Хакеры атаковали производственное предприятие на Ближнем Востоке. Эксперт «Группы Астра» Андрей Кузнецов отметил, что резервное копирование служит фундаментом для безопасного и быстрого построения новой, чистой ИТ-инфраструктуры, позволяя бизнесу продолжить работу, пока юридические и ИБ-подразделения занимаются последствиями утечки.
Получив привилегии уровня администратора домена, хакеры через групповые политики Active Directory распространили требования выкупа по рабочим станциям, сменили обои и экран блокировки, отключили локального администратора и брандмауэр Windows. Похищенные с серверов данные позднее появились в даркнете.
Вредоносный объект получил имя PAYLOAD. Через него атакующий настроил показ требования выкупа, подмену рабочего стола и экрана блокировки, баннер при входе в Windows и отключение локальной учётной записи администратора. Второй GPO под названием win Firewall Off выключил брандмауэр Windows сразу для доменного, частного и публичного профилей.
Ситуацию прокомментировал эксперт по автоматизированной защите данных RuBackup.
«Важно понимать, что резервное копирование играет критически важную роль в восстановлении инфраструктуры и минимизации долгосрочного ущерба. Храните копии в хранилищах, где данные нельзя изменить или удалить даже с правами администратора домена. Учетные записи и серверы управления резервным копированием не должны входить в основной производственный домен AD. Кроме того, необходимо внедрять системы мониторинга, которые генерируют критические оповещения при создании новых GPO, изменении политик безопасности или массовом отключении брандмауэра и проверять не только резервные копии файлов, но и возможность корректного восстановления контроллеров домена и групповых политик из состояния System State. В данном случае резервное копирование служит не для «расшифровки» данных, а как фундамент для безопасного и быстрого построения новой, чистой ИТ-инфраструктуры, позволяя бизнесу продолжить работу, пока юридические и ИБ-подразделения занимаются последствиями утечки».
Андрей Кузнецов, генеральный директор ООО «РуБэкап» (входит в «Группу Астра»)
Узнать еще больше о защитите самых важных данных вы сможете из выступления Георгия Царева, коммерческого директора Rubackup в рамках онлайн-трансляции конференции «АстраКонф 2026», которую «Группа Астра» проведет 25 сентября на сайте мероприятия.