ХАКЕРСКА ГРУПА АТАКУВА ХОТЕЛИ ПО ЦЯЛ СВЯТ ЧРЕЗ ProxyLogon

Новооткрита  група за кибершпионаж е насочена към хотели по целия свят поне от 2019г., както и към по-известни цели, сред които  правителства, международни организации, адвокатски кантори и инженерни компании. Словашката фирма за интернет сигурност ESET забеляза хакерската група (наречена FamousSparrow) и я определи като „напреднала постоянна заплаха“.

Кибершпионите са се насочили към жертви от цяла Европа (Франция, Литва, Великобритания), Близкия изток (Израел, Саудитска Арабия), Северна и Южна Америка (Бразилия, Канада, Гватемала), Азия (Тайван) и Африка (Буркина Фасо) през атаки, обхващащи последните две години. „Насочването, което включва правителства по целия свят, предполага, че намерението на FamousSparrow е шпионаж“, заявиха изследователите на ESET Матийо Фау и Тахсийн бин Тадж.

Експлойти на ProxyLogon, използвани един ден след патч

Групата е използвала множество вектори на атаки в изложени в Интернет уеб приложения, за да пробие мрежите на своите цели, включително уязвимости при отдалечено изпълнение на код в Microsoft SharePoint, софтуера за управление на хотели Oracle Opera и недостатъците в сигурността на Microsoft Exchange, известни като ProxyLogon. След като наруши мрежите на жертвите си, групата внедрява персонализирани инструменти като вариант на Mimikatz, малък инструмент, предназначен за събиране на съдържанието на паметта (като идентификационни данни) чрез изхвърляне на процеса LSASS на Windows и задна врата, известна като SparrowDoor, използвана само от FamousSparrow. „FamousSparrow в момента е единственият потребител на персонализирана задна врата, която открихме в разследването и я нарекохме SparrowDoor. Групата използва и две персонализирани версии на Mimikatz“, обясни Бин Тадж. „Наличието на някой от тези персонализирани злонамерени инструменти може да се използва за свързване на инциденти с FamousSparrow.“ Групата за шпионаж също започна да се насочва към сървърите на Microsoft Exchange, които не са закърпени срещу уязвимостите на ProxyLogon през март 2021г., един ден след като Microsoft поправи грешките. ESET също сподели информация за най -малко десет хакерски групи, които активно злоупотребяват с тези грешки, след като се присъединиха към яростната атака на Microsoft Exchange през март. Според доклади от други  фирми експлоатацията  е започнала на 3 януари, доста преди грешките да са били докладвани дори на Microsoft, която пусна патч на 2 март. След като през март сканира около 250 000 изложени в Интернет Exchange сървъри по целия свят, Холандският институт за разкриване на уязвимости (DIVD) откри 46 000 сървъра, които не са защитени срещу уязвимостите на ProxyLogon.

Връзки с други групи 

ESET също откри някои връзки към други известни АТР групи  включително свързани варианти на зловреден софтуер и конфигурации. SparklingGoblin и DRBControl. Въпреки това, както казаха изследователите, FamousSparrow се счита за отделен субект, който вероятно е използвал достъпа си до компрометирани хотелски системи за шпионски цели, включително проследяване на конкретни високопоставени лица. „FamousSparrow е поредната APT група, която имаше достъп до уязвимостта на ProxyLogon за отдалечено изпълнение на код в началото на март 2021г. Тя има история на използване на известни уязвимости в сървърни приложения като SharePoint и Oracle Opera“, заключават изследователите на ESET. „Това е още едно напомняне, че е от решаващо значение бързо да се закърпят приложения, изложени в  интернет, или, ако бързото закърпване не е възможно, изобщо да не се излагат на интернет.“

Източник: По материали от Интернет

Подобни публикации

27 септември 2023

Microsoft разпространява Passkeys в Windows 11

Днес Microsoft официално въвежда поддръжка на клавишите passskeys в...
27 септември 2023

Излязоха резултатите от оценката на MITRE ATT&a...

Задълбочените, независими тестове са жизненоважен ресурс за анализи...
26 септември 2023

WatchGuard получи най-високото признание

WatchGuard е обявена за лидер в последния доклад на G2 Grid и е отл...
26 септември 2023

WatchGuard с награда за отлични постижения в об...

Имаме удоволствието да споделим, че WatchGuard е обявена за победит...
26 септември 2023

Рансъмуерът Akira мутира и се насочва към систе...

Откакто се появи като заплаха през март, рансъмуерът Arika продължи...
26 септември 2023

Разликите между локалната и облачната киберсигу...

Разликата между управлението на киберсигурността в локални и облачн...
26 септември 2023

Нов вариант на BBTok е насочен към над 40 банк...

Активна кампания за зловреден софтуер, насочена към Латинска Америк...
25 септември 2023

Правилата за API на TikTok затрудняват анализа ...

Според учени новите условия за достъп на изследователите до API на ...
25 септември 2023

Акаунтът на Буретин в X беше хакнат

Хакери компрометират акаунта на Виталик Буретин в X, като открадват...
Бъдете социални
Още по темата
22/09/2023

NCSC: Защо атаките за кибер...

44CON 2023 – Лондон – Според...
20/09/2023

Microsoft: Кибератаките "Pe...

Microsoft предупреждава, че глобална кампания за...
16/09/2023

Retool обвинява за нарушени...

Софтуерната компания Retool съобщава, че акаунтите...
Последно добавени
27/09/2023

Microsoft разпространява P...

Днес Microsoft официално въвежда поддръжка на...
27/09/2023

Излязоха резултатите от оце...

Задълбочените, независими тестове са жизненоважен ресурс...
26/09/2023

WatchGuard получи най-висок...

WatchGuard е обявена за лидер в...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!