Группировка Moses Staff атакует израильские организации

Новая хак-группа Moses Staff атаковала израильские организации, взломала их сети, зашифровала данные, а затем отказалась вести переговоры о выплате выкупа. ИБ-исследователи считают, что это были политически мотивированные и нарочно деструктивные атаки.

Впервые обнаруженная в начале октября 2021 года, Moses Staff  является третьей группировкой, атаковавшей исключительно израильские организации в последние месяцы (ранее аналогичный почерк демонстрировали группы Pay2Key и Black Shadow).

Однако, согласно отчету компании Check Point, хакеры из Moses Staff ведут себя не так, как их предшественники. Они даже не пытаются замаскировать свои атаки и последующие «сливы» данных под атаки программ вымогателей, вместо этого хакеры открыто заявляют, что их атаки имеют политическую подоплеку.

Согласно сообщению, размещенному на даркнет-сайте группы, Moses Staff о атакует израильский сионистский режим, поддерживая таким образом оккупированные палестинские территории. Именно по этой причине хакеры шифровали, а затем «сливали» данные жертв, даже не пытаясь получить выкуп.

По словам исследователей Check Point, у которых была возможность изучить прошлые атаки группы, Moses Staff действует по следующим схемам:

  • группа взламывает сети жертв, используя старые уязвимости, которые не были исправлены;
  • прошлые атаки были связаны с уязвимыми серверами Microsoft Exchange;
  • после взлома системы группа использует такие инструменты, как PsExec, WMIC и Powershell;
  • хакеры крадут конфиденциальную информацию из сетей жертв перед шифрованием данных;
  • Moses Staff обычно развертывает опенсорсную библиотеку DiskCryptor для шифрования томов и блокировки компьютеров жертв с помощью загрузчика, который не позволяет машинам загружаться без правильного пароля (даже если указан правильный пароль, данные после загрузки системы все равно останутся зашифрованы);
  • исследователи считают, что boot-пароль и ключ шифрования могут быть восстановлены при определенных обстоятельствах;
  • у хакеров есть канал в Telegram и аккаунт в Twitter, где они объявляют о новых атаках и «сливах» данных, которые также публикуют на своем сайте.

Исследователи Check Point пока не связывают группировку с какой-то конкретной страной, однако отмечают, что некоторые образцы малвари Moses Staff были загружены на VirusTotal с IP-адресов в Палестине (за несколько месяцев до первой атаки группы).

На данный момент на сайте Moses Staff обнародована информация 16 жертв, в которую входят данные и документы объемом более 34 терабайт.

 

Источник 📢