Новый вымогатель Spirals зашифровал сеть жертвы менее чем за 24 часа

Новая группировка вымогателей Spirals осуществила полный цикл корпоративного взлома — от первоначального доступа до кражи данных и шифрования — менее чем за 24 часа.

Как проходила атака?

Атака произошла в июне и затронула IT-компанию в Южной Азии. Точкой входа стал сервер IIS (Internet Information Services), доступный из интернета. После получения доступа и загрузки веб-шелла ASP.NET атакующий действовал стремительно:

• Обошёл User Account Control (UAC)
• Включил Remote Desktop и создал локальный аккаунт для постоянного доступа
• Выгрузил SAM-реестр и память процесса LSASS для извлечения учётных данных
• Попытался удалить защитное ПО на хостах
• Использовал WMI для горизонтального перемещения на более чем десяток систем
• Установил резервные каналы удалённого доступа через revsocks, Chisel и туннели Cloudflare

PowerShell-нагрузка отключила Microsoft Defender, удалила его базы угроз и остановила сервисы, связанные с 23 продуктами резервного копирования, баз данных и виртуализации, включая Veeam, VMware, Hyper-V, SQL Server, Oracle и PostgreSQL — в подготовке к шифрованию.

Развёртывание вымогателя

Нагрузка Spirals была развёрнута через PsExec с правами SYSTEM под именем файла bitsadmin.exe — намеренно имитирующего легитимную утилиту Windows, связанную со службой BITS. Это потребовалось для маскировки в среде жертвы.

Spirals — семейство вымогателей, написанное на Rust и использующее шифрование AES-128, защищённое публичным ключом ECDH P-256. Для ускорения процесса шифрования файлов размером более 5 МБ применяется прерывистое шифрование (intermittent encryption).

На диске C:\ оставляется файл RECOVERY_SECTION.log с инструкциями по переговорам. Жертвам угрожают публикацией похищенных данных в течение шести дней при отказе от оплаты.

Что известно о группировке?

Несмотря на наличие портала вымогательства, Symantec зафиксировала Spirals лишь в одном случае. Пока неясно, предназначен ли новый вариант для широкого применения в киберпреступной среде или был создан специально под эту атаку.

Команда Symantec Threat Hunter Team опубликовала сетевые индикаторы и хеши файлов, связанных с задокументированной атакой Spirals, для помощи в выстраивании защиты.