачем», активності, яка зазвичай спостерігалася, що призвела до розгортання програмного забезпечення-вимагача в середовищах жертв», йдеться у блозі Cisco Talos. - «Ми оцінюємо з помірною або високою впевненістю, що ця атака була здійснена супротивником, який раніше був ідентифікований як брокер початкового доступу (IAB) із зв’язкамиp { margin-bottom: 0.25cm; direction: ltr; color: #000000; line-height: 115%; orphans: 2; widows: 2; background: transparent }p.western { font-family: "Liberation Serif", "Times New Roman", serif; font-size: 12pt; so-language: uk-UA }p.cjk { font-family: "Songti SC"; font-size: 12pt; so-language: zh-CN }p.ctl { font-family: "Arial Unicode MS", sans-serif; font-size: 12pt; so-language: hi-IN }a:link { color: #000080; so-language: zxx; text-decoration: underline } з кіберзлочинною бандою UNC2447, групою загроз Lapsus$ і операторами програм-вимагачів Yanluowang».
