Една от най-големите компании в сферата на киберсигурността – Trellix – потвърди, че е станала жертва на киберинцидент, след като ransomware групата Ransom House публикува изображения от предполагаем достъп до вътрешната инфраструктура на компанията.

Случаят предизвика сериозни опасения сред експертите, тъй като изтеклите материали подсказват, че компрометирането може да обхваща далеч повече от изходен код. Според анализатори е възможно атакуващите да са получили достъп до критични инфраструктурни системи, използвани за управление на виртуализация, архивиране и съхранение на данни.

Потенциален риск за глобални клиенти и държавни организации

Trellix е създадена през 2021 г. след сливането на McAfee Enterprise и FireEye. Компанията обслужва над 50 000 корпоративни и държавни клиенти по света и защитава повече от 200 милиона крайни устройства.

Това превръща всеки потенциален пробив във вътрешната ѝ инфраструктура в проблем с възможен глобален ефект.

В официално изявление компанията потвърди, че разследва инцидента с помощта на външни форензик експерти.

Според Trellix към момента няма доказателства, че процесите по публикуване и разпространение на изходен код са били компрометирани или че кодът е бил използван злонамерено.

Компанията допълва, че е засегната „само част от хранилището за изходен код“.

Изтеклите снимки сочат към по-дълбок достъп

Според анализ на публикуваните изображения обаче ситуацията може да е значително по-сериозна.

Изследователи са идентифицирали в изтеклите скрийншоти административни панели и системи, свързани с:

• VMware vSphere
• Rubrik
• Dell EMC

Тези платформи обикновено се използват за управление на виртуални машини, резервни копия, сторидж инфраструктура и корпоративни данни.

Наличието на достъп до подобни среди е особено тревожно, тъй като те често съдържат:

• системни конфигурации;
• вътрешна документация;
• административни идентификационни данни;
• резервни копия;
• потенциално клиентски оперативни данни.

Според експерти публикуваните изображения подсказват, че атакуващите вероятно са получили достъп до значително по-широка оперативна инфраструктура, а не само до отделни development среди.

Рискът за клиентите

Изследователите предупреждават, че последствията може да засегнат и организации, използващи продуктите на Trellix.

Ако вътрешни продуктови бази данни или системи за управление са били компрометирани, това потенциално би могло да доведе до допълнителни рискове за клиентската екосистема.

Според препоръките на специалистите компанията трябва незабавно да:

• ротират всички компрометирани идентификационни данни;
• проверят и възстановят сигурни резервни копия;
• публикуват прозрачна информация за засегнатите системи;
• извършат пълен инфраструктурен одит.

Коя е Ransom House

Ransom House се появява за първи път в края на 2021 г. и бързо се превръща в една от по-активните ransomware групировки.

Според данни от тракера Ransomlooker групата е публикувала над 170 жертви в своя leak сайт в darknet пространството.

Американски киберслужби посочват в съвместен доклад от 2024 г., че ирански участници са работили с ransomware партньори, включително структури, свързвани с Ransom House, като са подпомагали криптиращи операции срещу процент от откупите.

Предишни атаки с висок обществен ефект

Групировката е свързвана с няколко шумни инцидента през последните години.

Сред тях е атаката срещу голяма болница в Барселона, която доведе до отмяна на хиляди медицински прегледи и пренасочване на спешни пациенти.

След отказ на каталунските власти да платят искания откуп от около 4,5 милиона долара, групата публикува откраднати пациентски данни.

Ransom House пое отговорност и за предполагаем пробив в Oettinger Brewery – една от най-големите пивоварни в Германия – както и срещу италианския текстилен производител Fulgar, доставчик на компании като H&M и Adidas.

Защо инцидентът е особено тревожен

Пробив в компания за киберсигурност винаги има по-голяма тежест от стандартен ransomware инцидент. Подобни организации често разполагат с чувствителна информация за защитни механизми, инфраструктурни архитектури и интеграции при клиенти.

Дори когато няма доказателства за компрометиране на самите продукти, достъпът до вътрешни инфраструктурни системи може да даде на атакуващите ценна информация за бъдещи операции.

Случаят с Trellix е поредното напомняне, че дори компании, специализирани в киберзащита, остават уязвими при атаки срещу сложни корпоративни среди и supply chain екосистеми.