Conti и Royal получили мощного союзника: хакеры 3AM вступают в игру, но кто они на самом деле?

RutoR

Support81

Original poster
Administrator
Сообщения
1 020
Реакции
203
Посетить сайт
Как случайно созданный вредонос стал объектом исследования киберпреступного мира.
conti.jpg


В последние месяцы внимание специалистов компании Intrinsec привлекла группа 3AM (ThreeAM), новый игрок на арене киберпреступности, который показал тесные связи с синдикатом Conti и группировкой Royal.

Новаторские методы шантажа и утечки данных

Уникальной чертой 3AM является их новаторская тактика шантажа. Группировка распространяет информацию об утечке данных через социальные сети жертв, используя ботов для отправки сообщений официальным аккаунтам на платформе X, указывая на утечки данных.

Прямая связь с Conti и Royal ransomware


Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

появились в сентябре, когда команда Symantec обнаружила переход злоумышленников к использованию программного обеспечения ThreeAM после неудачной попытки развертывания вредоносного ПО LockBit. Дальнейшие исследования выявили, что ThreeAM, скорее всего, связана с группой Royal, которая переименовалась в Blacksuit и состоит из бывших членов группы Team 2 в рамках синдиката Conti.

Технические доказательства и анализ инфраструктуры

Специалисты Intrinsec обнаружили значительное пересечение в каналах коммуникации, инфраструктуре и

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

(Tactics, Techniques, and Procedures) между 3AM и Conti. Отслеживая IP-адрес, указанный Symantec как индикатор компрометации (185.202.0[.]111), исследователи нашли PowerShell-скрипт для запуска

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

, который был обнаружен еще в 2020 году. Кроме того, была замечена активность, похожая на деятельность программы-вымогателя Zeon, а также использование вредоносного ПО IcedID, ранее применяемой группами XingLocker и Conti для доставки вредоносного ПО.

Исследователи также обнаружили, что HTML-содержимое сайта утечки данных 3AM в сети Tor было проиндексировано платформой Shodan для серверов, подключенных к интернету, что означает, что оно было доступно через обычный веб. Cайт утечки данных 3AM в сети Tor показывает список из 19 жертв, которые не заплатили выкуп и чьи данные были опубликованы. Удивительно, что сайт 3AM очень напоминает сайт утечек группировки LockBit.



Связь с литовской компанией Cherry Servers

Исследователи также обнаружили связь между 3AM и серверами литовской компании Cherry Servers. Отличительной особенностью было использование одинаковых портов, протоколов и версий продуктов Apache на 27 серверах компании.

Cherry Servers — это хостинговая компания, которая имеет относительно низкий риск мошенничества, но исследователи обнаружили, что клиенты компании размещали на серверах инструмент Cobalt Strike. Помимо этого, домены на анализируемых IP-адресах имели TLS-сертификаты от Google Trust Services LLC и были перенесены в Cloudflare.

Инновации в социальных сетях

Команда Intrinsec обнаружила, что 3AM, вероятно, тестировала новую тактику шантажа с использованием автоматизированных ответов в X*, чтобы распространять новости об успешных атаках. Такая тактика была применена только в одном случае с жертвой 3AM, что говорит о ее ограниченной эффективности.

Несмотря на то, что группировка ThreeAM кажется менее сложной подгруппой Royal, её нельзя недооценивать из-за потенциала проведения большого количества атак. Это подчеркивает постоянно меняющуюся природу киберпреступности и сложность отслеживания участников конкретных групп или связывания их с операциями.
Подробнее:

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

 
Русскоязычный Даркнет Форум