Hive-malware-operators vallen Microsoft Exchange-servers aan
Hive ransomware-operators vallen Microsoft Exchange-servers aan die kwetsbaar zijn voor de beruchte ProxyShell-problemen.
Op gecompromitteerde machines, aanvallers zetten verschillende achterdeuren in, inclusief Cobalt Strike bakens, voer dan een verkenning uit, inloggegevens en waardevolle informatie stelen, en pas dan verder met het versleutelen van bestanden.
Held, die onderzoeken wat er gebeurt na een ransomware-aanval op een van hun klanten, gewaarschuwd voor het probleem.
Laat me je eraan herinneren dat de kwetsbaarheden, die gezamenlijk werden genoemd ProxyShell, werd bekend in de zomer van 2021.
Laat me je eraan herinneren dat wij, bijvoorbeeld, over gesproken Hancitor malware, die phishing-e-mails gebruikt, gecompromitteerde inloggegevens, of brute-forcering van RDP om toegang te krijgen tot kwetsbare Windows-machines en misbruik te maken van kwetsbaarheden in Microsoft Exchange.
Eerder, ProxyShell-bugs zijn al door veel aanvallers gebruikt, waaronder bekende hackgroepen als continu, BlackByte, Babuk, Cuba en LockFile. helaas, de Bijenkorf aanvallen tonen aan dat nog niet iedereen ProxyShell heeft gepatcht, en kwetsbare servers zijn nog steeds te vinden op het netwerk.
Na misbruik van ProxyShell-bugs, Hive-operators injecteren vier webshells in een toegankelijke Exchange-directory en voeren PowerShell-code uit met hoge privileges, Cobalt Strike-stagers laden. De onderzoekers merken op dat de webshells die bij deze aanvallen zijn gebruikt zijn overgenomen van een publiek Git opslagplaats en vervolgens eenvoudig hernoemd om detectie te voorkomen.
Op de aangevallen machines, de aanvallers gebruiken ook de Mimikatz infostealer om het wachtwoord van het domeinbeheerdersaccount te stelen en een zijwaartse beweging uit te voeren. Op deze manier, hackers zoeken naar de meest waardevolle gegevens om het slachtoffer te dwingen later losgeld te betalen.
