«Аномальные атаки», использующие инфраструктуру предприятия для кражи учетных данных в сетях АСУ

В 2021 году специалисты ICS CERT обнаружили большое количество аномальных атак корпоративных сетей  - целых цепочек поставщиков. Аномалии заключались в коротком сроке жизни шпионского ПО, содержащегося в письмах, пересылаемых от одного контрагента к другому.

С применением такой тактики было атаковано до одной шестой части от общего количества всех атакованных компьютеров в зависимости от региона. Участниками этих событий стали более 2000 почтовых бизнес-аккаунтов промышленных предприятий.

Анализ заблокированных лишь только в первом полугодии 2021 года 58586 программ-шпионов позволил сделать следующие выводы. Отрезок времени обнаружения 21,2% из них оказался существенно короче, чем в проводимых ранее атаках, и не превышает 25 дней.

Рекомендации по обеспечению защиты

• Внедрение двухфакторной аутентификации пользователя для почтовых клиентов и других интернет-сервисов, включая выполняющие роль шлюза устройства
• Использование регулярно обновляемого и корректно настроенного современного решения при организации системы IT-безопасности на предприятии
• Доведение до каждого сотрудника компании новой информации о достижениях киберпреступников, используемых ими методов, технологий проникновения и кражи данных
• Регулярная проверка спама в почте с целью выявления потенциальных угроз и их анализа, настройка автоматической постоянной во времени проверки вложенных в письме данных
• Проверка наличия в продаже учетных данных вашего предприятия

---

IP-адреса инфраструктуры операторов атак

105.112.101.7 105.112.102.213 105.112.107.100 105.112.109.252 105.112.113.164 105.112.113.250 105.112.114.120 105.112.115.230 105.112.115.4 105.112.117.199 105.112.121.59 105.112.144.173 105.112.144.56 105.112.144.77

105.112.145.6 105.112.147.156 105.112.147.20 105.112.148.252 105.112.148.60 105.112.150.35 105.112.178.164 105.112.26.202 105.112.32.44 105.112.33.155 105.112.33.233 105.112.33.40 105.112.35.117 105.112.37.192

105.112.37.193 105.112.37.222 105.112.38.173 105.112.38.201 105.112.38.218 105.112.38.249 105.112.39.130 105.112.39.167 105.112.41.0 105.112.41.149 105.112.46.233 105.112.46.38 105.112.50.73 105.112.50.80

Процент компьютеров АСУ, на которых было заблокировано шпионское ПО в первом полугодии 2021 года. Все шпионские программы по сравнению с «аномальными» образцами





Распределение по отраслям компьютеров АСУ, на которых были заблокированы «аномальные» шпионские программы в первом полугодии 2021 г.





Распределение образцов шпионских программ, использованных в «аномальных» атаках, по типу размещения почтовых серверов сбора украденных данных

Источник: ics-cert.kaspersky.ru