Эксперты «Лаборатории Касперского» выявили киберкампанию Payload, направленную против производственного предприятия на Ближнем Востоке. Злоумышленники получили контроль над сетью и потребовали выкуп, не прибегая к шифрованию файлов или установке вредоносного ПО.
Для доступа к сети атакующие использовали скомпрометированные учетные записи с повышенными привилегиями, подключаясь через стандартные средства удаленного доступа и VPN. Полученные через фишинг или перебор данные позволяли им действовать под видом ИТ-специалистов, что затрудняло обнаружение активности системами мониторинга.
Злоумышленники использовали инфраструктуру Active Directory и создали вредоносный объект групповой политики (GPO) под названием Payload. Поскольку правила GPO подписаны, система воспринимала их как доверенные. Это позволило хакерам блокировать учетные записи администраторов, менять обои рабочего стола и выводить сообщения с требованиями.
После кражи корпоративных данных и блокировки доступа к администрированию информацию опубликовали в даркнете. Для защиты «Лаборатория Касперского» рекомендует отслеживать изменения GPO, использовать многофакторную аутентификацию с физическими ключами и ограничивать права доступа администраторов ИТ-систем.
