Hive skadlig programvara attackerar Microsoft Exchange-servrar
Hive ransomware-operatörer attackerar Microsoft Exchange-servrar som är sårbara för de ökända ProxyShell-problemen.
På komprometterade maskiner, angripare använder olika bakdörrar, Inklusive Koboltstrejk beacons, gör sedan spaning, stjäla referenser och värdefull information, och först därefter fortsätter du att kryptera filer.
Hjälte, som undersöker vad som händer efter en ransomware-attack på en av deras kunder, varnade för frågan.
Låt mig påminna dig om att sårbarheterna, som gemensamt kallades ProxyShell, blev känd sommaren 2021.
Låt mig påminna dig om det vi, till exempel, pratade om Hancitor skadliga program, som använder nätfiske-e-post, äventyrade referenser, eller brute-forcer RDP för att komma åt sårbara Windows-maskiner och utnyttjar sårbarheter i Microsoft Exchange.
Tidigare, ProxyShell-buggar har redan använts av många angripare, inklusive sådana välkända hackgrupper som Conti, BlackByte, Babuk, Kuba och LockFile. Tyvärr, de Bikupa attacker visar att inte alla har patchat ProxyShell ännu, och sårbara servrar kan fortfarande hittas på nätverket.
Efter att ha utnyttjat ProxyShell-buggar, Hive-operatörer injicerar fyra webbskal i en tillgänglig Exchange-katalog och kör PowerShell-kod med höga privilegier, laddar Cobalt Strike stagers. Forskarna noterar att webbskalen som används i dessa attacker togs från allmänheten Git förvaret och sedan helt enkelt bytt namn för att undvika upptäckt.
På de attackerade maskinerna, angriparna använder också Mimikatz infostealer för att stjäla lösenordet från domänadministratörskontot och utföra en sidoförflyttning. På det här sättet, hackare letar efter de mest värdefulla uppgifterna för att tvinga offret att betala en lösensumma senare.
