ITsec NEWS

Решили попробовать новую рубрику: “Анатомия атаки” — реальные кейсы реальных взломов. Интересна ли она вам — покажет реакция. BlackSuit и двойной удар, который парализовал почти всю автоторговлю США. CDK Global — это не просто софт. Это позвоночник автомобильной индустрии США. Всё: дилеры, сервисы, зарплаты, инвентарь, CRM, расчёты, кредиты — проходят через эту платформу. И вот, в середине июня 2024, всё это останавливается. Мгновенно. Потому что по сети прошёл BlackSuit. 18 июня — первый удар. Хакеры проникают в инфраструктуру CDK. Вероятно — через фишинг или уязвимость. А дальше — чистая классика: Cobalt Strike, Brute Ratel, сбор инфы, боковое перемещение. Всё красиво, грамотно, без спешки. В ход идут инструменты RClone и Brute Ratel, чтобы выкачать нужное — данные, карты сети, доступы. Всё, что пригодится потом. CDK реагирует быстро, вырубает всё. Начинается восстановление. И тут второй удар. На следующий день, когда всё только-только запускается. Системы встают снова. Значит, BlackSuit остался внутри. Значит, они всё это время сидели в сети. Ждали. Смотрели. Дождались момента — и добили. Именно так работают профи: на упреждение, с таймингом, с пониманием внутренней кухни. И это не просто какие-то новички из даркнета. BlackSuit — детище Royal, а те — прямые наследники Conti. Код сравнили — почти клон. Сходство до 98%. По технике — всё как по учебнику: частичное шифрование через OpenSSL AES, выключение виртуалок ESXi, автоудаление теневых копий, уникальный ID для каждой жертвы. Каждый шаг рассчитан. Каждый байт зашифрован. 21 июня — выплата. 25 миллионов долларов в биткоинах. Через посредников. Через криптоадреса, связанные с фирмами, которые “помогают” жертвам ransomware. Деньги двигаются дальше — в лучших традициях отмывания: 200 транзакций, 5 бирж, 20 кошельков. Как по нотам. Утром — взлом. Через пару дней — оплата. Почти как подписка на боль. CDK получает ключи. Начинает восстановление. Только займёт это не пару часов, а почти две недели. Потому что надо не просто расшифровать, а вычистить всё: сети, резервные копии, отладить заново каждую систему. И удостовериться, что ни одного хвоста, ни одного backdoor-а не осталось. Эта атака стала зеркалом: в нём — и индустриализация вымогателей, и уязвимость больших инфраструктур, и то, насколько опасна централизация критически важного софта в руках одной компании. Стоит одной трещине пройти по сети — и ты не просто лежишь. Ты лежишь с сотнями других, кто зависит от тебя. BlackSuit не просто взломали CDK. Они показали, как слаженно, грамотно и хладнокровно можно обрушить отрасль. Один ключ — и половина автосалонов Америки встала. P/S Автору будет приятно если вы накидаете 🔥 Hacker's TOYS