Operadores de malware Hive atacam servidores Microsoft Exchange
Operadores de ransomware Hive atacam servidores Microsoft Exchange que são vulneráveis aos notórios problemas do ProxyShell.
Em máquinas comprometidas, invasores implantam vários backdoors, Incluindo Cobalt Strike balizas, então faça o reconhecimento, roubar credenciais e informações valiosas, e só então prossiga para criptografar os arquivos.
Herói, que estão investigando o que está acontecendo após um ataque de ransomware a um de seus clientes, avisado sobre o problema.
Deixe-me lembrá-lo de que as vulnerabilidades, que foram chamados coletivamente ProxyShell, ficou conhecido no verão de 2021.
Deixe-me lembrá-lo que nós, por exemplo, falou sobre Hancitor malwares, que usa e-mails de phishing, credenciais comprometidas, ou RDP de força bruta para acessar máquinas Windows vulneráveis e explorar vulnerabilidades no Microsoft Exchange.
Anteriormente, Os bugs do ProxyShell já foram usados por muitos invasores, incluindo grupos de hackers conhecidos como Conti, BlackByte, Babuk, Cuba e LockFile. Infelizmente, a Colmeia ataques mostram que nem todos corrigiram o ProxyShell ainda, e servidores vulneráveis ainda podem ser encontrados na rede.
Depois de explorar os bugs do ProxyShell, Os operadores do Hive injetam quatro web shells em um diretório acessível do Exchange e executam o código do PowerShell com altos privilégios, carregando stagers Cobalt Strike. Os pesquisadores observam que os web shells usados nesses ataques foram retirados de um público Git repositório e, em seguida, simplesmente renomeado para evitar a detecção.
Nas máquinas atacadas, os atacantes também usam o Mimikatz infostealer para roubar a senha da conta do administrador do domínio e realizar um movimento lateral. Desta maneira, hackers procuram os dados mais valiosos para forçar a vítima a pagar um resgate mais tarde.
