Hive ransomware sta utilizzando ProxyShell come vettore di attacco.

Redazione RHC : 21 Aprile 2022 10:11

Il partner di Hive, stanno attaccando i server Microsoft Exchange non aggiornati, che contengono vulnerabilità ProxyShell per installare varie backdoor, inclusi i beacon Cobalt Strike. 

Gli aggressori effettuano ricognizioni di rete, rubano le credenziali dell’account amministratore, rubano informazioni preziose e finiscono per installare il ransomware per crittografare i file.

ProxyShell è un insieme di tre vulnerabilità in Microsoft Exchange Server che consentono l’esecuzione di codice remoto non autenticato in ambienti vulnerabili. Dopo che gli exploit sono diventati disponibili, le vulnerabilità sono state sfruttate da diversi aggressori, inclusi i gruppi di ransomware Conti, BlackByte, Babuk, Cuba e LockFile.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Le vulnerabilità (CVE-2021-34473, CVE-2021-34523 e CVE-2021-31297) sono state classificate tra 7,2 e 9,8 su 10 sulla scala CVSSv3 e sono state corrette a maggio 2021.

Dopo aver sfruttato ProxyShell, gli hacker hanno iniettato quattro shell Web nei sistemi Exchange ed eseguito codice PowerShell con privilegi elevati per scaricare Cobalt Strike. Le shell web provengono da un repository Git pubblico e sono state rinominate per evitare il rilevamento durante possibili controlli.

Gli aggressori hanno poi utilizzato Mimikatz per rubare la password dell’account di amministrazione del dominio e attraversare la rete, ottenendo l’accesso alle risorse. 

Gli hacker hanno avviato ampie operazioni per trovare file preziosi al fine di costringere la vittima a pagare un ingente riscatto.

Gli analisti di Varonis hanno trovato tracce di scanner di rete installati, elenchi di indirizzi IP, elenchi di dispositivi e directory, RDP per server in standby, scansione del database SQL e altro ancora, enumerazione dei sistemi attiv e altro ancora. Dopo che tutti i file sono stati rubati, un payload ransomware chiamato Windows.exe è stato lanciato su più dispositivi.

Prima di crittografare i file dell’organizzazione, il payload Golang ha rimosso le copie shadow, disabilitato Windows Defender, cancellato i registri eventi di Windows, disabilitato i processi di collegamento dei file e interrotto Security Accounts Manager di Windows.

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli