Как защитить корпоративные сети и не разориться на ИБ-решениях?

�ак вернуть былую производительность LAN-сетей? Стоит ли покупать комплексные ИБ-решения? Как перестать тратить на локальные сети миллионы рублей? Зарегистрируйтесь, чтобы скачать электронную книгу Fortinet об обеспечении безопасности проводных и беспроводных сетей.

Электронная книга

Стратегии сетевой безопасности проваливаются одна за другой. Компании не могут растянуть периметр в условиях полной удаленки и не готовы к грядущим инновациям. Для них гипермасштабирование, многооблачные среды и G останутся просто нереализованной фантазией.

Новая версия шифровальщика LockBit 2.0 автоматизирует отключение антивирусов и распространение исполняемых файлов шифровальщика по всем системам внутри домена Windows. Но злоумышленникам в любом случае придется сперва получить административные права на контроллере.

Новая версия известного шифровальщика LockBit 2.0 содержит функцию, которая позволяет автоматизировать распространение вредоноса по всему домену Windows, используя групповые политики Active Directory.

Как правило, если злоумышленникам удается скомпрометировать контроллер домена, они используют то или иное ПО для загрузки скриптов, отключающих антивирусы и запускающих шифровальщик на всех машинах в сети.

Однако в новых сэмплах LockBit 2.0, которые удалось проанализировать экспертам издания Bleeping Computer и эксперту Виталию Кремецу, этот процесс автоматизирован: вредонос запускает соответствующие процессы прямо с доменного контроллера.

Для этого он создает новые групповые политики, которые распространяются по всем устройствам, принадлежащим домену. Политики деактивируют защиту Windows Defender и его уведомления, отключают отправку подозрительных сэмплов в Microsoft и другие операции, совершаемые по умолчанию при обнаружении вредоносных файлов.

Другие политики формируют задачу в планировщике заданий по запуску шифровальщика. Затем запускается команда на распространение этих политик по всем машинам в домене: powershell.exe -Command "Get-ADComputer -filter * -Searchbase '%s' | foreach{ Invoke-GPUpdate -computer $_.name -force -RandomDelayInMinutes }".

По данным Кремеца, в ходе этого процесса вредонос пытается использовать APIActiveDirectory для отправки LDAP-запросов к доменным службам, чтобы получить список компьютеров. Исполняемый файл шифровальщика размещается на рабочих столах каждой машины из этого списка и запускается, используя следующую процедуру обхода UAC: Software\Microsoft\WindowsNT\CurrentVersion\ICM\Calibration "DisplayCalibrator".

Шифровальщик функционирует в фоновом режиме, не выдавая себя ничем до окончания процедуры. Зато когда процесс завершен, LockBit 2.0 оповещает о себе через все доступные в сетевом окружении принтеры - многократно распечатывает требование выкупа. То же самое прежде делал шифровальщик Egregor.

Эксперты утверждают, что впервые видят вымогательскую программу, автоматизирующую процесс своего распространения через групповые политики и отключение защитных средств.

«Этот вредонос, тем не менее, требует предварительной компрометации контроллера домена Windows, - говорит Анастасия Мельникова, эксперт по информационной безопасности компании SEC Consult Services. - Рекламируемая функциональность шифровальщика обширна, но, к счастью, это не тот случай, когда вредонос “все сделает за вас”. Хотя автоматизация распространения и отключения антивирусов делает его намного опаснее других подобных программ. Скорее всего, эту функцию вскоре попытаются перенять другие шифровальщики».

Операторы LockBit 2.0 с недавних пор снова начали активно приглашать участников в свои партнёрские программы. Поскольку на крупнейших хакерских форумах запретили рекламировать шифровальщики, LockBit зазывает новых партнеров прямо через свой сайт утечек.

LockBit 2.0 предлагается по модели RaaS и рекламируется как «самый быстрый шифровальщик в мире».

Роман Георгиев

Исследование: активность шифровальщиков в отношении госсектора выросла в 10 раз

Конец скандально известной Avast. Ее покупают конкуренты за $8 млрд

Модные наушники взорвались и убили человека. Фото

Силовики заинтересовались разработчиком «антитеррористического ПО»

Российских водителей завалят новыми штрафами. Их начала выписывать умная нейросеть

«Северокорейская» уязвимость в Internet Explorer используется для атак на крымских пользователей

Подобрать ЦОД для размещения ИТ-оборудования

От 815 руб./месяц

Подобрать облачную инфраструктуру

От 346 руб./месяц

Подобрать облачное хранилище

От 6,2 коп. за 1 Гб/месяц

Подобрать выделенный сервер

От 1499 руб./месяц

Как обеспечить гибкость в формировании ИТ-сред

Валерий Лутошкин

директор департамента сетевых решений компании STEP LOGIC

На что государство тратит десятки миллионов рублей?