Кампания, нацеленная на внутренних пользователей, использует легитимные инструменты удаленного доступа и сетевые утилиты. Они позволяют получить постоянный контроль над скомпрометированными системами и задействовать их в качестве прокси- или VPN-инфраструктуры. Метод первоначального вторжения остается неизвестным. В зафиксированной активности PowerShell применял команду curl для загрузки архива. В него входили пакетный скрипт, файл реестра и компоненты Radmin. Скрипт устанавливал Radmin Server в каталог C:IntelRServer и импортировал настройки с определенным портом Radmin и управляемыми злоумышленником учетными данными...

Исследователи обнаружили по меньшей мере 9000 открытых конечных точек VNC, к которым можно получить доступ и использовать их без аутентификации, что позволяет злоумышленникам легко получить доступ к внутренним сетям. VNC (Virtual Network Computing — система удалённого доступа к рабочему столу компьютера) — это платформенно-независимая система, предназначенная для того, чтобы помочь пользователям подключаться к системам, требующим мониторинга и настройки, предлагая управление удаленным компьютером через RFB (протокол удаленного кадрового буфера) по сетевому соединению...