Hive malware-operatører angriper Microsoft Exchange-servere
Hive ransomware-operatører angriper Microsoft Exchange-servere som er sårbare for de beryktede ProxyShell-problemene.
På kompromitterte maskiner, angripere distribuerer ulike bakdører, gjelder også Koboltstreik beacons, foreta deretter rekognosering, stjele legitimasjon og verdifull informasjon, og bare deretter fortsette å kryptere filer.
Helt, som undersøker hva som skjer etter et løsepengeangrep på en av kundene deres, advart om problemet.
La meg minne deg på at sårbarhetene, som samlet ble kalt ProxyShell, ble kjent sommeren av 2021.
La meg minne deg på det vi, for eksempel, snakket om Hancitor malware, som bruker phishing-e-post, kompromittert legitimasjon, eller råtvingende RDP for å få tilgang til sårbare Windows-maskiner og utnytter sårbarheter i Microsoft Exchange.
Tidligere, ProxyShell-feil har allerede blitt brukt av mange angripere, inkludert slike velkjente hackgrupper som Conti, BlackByte, Babuk, Cuba og Lås fil. dessverre, de Hive angrep viser at ikke alle har lappet ProxyShell ennå, og sårbare servere kan fortsatt finnes på nettverket.
Etter å ha utnyttet ProxyShell-feil, Hive-operatører injiserer fire nettskjell i en tilgjengelig Exchange-katalog og kjører PowerShell-kode med høye privilegier, lasting av Cobalt Strike stagers. Forskerne bemerker at nettskjellene som ble brukt i disse angrepene ble tatt fra en offentlighet Git oppbevaringssted og deretter bare omdøpt for å unngå oppdagelse.
På de angrepne maskinene, angriperne bruker også Mimikatz infostealer for å stjele passordet fra domeneadministratorkontoen og utføre en sidebevegelse. På denne måten, hackere ser etter de mest verdifulle dataene for å tvinge offeret til å betale løsepenger senere.
