Взлом крупного поставщика ИТ-решений SITA привел к масштабной утечке данных в Air India

Один из крупнейших поставщиков телекоммуникационных и ИТ-решений для мировой пассажирской и грузовой авиации SITA и их система SITA Passenger Service System (SITA PSS) в начале 2021 года пострадали от кибератаки. Инцидент был слабо освещен в СМИ, но последующая масштабная утечка в Air India повысила его значимость.

По данным самой компании Air India, скомпрометирована оказалась информация о пассажирах начиная с августа 2011 года, включая персональные данные и сведения о перелетах.

Уже с середины февраля 2021 года система Threat Intelligence & Attribution компании Group-IB обнаружила зараженные устройства, входившие в компьютерную сеть Air India. Начиная как минимум с 23 февраля 2021 года устройство в сети компании обменивалось данными с сервером с IP-адресом 185.118.166.66. 

Согласно Network Graph Group-IB, с 11 декабря 2020 года на этом сервере размещается Cobalt Strike, популярный фреймворк для постэксплуатации. Имя устройства «нулевого пациента» – SITASERVER4, что указывает на вероятную атаку на цепочку поставок, то есть атака на компанию SITA повлекла заражение связанных с ними серверов на стороне клиентов. 

После закрепления в инфраструктуре Air India вредоносный агент начал свое горизонтальное распространение на не менее 20 устройств. С них извлекалась конфиденциальная информация, включая NTLM-хэши и пароли в виде обычного текста с локальных рабочих станций с помощью hashdump и mimikatz. 

https://static.tildacdn.com/tild6562-6162-4233-b230-373263626166/Blog_-_1500x778_res.png


Вся атака, от возникновения первого заражения в инфраструктуре и соединения вредоносного агента с C&C сервером до первой эксфильтрации данных, заняла не менее 3-х дней. 

В случае своевременного обнаружения этой опасной сетевой активности, и тем более ее блокирования, успешность подобной атаки можно свести к нулю. Обнаружение связи вредоносного ПО с зараженного ПК с C&C-сервером возможно на нескольких эшелонах сетевой защиты, в том числе:

  • на средствах межсетевого экранирования NGFW/UTM, установленных на периметре или в ядре сети, если трафик из сегмента зараженной машины анализируется на нем;

  • на средстве сетевого предотвращения вторжений IPS, на котором анализируется трафик внутренних ПК;

  • на средстве анализа сетевых аномалий, производящем мониторинг внутреннего и/или внешнего трафика. Таким образом можно также отследить горизонтальное перемещение вредоносного ПО в инфраструктуре.

Для усиления сетевой защищенности не всегда требуется линейное увеличение узлов сетевой защиты. Неоптимальная маршрутизация может привести к направлению трафика в обход защищенных каналов связи. А неэффективная политика ИБ на имеющихся средствах сетевой защиты – к потере необходимых данных для расследования инцидента или упущения из-под контроля ИБ-экспертов опасного трафика, поясняет Анна Михайлова, менеджер по развитию бизнеса группы компаний Angara.

Обладая широкой экспертизой в решениях и опытом борьбы с кибератаками в компаниях разных отраслей экономики, группа компаний Angara предоставляет услугу по усилению защищенности сетевой инфраструктуры (Hardening): по результатам аудита эксперты предложат конкретные методы усиления уровня защищенности сетевой инфраструктуры и пути снижения рисков от возможных кибератак.

Другие публикации

Мошенники начали активно взламывать и массово скупать аккаунты пользователей в маркетплейсах

В российском сегменте интернета в последние несколько месяцев фиксируется существенное увеличение интереса злоумышленников и киберпреступников к учётным записям российских пользователей на различных маркетплейсах

актуально

22.01.2025

Создание систем безопасности: можно ли говорить о готовности КИИ к современным угрозам ИБ?

С 1 января 2025 г. организациям, являющимся субъектами критической информационной инфраструктуры (КИИ) РФ, запрещается использовать средства защиты информации и сервисы по обеспечению информационной безопасности, странами происхождения которых выступают недружественные России иностранные государства либо производителями которых являются организации, находящиеся под юрисдикцией таких иностранных государств.

актуально

20.01.2025

Инструменты и технологии проактивной безопасности в e-Commerce

Цифровая трансформация является неотъемлемой частью любого бизнеса в современном мире, и она требует внедрения технологий проактивной безопасности для защиты данных и предотвращения кибератак. Об использовании передовых инструментов и средств защиты данных рассказывает Денис Бандалетов, руководитель отдела сетевых технологий Angara Security.

04.11.2024

Как сохранить свои данные в безопасности?

Отвечает директор по управлению сервисами Angara Security Павел Покровский.

01.11.2024

Рынок услуг управления уязвимостями в России: контроль поверхности атак

Управление уязвимостями (Vulnerability Management, VM) играет ключевую роль в обеспечении информационной безопасности современных организаций.

30.10.2024

Остались вопросы?

Понравилась статья?

Подпишитесь на уведомления о новых материалах