Мир за неделю: очередное звено в цепочке атак

Найдена новая жертва взлома MOVEit, участились атаки на казино Лас-Вегаса и криптобиржи — хакеры требуют выкуп и пополняют криптокошельки.

MGM Resorts как звено в цепи атак на казино Лас-Вегаса

Продолжается расследование последствий кибератаки на компьютерные системы американской глобальной гостиничной и развлекательной компании MGM Resorts. По словам эксперта в области кибербезопасности, знакомого с ситуацией, деятельность MGM Resorts International по всей стране была нарушена на прошлой неделе из-за кибератаки, которая началась с взлома службы ИТ-поддержки компании.

Ответственность за кибератаку на системы MGM Resorts взяла на себя хакерская группа ALPHV, также известная как BlackCat. По информации хакеров, они взломали системы гиганта в мире индустрии развлечений с помощью простых методов социальной инженерии, а не с помощью программы-вымогателя. Группировка также обещает запустить программу-вымогатель в системе компании, «если сделка не будет достигнута». Об этом хакеры написали в сообщении, размещенном в сообществе и хранилище вредоносных программ vx-underground, пишет портал Investing.com.

Компания MGM не назвала произошедший инцидент кибератакой и воздерживается от комментариев по поводу причин сбоев в сети, однако подала уведомление о происшествии в соответствии с требованиями регуляторов. ФБР подтвердило, что расследует инцидент.

По словам Дэвида Брэдбери, директора по безопасности компании по управлению идентификацией и доступом компании Okta, провайдера решений для корпоративной идентификации, чьи серверы были отключены в ходе инцидента, в августе организация выпустила предупреждение об угрозах подобных атак. Хакеры использовали низкотехнологичную тактику социальной инженерии для получения доступа к сети, а затем с помощью продвинутых методов они выдавали себя за легальных пользователей. По данным источников, хакеры получили доступ в сеть после обычного звонка в техподдержку от имени одного из сотрудников MGM.

Инцидент стал очередным в цепочки проблем кибербезопасности, с которыми столкнулась MGM Resorts International. 1 сентября менеджер по эксплуатации отеля MGM Aria сдался полиции на фоне обвинений в краже более 773 тыс. долларов в период с июля 2022 г. по июль 2023 г. Он осуществил более 200 ложных возмещений на свою дебетовую карту.

Атака на MGM Resorts стала последней в серии громких нарушений безопасности, которые произошли в казино Лас-Вегаса за последние месяцы. Ранее компания Caesars Entertainment заплатила хакерам десятки миллионов долларов за то, чтобы украденные данные не были раскрыты, сообщил Bloomberg.

В BG Group пришли по цепочке MOVEit

15 сентября компания Shell заявила, что выявила киберинцидент, в результате которого пострадали сотрудники австралийского подразделения BG Group. Организация стала последней на сегодня компанией, пострадавшей от взлома MOVEit.

Нефтегазовая компания Shell заявила, что выявила утечку персональных данных сотрудников BG Group. Информация относятся к 2013 г. и хотя сведения могли устареть, существует риск для затронутых лиц. В частности, они станут мишенью фишинговых кампаний, говорится в заявлении Shell. Компания начала информировать сотрудников об утечке в начале июля, пишет Reuters, не уточняя число пострадавших.

Этот инцидент является последним в череде нарушений кибербезопасности в корпоративной экосистеме Австралии с начала 2023 г. Правительство страны было вынуждено реформировать правила кибербезопасности для компаний и создало агентство для надзора за государственными инвестициями в этой области. Однако эксперты уже выражают сомнения в эффективности национальной стратегии кибербезопасности Австралии.

В 2016 г. компания Shell поглотила BG Group стоимостью 70 млрд долларов, включив в свой портфель нефтегазовые проекты в разных странах, включая Австралию и Бразилию.

Крипта с CoinEx попала в кошельки группы Lazarus

Связанная с Северной Кореей группа Lazarus с июня 2023 г. украла криптовалюту на сумму почти 240 млн долларов. Эксперты отмечают значительное увеличение числа хакерских атак группировки, пишет портал The Hacker News.

Согласно отчетам аналитических компаний Certik, Elliptic и ZachXBT, хакерская группировка подозревается в краже цифровых активов на сумму 31 млн долларов с биржи CoinEx 12 сентября 2023 г. Это ограбление стало очередным в серии атак на Atomic Wallet (100 млн долларов), CoinsPaid (37,3 млн долларов), Alphapo (60 млн долларов) и Stake.com (41 млн долларов).

«Некоторые средства, украденные у криптообменника CoinEx, были отправлены на адрес, который использовался группой Lazarus для отмывания средств, украденных со Stake.com, хотя и на другом блокчейне», — заявили в Elliptic. — «После этого средства были перенаправлены в Ethereum с использованием моста, ранее использовавшегося Lazarus, а затем отправлены обратно на адрес, который контролируется хакером, взломавшим CoinEx».

Аналитики считают, что последние атаки являются показателем того, что группировка переключает свое внимание с децентрализованных услуг на централизованные, как было до 2020 г. Это вызвано, скорее всего, улучшением стандартов аудита и разработки смарт-контрактов в пространстве DeFi, а также расширением возможностей атак на централизованные биржи посредством использования методов социальной инженерии.

Наблюдатели отмечают, что кибератака произошла на фоне визита лидера КНДР Ким Чен Ына в Россию и его попыток расширения двухстороннего сотрудничества. Северная Корея использует криптовалюту для обхода санкции и финансирования военных программ. Другим источником доходов и сведений является шпионаж с привлечением внештатных ИТ-специалистов, которые используют поддельные удостоверения личности и скрывают реальное гражданство.

Группа Lazarus и ее подразделение, а также другие хакерские организации, связанные с КНДР, в последние месяцы организовали серию кибератак и вредоносных операций на цепочки поставок программного обеспечения. Их целью, в частности, становились компании 3CX и JumpCloud, а также открытые репозитории исходного кода JavaScript и Python.

В ходе расследования взлома платежной системы CoinsPaid выяснилось, что фальшивые рекрутеры в рамках операции «Работа мечты» связывались с сотрудниками организации через LinkedIn и различные мессенджеры, предлагали заманчивые условия работы и обманом пытались заставить их установить программы для выполнения «технических задач».