Резюме отчета
Вслед за недавно замеченными заявлениями группы об атаках специалисты Atos Threat Research Center (TRC) идентифицировали и защитили инфраструктуру, связанную с этой хакерской группировкой, обнаружив более 3100 операционных файлов, которые предоставляют редкую возможность увидеть, как Mimori действует внутри взломанных сред.
Полученные материалы свидетельствуют о зрелой и высокоавтоматизированной операции с использованием программ-вымогателей, построенной на получении доступа к привилегированным учетным записям, закреплении в системе, сетевом маневрировании, боковой миграции и систематическом нацеливании на критическую инфраструктуру. Операторы широко используют собственные скрипты на Python и оболочке, инфраструктуру аутентифицированных прокси-серверов, агенты удаленного доступа и проверенные инструменты для атак с целью расширения и поддержания доступа в средах жертв.
В ходе расследования также была обнаружена активность, направленная на системы управления учетными записями, среды VMware/ESXi и корпоративную инфраструктуру резервного копирования, а также автоматизированные рабочие процессы сбора и эксфильтрации данных с использованием нескольких облачных хранилищ и сервисов объектного хранения. В совокупности эти результаты указывают на операцию, разработанную не просто для получения доступа, а для установления глубокого контроля над взломанными средами, сокращения возможностей восстановления, кражи ценных данных и создания максимальных рычагов для вымогательства.
Последнее исследование Atos TRC представляет собой, по нашему мнению, первый углубленный технический анализ Mimori, раскрывающий инфраструктуру, инструменты, методы и тактики (TTP), а также операционный рабочий процесс этой группировки вымогателей.
Учитывая объем и сложность восстановленных материалов, данная публикация сосредоточена на наиболее значимых результатах, выявленных на данный момент. Анализ продолжается, и исследование будет расширяться по мере появления дополнительных данных из набора.
Читать полную версию исследования (откроется в новой вкладке)
