Один из крупнейших поставщиков телекоммуникационных и ИТ-решений для мировой пассажирской и грузовой авиации SITA и их система SITA Passenger Service System (SITA PSS) в начале 2021 года пострадали от кибератаки. Инцидент был слабо освещен в СМИ, но последующая масштабная утечка в Air India повысила его значимость.

По данным самой компании Air India, скомпрометирована оказалась информация о пассажирах начиная с августа 2011 года, включая персональные данные и сведения о перелетах.

Уже с середины февраля 2021 года система Threat Intelligence & Attribution компании Group-IB обнаружила зараженные устройства, входившие в компьютерную сеть Air India. Начиная как минимум с 23 февраля 2021 года устройство в сети компании обменивалось данными с сервером с IP-адресом 185.118.166.66. 

Согласно Network Graph Group-IB, с 11 декабря 2020 года на этом сервере размещается Cobalt Strike, популярный фреймворк для постэксплуатации. Имя устройства «нулевого пациента» – SITASERVER4, что указывает на вероятную атаку на цепочку поставок, то есть атака на компанию SITA повлекла заражение связанных с ними серверов на стороне клиентов. 

После закрепления в инфраструктуре Air India вредоносный агент начал свое горизонтальное распространение на не менее 20 устройств. С них извлекалась конфиденциальная информация, включая NTLM-хэши и пароли в виде обычного текста с локальных рабочих станций с помощью hashdump и mimikatz. 

https://static.tildacdn.com/tild6562-6162-4233-b230-373263626166/Blog_-_1500x778_res.png


Вся атака, от возникновения первого заражения в инфраструктуре и соединения вредоносного агента с C&C сервером до первой эксфильтрации данных, заняла не менее 3-х дней. 

В случае своевременного обнаружения этой опасной сетевой активности, и тем более ее блокирования, успешность подобной атаки можно свести к нулю. Обнаружение связи вредоносного ПО с зараженного ПК с C&C-сервером возможно на нескольких эшелонах сетевой защиты, в том числе:

  • на средствах межсетевого экранирования NGFW/UTM, установленных на периметре или в ядре сети, если трафик из сегмента зараженной машины анализируется на нем;

  • на средстве сетевого предотвращения вторжений IPS, на котором анализируется трафик внутренних ПК;

  • на средстве анализа сетевых аномалий, производящем мониторинг внутреннего и/или внешнего трафика. Таким образом можно также отследить горизонтальное перемещение вредоносного ПО в инфраструктуре.

Для усиления сетевой защищенности не всегда требуется линейное увеличение узлов сетевой защиты. Неоптимальная маршрутизация может привести к направлению трафика в обход защищенных каналов связи. А неэффективная политика ИБ на имеющихся средствах сетевой защиты – к потере необходимых данных для расследования инцидента или упущения из-под контроля ИБ-экспертов опасного трафика, поясняет Анна Михайлова, менеджер по развитию бизнеса группы компаний Angara.

Обладая широкой экспертизой в решениях и опытом борьбы с кибератаками в компаниях разных отраслей экономики, группа компаний Angara предоставляет услугу по усилению защищенности сетевой инфраструктуры (Hardening): по результатам аудита эксперты предложат конкретные методы усиления уровня защищенности сетевой инфраструктуры и пути снижения рисков от возможных кибератак.