Инцидент ИБ #1
Предотвращение развития фишинговой атаки с помощью RT Protect EDR
Материалы дела
- Организация: компания N
- Категория инцидента: целевой фишинг, попытка отключения средств защиты
- Статус: инцидент предотвращен
Обстоятельства инцидента
На момент атаки в подразделении компании N режим активного блокирования угроз в системе RT Protect EDR был отключен по решению сотрудников службы информационной безопасности.
Сотрудник бухгалтерии получил электронное письмо, замаскированное под корреспонденцию от коллег, с просьбой проверить важный отчет. К письму был приложен исполняемый файл с двойным расширением: «Отчет_генеральному_директору.docx.exe» — прием, рассчитанный на невнимательность пользователя в условиях спешки.
Файл был открыт. Видимого результата (открытия документа) не последовало, после чего сотрудник покинул рабочее место.
Через 15 минут после открытия файла специалисты службы информационной безопасности обнаружили подозрительную активность. Поскольку сотрудник отсутствовал на работе, связаться с ним не удалось. Утром рабочий компьютер пришлось полностью переустановить.
Установленные действия
Вредоносная программа предприняла попытку отключить RT Protect EDR при помощи утилиты EDRSilencer. Отключить систему не удалось. После этого была запущена Staged Payload — полезная нагрузка, открывшая злоумышленникам доступ к сети компании.
Обнаружение и предотвращение атаки
- RT Protect EDR обнаружил подозрительный файл с двойным расширением и поднял тревогу.
- Попытка остановить работу RT Protect EDR с помощью EDRSilencer результата не дала.
- Аналитики RT Protect SOC отследили подозрительные действия с использованием доступных инструментов мониторинга и в течение 15 минут уведомили подразделение информационной безопасности и помогли предотвратить атаку.
- Система RT Protect TI выявила обращения к вредоносным IP-адресам и доменам.
Альтернативный сценарий
При смоделированных аналогичных условиях, но при включенном режиме активного блокирования угроз, сотрудник получал идентичное письмо и открывал тот же файл.
Видимых последствий вновь не наблюдалось — однако в этом случае все вредоносные действия были заблокированы автоматически на уровне EDR, без необходимости последующего реагирования и переустановки оборудования.
Рекомендации по итогам расследования
- Включить режим активного блокирования угроз в RT Protect EDR для автоматического предотвращения вредоносной активности на конечных точках.
- Обеспечить круглосуточный мониторинг силами RT Protect SOC для непрерывного контроля состояния защищенности инфраструктуры.
- Поддерживать актуальность данных Threat Intelligence через RT Protect TI для своевременного выявления индикаторов компрометации.
- Проводить регулярное обучение сотрудников с использованием RT Protect Awareness в целях повышения осведомленности персонала в вопросах информационной безопасности.