Це третя стаття серії «Анатомія атаки». У попередніх матеріалах ми розібрали причини успішної ransomware-атаки на українську компанію фінансового сектору та відтворили хронологію дій зловмисника. Сьогодні поговоримо про наступний етап — розслідування після інциденту.
Чому цифрова криміналістика схожа на роботу детектива
Багато керівників вважають, що після атаки достатньо відкрити журнали подій і швидко все з’ясувати. Насправді цифрова криміналістика та реагування на інциденти (DFIR) значно складніша. Частина доказів уже знищена зловмисником, а інша — втрачена під час аварійного відновлення. Завдання DFIR-команди — відновити повну картину атаки за десятками непрямих ознак.
Команду джерела залучили до розслідування через два дні після виявлення інциденту. За цей час внутрішній IT-відділ перевстановив вісім із десяти уражених систем. Це означало втрату більшості цифрових доказів: журналів подій Windows, історії запуску програм, системного реєстру та артефактів файлової системи.
У розпорядженні залишилися лише два жорсткі диски із зашифрованих комп’ютерів бухгалтерії, ноутбук співробітниці, контролер домену Active Directory, поштовий сервер та конфігурація маршрутизатора MikroTik.
Зловмисники систематично знищували докази. На контролері домену очистили журнал безпеки Windows Security Event Log. На зашифрованих комп’ютерах виконували команди для видалення журналів і приховування історії файлової системи. Однакова послідовність дій на різних машинах вказувала на використання стандартизованого playbook.
Центральною точкою атаки був файловий сервер, через який зловмисник взаємодіяв із мережею. Його повністю перевстановили до початку розслідування, втративши головного свідка.
Відсутність прямих доказів не означає відсутність висновків. Контролер домену зберіг частину журналів Kerberos, що дозволило встановити джерело скомпрометованого облікового запису. На комп’ютерах залишилися файли Windows Prefetch, які вказали точний час запуску шифрувальника. Аналіз MFT підтвердив існування прихованих файлів. Дослідження поштового архіву не виявило фішингу, натомість конфігурація маршрутизатора показала відкриті правила RDP-доступу з інтернету без обмежень.
Картина атаки відновлювалася завдяки сотням дрібних цифрових артефактів. Висновки класифікували за рівнем достовірності: високий — підтверджується кількома незалежними джерелами, середній — спирається на непрямі докази, низький — базується на кореляції та контексті.
Прямих доказів витоку даних не знайшли, але через регулярне використання моделі подвійного вимагання угрупованням BlackField компанії рекомендували розглядати цей сценарій як імовірний.
DFIR — це комплекс заходів із розслідування кібератак, збору доказів та допомоги бізнесу після інциденту. Найчастіше такі послуги потрібні після ransomware-атак, підозри на витік даних або компрометації облікових записів.
Головний урок: швидкість відновлення бізнесу не повинна знищувати можливість провести якісне розслідування. Перед перевстановленням серверів варто зберегти журнали та створити копії дисків. Ізолюйте підозрілі сервери від мережі та залучайте DFIR-фахівців паралельно з відновленням, а не через кілька днів.
Автор: команда DFIR джерела
Теги: DFIR, кібератаки
Leave a Reply