Атака через групповые политики: как вымогатели управляют инфраструктурой без вирусов

Подписан на блог Лаборатории Касперского — вышла запись про атаку, где вымогатели не шифровали файлы, а использовали групповые политики Active Directory как оружие. Это не про вирусы, а про обход защиты через доверенные инструменты.

Прочитал, как хакеры на производственном предприятии на Ближнем Востоке получили доступ через скомпрометированную учетную запись в FortiGate SSL VPN, а затем не стали шифровать данные — вместо этого создали в Active Directory групповую политику под названием «PAYLOAD». Эта политика меняла обои, блокировала экран, выводила баннер с требованием выкупа и отключала брандмауэр. Всё это — без установки вредоносных файлов, без процессов, без шифрования. Уязвимость была не в ПО, а в доверии к системе управления, где права администратора домена стали инструментом атаки.

Считаю, что это важный сигнал: защита, ориентированная на поиск вредоносных файлов, здесь не сработала. Атака прошла незаметно — политика кэшировалась, а эффект проявился только после перезагрузки. Это значит, что даже если у вас нет «подозрительных процессов» и «вредоносных файлов», система может быть полностью под контролем. Опасность — не в том, что что-то внедрено, а в том, что доверенные инструменты используются не по назначению.

У себя уже проверяю, как настроены GPO у клиентов, особенно те, что применяются на уровне домена. Начал с резервной копии конфигурации и проверки прав доступа. Пока не тороплюсь с изменениями — но в план на неделю включил аудит политик Active Directory у всех клиентов, у которых есть доменные серверы. Главное — не ждать, пока что-то сломается, а понять, кто может всё это изменить.