Фишинговое письмо
Как одно фишинговое письмо закончилось выгрузкой корпоративной базы данных
Как развивалась атака
От одного письма сотруднику до выгрузки базы данных — восемь шагов. Почти на каждом из них атаку можно было остановить.
Получение письма Точка входа
Сотруднику приходит фишинговое письмо, во вложении — образ виртуального диска
Открытие вложения
Сотрудник открывает вложение, образ диска монтируется в системе
Запуск ярлыка
Вредоносный ярлык (LNK) обращается к удалённому серверу
Загрузка вредоносной программы
Загрузчик доставляет основную нагрузку и запускает её в оперативной памяти
Кража учётных данных
Атакующие забирают пароли, сохранённые в браузере сотрудника
Захват машины администратора
Перемещение по сети и новые учётные данные с рабочей станции администратора
Доступ к инфраструктуре
Учётные данные администратора дают контроль над VMware vCenter
Выгрузка базы данных Последствие
Через vCenter — доступ к серверу базы данных, дамп уходит на внешний сервер
Что мы сделали
Восстановили цепочку атаки — от письма сотруднику до выгрузки базы данных — и определили, на каких этапах защита не сработала. Передали рекомендации по защите почты, рабочих станций, учётных записей администраторов и исходящего трафика.
Задача
Содержимое корпоративной базы данных оказалось на внешнем сервере. Нужно было восстановить путь атакующих — от первого шага до утечки — и определить, какие меры защиты должны были сработать на каждом этапе.
Решение
- Определили точку входа: фишинговое письмо с образом виртуального диска, внутри которого был вредоносный ярлык (LNK).
- Разобрали работу загрузчика: он скачивал основную вредоносную нагрузку и выполнял её в оперативной памяти.
- Выяснили, как атакующие взяли учётные данные, сохранённые в браузере сотрудника, и добрались до рабочей станции администратора.
- Проследили путь через VMware vCenter к серверу базы данных и передачу дампа на внешний сервер.
- Дали рекомендации по защите почты, рабочих станций и учётных записей администраторов и по контролю исходящего трафика.
Где атаку можно было остановить
Почти на каждом шаге была возможность прервать атаку. Мы рекомендовали:
- Фильтрацию почтовых вложений: образы дисков и ярлыки не должны доходить до сотрудников
- Обучение и учебные фишинговые рассылки, чтобы подозрительное письмо замечали и сообщали о нём
- Отказ от хранения паролей в браузере и многофакторную аутентификацию
- Отдельные рабочие места и учётные записи для администрирования
- Ограничение доступа к vCenter и серверам баз данных, контроль исходящего трафика
Что создадим вместе?
Расскажите, что хотите запустить или улучшить. Обсудим задачу и предложим следующий шаг.