Ransomware operatörleri, ARSENAL'larına PrintNightMARE istismarlarını eklediler ve Magniber Ransomware yüklerini dağıtmak için Windows sunucularını hedef alıyorlar.
PrintNightMare, Windows yazdırma biriktiricisi servisini, Windows yazdırma sürücülerini ve Windows Noktası ve Yazdırma özelliğini etkileyen bir güvenlik güvenlik açıkları (CVE-2021-1675, CVE-2021-34527 ve CVE-202127 olarak izlenir) sınıfıdır.
Microsoft, Haziran, Temmuz ve Ağustos aylarında CVE-2021-1675 ve CVE-2021-34527'yi ele almak için güvenlik güncelleştirmelerini yayınlamıştır.
Şirket ayrıca Çarşamba günü CVE-2021-36958 için bir geçici çözüm sağlayan bir güvenlik danışmanlığı yayınlamıştır (bir yama mevcut değil, ayrıcalık artışa izin veren sıfır gün böceği).
Tehdit aktörleri, bu güvenlik kusurlarını yerel ayrıcalık artışında (LPE) veya kötü amaçlı yazılımları, sistem ayrıcalıkları ile uzak kod yürütme (RCE) aracılığıyla Windows etki alanı olarak dağıtabilir.
Crowdstrike Araştırmacıları geçen ay keşfettiği gibi, Magniber Ransomware Gang şimdi Güney Koreli mağdurlara karşı saldırılarda bu kesin amaçlar için PrintNightMare'i kullanıyor.
Crowdstrike, "13 Temmuz'da 13 Temmuz'da, Crowdstr, Crowdstr, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike, Crowdstrike'nin tehdit araştırması ve raporlama direktörlüğünü yaptı" dedi.
PrintnightMare'e karşı açılmamış sunucuları tehlikeye attıktan sonra, Magniber, ilk önce bir işlem haline getirilen ve daha sonra yerel dosya geçişi gerçekleştirmek için açılmayan ve daha sonra uzgılanan cihazdaki dosyaları şifrelemek için açığa çıkan şaşkın bir DLL yükleyici düşürür.
Şubat 2021'in başlarında, Crowdstrike, CVE-2020-0968 güvenlik açığına karşı çıkan Internet Explorer'ı çalıştıran Internet Explorer'ı çalıştıran Güney Koreli cihazlara Magniber EK ile teslim edildiğini gözlemledi.
Magniber Ransomware, Ekim 2017'den bu yana aktif hale geldi, Cerber Ransomware'in halefi olarak, Mangal Exploit Kit'i (EK) kullanarak malvertising setini (EK) kullanılarak konuşlandırıldı.
Başlangıçta Güney Koreli mağdurlara odaklanırken, Magniber Gang, dünya çapında faaliyetlerini dünya çapında genişletti, Çin, Tayvan, Hong Kong, Singapur, Malezya ve daha fazlası dahil olmak üzere diğer ülkelere hedefleri değiştirdi.
Magniber, son 30 gün boyunca şaşırtıcı derecede aktif olmuştur, Kimlik Ransomware platformunda yaklaşık 600 başvuru ile.
Şu anda, yalnızca Magniber Ransomware çetesinin, potansiyel kurbanları hedeflemek için vahşi doğada PrintNightMware istismarı kullandığına dair kanıtımız var.
Bununla birlikte, diğer saldırganlar (Ransomware grupları dahil) muhtemelen (eğer değilse), kırılganlık bildirildiğinden beri vahşi olmayan birinci basım sömürüsü [1, 2, 3] 'nin başka raporları olduğunu göreceklerdir. ve konsept kanıtı istismarları sızdırıldı.
"Crowdstrike, Ransomware'in dağıtımıyla birleştiğinde, PrintNightMare güvenlik açığının diğer tehdit aktörleri tarafından sömürülmeye devam edeceğini tahmin ediyor" dedi.
Ağınızı hedefleyebilecek saldırılara karşı savunmak için, bir güvenlik güncelleştirmesi henüz mevcut değilse, saldırı vektörünü kaldırmak için mümkün olan en kısa sürede mevcut herhangi bir yamayı uygulamanız ve geçici çözümleri uygulayabilirsiniz.
13 Temmuz'da, CISA, federal ajansları, ağlarındaki aktif olarak sömürülen baskıların aktif olarak yararlanılmasını azaltmak için acil bir yönerge verdi.
Cybersecurity ajansı ayrıca 1 Temmuz'da bir PrintNightMare uyarısı yayınladı, güvenlik profesyonellerini yazdırmak için kullanılmayan tüm sistemlerdeki Windows Yazdırma Biriktiricisi hizmetini devre dışı bırakmalarını teşvik ediyor.
Set Toplum Yardımcısı Ransomware devam eden PripnightMare saldırılarına katılıyor
Ransomware'de Hafta - 13 Ağustos 2021 - Lockbit'in Yükselişi
Accenture, Hackbit Ransomware Veri Kayak Tehditlerinden Sonra Hack'i Onaylar
Synack Ransomware, El_Cometa Rebrand'dan sonra şifre çözme anahtarlarını serbest bırakır.
Microsoft, başka bir Windows yazdırma biriktiricisi sıfır gün böcek onaylar
Kaynak: Bleeping Computer