Специалисты Kaspersky ICS CERT обнаружили, что группировка BO Team несколько месяцев скрытно удерживала контроль над ключевыми системами российского разработчика программного обеспечения для промышленных предприятий. Атакующие захватили серверы, системы резервного копирования и средства защиты, но не стали уничтожать или шифровать данные, сосредоточившись на подготовке потенциальной атаки на цепочку поставок.
Злоумышленники проникли в корпоративную сеть через уязвимость Log4Shell на сервере Linux, доступном из интернета через SSH, и использовали служебную учётную запись для входа.
Получив доступ к системе виртуализации VMware vCenter, хакеры похитили закрытый SSH-ключ, что позволило им захватить гипервизоры и виртуальные машины, включая GitLab с исходным кодом.
Используя похищенные ключи и учетные данные, преступники расширили контроль до серверов Ansible, корпоративного VPN, почтовых серверов, систем резервного копирования и контроллера домена Windows.
Атакующие обнаружили несколько заблокированных попыток запуска вредоносного кода на сервере цифровой подписи готовых программ, что указывает на подготовку компрометации цепочки поставок.
После обнаружения взлома сотрудники компании отключили сеть от интернета, однако злоумышленники предприняли попытку повторного проникновения через фишинговую рассылку с действительной DKIM-подписью.
Загрузка комментариев…