Conti Ransomware çetesi, Microsoft Exchange sunucularına saldırıyor ve son zamanlarda açıklanan proxyshell güvenlik açığını kullanarak kurumsal ağları ihlal ediyor.
Proxyshell, açılmamış savunmasız sunucularda kimliği doğrulanmamış, uzak kod yürütülmesine izin veren üç zincirli Microsoft Exchange güvenlik açıklaması (CVE-2021-344473, CVE-2021-34523, CVE-2021-31207) kullanan bir istismarın adıdır.
Bu üç güvenlik açığı, onları PWN2own 2021 Hacking Yarışması'nın bir parçası olarak kullanan Devcore Orange Tsai tarafından keşfedildi.
Microsoft, Mayıs 2021'de bu güvenlik açıklarını tam olarak yamalarken, güvenlik açıklarının sömürülmesi ile ilgili teknik detaylar, tehdit aktörlerinin onları saldırılarda kullanmaya başlamasına izin verdi.
Şimdiye kadar, Web kablolarını, arkdoors'ı bırakmak ve Lockfile fidye yazılımını dağıtmak için proxyshell güvenlik açıklarını kullanarak tehdit aktörlerini gördük.
Geçtiğimiz hafta, Sophos, Conti Ransomware çetesinin bir müşteriyi şifrelendiği olay bir yanıt davasında yer aldı.
Saldırıyı analiz ettikten sonra, Sophos, tehdit aktörlerinin başlangıçta, son zamanlarda açıklanan Microsoft Exchange Proxyshell güvenlik açıklarını kullanarak ağı tehlikeye attığını keşfetti.
En son Microsoft Exchange saldırıları gibi, tehdit aktörleri ilk önce komutları yürütmek, yazılımı indirmek için kullanılan ve daha fazla sunucuyu tehlikeye atar.
Tehdit aktörleri sunucuyu tam olarak kontrol edindikten sonra, Sophos, yakın zamanda sızdırılmış conti eğitim materyalinde belirtildiği gibi standart taktiklerine hızla düştüğünü gözlemledi.
Bu rutin, etki alanı yöneticilerinin ve bilgisayarların listelerini, LSASS'u boşaltma, yönetici kimlik bilgilerine erişim sağlamak ve ağ boyunca diğer sunuculara yanal olarak yayılmasını içerir.
Tehdit aktörleri çeşitli sunucuları tehlikeye atarken, AnyDesk ve Kobalt Strike Beacons gibi cihazlara uzaktan erişim sağlamak için birden fazla araç yüklerler.
Ağda bir yer elde ettikten sonra, tehdit aktörleri şifrelenmemiş verileri çaldı ve MEGA dosya paylaşım sunucusuna yükledi. Beş gün sonra, ağdaki cihazları, gözlemlenen komutu kullanarak antivirüs koruması olmayan bir sunucudan şifreleymeye başladılar:
Bu özel durumun öne çıkmasını yapan şey, grubun saldırıyı gerçekleştirdiği hız ve hassasiyetti, burada ilk ihlalden 1 TB veri çalmaya 48 saat sürdü.
"İlk erişimi kazandıktan sonraki 48 saat içinde, saldırganlar yaklaşık 1 terabayt veri eklemiş oldu. Beş gün geçtikten sonra, Conti Ransomware'i ağdaki her makineye, özel olarak her bilgisayardaki bireysel ağ paylaşımlarını hedef alan," raporlarında.
"İzinsiz girişim boyunca, conti iştirakleri ağda yedi sırttan daha az kapı kurdu: iki web kabuğu, kobalt grevi ve dört ticari uzaktan erişim aracı (AnyDesk, Atera, Splashtop ve Uzaktan Yardımcı Programlar)."
"Erken kurulan Web kabukları, esas olarak ilk erişim için kullanıldı; Kobalt grevi ve herhangi bir masa, saldırının geri kalanında kullandıkları birincil araçlardı"
Proxyshell kullanarak saldırılar yaparken, tehdit aktörleri Autodiscover hizmetini, aşağıdakiler gibi istekleri yaparak hedefler:
Exchange sunucunuzun hedeflenip hedeflenmemesini kontrol etmek için, Garip veya bilinmeyen e-postalarla "/autodiscover/autodiscover.json" isteklerinin IIS günlüklerini inceleyebilirsiniz.
Sophos'un gözlemlenen conti durumunda, tehdit aktörleri @ Evil.Corp'dan bir e-posta adresini kullandı, bu da kolayca sömürme girişimlerinin öne çıkması gerekir.
Şüphesiz, proxyshell güvenlik açıkları şu anda çok çeşitli tehdit aktörleri tarafından kullanılmaktadır ve tüm Microsoft Exchange Server yöneticilerinin korunması için en son kümülatif güncellemeleri uygulamaları gerekir.
Ne yazık ki, bu güncelleştirmeler yüklendiğinden posta aksama süresi anlamına gelir. Bununla birlikte, bu, başarılı bir ransom saldırısının devam edeceği aksama sürelerinden ve harcamalardan çok daha iyidir.
Microsoft Exchange Sunucuları Proxyshell Exploits üzerinden hackleniyor
Ransomware'de Hafta - 3 Eylül 2021 - Hedefleme Değişimi
Microsoft: Proxyshell Bugs "sömürülebilir," yaprısı sunucuları şimdi!
Microsoft Exchange Sunucuları Proxyshell Güvenlik Açığı için Taranan, Şimdi Yama
Microsoft Exchange Sunucuları Yeni LockFile Ransomware tarafından hacklendi
Kaynak: Bleeping Computer