Новый троян проникает в корпоративные сети

Появился троян удаленного доступа – «SharpRhino», созданный специально для проникновения в корпоративные сети. О средствах защиты против нового трояна рассказал киберэксперт Дмитрий Овчинников.

Вредоносный софт под названием «SharpRhino» помогает хакерам добиться начального заражения, повысить привилегии в зараженных системах, выполнить определенные PowerShell-команды и далее – развернуть вымогательский софт.

Исследователи Quorum Cyber, обнаружившие новый троян, используемый группой вымогателей Hunters International сообщают, что он распространяется через спонсируемый в Google Ads сайт-двойник, который имитирует Angry IP Scanner – легитимный инструмент для сетевого сканирования, используемый IT-профессионалами.

С начала этого года хакерская группировка объявила о 134 атаках с использованием вымогательского ПО против различных организаций по всему миру.

Новая тактика Hunters International, включающая создание сайтов, имитирующих легитимные сетевые инструменты, указывает на то, что они нацелены на IT-специалистов с целью взлома учетных записей с повышенными привилегиями.

Руководитель Лаборатории стратегического развития продуктов кибербезопасности Аналитического центра кибербезопасности «Газинформсервис» Дмитрий Овчинников говорит, что новый вирус-шифровальщик демонстрирует классический подход в своей работе для подобного класса вредоносного ПО. «Распространение производится посредством фишинговых атак, а дальше идет этап развертывания, повышения привилегий и выполнения нелегитимных действий. Возможно, для антивирусного ПО этот вирус представляет из себя новую сигнатуру, однако, для ПО класса UEBA, данный вредонос не представляет из себя чего-то нового. Например, продукт Ankey ASAP посредством ИИ уже обучен выявлять подобные вирусы, даже если они еще не получили известности. Продукт с модулем UEBA анализирует дерево процессов, что позволяет выявить маскировку вируса под легитимное ПО, а также выполняет анализ операций с файлами на основе признаков работы ransomware. Обработчики событий позволяют засечь операции: по повышению привилегий, неправомерное использование утилит администрирования или их не типовое использование. Все это, в совокупности с обработкой событий, поступающих от SIEM и последующим их скорингом, позволяет надежно защитить сеть от подобного вида угроз и атак нулевого дня», – сказал Дмитрий Овчинников.