Хак-группа, известная как Zestix, искала в даркнете журналы событий, содержащие учётные данные для популярных облачных сервисов обмена файлами — ShareFile, Nextcloud и OwnCloud. Впоследствии они были похищены и выставлены на продажу.
«Важнейшим выводом этого расследования является понимание того, как происходит отсрочка в реализации угрозы. Хотя некоторые учётные данные были получены с недавно заражённых машин, другие хранились в журналах годами, ожидая, пока злоумышленники воспользуются ими, — пояснили в Hudson Rock. — Это свидетельствует о повсеместном нарушении правил безопасности: пароли не менялись, а сессии никогда не аннулировались, превращая многолетнюю проблему в нынешнюю катастрофу».
Атакующие завладели нужными сведениями с помощью ряда вариантов инфостилеров, включая RedLine, Lumma и Vidar. Поскольку организации не использовали MFA, киберпреступники смогли проникнуть в систему через «парадную дверь» — не прибегая к эксплойтам или cookie. По всей видимости, члены группировки, движимые финансовыми мотивами, чувствуют себя комфортно, общаясь на закрытых форумах, где она выступает в роли посредника первичного доступа.
🗿 — нет MFA — нет безопасности, пора это выучить всем