Il gruppo di hacker TunnelVision, ritenuto affiliato al governo iraniano, sta sfruttando la vulnerabilità critica Log4Shell (CVE-2021-44228) nella libreria open source Apache Log4j della quale abbiamo parlato molto a ridosso di Natale 2021, per installare ransomware sui server VMware Horizon.
“TunnelVision sta sfruttando attivamente la vulnerabilità per eseguire comandi PowerShell dannosi, installare backdoor, creare utenti, rubare credenziali e navigare nella rete. Di norma, gli aggressori utilizzano prima la vulnerabilità in Log4j per eseguire direttamente i comandi in PowerShell, quindi eseguono ulteriori comandi utilizzando reverse shell eseguite tramite il processo Tomcat”
hanno spiegato gli esperti di SentinelOne.
Gli hacker utilizzano anche diversi servizi legittimi per nascondere le proprie attività, inclusi transfer.sh, pastebin.com, webhook.site, ufile.io, raw.githubusercontent.com.
Secondo gli esperti, le attività di TunnelVision sono monitorate da altre società di sicurezza delle informazioni, ma con nomi diversi, come Phosphorus (Microsoft), nonché Charming Kitten e Nemesis Kitten (CrowdStrike).
La confusione nasce perché gli esperti Microsoft attribuiscono l’attività a un gruppo (Phosphorus) e gli esperti CrowdStrike associano queste operazioni criminali a due gruppi diversi: Charming Kitten e Nemesis Kitten.
SentinelOne tiene traccia del raggruppamento separatamente sotto il nome TunnelVision.
Ciò non significa che i raggruppamenti elencati non siano correlati, solo che al momento gli esperti non dispongono di dati sufficienti per trarre conclusioni più accurate.
Ti è piaciutno questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Cybercrime
Cybercrime
Cyber Italia
Cybercrime