Hive ransomware sta utilizzando ProxyShell come vettore di attacco.

Redazione RHC : 21 Aprile 2022 10:11

Il partner di Hive, stanno attaccando i server Microsoft Exchange non aggiornati, che contengono vulnerabilità ProxyShell per installare varie backdoor, inclusi i beacon Cobalt Strike. 

Gli aggressori effettuano ricognizioni di rete, rubano le credenziali dell’account amministratore, rubano informazioni preziose e finiscono per installare il ransomware per crittografare i file.

ProxyShell è un insieme di tre vulnerabilità in Microsoft Exchange Server che consentono l’esecuzione di codice remoto non autenticato in ambienti vulnerabili. Dopo che gli exploit sono diventati disponibili, le vulnerabilità sono state sfruttate da diversi aggressori, inclusi i gruppi di ransomware Conti, BlackByte, Babuk, Cuba e LockFile.

Le vulnerabilità (CVE-2021-34473, CVE-2021-34523 e CVE-2021-31297) sono state classificate tra 7,2 e 9,8 su 10 sulla scala CVSSv3 e sono state corrette a maggio 2021.

Dopo aver sfruttato ProxyShell, gli hacker hanno iniettato quattro shell Web nei sistemi Exchange ed eseguito codice PowerShell con privilegi elevati per scaricare Cobalt Strike. Le shell web provengono da un repository Git pubblico e sono state rinominate per evitare il rilevamento durante possibili controlli.

Gli aggressori hanno poi utilizzato Mimikatz per rubare la password dell’account di amministrazione del dominio e attraversare la rete, ottenendo l’accesso alle risorse. 

Gli hacker hanno avviato ampie operazioni per trovare file preziosi al fine di costringere la vittima a pagare un ingente riscatto.

Gli analisti di Varonis hanno trovato tracce di scanner di rete installati, elenchi di indirizzi IP, elenchi di dispositivi e directory, RDP per server in standby, scansione del database SQL e altro ancora, enumerazione dei sistemi attiv e altro ancora. Dopo che tutti i file sono stati rubati, un payload ransomware chiamato Windows.exe è stato lanciato su più dispositivi.

Prima di crittografare i file dell’organizzazione, il payload Golang ha rimosso le copie shadow, disabilitato Windows Defender, cancellato i registri eventi di Windows, disabilitato i processi di collegamento dei file e interrotto Security Accounts Manager di Windows.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.