Gli operatori di malware Hive attaccano i server Microsoft Exchange
Gli operatori di ransomware Hive attaccano i server Microsoft Exchange che sono vulnerabili ai famigerati problemi di ProxyShell.
Su macchine compromesse, gli aggressori schierano varie backdoor, Compreso Colpo di cobalto fari, quindi condurre la ricognizione, rubare credenziali e informazioni preziose, e solo allora procedi alla crittografia dei file.
Eroe, che stanno indagando su cosa sta succedendo dopo un attacco ransomware a uno dei loro clienti, avvertito del problema.
Lascia che ti ricordi che le vulnerabilità, che sono stati chiamati collettivamente ProxyShell, divenne noto nell'estate del 2021.
Lascia che te lo ricordi noi, per esempio, parlato di Hancitor il malware, che utilizza le email di phishing, credenziali compromesse, o forza bruta RDP per accedere a macchine Windows vulnerabili e sfruttare le vulnerabilità in Microsoft Exchange.
In precedenza, I bug di ProxyShell sono già stati utilizzati da molti attaccanti, compresi gruppi di hacker famosi come Conti, BlackByte, Babuk, Cuba e LockFile. Sfortunatamente, il Alveare gli attacchi mostrano che non tutti hanno ancora patchato ProxyShell, e i server vulnerabili possono ancora essere trovati sulla rete.
Dopo aver sfruttato i bug di ProxyShell, Gli operatori Hive iniettano quattro shell Web in una directory di Exchange accessibile ed eseguono il codice PowerShell con privilegi elevati, caricamento degli stager Cobalt Strike. I ricercatori notano che le shell web utilizzate in questi attacchi sono stati presi da un pubblico Idiota deposito e poi semplicemente rinominato per evitare il rilevamento.
Sulle macchine attaccate, gli aggressori usano anche il Mimikatz infostealer per rubare la password dall'account dell'amministratore di dominio ed eseguire uno spostamento laterale. In questo modo, gli hacker cercano i dati più preziosi per costringere la vittima a pagare un riscatto in un secondo momento.
