Коротка відповідь: Storm-2570 — це зловмисник, під час атак якого Microsoft спостерігала програми-вимагачі Qilin, DragonForce, Anubis і BERT. Виявити його можна ще до появи розширень зашифрованих файлів — за незапланованими засобами віддаленого адміністрування, доступом до Active Directory, змінами налаштувань захисту, масовим використанням PsExec і вихідним передаванням даних.
24 вересня 2026 року Microsoft Threat Intelligence опублікувала аналіз діяльності Storm-2570, за яким стежить із квітня 2025 року. У розслідуваних атаках застосовувалися різні програми-вимагачі, але інструменти й методи роботи всередині скомпрометованої мережі повторювалися. Microsoft зафіксувала Qilin, DragonForce, Anubis і BERT. Отже, йшлося не про одну програму-вимагач із чотирма назвами, а про кілька розгортань зі спільними ознаками, що виникали до шифрування даних. (Microsoft Threat Intelligence, 24. 9. 2026)
Для компанії важлива послідовність подій. Вимога викупу й розширення зашифрованих файлів з’являються лише на фінальному етапі атаки. Нова служба віддаленого адміністрування, використання ntdsutil, зміна налаштувань Defender або запуск PsExec для списку комп’ютерів можуть бути помітні раніше.
Що відбувається до шифрування файлів
Storm-2570 використовував легітимні засоби віддаленого адміністрування Atera, MeshAgent, ScreenConnect, Splashtop, Remotely_Agent і NinjaRMM. Сама назва програми не доводить факту компрометації. Тими самими інструментами можуть правомірно користуватися внутрішні адміністратори або договірний постачальник IT-послуг.
Підозрілою є інсталяція без відомого відповідального власника, поза затвердженою процедурою або на пристроях, де такого інструмента не повинно бути. Microsoft також описала перейменовані варіанти MeshAgent, назви яких відсилали до атакованої організації. Тому пошуку лише за назвою файлу недостатньо.
| Етап проникнення | Що спостерігала Microsoft | Що має перевіряти компанія |
|---|---|---|
| Віддалене керування | Atera, MeshAgent, ScreenConnect, Splashtop, Remotely_Agent, NinjaRMM | Нові служби й агенти без затвердженого відповідального власника |
| Розвідка мережі | NetScan, Nmap та інші інструменти для пошуку пристроїв і служб | Сканування багатьох адрес із робочої станції, яка зазвичай цього не робить |
| Доступ до облікових записів | ntdsutil, Mimikatz, LaZagne, pypykatz | Незаплановані операції з Active Directory і NTDS.dit |
| Послаблення захисту | Вимкнення моніторингу Defender, нові винятки | Зміни політик безпеки поза керованим адмініструванням |
| Переміщення між пристроями | PsExec, Impacket, NetExec, скрипти для RDP | Масовий віддалений запуск на робочих станціях і серверах |
| Викрадення даних | Rclone, s5cmd | Нові хмарні сховища призначення й незвичне вихідне передавання |
Microsoft зафіксувала використання ntdsutil для отримання даних з Active Directory, втручання в роботу Microsoft Defender, зокрема додавання винятку для C:\PerfLogs, а також PsExec, що працював зі списком пристроїв у файлі @ip.txt. Для передавання даних за межі організації також використовувалися Rclone і s5cmd. (Microsoft Threat Intelligence, 24. 9. 2026)
Коли не варто діяти навмання і що зробимо ми
Самого видалення підозрілої програми може бути недостатньо для припинення інциденту. Водночас це може знищити частину слідів, необхідних для визначення масштабу проникнення. Припиніть самостійне втручання, особливо якщо:
- невідомий RMM-агент з’явився на контролері домену, сервері або робочій станції адміністратора,
- разом із новою службою ви бачите зміни в Defender, використання
ntdsutilабо доступ доNTDS.dit, - PsExec запускався на кількох пристроях або Rclone чи s5cmd передавали значний обсяг даних у невідоме місце.
Під час вирішення проблем IT-безпеки для компаній ми діємо у три етапи:
- Класифікація та обмеження наслідків: фіксуємо час, пристрій, обліковий запис, службу й мережеві з’єднання та пропонуємо безпечний спосіб ізоляції уражених систем.
- Визначення масштабу: порівнюємо служби, процеси, облікові записи й журнали на робочих станціях і серверах та перевіряємо можливе викрадення облікових даних.
- Усунення наслідків: готуємо конкретний порядок видалення стороннього засобу адміністрування, зміни скомпрометованих паролів, відновлення політик безпеки та перевірки резервних копій.
Якщо шифрування вже відбулося, не вносьте необдуманих змін до уражених систем. Практичну послідовність дій викладено у статті Програма-вимагач у компанії: перші 24 години.
