SecAtor

Исследователи Лаборатории Касперского обнаружили попытку украинской хакерской группы BO Team осуществить атаку на цепочку поставок неназванного российского IT-провайдера. В июне 2025 года представители компании-разработчика ПО обратились в ЛК с сообщением о подозрительной активности в их сети: на компьютерах сисадминов фиксировались попытки подключения по протоколу SMB с учетных записей, которые не должны были иметь доступа к этим системам. В первый же день реагирования на инцидент Касперы обнаружили следы вредоносного ПО и восстановили команды, выполненные злоумышленниками на скомпрометированной системе, которые были характерны для APT-группы Black Owl (BO Team). Дальнейшее расследование выявило масштабный взлом инфраструктуры пострадавшей организации. Хакеры оставались в сети атакованной организации в течение нескольких месяцев, похищая конфиденциальную информацию. Злоумышленники захватили почти все её ключевые компоненты, включая серверы Windows и Linux, рабочие станции, гипервизоры, системы оркестрации Ansible, серверы резервного копирования, серверы управления решениями безопасности и даже сетевое оборудование. Хакеры даже взломали инфраструктуру веб-серверов организации и получили контроль над её DNS-зоной. Обычно BO Team крадет конфиденциальную информацию и выводит из строя ИТ-инфраструктуру, используя ransomware, после чего публикует результаты своих операций в Telegram-канале, что делает их похожими на хактивистов. Однако в данном случае, похоже, они преследовали иные цели: не было ни уничтожения данных, ни пиар-кампаний с демонстрацией успешной операцией по краже данных. Вместо этого злоумышленники работали над тем, как бы закрепиться в сети жертвы, создавая удобные каналы С2 и устанавливая бэкдоры для восстановления доступа в случае его утраты. Компрометация инфраструктуры разработки программного обеспечения (CI/CD) и сервера цифровой подписи программного кода указывала на то, что атака, скорее всего, перерастет в сценарий атаки на цепочку поставок. На основании анализа обширных данных, предоставленных ЛК в рамках реагирования на инцидент, мы считаем, что длительный характер атаки привел к неосторожности злоумышленников, и их действия были обнаружены. По итогу атаку удалось раскрыть и предотвратить еще до того, как нападавшие достигли своей цели, а ряд ошибок, допущенных командой BO Team, позволив многое узнать о TTPs этой группы. Почему инцидент оставался незамеченным так долго? Этому способствовали сразу несколько факторов: - устаревшее решение в области безопасности, система SIEM, которая внедрялась только на момент атаки и, следовательно, фактически не существовала, - отсутствие необходимых обновлений операционной системы и прикладного программного обеспечения, - недостаточная сегментация сети, - хранение данных аутентификации в открытом виде, - нехватка персонала, занимающегося ИБ в организации. С момента описанных событий прошел почти год. ЛК не публиковала исследование раньше, чтобы дать время на устранение всех недостатков по линии ИБ, а главное убедиться, что попытки BO Team вернуться к своей инфраструктуре оказались безуспешными. Так что теперь, обширная аналитика и подробный технический обзор доступны - в отчете. Настоятельно рекомендуем ознакомиться.