Dernek Başkan Yardımcısı Ransomware Gang, şimdi kamburların ağları aracılığıyla yanal hareketi için Windows yazdırma biriktiricisi PrintNightMare güvenlik açığından aktif olarak kullanıyor.
PrintNightMare, son zamanlarda açıklanan güvenlik kusurları (CVE-2021-1675, CVE-2021-34527 olarak izlenir ve CVE-2021-36958), Windows yazdırma biriktiricisi servisini, Windows yazdırma sürücülerini ve Windows noktasını ve yazdırmayı etkilediği bulundu. özellik.
Microsoft, Haziran, Temmuz ve Ağustos aylarında CVE-2021-1675 ve CVE-2021-34527 hatalarını ele almak için güvenlik güncelleştirmelerini yayınlamıştır ve bu hafta CVE-2021-36958 için bir geçici çözümle bir güvenlik danışmanlığı yayınlamıştır ( Ayrıcalık artışına izin veren gün böcek).
Saldırganlar, bu güvenlik kusurlarını yerel ayrıcalık artışına (LPE) veya kötü amaçlı yazılımları sistem ayrıcalıklarına sahip uzak kod yürütme (RCE) aracılığıyla Windows etki alanı olarak dağıtmak için kullanabilir.
Son zamanlarda, Cisco Talos Araştırmacıları, iki PrintNightMare kusurunu (CVE-2021-1675 ve CVE-2021-34527) sömürmek için kötü amaçlı bir dinamik bağlantı kütüphanesi (DLL) dağıtımını uyguladı.
Toplum Yardımcısı Ransomware (Muhtemelen Hellokitty Spin-Off), Ransomware Expert Michael Gillespie, ilk örneklerin yandaş olduğunda Ransomware uzman Michael Gillespie olarak OPENSSL (AES256 + SECP256K1 + ECDSA) kullanarak hem Windows hem de Linux sistemlerini şifreliyor.
Toplum Başkan Yardımcısı çetesi, özellikle insan tarafından işletilen çift gasp saldırılarındaki küçük veya orta dereceli mağdurları, devlet okulu ilçelerine ve diğer eğitim kurumlarına dikkate değer bir odaklanarak hedeflemektedir.
Cisco Talos ayrıca, mağdurların şifreli sistemleri geri kazanmasını ve kimlik bilgisi hırsızlığı ve ayrıcalık artışı için Windows korumalarını atlatmak için yedekleme silinmesi de dahil olmak üzere, