Хакеры принесли на взлом американской компании сразу 13 программ для отключения защиты и пять уязвимых драйверов. За час злоумышленники перебрали целый арсенал средств против антивирусов, подготовили скрытый доступ и попытались запустить Anubis. Но финальная стадия атаки сорвалась.
Нападение произошло в октябре 2026 года. Специалисты Symantec обнаружили в инфраструктуре пострадавшей организации ранее неизвестный бэкдор Lindnor. Программа находилась на двух серверах Microsoft SQL Server, причём оба оказались единственными серверами баз данных такого типа среди затронутых компьютеров. Как злоумышленники впервые проникли в сеть, выяснить не удалось.
На одном сервере Lindnor работал под именем healthcontroller64.exe в каталоге, похожем на папку компонента Chrome. На другом вредонос маскировался под svchelper.exe в каталоге VMware. Предположительно, бэкдор запускался как служба Windows. Программа передавала управляющему серверу имя компьютера и пользователя, сведения о домене, версии ОС, текущем процессе и пути к собственному файлу.
Примерно за час атакующие разместили не менее 13 исполняемых файлов, предназначенных для остановки защитного ПО. Ещё пять файлов представляли собой известные уязвимые драйверы с цифровыми подписями. Приём BYOVD позволяет загружать такой драйвер для получения доступа на уровне ядра Windows и вмешиваться в работу средств безопасности. Из 13 программ 11, по оценке Symantec, ранее публично не описывали.
Два инструмента, gbbsym.exe и symgooq.exe, выдавали себя за компоненты Symantec и умели перечислять и удалять обратные вызовы ядра. Почти все обнаруженные программы были заблокированы, кроме huntreagent.exe и s1.exe. Их образцы исследователям не достались, поэтому точные функции остались неизвестны. Судя по последовательности запуска, хакеры пробовали разные способы преодолеть защиту.
Злоумышленники также установили AnyDesk, создали локальную учётную запись и подготовили удалённый доступ даже после запуска Windows в безопасном режиме с поддержкой сети. Отдельная утилита safemode.exe прописала AnyDesk среди разрешённых служб. В таком режиме многие защитные компоненты работают не полностью, что могло облегчить дальнейшие действия атакующих.
Финальным этапом должен был стать запуск iservice.exe, шифровальщика Anubis. Вредонос добавляет файлам расширение .anubis и оставляет требования выкупа, угрожая публикацией похищенных сведений. В программе также предусмотрен режим полного стирания содержимого файлов. Однако, как показало расследование Symantec, защитные средства заблокировали модуль шифрования, и свидетельств повреждения файлов не обнаружили.
Группировка Hawkmoth развивает партнёрскую схему вымогательства Anubis с конца 2024 года. За последние 12 месяцев преступники заявили примерно о 96 жертвах, причём 52% находятся в США. Ранее операторы Anubis уже привлекали внимание необычным режимом уничтожения данных, при котором даже выплата выкупа не позволяет восстановить файлы.