Operaterji zlonamerne programske opreme Hive napadajo strežnike Microsoft Exchange
Operaterji izsiljevalske programske opreme Hive napadajo strežnike Microsoft Exchange, ki so ranljivi za razvpite težave ProxyShell.
Na ogroženih strojih, napadalci uporabljajo različna stranska vrata, vključno z Strike kobalta svetilniki, nato izvedite izvidnico, ukrasti poverilnice in dragocene podatke, in šele nato nadaljujte s šifriranjem datotek.
junak, ki preiskujejo, kaj se dogaja po napadu izsiljevalske programske opreme na eno od njihovih strank, opozoril na težavo.
Naj vas spomnim, da ranljivosti, ki so se skupaj imenovali ProxyShell, je postalo znano poleti 2021.
Naj vas spomnim na to mi, na primer, govoril o Hancitor zlonamerna programska oprema, ki uporablja lažna e-poštna sporočila, ogrožene poverilnice, ali nasilen RDP za dostop do ranljivih naprav Windows in izkoriščanje ranljivosti v Microsoft Exchange.
Prej, Napake ProxyShell so že uporabili številni napadalci, vključno s tako znanimi hekerskimi skupinami, kot je Conti, BlackByte, prah, Kuba in LockFile. Na žalost, the Panj napadi kažejo, da še niso vsi zakrpali lupine ProxyShell, in ranljive strežnike je še vedno mogoče najti v omrežju.
Po izkoriščanju napak ProxyShell, Operaterji Hive vbrizgajo štiri spletne lupine v dostopen imenik Exchange in izvajajo kodo PowerShell z visokimi privilegiji, nalaganje stopnic Cobalt Strike. Raziskovalci ugotavljajo, da so spletne lupine, uporabljene v teh napadih so bili vzeti iz javnosti Git repozitorij in nato preprosto preimenovali, da bi se izognili odkrivanju.
Na napadenih strojih, napadalci uporabljajo tudi Mimiccat infostealer za krajo gesla iz skrbniškega računa domene in izvedbo bočnega premika. Na ta način, hekerji iščejo najdragocenejše podatke, da bi žrtev kasneje prisilili v plačilo odkupnine.
