'Blue Mockingbird' olarak bilinen bir tehdit aktörü, sunucuları tehlikeye atmak, kobalt grev işaretçileri kurmak ve Monero Monero'yu sistem kaynaklarını ele geçirerek hedefler.
Saldırgan tarafından kaldırılan kusur, ASP.NET AJAX için Telerik UI kütüphanesinde uzaktan kod yürütülmesine yol açan kritik bir ciddiyet (CVSS v3.1: 9.8) olan CVE-2019-18935'tir.
Aynı tehdit oyuncusu, Mayıs 2020'de Telerik UI kullanan savunmasız Microsoft IIS sunucularını hedefleyen görüldü, bu da güvenlik güncellemelerinin satıcı tarafından sağlanmasından bu yana bir yıl geçti.
Blue Mockingbird, yeni siber saldırılar başlatmak için aynı kusurdan yararlanıyor, Sophos araştırmacıları bugün tehdit aktörü tarafından daha önce kullanılanlara yakından benzeyen taktikleri içeren olaylar hakkında rapor veriyor.
CVE-2019-18935'ten yararlanmak için saldırganlar, Telerik UI’nin serileştirilmesini hedefe koruyan şifreleme anahtarlarını almalıdır. Bu, hedef web uygulamasındaki başka bir güvenlik açığından yararlanarak veya CVE-2017-11317 ve CVE-2017-11357 kullanarak mümkündür.
Birçok web uygulaması, geliştirildikleri sırada Telerik UI Framework sürümünü yerleştiren ve daha sonra durdurulan veya unutmuş olan projelerdi çünkü sömürü için hala geçerli hedefler var.
Anahtarlar edinildikten sonra, saldırganlar, seansizasyon sırasında yürütülecek kodu içeren kötü amaçlı bir DLL derleyebilir ve "W3WP.EXE" işlemi bağlamında çalıştırabilir.
Sophos'un tespit ettiği son saldırılarda Blue Mockingbird, şifreleme mantığını işleyen ve DLL derlemesini otomatikleştiren kolayca mevcut bir kavram kanıtı (POC) istismarını kullanıyor.
Son saldırılarda kullanılan yük, kodlanmış PowerShell komutlarının yürütülmesi için mavi alaycı kuşun istismarları, gizli, meşru bir penetrasyon test aracı olan bir Cobalt Strike Beacon'dur.
Kalıcılık, Base64 kodlu PowerShell'i içeren yeni bir kayıt defteri anahtarında yazılmış planlanmış görevler oluşturan Active Directory Group Politika Nesneleri (GPO'lar) ile oluşturulur.
Komut dosyası, bir kobalt grev DLL'yi belleğe indirmek ve yüklemek için Windows Defender tespitinden kaçınmak için ortak AMSI-Bypassing tekniklerini kullanır.
İkinci aşama yürütülebilir (‘crby26td.exe’), en az izlenebilir kripto paralarından biri olan Madencilik Monero için kullanılan standart açık kaynaklı bir kripto para madenci olan bir XMRIG madencisidir.
Özellikle, tehdit oyuncunun 2020 kampanyasının ana hedefi buydu, bu nedenle tüm saldırı zincirinde, tekniklerde ve hedeflerde çok fazla değişmedi.
Bununla birlikte, kobalt grevinin konuşlandırılması, uzlaşmış ağ, veri açığa çıkması, hesap devralması ve fidye yazılımı gibi daha güçlü yüklerin dağıtımında kolay yanal hareketin yolunu açar.
Blue Mockingbird'in bu senaryoları keşfetmekle ilgilenip ilgilenmediği görülüyor, ancak şimdilik sadece Monero madenciliği ile işgal ediliyorlar.
Kötü niyetli PYPI paketi Windows, Linux ve Mac'lerde arka kapı açıyor
Yeni Malibot Android Bankacılık Kötü Yazılım Kripto Madenci olarak yayılıyor
Yeni eşler arası botnet, kriptominerlerle linux sunucularını enfekte eder
Ukrayna'da Kobalt Strike Dağıtmak İçin Kullanılan Sahte Antivirüs Güncellemeleri
Watchdog Hacking Group yeni Docker Cryptojacking Kampanyası başlattı
Kaynak: Bleeping Computer