Группировка Moses Staff атакует израильские организации

Новая хак-группа Moses Staff атаковала израильские организации, взломала их сети, зашифровала данные, а затем отказалась вести переговоры о выплате выкупа. ИБ-исследователи считают, что это были политически мотивированные и нарочно деструктивные атаки, пишет Хакер.

Впервые обнаруженная в начале октября 2021 года, Moses Staff  является третьей группировкой, атаковавшей исключительно израильские организации в последние месяцы (ранее аналогичный почерк демонстрировали группы Pay2Key и Black Shadow).

Однако, согласно отчету компании Check Point, хакеры из Moses Staff ведут себя не так, как их предшественники. Они даже не пытаются замаскировать свои атаки и последующие «сливы» данных под атаки программ вымогателей, вместо этого хакеры открыто заявляют, что их атаки имеют политическую подоплеку.

Согласно сообщению, размещенному на даркнет-сайте группы, Moses Staff о атакует израильский сионистский режим, поддерживая таким образом оккупированные палестинские территории. Именно по этой причине хакеры шифровали, а затем «сливали» данные жертв, даже не пытаясь получить выкуп.

По словам исследователей Check Point, у которых была возможность изучить прошлые атаки группы, Moses Staff действует по следующим схемам:

• группа взламывает сети жертв, используя старые уязвимости, которые не были исправлены;
• прошлые атаки были связаны с уязвимыми серверами Microsoft Exchange;
• после взлома системы группа использует такие инструменты, как PsExec, WMIC и Powershell;
• хакеры крадут конфиденциальную информацию из сетей жертв перед шифрованием данных;
• Moses Staff обычно развертывает опенсорсную библиотеку DiskCryptor для шифрования томов и блокировки компьютеров жертв с помощью загрузчика, который не позволяет машинам загружаться без правильного пароля (даже если указан правильный пароль, данные после загрузки системы все равно останутся зашифрованы);
• исследователи считают, что boot-пароль и ключ шифрования могут быть восстановлены при определенных обстоятельствах;
• у хакеров есть канал в Telegram и аккаунт в Twitter, где они объявляют о новых атаках и «сливах» данных, которые также публикуют на своем сайте.

Исследователи Check Point пока не связывают группировку с какой-то конкретной страной, однако отмечают, что некоторые образцы малвари Moses Staff были загружены на VirusTotal с IP-адресов в Палестине (за несколько месяцев до первой атаки группы).

На данный момент на сайте Moses Staff обнародована информация 16 жертв, в которую входят данные и документы объемом более 34 терабайт.