В мире киберпреступности появился новый брокер первичного доступа под псевдонимом ToyMaker.
Злоумышленник продает скомпрометированные системы операторам программ-вымогателей, в частности, группировке CACTUS. Хакер применяет специально разработанное вредоносное ПО LAGTOY, также известное под названием HOLERUN, которое создает обратные оболочки и выполняет команды на зараженных устройствах.
В ходе операции ToyMaker подключается через SSH к удаленному серверу, чтобы загрузить специализированный инструмент Magnet RAM Capture. С его помощью создается дамп оперативной памяти машины — предположительно так добываются учетные данные.
После того как ToyMaker получил первоначальный доступ к системам пострадавшей компании и похитил учетные данные, в его активности наступило затишье примерно на три недели. Затем команда Talos обнаружила: вымогательская группировка CACTUS проникла в корпоративную сеть той же организации, используя украденные сведения.
