Hive-Malware-Betreiber greifen Microsoft Exchange-Server an
Hive-Ransomware-Betreiber greifen Microsoft Exchange-Server an, die für die berüchtigten ProxyShell-Probleme anfällig sind.
Auf kompromittierten Maschinen, Angreifer setzen verschiedene Hintertüren ein, einschließlich Kobaltschlag Leuchtfeuer, dann Aufklärung durchführen, Zugangsdaten und wertvolle Informationen stehlen, und erst dann mit dem Verschlüsseln von Dateien fortfahren.
Held, die untersuchen, was nach einem Ransomware-Angriff auf einen ihrer Kunden passiert, vor dem Problem gewarnt.
Ich möchte Sie daran erinnern, dass die Schwachstellen, die gemeinsam genannt wurden ProxyShell, wurde im Sommer bekannt 2021.
Lass mich dich daran erinnern wir, beispielsweise, sprach über Hancitor Malware, die Phishing-E-Mails verwendet, kompromittierte Zugangsdaten, oder Brute-Force-RDP, um auf anfällige Windows-Rechner zuzugreifen und Schwachstellen in Microsoft Exchange auszunutzen.
Vorher, ProxyShell-Bugs wurden bereits von vielen Angreifern ausgenutzt, einschließlich so bekannter Hackergruppen wie Fortsetzung, BlackByte, Babuk, Kuba und Sperrdatei. Unglücklicherweise, das Bienenstock Angriffe zeigen, dass noch nicht jeder ProxyShell gepatcht hat, und anfällige Server können immer noch im Netzwerk gefunden werden.
Nach dem Ausnutzen von ProxyShell-Fehlern, Hive-Operatoren injizieren vier Web-Shells in ein zugängliches Exchange-Verzeichnis und führen PowerShell-Code mit hohen Privilegien aus, Laden von Cobalt Strike Stagern. Die Forscher stellen fest, dass die Web-Shells bei diesen Angriffen verwendet werden wurden einer Öffentlichkeit entnommen Git Repository und dann einfach umbenannt, um eine Erkennung zu vermeiden.
Auf den angegriffenen Maschinen, die Angreifer verwenden auch die Mimikatz infostealer, um das Passwort aus dem Domänenadministratorkonto zu stehlen und eine seitliche Bewegung durchzuführen. Auf diese Weise, Hacker suchen nach den wertvollsten Daten, um das Opfer später zur Zahlung eines Lösegelds zu zwingen.
