Ресурсы для специалистов DFIR, реагирующих на атаку на цепочку поставок Kaseya с использованием программы-вымогателя REvil

Вчера компании Sophos и Huntress Labs обнаружили, что Kaseya, популярный поставщик услуг удаленного управления для MSP, был скомпрометирован для проведения атаки на цепочку поставок с использованием программы-вымогателя. Пострадало большое количество организаций, в том числе временно закрылось 800 магазинов сети супермаркетов CoOp в Швеции.

Мы предоставили ряд ресурсов на нашем Github, которые могут помочь экспертам по цифровой криминалистике и реагированию на инциденты при реагировании на эти атаки в течение выходных:

• Криминалистический анализ и отчетность
• Образцы вредоносного ПО
• Декомпилированные образцы вредоносного ПО (через retdec)
• PCAP сетевого трафика с зараженной системы
• Индикаторы компрометации и правила Yara
• Конфигурация и записка программы-вымогателя
• Полные захваты диска с зараженной системы (см. Релизы)