SMB-червь Indexsinas вышел на очередную охоту за уязвимыми машинами. В ходе сложной цепочки атак вредонос, способный самостоятельно распространяться, использует инструменты Агентства национальной безопасности (АНБ) США и устанавливает на устройство жертвы вредоносный криптомайнер.
Под прицелом киберпреступников оказались медицинские учреждения, а также образовательный и телекоммуникационный сектора. За счёт таких организаций злоумышленники добывают цифровую валюту.
Indexsinas ещё называют NSABuffMiner, атаки этого червя уходят корнями в 2019 год. Операторы вредоноса используют известный набор инструментов Equation Group, в который входят эксплойты EternalBlue и EternalRomance, а также бэкдор DoublePulsar.
Все эти злонамеренные тулзы Indexsinas использует для проникновения в общие папки Windows SMB. Далее червь уже перемещается латерально, постепенно и методично заражая корпоративную сеть.
«Самостоятельное распространение червя достигается за счёт использования сканера портов с открытым исходным кодом вкупе с эксплойтами EternalBlue, DoublePulsar и EternalRomance. Эти инструменты позволяют атакующим получить привилегированный доступ и установить бэкдоры», — пишут специалисты Guardicore Labs, проанализировавшие активность Indexsinas.
Также исследователи отметили тщательную подготовку и планирование кибератак операторов Indexsinas. На протяжении нескольких лет злоумышленники пользуются одним командным сервером (C&C), расположенным в Южной Корее.
Сам сервер отлично защищён, на него установлены все актуальные патчи, а в Сеть не торчит ничего лишнего. Сразу видно — работа профессионалов.
