Op internet zijn verschillende technische handleidingen van de Conti-ransomwaregroep verschenen waarin ip-adressen van gebruikte command & control-servers staan en het aanvallen van netwerken en stelen van data worden uitgelegd, zo melden verschillende beveiligingsonderzoekers via Twitter.

Volgens de onderzoekers zijn de documenten gelekt via een partner van de groep die aanvallen op netwerken uitvoert. De gelekte handleidingen zouden onder partners worden verspreid. Eén van deze partners publiceerde de bestanden en handleidingen op een forum voor cybercriminelen, waar het vervolgens door onderzoekers werd gedownload. Beveiligingsonderzoeker Vitali Kremez laat tegenover Bleeping Computer weten dat de handleidingen overeen komen met actieve gevallen van de Conti-ransomware.

De documenten bevatten onder andere screenshots van ip-adressen die de Conti-groep zou gebruiken voor Cobalt Strike-servers. Cobalt Strike is een tool voor het uitvoeren van penetratietests op systemen en netwerken. Het wordt echter ook gebruikt door aanvallers voor het verder compromitteren van aangevallen organisaties. Via de servers kunnen de aanvallers met besmette systemen binnen organisaties communiceren.

In de handleidingen wordt onder andere uitgelegd hoe de Rclone-software in combinatie met de MEGA-cloudopslagdienst moet worden gebruikt voor het stelen van data. Ook het gebruik van Netscan voor het scannen van interne netwerken, het gebruik van AnyDesk om systemen op afstand te benaderen, het dumpen van wachtwoorden van Active Directories (NTDS dumping), het gebruik van de Zerologon-kwetsbaarheid, het gebruik van Ngrok voor RDP-tunneling, het toepassen van SMB-bruteforce-aanvallen om domeinbeheerder te worden en het uitvoeren van een Kerberoasting-aanval worden besproken, zo blijkt uit een analyse van The DFIR Report.

De Belgische managed serviceprovider (MSP) ITxx besloot de criminelen achter de Conti-ransomware, die bestanden van klanten hadden versleuteld, vorige maand nog 300.000 dollar losgeld te betalen. Ook zat de groep achter de aanval op de Ierse gezondheidszorg en een groot Amerikaans schooldistrict. Volgens de FBI zou de Conti-groep wereldwijd meer dan vierhonderd organisaties hebben aangevallen.