Cringランサムウェアオペレーターが11年間のAdobeColdFusionの脆弱性を悪用

数分のうちに未知のサイバー犯罪グループが、古いバージョンのAdobeColdFusionを使用してサーバーにリモートハッキングされました 9 そしてそれに対する支配権を握った, そして 79 数時間後、ランサムウェアCringをサーバーにデプロイしました.

名前のないサービスプロバイダーが所有するサーバーを使用して、給与のタイムシートとアカウンティングデータを収集しました, 多数の仮想マシンをホストするだけでなく.

によると 情報セキュリティ会社の専門家へ ソソソ, 攻撃は、ウクライナのインターネットプロバイダーに属するインターネットアドレスから実行されました。 グリーンフロイド.

ソフォスの主任研究員 アンドリューブラント 古くなったデバイスは言う, 脆弱なソフトウェアはハッカーにとってちょっとしたことです.

しかしながら, 大きな驚きは、ランサムウェアに攻撃された11年前のソフトウェアを搭載したサーバーが積極的かつ日常的に使用されていたという事実です。. 原則として, 最も脆弱なのは、未使用のデバイスまたは忘れられたデバイスです “ゴーストマシン”.

サーバーへの初期アクセスを取得した後, 攻撃者は、悪意のあるファイルを隠すためのさまざまな高度な方法を使用しました, メモリへのコードの挿入, 破損したデータでファイルを上書きすることにより、攻撃を隠蔽します. 加えて, ハッカーは、改ざん防止機能が無効になっているという事実を利用して、セキュリティソリューションを無効にしました.

特に, 攻撃者はディレクトリトラバーサルの脆弱性を悪用しました (CVE-2010-2861) AdobeColdFusionで 9.0.1 および以前の管理コンソール. 脆弱性により、任意のファイルのリモート読み取りが可能になりました, 管理者パスワードハッシュを含むファイルを含む (password.properties).

攻撃の次の段階で, ハッカーはColdFusionのさらに初期の脆弱性を悪用しました (CVE-2009-3960) 悪意のあるカスケードスタイルシートをアップロードするには (CSS) 攻撃されたサーバーへのファイル, 次に、Cobalt StrikeBeacon実行可能ファイルをダウンロードしました。.

私たちがその事実について話したことを思い出させてください 奇妙なマルウェア 被害者が海賊サイトを訪問するのを防ぎます.