Группировка Toy Ghouls атакует российские промышленные предприятия с помощью собственного шифровальщика GenieLocker. Вредонос мультиплатформенный — есть версии для Windows (PE‑сборка) и Linux/ESXi (ELF‑сборка), что позволяет злоумышленникам парализовать и рабочие станции, и критически важные гипервизоры. Для проникновения атакующие активно используют легитимные утилиты (Mimikatz, PsExec и др.), проводят разведку сети и выстраивают обратные SSH‑туннели для устойчивой связи с командным центром. В одном из расследованных случаев злоумышленники проникли в инфраструктуру через VPN‑подключение внешнего партнёра — это подчёркивает риски, связанные с доверенным удалённым доступом.
Особенность GenieLocker — продуманные механизмы уклонения от обнаружения: отсутствие автоматических записок о выкупе, запуск только при наличии «секретного аргумента», многоступенчатая защита от отладки и частичное шифрование файлов с помощью библиотеки libsodium. Для защиты промышленным организациям важно усилить мониторинг легитимных утилит и SSH‑туннелей, контролировать аргументы запуска подозрительных процессов, сегментировать сеть, применять принцип минимальных привилегий и регулярно отрабатывать реагирование на инциденты.
Атаки через инфраструктуру партнёров, то есть через цепочку поставок, как и сами шифровальщики, используются уже давно. Но популярность таких атак будет расти: не потому, что злоумышленникам нравится именно этот способ, а потому, что он дешевле и проще.
Петрушенко Фёдор Анатольевич, генеральный директор ООО «Комрунет»
Атаковать крупную компанию напрямую сложнее. У неё, как правило, выше зрелость информационной безопасности, есть квалифицированные специалисты, настроенные средства защиты и готовая к отражению атак служба ИБ. Небольшие подрядчики — компании, обслуживающие бухгалтерию, 1С, сайты, принтеры или рабочие станции, — часто защищены заметно хуже.
Бизнес выбирает таких исполнителей прежде всего из-за стоимости услуг. Однако учитывать риски информационной безопасности при выборе подрядчика многие компании пока не научились. В этом и заключается одна из главных проблем.
Средним и небольшим компаниям, которые обслуживают государственные органы и крупные предприятия, необходимо внимательно относиться к собственной цифровой гигиене и информационной безопасности. Если заказчика взломают через инфраструктуру подрядчика и эта связь будет доказана, обслуживающая компания сама окажется под ударом. Размер возможных убытков и требований заказчика может оказаться несопоставимым с финансовыми возможностями такого бизнеса. А если речь идёт об объекте критической информационной инфраструктуры, последствия могут выйти за рамки финансовой ответственности.
Информационная безопасность давно перестала быть заботой только крупных компаний. Сегодня она становится необходимым условием работы любого бизнеса, имеющего доступ к инфраструктуре своих клиентов.
