Görüntü: Josh Calabrese, CNA
Lider ABD Sigorta Şirketi CNA Finali, Phoenix CryptOlocker operatörlerinin ağını nasıl ihlal ettiğini, verileri çaldığını ve Ransomware yükleme yüklerini, 2021 Mart'ta ağını vuran bir fidye yazılımı saldırısına nasıl ihlal ettiğini söyledi.
İki ay önce, 13 Mayıs'ta, CNA, saldırıda etkilenen sistemleri geri yükledikten sonra "tamamen restore edilmiş bir durumda" çalıştırmaya başladığını söyledi.
Bu ayın başlarında dosyalanan yasal bir bildirimde ortaya çıktığında, CNA, olayı keşfettikten hemen sonra işe alınan üçüncü taraf güvenlik uzmanlarının yardımıyla yapılan bir soruşturmanın ardından Ransomware saldırısının tam zaman çizelgesini keşfetti.
ABD sigortacısı tarafından açıklandığı gibi, saldırganlar ilk önce meşru bir web sitesi aracılığıyla sunulan sahte ve kötü amaçlı bir tarayıcı güncellemesi kullanarak bir çalışanın iş istasyonunu ilk kez ihlal etti.
Ransomware operatörü, sistemde "ek kötü amaçlı aktivite" aracılığıyla yükseltilmiş ayrıcalıklar elde etti ve daha sonra CNA'nın ağı üzerinden lateral olarak taşındı, daha fazla cihazda kalıcılığı ihlal ediyor ve kuruyor.
"5 Mart - 20 Mart 2021 tarihleri arasında, tehdit aktörleri, CNA'nın BT ortamında, tespiti önlemek ve kalıcılıktan kaçınmak için meşru araçlar ve kimlik bilgileri kullanarak keşif yapıldı," Yeni Hampshire'ın avukatı genel ofisi ile ilgili yasal bildirim ortaya çıkardı.
"20 Mart'ta ve 21 Mart, 2021'e, Tehdit Oyuncusu Engelli İzleme ve Güvenlik Araçları; Belirli CNA Back-UPS'sini tahrip ve engelliler; ve çevre içindeki belirli sistemlere fidye yazılımı, CNA'nın küresel olarak derhal bir sınırlama olarak proaktif olarak ayırmasını ön plana çıktı. ölçüm."
Saldırıya aşina olan kaynaklar, BleepingComputer'a, Phoenix CryptoLocker'ın 21 Mart'ta CNA'nın ağındaki Ransomware yüklerini dağıttıktan sonra 15.000'den fazla sistemi şifreldiğini söyledi.
BleepingComputer, Ransomware operatörlerinin, saldırı sırasında Şirket'in VPN'sine kaydedilen uzak çalışanların cihazlarını şifreleydiğini öğrendi.
"Ransomware'i dağıtmadan önce, tehdit aktörünün üç CNA sanal sunucusunda bulunan dosya paylaşımlarından elde edilen, sıkıştırılmış ve aşındıran yapılandırılmış verileri kopyalandı; Şirket, "Mega NZ Limited tarafından barındırılan tehdit aktörünün bulut tabanlı hesabı" dedi.
CNA'nın daha fazla keşfedildiği gibi, çalınan dosyalar, çalışanlara, eski çalışanlara ve bağımlılarına ve kabaca% 10'unda, çalışanlara duyarlı bilgileri (isimleri, sosyal güvenlik numaraları, doğum tarihleri, faydalar kaydını ve / veya tıbbi bilgiler) içermektedir. müşteriler.
Soruşturma ayrıca, saldırganların sadece FBI ve Mega'nın yardımıyla ele geçirilen MegaSync hesabına verileri yitirdi. Bulut depolama platformu tarafından sağlanan bilgilere dayanarak, çalınan CNA verileri saldırganların Mega hesabının dışında paylaşılmamıştır.
Ransomware saldırı soruşturmasının sonuçlarını dikkate alarak CNA, "Tehdit aktörünün, ihraç edilen verileri ele aldığı, sakladığı veya paylaştığına dair bir kanıt olmadığı ve böylece olaydan kaynaklanan bireylere zarar verme tehlikesi yok" diyor.
Bu sonuca olsa da, CNA, Mart ayından sonra potansiyel bir veri ihlalinin bu ayın başlarında etkilenen bireyleri hala bildirmeye karar verdi.
CNA'nın Maine avukatı genel ofisi ile birlikte dosyalanan ihlal bilgilerine göre, bu veri ihlali 75.349 kişiyi etkiledi.
Kaynak kodu benzerliklerine dayanarak, Phoenix Locker, kötü Corp Hacking Grubu tarafından geliştirilen yeni bir ransomware suşu olduğuna inanılmaktadır. Artık finesikleri veya yasal işlemlerden kaçınmak için artık ransomlar ödedi.
BleepingComputer tarafından yaptırımlı şeytani Corp ve Phoenix Locker arasındaki olası bir bağlantı hakkında sorulduğunda, CNA, onaylanmış bir bağlantı olmadığını söyledi.
Şirket, "Tehdit Oyuncu Grubu, bu saldırıdan sorumlu olan PHOENIX, onaylanmış bir varlık değildir ve hiçbir ABD hükümet ajansı, CNA'ya saldıran grup ile onaylanmış herhangi bir işletmeye olan ilişkiyi doğruladı." Dedi.
CNA, Sigorta Bilgi Enstitüsü'nden istatistik başına ABD'deki yedinci en büyük ticari sigorta şirketi olarak kabul edilir.
Sigortacı, ABD, Kanada, Avrupa ve Asya'daki bireylere ve işletmelere, siber sigorta poliçeleri de dahil olmak üzere geniş bir sigorta ürünleri sunmaktadır.
Sigorta Dev CNA, Ransomware saldırısından sonra veri ihlalini rapor eder.
ABD Sigortası Dev AJG, Ransomware saldırısından sonra veri ihlalini bildirdi
Ransomware'deki hafta - 23 Temmuz 2021 - Kaseya şifreli
Dosya Örümcek Ransomware Malsalans'ı MalsPam ile Hedefleyen
Philadelphia Ransomware'i yaymak için Avusturya'da tutuklanan genç
Kaynak: Bleeping Computer