Сегодня к нам присоединился Жан-Пьер Мутон, старший консультант по анализу угроз в GuidePoint Security, чтобы обсудить их работу над темой "Как Play достигает шифрования". Программа-вымогатель Play, также известная как PlayCrypt, продолжает атаковать организации в различных секторах, используя последовательную тактику двойного вымогательства, которая сочетает кражу данных с широкомасштабным шифрованием. Недавнее расследование подробно описывает, как группа получила доступ через VPN SonicWall, перемещалась по сети с использованием таких инструментов, как Mimikatz и PsExec, эксфильтровала конфиденциальные данные и использовала собственную утилиту деинсталляции SentinelOne жертвы для отключения защиты конечных точек. Полученные данные выделяют несколько поведенческих индикаторов, которые защитники могут отслеживать, включая размещение инструментов через SYSVOL и SystemBC для управления и контроля, очистку журналов событий и подозрительную активность WinSCP.Исследование и краткий обзор для руководителей можно найти здесь:Как Play достигает шифрования