CISA rilascia le analisi sui malware che sfruttano le vulnerabilità di Pulse Connect VPN.
Nell’ambito della continua risposta di CISA alle compromissioni di Pulse Secure, CISA ha analizzato cinque campioni di malware relativi ai dispositivi Pulse Secure sfruttati. CISA incoraggia gli utenti e gli amministratori a rivedere i seguenti cinque rapporti di analisi del malware (MAR) per le tattiche, le tecniche e le procedure (TTP) degli attori delle minacce e gli indicatori di compromissione (IOC) e a rivedere l’avviso CISA, lo sfruttamento delle vulnerabilità sicure di Pulse Connect , per ulteriori informazioni informazione.
Gli aggressori prendono di mira i dispositivi Pulse Connect Secure VPN sfruttando varie vulnerabilità, tra le quali le CVE-2021-22893 e CVE-2021-22937 .
Due campioni di malware, secondo CISA, sono file Pulse Secure modificati ricevuti da dispositivi infetti. I file funzionano come raccoglitori di credenziali.
- Il primo file funge anche da backdoor, fornendo agli aggressori l’accesso remoto a un dispositivo compromesso.
- Il secondo contiene invece uno script di shell dannoso in grado di registrare nomi utente e password.
- Il terzo esempio includeva diversi file, incluso uno script di shell che modifica il file Pulse Secure per farlo diventare una shell web.
- Il quarto file è stato progettato per intercettare l’autenticazione a più fattori basata su certificati e analizzare i dati dalle richieste Web in arrivo.
- Il quinto esempio consisteva in due script Perl per eseguire i comandi dell’aggressore, una libreria Perl, uno script Perl e uno script di shell per la gestione e l’esecuzione del file ‘/bin/umount’.
Cinque rapporti CISA Malware Analysis (MAR) forniscono informazioni dettagliate su tattiche, tecniche e procedure (TTP) utilizzate dagli aggressori, nonché indicatori di compromissione.
Fonte
https://us-cert.cisa.gov/ncas/current-activity/2021/08/24/cisa-releases-five-pulse-secure-related-mars
https://us-cert.cisa.gov/ncas/alerts/aa21-110a
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su
bug,
data breach e
minacce globali. Ogni contenuto è validato dalla nostra community di esperti come
Pietro Melillo,
Massimiliano Brolli,
Sandro Sana,
Olivia Terragni e
Stefano Gazzella.
Grazie alla sinergia con i nostri
Partner leader nel settore (tra cui
Accenture,
CrowdStrike,
Trend Micro e
Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa
peer-review tecnica.
