Avast разворачивает кампанию по усиленной самообороне и более широкому сотрудничеству в сфере расследования угроз
Международные компании по кибербезопасности все чаще становятся целями хакерских атак, кибершпионажа и даже некоторого саботажа на уровне государства, о чем свидетельствуют многочисленные сообщения о взломах данных и атаках за последние несколько лет.
Специалисты Avast постоянно работают, чтобы отражать все атаки на пользователей. Неудивительно, что сама компания Avast стала целью преступников.
23 сентября специалисты заметили подозрительные действия в корпоративной сети и начали немедленное расследование. Сотрудники компании объединились с чешским разведывательным агентством, Службой информационной безопасности (BIS), местным подразделением кибербезопасности полиции Чехии и внешней группой экспертов.
Анализируя внешние IP-адреса, эксперты обнаружили, что злоумышленник пытался получить доступ к сети через VPN еще 14 мая этого года.
Оказалось, что доступ к внутренней сети был осуществлен с использованием скомпрометированных учетных данных через временный профиль VPN, который был ошибочно оставлен включенным и не требовал двухфакторной аутентификации.
4 октября эксперты снова наблюдали эту активность. Временные метки подозрительной активности, помеченной MS ATA, (часовой пояс GMT + 2):
2:00 — 14 мая 2019 года
4:36 — 15 мая 2019 г.
23:06 — 15 мая 2019 г.
3:35 — 24 июля 2019
3:45 — 24 июля 2019
15:20 —11 сентября 2019
11:57 — 4 октября 2019 г.
Специалисты предположили, что вероятной целью атаки был CCleaner, как это произошло в 2017 году.
25 сентября сотрудники Avast остановили работу CCleaner и начали проверять его предыдущие версии. Они убедились, что никаких вредоносных изменений не было.
В качестве двух дальнейших превентивных мер эксперты, во-первых, создали обновление продукта и отправили пользователям автоматическое обновление 15 октября, а во-вторых, отозвали предыдущий сертификат. После всех мер предосторожности можно с уверенностью сказать, что пользователи CCleaner защищены и не подвержены атакам.
Из собранной информации становится ясно, что это была чрезвычайно изощренная попытка взлома. Хакеры сделали все возможное, чтобы не оставить никакой информации о себе и своих целях. Невозможно определить, были ли это те же люди, что и раньше, поэтому эту попытку назвали Abiss.
Специалисты Avast продолжают проводить подробный мониторинг в сетях и системах, чтобы максимально сократить время обнаружения угрозы и реакции на нее. Кроме того, исследователи вместе со сторонними экспертами планируют дополнительно изучать журналы, чтобы выявить, когда и как проявляли себя хакеры. Уже известны IP-адреса злоумышленников. Расследование продолжается.
