Търсене
Close this search box.

Федерална агенция на САЩ е пробита от ирански хакери

Първоначалното проникване е открито през февруари, но пълната реакция на инцидента започва едва през юни.

Правителството на САЩ разкри, че спонсорирани от иранската държава киберпрестъпници успешно са проникнали във федерална агенция, като са използвали Log4Shell.

Към момента подкрепяните от Иран хакери не са причислени към нито една известна група, но те са използвали достъпа си, за да разгърнат криптомайнера XMRig и комбайна за събиране на пълномощия Mimikatz.

Според съвместната консултация, публикувана от CISA и ФБР, атаката е била осъществена през февруари 2022г., но пълното ангажиране с реакцията при инцидент е било извършено едва през юни.

В резултат на проведеното разследване е установено, че групата е получила първоначален достъп до сървъра VMware Horizon на неназованата федерална агенция, като е използвала уязвимостта Log4Shell, която е открита в края на 2021г.

След като са получили първоначален достъп, подкрепяните от Иран хакери са изпълнили команди, за да забранят на Windows Defender да извършва сканиране за вируси на изтеглените инструменти, преди да разположат инструмента за добив на криптовалута XMRig на сървъра VMware Horizon.

След това нападателите са се придвижили странично в мрежата и са използвали Mimikatz, за да съберат идентификационни данни и да създадат акаунт на администратор на домейн.

След това той е използван за имплантиране на инструмента Ngrok reverse proxy – често свързван със злонамерена дейност – на множество хостове, за да се установи постоянство и да се проксират връзките на нападателите с протокола за отдалечен работен плот (RDP).

„От средата на юни до средата на юли 2022г. CISA проведе операция по протокола за реагиране на инциденти на място и установи, че организацията е била компрометирана още през февруари 2022г. от вероятно спонсорирани от иранското правителство APT извършители, които са инсталирали софтуера за добив на криптовалути XMRig“, се казва в консултацията.

„Хакерите също така са се преместили флангово към контролера на домейна, компрометирали са идентификационните данни и са имплантирали обратни прокси сървъри на Ngrok.“

Неуспешно пачване?

Откриването на уязвимостта Log4Shell през декември 2021г. предизвика сериозни вълнения в общността за киберсигурност.

Особена загриженост предизвика степента, в която корпоративният софтуер беше уязвим към пробойната в сигурността – най-високите оценки бяха за 90% от всички приложения.

Откриването на Log4Shell стана само няколко седмици след като CISA въведе своята „задължителна програма за пачване“ – списък с най-често използваните уязвимости, които всички федерални агенции трябваше да закърпят в определен срок.

На 10 декември CISA издаде извънредна директива, с която Log4Shell беше добавена към списъка с уязвимости, които трябваше да бъдат закърпени във всички федерални агенции, и определи краен срок за закърпване на дефекта до 24 декември.

През ноември 2021г., след като изтече първият краен срок за закърпване на първоначалния списък с известни уязвимости, IT Pro попита CISA дали всички федерални агенции са пачнали успешно всички недостатъци до определения краен срок. Агенцията за киберсигурност на САЩ отказа да потвърди това.

„Реалността е такава, че пълното отстраняване на Log4Shell е трудно постижимо, като се има предвид нейното разпространение и фактът, че когато една организация добавя нови активи, тя може да въведе уязвимостта отново. Най-добрият начин да се попречи на нападателите е да се продължи с усърдието и последователността в усилията за отстраняване на грешки.“

Едно от първоначалните опасения, свързани с Log4Shell, беше способността на организациите да открият дали уязвимият компонент log4j присъства в някой от техните софтуерни продукти.

Пол Бърд, главен технически директор по сигурността в Qualys, заяви пред IT Pro, че откриването е предизвикателство за всички организации и че други може да не са в състояние да променят версията на компонента log4j, тъй като това може да доведе до повреда на тяхното приложение.

„Пачването на проблеми като log4j е необходимо – всички експерти по сигурността в света ще ви кажат да закърпите незабавно или колкото се може по-скоро“, каза Бейрд.

„Но можете да поправяте само това, за което знаете, а това не е толкова лесно, колкото просто да приложите поправка – трябва да познавате инфраструктурата си и да имате добри планове за връщане назад в случай, че нещо се обърка. Много организации нямат добри планове за непрекъсваемост на бизнеса, включително резервни копия, така че са склонни просто да добавят системата в регистъра на рисковете и да приемат риска.

„Това е проблем за екипите по сигурността в публичния сектор, защото те са много натоварени и има толкова много приоритети, които се борят за тяхното внимание. Въпреки това отстраняването на известните проблеми е най-добрата защита.“

 

Източник: itpro.co.uk

Подобни публикации

27 февруари 2024

Севернокорейските хакери атакуват разработчици ...

Нови данни на Phylum показват, че набор от фалшиви пакети npm, откр...
27 февруари 2024

Защо автоматизацията е от съществено значение з...

Областта на киберсигурността се разширява, което води след себе си ...
27 февруари 2024

Киберсигурност - четки за зъби, дронове и джуджета

Звучи като виц, но всички тези истории са станали популярни през по...
27 февруари 2024

САЩ и НАТО: Руските хакери преминават към облач...

Членовете на разузнавателния алианс „Пет очи“ (FVEY) пр...
27 февруари 2024

ThyssenKrupp потвърждава кибератака

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата седми...
27 февруари 2024

SubdoMailing - развива се агресивна измамна кам...

Мащабна кампания за рекламни измами, наречена „SubdoMailing&#...
27 февруари 2024

Реакция на пробива в сигурността на AnyDesk с р...

Нарушението и реакцията на AnyDesk На 2 февруари приложението за от...
26 февруари 2024

Организациите са изправени пред големи санкции ...

Това може да се превърне в кошмар за правоприлагащите органи –...
26 февруари 2024

Малави спря издаването на паспорти заради кибер...

Съобщава се, че правителството на Малави е спряло издаването на пас...
Бъдете социални
Още по темата
27/02/2024

САЩ и НАТО: Руските хакери ...

Членовете на разузнавателния алианс „Пет очи“...
27/02/2024

ThyssenKrupp потвърждава ки...

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата...
23/02/2024

Новата ера в хактивизма

През последните две години наблюдаваме значително...
Последно добавени
27/02/2024

Севернокорейските хакери ат...

Нови данни на Phylum показват, че...
27/02/2024

Защо автоматизацията е от с...

Областта на киберсигурността се разширява, което...
27/02/2024

Киберсигурност - четки за з...

Звучи като виц, но всички тези...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!