Пов’язане з Росією хакерське угруповання Cl0p заявило про викрадення значних обсягів внутрішніх даних у майже 50 компаній по всьому світу, серед яких опинилися енергетичний гігант Shell, виробник медичної техніки Philips, а також корпорації General Electric і Fiserv.
Джерело: Reuters
Деталі: У своїй заяві зловмисники стверджують, що їм вдалося викрасти близько 89 гігабайтів даних у Shell та 13,5 гігабайтів Philips.
В оприлюдненій 12 серпня заяві кіберзлочинці стверджують, що викрадений у Shell масив документів містить проєктні креслення енергетичних об’єктів, якими управляє компанія, фотографії промислових комплексів, сканкопії звітів про технічні інспекції та матеріали з планування проєктів. Щодо Philips, хакери заявляють про викрадення схем, креслень і діаграм у форматі PDF.
Станом на момент публікації новини зловмисники не оприлюднили зразків викраденої інформації.
Обидві корпорації підтвердили спроби несанкціонованого доступу до своїх систем і заявили про початок внутрішнього розслідування, однак наразі не підтвердили витоку даних.
“Нам відомо про нещодавній можливий інцидент. Ми співпрацюємо з нашими командами безпеки та відповідними експертами для розслідування цього інциденту”, – повідомив речник Shell нідерландському виданню BNR.
“Philips виявила та локалізувала спробу кібератаки на окремий корпоративний сервер із внутрішніми даними”, – йдеться в заяві Philips, де також зазначається, що інцидент не вплинув на середовища клієнтів.
Представник GE заявив, що компанія знає про заяву хакерів і вже “запустила свої протоколи реагування на кіберзагрози та працює над оцінкою потенційної проблеми”.
Речник фінансово-технологічної корпорації Fiserv повідомив, що компанія поінформована про заяви кіберзлочинців. За його словами, “на основі поточної всебічної перевірки” не виявлено жодних доказів компрометації клієнтських, банківських, транзакційних чи персональних даних, як і впливу на її операційне середовище.
Хоча офіційний вектор проникнення ще встановлюється, галузева група з обміну інформацією та аналізу щодо програм-вимагачів (Ransom-ISAC) ще 22 липня попередила, що угруповання Cl0p активно експлуатує вразливості в інженерному програмному забезпеченні PTC Windchill та FlexPLM, яке використовується для підтримки виробничих процесів.
Керівник напряму аналізу загроз у компанії Ascent Solutions Брендон Парсонс зазначив, що угруповання діють як “професійні вимагачі даних”, фокусуючись на зламі вразливих програмних комплексів, а не на конкретних корпораціях.
“Вони насправді не націлюються на конкретну компанію, вони обирають конкретну вразливість нульового дня та використовують її”, – заявив Парсонс.
Атаки програм-вимагачів із викраденням даних (подвійне вимагання) спричиняють значно серйозніші збитки порівняно з традиційними атаками шифрувальників, оскільки компанії ризикують не лише втратити власну інформацію, а й зіткнутися з загрозою її публічного оприлюднення.
Shell є однією з найбільших енергетичних компаній світу. Витік креслень її промислових потужностей та інспекційних звітів загрожує фізичній безпеці критичної інфраструктури, оскільки такі дані можуть бути використані для планування диверсій.
Philips є провідним виробником медичного обладнання. У разі підтвердження витоку креслень і технічних схем компанія може зазнати відчутних збитків у сфері захисту інтелектуальної власності через ризик потрапляння конструкторської документації до конкурентів або зловмисників.
Довідково: Cl0p (також відоме як Clop) вважається одним із найнебезпечніших російськомовних кіберзлочинних угруповань, активність якого фіксують щонайменше з початку 2019 року. Дослідники кібербезпеки пов’язують його діяльність із відомими хакерськими кластерами TA505 та FIN11.
Угруповання діє переважно з території РФ та країн пострадянського простору, дотримуючись негласного правила не здійснювати атаки на організації в межах СНД. Шкідливе програмне забезпечення Cl0p містить спеціальну перевірку мовної розкладки та налаштувань операційної системи, автоматично припиняючи роботу в разі виявлення російської мови.
Cl0p стало одним із піонерів тактики “подвійного вимагання”, яка передбачає не лише блокування доступу до корпоративних систем, але й шантаж публікацією конфіденційних даних на власному сайті в даркнеті у разі відмови сплатити викуп у криптовалюті.
Останніми роками група практично відмовилася від традиційного шифрування окремих мереж на користь масових атак через уразливості “нульового дня” (zero-day) у поширеному корпоративному програмному забезпеченні. Зокрема, зловмисники організували резонансні глобальні кампанії зі зламу платформ Accellion FTA у 2021 році, GoAnywhere MFT на початку 2023 року та MOVEit Transfer влітку того ж року, скомпрометувавши дані сотень мільйонів користувачів, великих корпорацій і державних відомств західних країн.
