Пов'язане з Росією хакерське угруповання Cl0p заявило про масштабну кібератаку майже на 50 компаній у різних країнах світу. Серед потенційних жертв названі Shell, Philips, General Electric і Fiserv, а лише у Shell та Philips зловмисники стверджують, що викрали загалом близько 102,5 ГБ внутрішніх даних.
Cl0p заявили про атаку майже на 50 компаній
Пов'язане з Росією хакерське угруповання Cl0p заявило про викрадення значних обсягів корпоративної інформації майже у 50 компаній по всьому світу.
Серед потенційних жертв кіберзлочинці назвали енергетичну корпорацію Shell, виробника медичного обладнання Philips, а також General Electric і фінансово-технологічну компанію Fiserv.
Заяву про викрадення інформації хакери оприлюднили 12 серпня. Водночас на момент появи інформації вони не показали зразків даних, які нібито отримали під час атак.
Що могли викрасти у Shell та Philips
Cl0p стверджує, що у Shell було викрадено близько 89 ГБ внутрішньої інформації. Ще приблизно 13,5 ГБ даних хакери нібито отримали із систем Philips.
За твердженням кіберзлочинців, масив документів Shell містить проєктні креслення енергетичних об'єктів компанії, фотографії промислових комплексів, скановані копії звітів про технічні інспекції та документацію щодо планування проєктів.
У випадку Philips хакери заявляють про отримання схем, креслень та діаграм у PDF-файлах.
Витік такої інформації у разі його підтвердження може становити серйозну проблему. Для Shell мова йде, зокрема, про потенційно чутливу технічну документацію промислової інфраструктури, а для Philips — про ризики для захисту інтелектуальної власності.
Як відреагували компанії
Shell і Philips підтвердили спроби несанкціонованого доступу до своїх систем та розпочали внутрішні розслідування. Водночас компанії поки не підтвердили, що заявлений Cl0p витік інформації справді відбувся.
У Shell повідомили, що компанія залучила фахівців для встановлення всіх обставин можливого інциденту.
«Нам відомо про нещодавній можливий інцидент. Ми співпрацюємо з нашими командами безпеки та відповідними експертами для розслідування цього інциденту», — заявив представник Shell.
У Philips заявили, що спробу кібератаки вдалося виявити та локалізувати. За інформацією компанії, інцидент стосувався окремого корпоративного сервера.
«Philips виявила та локалізувала спробу кібератаки на окремий корпоративний сервер із внутрішніми даними».
У компанії також наголосили, що атака не вплинула на клієнтські середовища.
General Electric також знає про заяви хакерів. У корпорації повідомили, що запустили власні процедури реагування на кіберзагрози та оцінюють потенційні наслідки інциденту.
Fiserv, своєю чергою, заявила, що за результатами поточної перевірки не виявила доказів компрометації клієнтських, банківських, транзакційних або персональних даних. Компанія також не зафіксувала впливу на своє операційне середовище.
Як могли провести кібератаку
Точний спосіб проникнення до систем компаній поки встановлюється. Водночас галузева група Ransom-ISAC ще 22 липня попереджала про активне використання Cl0p вразливостей в інженерному програмному забезпеченні PTC Windchill та FlexPLM.
Ці програмні рішення використовуються для підтримки виробничих процесів, тому одна вразливість потенційно дозволяє атакувати одразу велику кількість організацій, які користуються відповідним програмним забезпеченням.
Керівник напряму аналізу загроз Ascent Solutions Брендон Парсонс пояснив, що Cl0p фактично працює як професійний викрадач даних та концентрується передусім на пошуку вразливого програмного забезпечення.
«Вони насправді не націлюються на конкретну компанію, вони обирають конкретну вразливість нульового дня та використовують її», — заявив Брендон Парсонс.
Подібна схема дозволяє кіберзлочинцям одночасно атакувати значну кількість компаній, якщо всі вони використовують вразливий програмний продукт.
Чим відоме угруповання Cl0p
Cl0p, яке також називають Clop, вважається одним із найбільш відомих російськомовних кіберзлочинних угруповань. Його активність фахівці з кібербезпеки фіксують щонайменше з початку 2019 року.
Дослідники пов'язують діяльність Cl0p із хакерськими кластерами TA505 та FIN11. За наявною інформацією, угруповання переважно діє з території Росії та країн пострадянського простору.
Шкідливе програмне забезпечення Cl0p має механізм перевірки мовних налаштувань операційної системи. У разі виявлення російської мови воно може автоматично припиняти свою роботу.
Угруповання стало одним із піонерів тактики так званого подвійного вимагання. Вона передбачає не лише отримання доступу до корпоративної інформації, а й погрози оприлюднити конфіденційні дані, якщо жертва не погодиться сплатити викуп.
Останніми роками Cl0p значною мірою відійшло від традиційного шифрування окремих корпоративних мереж і зосередилося на масових атаках через вразливості нульового дня у популярному корпоративному програмному забезпеченні.
Зокрема, угруповання пов'язували з глобальними кампаніями проти Accellion FTA у 2021 році, GoAnywhere MFT на початку 2023 року та MOVEit Transfer влітку 2023 року. Внаслідок цих кампаній були скомпрометовані дані великої кількості користувачів, корпорацій та державних структур західних країн.
FAQ
- Хто заявив про злам майже 50 компаній?
Про викрадення корпоративної інформації заявило пов'язане з Росією хакерське угруповання Cl0p, також відоме як Clop. - Які великі компанії названі серед потенційних жертв?
Серед них Shell, Philips, General Electric та Fiserv. - Скільки інформації нібито викрали у Shell?
Cl0p стверджує, що отримало близько 89 ГБ внутрішніх даних Shell. - Скільки даних могли викрасти у Philips?
За заявою хакерів, йдеться приблизно про 13,5 ГБ інформації. - Чи підтвердили Shell і Philips витік даних?
Компанії підтвердили спроби несанкціонованого доступу та початок розслідувань, однак на момент публікації не підтверджували заявлений хакерами витік. - Які вразливості може використовувати Cl0p?
Ransom-ISAC попереджала про експлуатацію угрупованням вразливостей у PTC Windchill та FlexPLM. Остаточний вектор цієї атаки ще встановлюється.