Фирмата за киберсигурност Huntress алармира за вълна от кибератаки, насочени към счетоводния софтуер на Foundation – приложение, което често се използва от изпълнителите в строителния бранш.

От 14 септември насам са наблюдавани случаи на грубо форсиране на приложението и използване на идентификационни данни по подразбиране за достъп до акаунтите на жертвите.

Според Huntress множество организации в областта на водопроводните услуги, ОВК (отопление, вентилация и климатизация), бетона и други подотрасли са били компрометирани чрез екземпляри на софтуера Foundation, изложени в интернет.

„Макар че е обичайно сървърът за бази данни да е вътрешен и да се намира зад защитна стена или VPN, софтуерът Foundation разполага със свързаност и достъп чрез мобилно приложение. Поради тази причина TCP портът 4243 може да бъде изложен публично за използване от мобилното приложение. Този порт 4243 предлага директен достъп до MSSQL“, каза Huntress.

В рамките на наблюдаваните атаки злосторниците се насочват към акаунт на системен администратор по подразбиране в инстанцията на Microsoft SQL Server (MSSQL) в рамките на софтуера Foundation. Акаунтът има пълни административни привилегии над целия сървър, който обработва операциите с бази данни.

Освен това е наблюдавано, че в множество инстанции на софтуера Foundation се създава втори акаунт с високи привилегии, който също е оставен с данните по подразбиране. И двата акаунта позволяват на нападателите да получат достъп до разширена съхранена процедура в MSSQL, която им позволява да изпълняват команди на операционната система директно от SQL, добави компанията.

Като злоупотребяват с процедурата, нападателите могат „да изпълняват шел команди и скриптове, сякаш имат достъп директно от командния ред на системата“.

Според Huntress изглежда, че хакерите използват скриптове, за да автоматизират атаките си, тъй като едни и същи команди са били изпълнени на машини, отнасящи се до няколко несвързани организации, в рамките на няколко минути.

В един от случаите нападателите са били забелязани да изпълняват около 35 000 опита за влизане с груба сила, преди да се удостоверят успешно и да позволят на разширената съхранена процедура да започне да изпълнява команди.

Huntress твърди, че в средите, които защитава, е идентифицирала само 33 публично изложени хоста, които използват софтуера Foundation с непроменени данни по подразбиране. Компанията е уведомила засегнатите клиенти, както и други, които имат софтуер Foundation в своята среда, дори и да не са били засегнати.

На организациите се препоръчва да сменят всички пълномощия, свързани с техните инстанции на софтуера Foundation, да държат инсталациите си изключени от интернет и да деактивират експлоатираната процедура, където е подходящо.