Вслед за недавними заявлениями группы об атаках Центр исследования угроз Atos (TRC) идентифицировал и защитил инфраструктуру, связанную с этой вредоносной группировкой, обнаружив более 3 100 операционных файлов, которые обеспечивают редкое понимание того, как Mimori действует внутри взломанных сред.
Полученные материалы свидетельствуют о зрелой и высокоавтоматизированной атаке с использованием программы-вымогателя, построенной вокруг получения доступа к учетным записям с повышенными привилегиями, закрепления в системе, сетевого пивотинга, латерального перемещения и систематического нацеливания на критическую инфраструктуру. Операторы активно полагаются на написанные на заказ скрипты Python и оболочки, аутентифицированную прокси-инфраструктуру, агенты удаленного доступа и проверенные наступательные инструменты для расширения и поддержания доступа в средах жертв.
В ходе расследования также была обнаружена активность, направленная на системы управления идентификацией, среды VMware/ESXi и инфраструктуру корпоративного резервного копирования, наряду с автоматизированными рабочими процессами сбора и эксфильтрации данных с использованием нескольких облачных служб и служб объектного хранения. В совокупности эти выводы указывают на операцию, разработанную не просто для получения доступа, а для установления глубокого контроля над взломанными средами, сокращения возможностей восстановления, кражи ценных данных и создания максимальных рычагов для вымогательства.
Последнее исследование Atos TRC представляет собой, как мы полагаем, первый углубленный технический анализ Mimori, раскрывающий инфраструктуру, инструменты, TTP и операционный рабочий процесс группы вымогателей.
Учитывая объем и сложность восстановленных материалов, данная публикация посвящена наиболее значительным результатам, выявленным на данный момент. Анализ продолжается, и исследование будет расширяться по мере появления дополнительных выводов из набора данных.
