Разбор как нам прилетел шифровальщик через учетку подрядчика

[ransome]

Решил написать пока свежо, может кому поможет не наступить. Месяц назад словили шифровальщика в конторе на ~150 рабочих мест. Зашли не через какой-то 0day, а через учетку подрядчика по 1С. У него был доступ по RDP через проброс на шлюзе, пароль из серии Qwerty123 и без второго фактора. Дальше за ночь прошлись по сети, добили до контроллера домена и зашифровали файловый сервер и часть бэкапов. Бэкапы лежали в той же сети на доступной шаре, это была главная ошибка.

По итогу восстановились из старого офлайн-бэкапа который случайно лежал на отдельном NAS без сети, потеряли примерно 4 дня данных. Если бы не он, платили бы или закрывались. Сейчас сделали офлайн-копии по правилу 3-2-1, MFA на все внешние доступы, и подрядчиков загнали в отдельный сегмент с доступом только к нужным машинам. RDP наружу закрыли совсем, теперь через VPN с сертификатом. Дешевле было сделать это год назад, чем разгребать сейчас.

[Pmannn]

спасибо что написал честно, обычно такие истории прячут. про бэкапы в той же сети это классика, шифры первым делом ищут шары и теневые копии чистят. офлайн или immutable хранилище это не паранойя а необходимость

[infern]

подрядчик с Qwerty123 и RDP наружу в 2026 это не инцидент это закономерность. вы реально удивились? удивительно что вас раньше не поломали честно говоря

[lost300z]

а EDR какой стоял? или вообще без ничего сидели

[christo]

справедливо, претензий по паролю не имею, сами виноваты на сто процентов. по EDR спрашивали выше, стоял встроенный дефендер и больше ничего. сейчас поставили нормальный EDR с поведенческим детектом, на тесте ловит запуск шифрования по массовому переименованию файлов и изолирует хост. но это уже после того как клюнул жареный петух

[juniorstack]

EDR хорошо но он бы вам тут не сильно помог если учетка легитимная и руками все делали под видом админа. поведенческий детект на шифрование сработал бы поздно, часть файлов уже ушла бы. сегментация и MFA в вашем случае важнее в разы

[coder_vlad]

@christo, добавлю про детект. поставьте алерт на создание новых пользователей в домене и на массовые логоны с одной учетки на кучу машин за короткое время. это видно в логах винды бесплатно, ивенты 4624 4720 4728. многие лезут в дорогие SIEM а базовый аудит логов уже половину дает