Решили попробовать новую рубрику: “Анатомия атаки” — реальные кейсы реальных взломов. Интересна ли она вам — покажет реакция.

BlackSuit и двойной удар, который парализовал почти всю автоторговлю США. CDK Global — это не просто софт. Это позвоночник автомобильной индустрии США. Всё: дилеры, сервисы, зарплаты, инвентарь, CRM, расчёты, кредиты — проходят через эту платформу. И вот, в середине июня 2024, всё это останавливается. Мгновенно. Потому что по сети прошёл BlackSuit.

18 июня — первый удар. Хакеры проникают в инфраструктуру CDK. Вероятно — через фишинг или уязвимость. А дальше — чистая классика: Cobalt Strike, Brute Ratel, сбор инфы, боковое перемещение. Всё красиво, грамотно, без спешки. В ход идут инструменты RClone и Brute Ratel, чтобы выкачать нужное — данные, карты сети, доступы. Всё, что пригодится потом. CDK реагирует быстро, вырубает всё. Начинается восстановление.

И тут второй удар. На следующий день, когда всё только-только запускается. Системы встают снова. Значит, BlackSuit остался внутри. Значит, они всё это время сидели в сети. Ждали. Смотрели. Дождались момента — и добили. Именно так работают профи: на упреждение, с таймингом, с пониманием внутренней кухни.

И это не просто какие-то новички из даркнета. BlackSuit — детище Royal, а те — прямые наследники Conti. Код сравнили — почти клон. Сходство до 98%. По технике — всё как по учебнику: частичное шифрование через OpenSSL AES, выключение виртуалок ESXi, автоудаление теневых копий, уникальный ID для каждой жертвы. Каждый шаг рассчитан. Каждый байт зашифрован.

21 июня — выплата. 25 миллионов долларов в биткоинах. Через посредников. Через криптоадреса, связанные с фирмами, которые “помогают” жертвам ransomware. Деньги двигаются дальше — в лучших традициях отмывания: 200 транзакций, 5 бирж, 20 кошельков. Как по нотам. Утром — взлом. Через пару дней — оплата. Почти как подписка на боль.

CDK получает ключи. Начинает восстановление. Только займёт это не пару часов, а почти две недели. Потому что надо не просто расшифровать, а вычистить всё: сети, резервные копии, отладить заново каждую систему. И удостовериться, что ни одного хвоста, ни одного backdoor-а не осталось.

Эта атака стала зеркалом: в нём — и индустриализация вымогателей, и уязвимость больших инфраструктур, и то, насколько опасна централизация критически важного софта в руках одной компании. Стоит одной трещине пройти по сети — и ты не просто лежишь. Ты лежишь с сотнями других, кто зависит от тебя.

BlackSuit не просто взломали CDK. Они показали, как слаженно, грамотно и хладнокровно можно обрушить отрасль. Один ключ — и половина автосалонов Америки встала.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS