Tehdit aktörleri, proxyshell ve proxylogon kullanan Microsoft Exchange sunucularını kullanıyor.
Tehdit aktörleri kötü amaçlı e-posta kampanyaları yaptığında, en zor kısım, kullanıcıları gönderene yeterince güvenmek için kullanıcıların, kötü amaçlı yazılım dağıtma eklerine bağlı veya dahil edilmeleri için yeterince güvenmektir.
Trendmicro araştırmacıları, mağdurun tehlikeye giren Microsoft Exchange sunucularını kullanarak bir şirketin iç kullanıcılarına kötü niyetli e-posta dağıtmak için kullanılan ilginç bir taktik keşfetti.
Bu saldırının arkasındaki aktörlerin, QBOT, IceDID, Kobalt grevi ve squirrelwaffle yükleri de dahil olmak üzere kötü amaçlı yazılımları bırakan zararlı eklere sahip e-postaları dağıtan bilinen bir tehdit aktörünün 'TR' olduğuna inanılıyor.
Kurumsal hedefleri kötü amaçlı eklere açmanın bir yolu olarak, tehdit oyuncusu Proxyshell ve Proxylogon güvenlik açıklarını kullanarak Microsoft Exchange sunucularını kullanır.
Tehdit aktörleri daha sonra, çeşitli kötü amaçlı yazılımları kuran kötü amaçlı belgelere bağlantılar içeren cevap zinciri saldırılarında şirketin iç e-postalarına cevap vermek için bu tehlikeli Exchange sunucularını kullanır.
"Aynı izinsiz girişte, alınan kötü amaçlı e-postalar için e-posta başlıklarını analiz ettik, posta yolu içti (üç dahili Exchange sunucusu 'posta kutusu arasında), e-postaların harici bir göndericiden çıkmadığını, posta rölesinden çıkmadığını belirten veya Herhangi bir mesaj aktarım ajanı (MTA), ", Trend Micro'nun raporunu açıklar.
Bu e-postalar aynı dahili ağdan kaynaklandığı ve iki çalışan arasındaki önceki bir tartışmanın devamı gibi göründüğü gibi, e-postanın meşru ve güvenli olduğu daha büyük bir güven derecesine yol açar.
Bu sadece insan alıcılarına karşı etkili değil, aynı zamanda hedef firmada kullanılan e-posta koruma sistemlerinde alarmları yükseltmek için de mükemmeldir.
Bu e-postalarla birlikte gelen veya bağlantılı olan ekler, alıcıların korunan bir dosyayı görüntülemesini 'içeriği' etkinleştirmesini 'söyleyen standart kötü amaçlı Microsoft Excel şablonlarınızdır.
Bununla birlikte, kullanıcı içeriğe izin verdikten sonra, kötü amaçlı makrolar, ataşman tarafından dağıtılan kötü amaçlı yazılımları indirmek ve yüklemek için, Kobalt grevi, squirrelwaffle veya başka bir kötü amaçlı yazılımın olsun.
Trend Micro'nun raporuna göre, araştırmacılar bu saldırıların SquirroLwaffle yükleyicisini dağıtan dağıtan olduğunu gördüklerini söyledi; bu daha sonra QBOT'u kurdu.
Bununla birlikte, Cryptolaemus Araştırmacı 'Theanalyst', bu tehdit aktörünün kullandığı kötü amaçlı belgenin, Hem kötü amaçlı yazılımları hem kötü amaçlı yazılımı hem kötü amaçlı yazılımları, QBOT'u Squirrelwaffle dağıtımından ziyade ayrık yükler olarak düşürdüğünü söylüyor.
Bu isimden bazıları kafa karıştırıcı "Squirrelwaffle Drops Qakbot" gibi ilk ifadelerden gelebilir, ancak bildiğim kadarıyla bunun asla olmadığını bildiğim kadarıyla. Maldoc, her iki DLL'yi düşürdü, ancak zamanlama ATT, QBOT trafiği SQWA'dan daha sonra başlar, bu yüzden PCAPS'de bu şekilde görünüyor.
Microsoft, Mart ayındaki proxylogon güvenlik açıklarını ve Nisan ayındaki proxyshell kırılganlığını, o zamanlar sıfır-gün olarak ele almıştır.
Tehdit aktörleri, daha sonra arka kapı erişim için Ransomware'i dağıtmak veya web kabuklarını yüklemek için her iki güvenlik açıklığını kötüye kullandılar. Proxylogon saldırıları, FBI'nin ilk önce sunucuların sahiplerini bildirmeden, ABD tabanlı Microsoft Exchange sunucularından gelen web kabuklarını kaldırdığından çok kötüleşti.
Bunca zamandan beri ve geniş medya bu güvenlik açıkları aldıktan sonra, yama Exchange sunucuları değil, bilgisayar korsanlarına açık bir davetiyesidir.
QBOT Squirrelwaffle kullanarak yeni bir enfeksiyon dalgası için döner
Microsoft Exchange ProxyShell Babuk Ransomware'i dağıtmak için kullanılan kullanımı
Spam gönderenler Kobalt grevini bırakmak için Squirrelwaffle Malware'i kullanır
Hack Grubu İkinci El Proxylogon, Dünya Çapında Breach Hotels İçin Kullanım
Android kötü amaçlı yazılım Brazking, gizli bir bankacılık truvası olarak döndürür
Kaynak: Bleeping Computer