Resim: Midjourney
Black Basta ve BL00dy fidye yazılımı çeteleri, maksimum şiddet kimlik doğrulama bypass güvenlik açığına karşı açılmamış ScreAnconnect sunucularını hedefleyen yaygın saldırılara katıldı.
Bu kritik kusur (CVE-2024-1709), saldırganların internete maruz kalan sunucularda yönetici hesapları oluşturmasına, diğer tüm kullanıcıları silmesine ve savunmasız bir örneği devralmasına olanak tanır.
CVE-2024-1709, ConnectWise yayınlanan güvenlik güncellemeleri ve kavram kanıtı istismarları birkaç siber güvenlik şirketi tarafından yayınlanmasından bir gün sonra geçen Salı gününden bu yana aktif sömürü altında.
Geçen hafta, ConnectWise ayrıca sadece yüksek ayrıcalıklara sahip tehdit aktörleri tarafından istismar edilebilen yüksek şiddetli bir yol geçiş güvenlik açığı (CVE-2024-1708) sabitledi.
Şirket, geçen hafta tüm lisans kısıtlamalarını kaldırdı, böylece süresi dolmuş lisanslara sahip müşteriler, bu iki güvenlik hatasının tüm screenconnect sürümlerini etkilemesi nedeniyle sunucularını devam eden saldırılardan koruyabilir.
Perşembe günü, CISA ayrıca ABD federal ajanslarına 29 Şubat'a kadar sunucularını güvence altına almasını emreten bilinen sömürülen güvenlik açıkları kataloğuna CVE-2024-1709 ekledi.
Shadowserver, CVE-2024-1709'un şu anda saldırılarda yaygın olarak kullanıldığını, düzinelerce IPS hedefleme sunucusu çevrimiçi olarak maruz kaldığını, şu anda 10.000'den fazla screenconnect sunucusunu izliyor (Screenconnect 23.9.8 yamalı sürümünü çalıştıran sadece 1.559).
Bu devam eden saldırıları analiz ederken, Trend Micro, Black Basta ve BL00DY fidye yazılımı çetelerinin de ilk erişim için screenconnect kusurlarından yararlanmaya ve kurban ağlarını web mermileriyle geri yüklemeye başladığını keşfetti.
Saldırılarını araştırırken Micro, saldırganlar ağa eriştikten sonra keşif, keşif ve ayrıcalık artış faaliyetini gözlemledi ve kara Basta bağlantılı kobalt grev işaretleri uzlaşmış sistemlere konuşlandırıldı.
BL00DY Fidye yazılımı çetesi, sızdırılmış Conti ve Lockbit Siyah İnşaatçılar kullanılarak inşa edilen yükleri kullandı. Ancak, düşmüş fidye notları saldırganları BL00DY siber suç operasyonunun bir parçası olarak tanımladı.
Trend Micro ayrıca saldırganların çok amaçlı Xworm kötü amaçlı yazılımları uzaktan erişim Truva (sıçan) ve fidye yazılımı özelliklerine sahip olarak kullandığını gördü.
Diğer tehdit aktörleri, Atera ve Syncro gibi çeşitli uzaktan yönetim araçlarını veya ikinci bir ConnectWise örneğini dağıtmak için uzlaşmış ScreAnconnect sunucularına yeni kazanılan erişimi kullandı.
Sophos ilk olarak Perşembe günü yayınlanan bir raporda, yakın zamanda yamalı Screenconnect kusurlarının fidye yazılımı saldırılarında kullanıldığını açıkladı.
Eylül 2022'nin sonlarında, 30 farklı ağda bulunan bir Buhtiransom yükü ve sızdırılan kilitbit oluşturucu kullanılarak oluşturulan ikinci bir kilitbit varyantı da dahil olmak üzere Lockbit Fidye yazılımı oluşturucu kullanılarak inşa edilen birden fazla fidye yazılımı yükünü tespit ettiler.
Siber güvenlik şirketi Huntress de bulgularını geçen hafta doğruladı ve BleepingComputer'a "muhtemelen 911 sistemlerine bağlı sistemler de dahil olmak üzere bir yerel yönetimin" ve "sağlık kliniği" nin de CVE-2024-1709 Authbass bypass'ını kullanan fidye yazılımı saldırganları tarafından vurulduğunu söyledi. kurbanların ağlarını ihlal etmek.
Trend Micro, "Connectwise Screenconnect'teki güvenlik açıklarından yararlanan çeşitli tehdit aktörlerinin ayrıntılı incelemesini takiben, yazılımın en son sürümüne güncelleme aciliyetini vurguluyoruz." Dedi.
"Anında yama sadece tavsiye edilmez, sistemlerinizi bu belirlenen tehditlerden korumak için kritik bir güvenlik gereksinimidir."
Kaynak: Bleeping Computer