Ransomware Settra wchodzi przez przejęte konta VPN i instaluje MeshAgent

Nowy ransomware Settra wchodzi do firm przez przejęte dane logowania do VPN, a potem instaluje narzędzie zdalnego dostępu MeshAgent, żeby utrzymać się w sieci. Materiał nie wskazuje luki w konkretnym produkcie, więc nie ma tu poprawki do zainstalowania. Huntress opisał dwa ataki: w lipcu na firmę z branży usług konsumenckich i handlu, we wrześniu na zakład produkcyjny. Napastnicy użyli podatnego sterownika do osłabienia zabezpieczeń, czyścili logi i utrudniali odzyskanie danych. Plik szyfrujący nosił nazwę taką samą jak domena ofiary.

Kogo dotyczy

Według MoxFive grupa wybiera organizacje ze słabościami, takimi jak niezałatane systemy albo słabe zarządzanie dostępem, i publikuje nazwy ofiar na swojej stronie. MoxFive podaje przejęte dane logowania do VPN jako sposób wejścia, ale Huntress w żadnym z dwóch opisanych ataków nie zdołał tego potwierdzić. W lipcowym ataku MeshAgent działał pod nazwą mvtcs.exe, a szyfrowanie plików ruszyło następnego dnia i zakończyło się żądaniem okupu.