Чи стосується це також малої компанії в Чехії?
Microsoft описує проникнення в організації у Сполучених Штатах, Канаді, Великій Британії, Іспанії, Нідерландах і Пуерто-Рико. Серед постраждалих галузей згадуються, зокрема, охорона здоров’я, освіта, державне управління, фінанси, енергетика, роздрібна торгівля, IT, виробництво й транспорт. За даними Microsoft і оглядом Forensix Intelligence, спосіб початкового проникнення залишається непідтвердженим. (Microsoft Threat Intelligence, 24. 9. 2026; Forensix Intelligence, 26. 9. 2026)
На підставі цих двох джерел не можна стверджувати, що Storm-2570 атакував чеську компанію. Однак контрольні ознаки не залежать ані від країни, ані від назви програми-вимагача. Навіть невелика компанія має знати, хто може встановлювати засоби віддаленого адміністрування, на яких пристроях вони можуть працювати та як виявляти зміни.
Що перевірити насамперед
Почніть із переліку дозволених засобів віддаленого доступу. Для кожного з них зафіксуйте:
- назву програми й оператора служби,
- відповідальну особу в компанії,
- постачальника, який її використовує,
- пристрої, на яких вона може працювати,
- облікові записи та спосіб багатофакторної автентифікації,
- дату й причину інсталяції.
Потім порівняйте цей перелік із фактично встановленими службами й запущеними процесами. Якщо компанія дозволила один конкретний MeshAgent, для паралельно встановлених Atera, ScreenConnect або Splashtop потрібно документально підтвердити відповідального власника й призначення. MeshAgent сам по собі не є програмою-вимагачем; попереджувальними ознаками є його невідоме походження, перейменування або розгортання поза затвердженими межами.
Моніторинг має попереджати щонайменше про:
- інсталяцію нової програми або системної служби для віддаленого адміністрування;
- вимкнення захисту Microsoft Defender або створення нового винятку;
- незаплановане використання
ntdsutilі операції зNTDS.dit; - запуск PsExec на значній кількості робочих станцій чи серверів;
- запуск Rclone або s5cmd і незвичне вихідне передавання даних.
Не покладайтеся лише на назви файлів. Відстежуйте створення нової служби, видавця й цифровий підпис програми, обліковий запис, використаний для інсталяції, цільові пристрої та мережеву поведінку. Що саме має охоплювати такий нагляд у невеликій компанії, пояснює стаття Моніторинг IT: що контролювати в невеликій компанії.
Якщо ви виявили незатверджений RMM-інструмент
Спочатку запишіть назву пристрою, назву служби, шлях до програми, час інсталяції, запущені процеси, адреси активних з’єднань і обліковий запис, від імені якого працює служба. Лише після цього вирішуйте, чи ізолювати пристрій або видаляти програму. Вимкнення одного агента не усуває проблему викрадених облікових даних або іншого доступу, який міг створити зловмисник.
Microsoft рекомендує змінити паролі облікових записів, використаних для інсталяції незатвердженого RMM-інструмента. Якщо агент було встановлено від імені системного облікового запису, за оцінкою Microsoft, може знадобитися додаткове розслідування. Також рекомендовано використовувати багатофакторну автентифікацію для затверджених систем віддаленого адміністрування, захищати налаштування безпеки від несанкціонованих змін та обмежувати переміщення між пристроями за принципом найменших привілеїв. (Microsoft Threat Intelligence, 24. 9. 2026)
Перевірте також облікові записи адміністраторів. Має бути чітко зафіксовано й регулярно перевірятися, хто може адмініструвати робочі станції, сервери, Active Directory та резервні копії. Практичний порядок дій наведено у статті Аудит прав доступу в компанії.
Чого цей випадок не доводить
Опублікований аналіз не підтверджує спосіб початкового проникнення Storm-2570 у мережу. Тому з нього не можна робити висновок, що причиною кожної описаної атаки був фішинг, невиправлена вразливість або викрадений пароль.
Так само наявність MeshAgent, Atera або ScreenConnect не означає автоматично, що сталася атака. Вирішальне значення має те, чи відповідає інструмент корпоративному переліку, чи має відомого відповідального власника та чи був розгорнутий затвердженим способом.
Головний висновок полягає не в тому, щоб шукати одну конкретну програму-вимагач. Потрібно виявляти відхилення: новий віддалений доступ, незвичні операції з Active Directory, послаблення захисту, масове переміщення між комп’ютерами або вихідне передавання даних. Саме ці зміни можуть стати помітними раніше, ніж зашифровані файли й вимога викупу.
Де нас знайти
ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.
Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).