Эксперты Kaspersky ICS CERT помогли российскому разработчику ПО остановить многомесячную кибератаку. Компания самостоятельно выявила подозрительную активность, связанную с несанкционированным доступом к компьютерам системных администраторов.
Атакующие из группы BO Team получили контроль над ключевыми элементами инфраструктуры, включая почтовые серверы, системы резервного копирования, гипервизоры и доменные контроллеры. Злоумышленники также проникли в репозиторий с исходным кодом и на сервер подписания сборок, что создавало угрозу внедрения вредоносного кода в продукты компании.
Для скрытности группа использовала системные утилиты, маскировала файлы и удаляла журналы событий. После первичного отражения атаки злоумышленники попытались вернуться, используя украденный ключ DKIM для рассылки фишинговых писем, однако рассылку удалось своевременно обнаружить.
Специалисты «Лаборатории Касперского» использовали тестовые стенды для отслеживания действий хакеров. Для защиты инфраструктуры эксперты рекомендуют внедрять EDR и SIEM-системы, использовать многофакторную аутентификацию, регулярно обновлять ПО и проводить обучение сотрудников кибербезопасности.
