Hive malware-operatører angriber Microsoft Exchange-servere
Hive ransomware-operatører angriber Microsoft Exchange-servere, der er sårbare over for de berygtede ProxyShell-problemer.
På kompromitterede maskiner, angribere indsætter forskellige bagdøre, inklusive Koboltstrejke beacons, derefter foretage rekognoscering, stjæle legitimationsoplysninger og værdifuld information, og kun derefter fortsætte med at kryptere filer.
Helt, som undersøger, hvad der sker efter et ransomware-angreb på en af deres kunder, advaret om problemet.
Lad mig minde dig om, at sårbarhederne, som under ét blev kaldt ProxyShell, blev kendt i sommeren 2021.
Lad mig minde dig om det vi, for eksempel, snakkede om Hancitor malware, som bruger phishing-e-mails, kompromitterede legitimationsoplysninger, eller brute-forcer RDP til at få adgang til sårbare Windows-maskiner og udnytter sårbarheder i Microsoft Exchange.
Tidligere, ProxyShell-fejl er allerede blevet brugt af mange angribere, herunder så velkendte hack grupper som Conti, BlackByte, Babuk, Cuba og Lås fil. uheldigvis, det Hive angreb viser, at ikke alle har patchet ProxyShell endnu, og sårbare servere kan stadig findes på netværket.
Efter at have udnyttet ProxyShell-fejl, Hive-operatører injicerer fire web-skaller i en tilgængelig Exchange-mappe og udfører PowerShell-kode med høje privilegier, læsning af Cobalt Strike stagers. Forskerne bemærker, at de web-skaller, der blev brugt i disse angreb blev taget fra en offentlighed Git depot og derefter blot omdøbt for at undgå opdagelse.
På de angrebne maskiner, angriberne bruger også Mimikatz infostealer til at stjæle adgangskoden fra domæneadministratorkontoen og udføre en sidebevægelse. På denne måde, hackere leder efter de mest værdifulde data for at tvinge ofret til at betale en løsesum senere.
