Hive-haittaohjelmaoperaattorit hyökkäävät Microsoft Exchange -palvelimia vastaan
Hive ransomware -operaattorit hyökkäävät Microsoft Exchange -palvelimia vastaan, jotka ovat alttiina pahamaineisille ProxyShell-ongelmille.
Vaarallisiin koneisiin, hyökkääjät käyttävät erilaisia takaovia, mukaan lukien Kobolttilakko majakat, sitten tehdä tiedustelu, varastaa valtuustietoja ja arvokasta tietoa, ja vasta sitten jatka tiedostojen salaamista.
Sankari, jotka tutkivat, mitä tapahtuu lunnasohjelmahyökkäyksen jälkeen johonkin heidän asiakkaistaan, varoitti ongelmasta.
Haluan muistuttaa, että haavoittuvuuksia, joita kutsuttiin yhteisesti ProxyShell, tuli tunnetuksi kesällä 2021.
Haluan muistuttaa teitä siitä me, esimerkiksi, puhui Hancitor haittaohjelmat, joka käyttää tietojenkalasteluviestejä, vaarantuneet tunnistetiedot, tai raa'alla pakottamalla RDP:tä käyttämään haavoittuvia Windows-koneita ja hyödyntämään Microsoft Exchangen haavoittuvuuksia.
Aiemmin, Monet hyökkääjät ovat jo käyttäneet ProxyShell-bugeja, mukaan lukien tunnetut hakkerointiryhmät, kuten Conti, BlackByte, Babuk, Kuuba ja LockFile. valitettavasti, the Pesä Hyökkäykset osoittavat, että kaikki eivät ole vielä korjanneet ProxyShellia, ja haavoittuvia palvelimia löytyy edelleen verkosta.
ProxyShell-virheiden hyödyntämisen jälkeen, Hive-operaattorit ruiskuttavat neljä web-kuorta saavutettavaan Exchange-hakemistoon ja suorittavat PowerShell-koodin korkeilla oikeuksilla, ladataan Cobalt Strike -lavalaitteita. Tutkijat huomauttavat, että web-kuoret käytettiin näissä hyökkäyksissä otettiin yleisöltä Git arkisto ja nimettiin sitten uudelleen havaitsemisen välttämiseksi.
Hyökkäyksissä oleviin koneisiin, hyökkääjät käyttävät myös Mimikatz infostealer varastaa salasanan verkkotunnuksen järjestelmänvalvojan tililtä ja suorittaa sivuttaisliikkeen. Tällä tavalla, hakkerit etsivät arvokkainta dataa pakottaakseen uhrin maksamaan lunnaita myöhemmin.
