После затишья длиной в несколько месяцев кибергруппа Twelve вновь активизировалась. Она вновь атакует российские организации, получая доступ к персональным данным и коммерческой информации. Целью преступников, как и прежде, является получение выкупа за расшифровку особо ценных данных. Об этом рассказали специалисты «Лаборатории Касперского».
Кибергруппа Twelve атакует российские организации с апреля 2023 года. Она публиковала персональные данные реальных людей в своём Telegram-канале вплоть до весны 2024 года, когда канал был заблокирован за нарушение правил площадки. Затем несколько месяцев о группе ничего не было слышно, но в конце июня 2024 года эксперты зафиксировали атаку, в которой используются техники, полностью идентичные атакам кибергруппы Twelve, а также связанные с ней командно-контрольные серверы. Это позволяет с высокой степенью вероятности предположить, что группа продолжает свою активность и, возможно, скоро вновь заявит о себе в публичном пространстве.
Основной мотив группы Twelve — хактивизм. Это проявляется в методах работы атакующих: они не требуют выкуп за расшифровку данных, а предпочитают шифровать информацию жертв, а затем разрушать инфраструктуру с помощью вайпера, делая невозможным восстановление данных. Такой подход указывает на стремление нанести максимальный ущерб целевым организациям без прямой материальной выгоды. В своих атаках группа стремится добраться до критической инфраструктуры, однако это не всегда ей удаётся.
Twelve — часть более сложной группы. Twelve использует общую с группой вымогателей DARKSTAR (ранее называвшаяся Shadow и COMET) инфраструктуру, утилиты и техники c процедурами (TTP). Это свидетельствует о том, что они принадлежат к одному синдикату или кластеру деятельности. При этом если действия Twelve носят явно хактивистский характер, то DARKSTAR придерживается классической схемы двойного вымогательства. Такое разделение целей внутри синдиката подчёркивает сложность и разнообразие современных киберугроз.
По словам экспертов, кибератаки можно предотвратить, поскольку группа применяет исключительно общедоступный арсенал различного вредоносного ПО. У злоумышленников отсутствуют собственные разработки в этой области. Как следствие, атаки Twelve реально своевременно обнаружить и предотвратить. Однако, если этого не сделать, злоумышленники могут нанести значительный ущерб инфраструктуре организации.
Чтобы защититься от подобных атак, специалисты по информационно безопасности рекомендуют организациям:
- регулярно обновлять программное обеспечение на всех устройствах, чтобы злоумышленники не смогли воспользоваться уязвимостями и проникнуть в корпоративную сеть;
- использовать сложные и уникальные пароли для защиты корпоративных учётных записей и регулярно их обновлять, а также настроить многофакторную аутентификацию;
- использовать комплексные защитные решения, которые позволят выстроить гибкую и эффективную систему безопасности, включающую в себя обеспечение надёжной защиты рабочих мест, выявление и остановку атак любой сложности на ранних стадиях, сбор актуальных данных о кибератаках в мире и обучение сотрудников базовым навыкам цифровой грамотности;
- предоставлять сотрудникам отдела кибербезопасности возможность доступа к свежей информации о новейших тактиках, техниках и процедурах злоумышленников;
- регулярно проводить обучающие тренинги для сотрудников, чтобы снизить вероятность успешных атак с использованием фишинга. Для расширения навыков ИБ-специалистов подойдут продвинутые тренинги от экспертов.