Как правило, группировка использует узнаваемый набор техник и инструментов при кибератаке: эксплоиты или трояны, инструменты обфускации и т.д. И это один из механизмов обнаружить след определенной группировки при анализе кибератаки и используемого в ней вредоносного ПО. Но уже не первая исследовательская группа отмечает тенденцию к обмену как готовыми доступами к корпоративным сетям между хакерами, так и отдельными эксплоитами.
На прошлой неделе исследователи из компании IBM X-Force Incident Response and Intelligence Services (IRIS) обнаружили, что организованная группировки ITG08, она же FIN6, вступила в партнерские отношения с бандой TrickBot (производители одноименного трояна и предположительно трояна Anchor). Сделано это для того, чтобы использовать вредоносные программы PowerTrick и Anchor этой группы для атак на высококлассные цели: точки продаж (POS) в магазинах и компаниях в сфере гостеприимства в США и Европе, а также финансовые организации. Исследователи пришли к такому выводу благодаря множественным наблюдениям. В частности, в последние шесть месяцев вредоносная программа Anchor backdoor (и Anchor_DNS) использовалась в целевых атаках на корпоративные сети, включая системы POS, после первоначального заражения трояном TrickBot. То, как организации подвергаются атакам, связано с типичной деятельностью ITG08, о которой сообщалось в течение последних нескольких лет.
Это может указывать на то, что FIN6 и операторы TrickBot объединили свои усилия в атаках на ряд организаций с целью получения прибыли и снижения собственных затрат на атаку.
Ранее исследователи Trend Micro также обратили внимание на сотрудничество киберпреступных групп. Разработчики вредоносных программ производят ПО, используя инструменты с открытым исходным кодом, и распределяют задачи между несколькими преступными группами. Поддерживая свои собственные процедуры запутывания или уклонения (обфускации и evasion техники), разработчики сотрудничают на общих элементах (загрузчики и расшифровщики), чтобы уменьшить общую рабочую нагрузку. Еще одной тенденцией является увеличение сложности. Сотрудничая, злоумышленники могут уменьшить количество ошибок кодирования с помощью проверок (peer-review), выполненных коллегами, и избежать дублирования векторов побежденных атак, используя результаты предыдущего опыта. Кроме того, включение нескольких возможностей из различных инструментов обеспечивает мощные готовые пакеты (out-of-the-box).
В своем исследовании о киберугрозах для компаний в 2019 году Accenture также отметила тренд к объединению киберпреступности в синдикаты с целью совместного использования инструментов и снижения стоимости атак с повышением их эффективности.
Тем не менее, для ИБ эксперта, основные векторы атак остаются прежними: распространение вредоносного ПО, фишинг и спам-рассылки, и т.д.
В качестве рекомендаций для борьбы с продвинутыми целенаправленными атаками эксперты группы компаний Angara рекомендуют:
- Использование платформ создания ложных целей атак – Threat Deception Platforms, TDP. Эти решения, которые улавливают вредоносное ПО, позволяют его проанализировать и исследовать, а также выявить и отследить последующие пути заражения в инфраструктуре. Группа компаний Angara имеет в своем портфеле решения класса TDP:
o Illusive Networks.
- Использование решений по эмуляции подозрительного ПО – SandBox – и анализ результатов с проработкой индикаторов компрометации.
- Исследование TTP и IoC, которые выпускают исследовательские организации, а также другие полезные данные.
- Подключение к SOC системам сервисов Threat Intelligence.
- Полноценное использование средств защиты конечных точек: EDR, защиту виртуализации и т.д.
- Регулярное переосмысление модели угроз для вашей компании. Рассмотрение ИБ в качестве непрерывного процесса.
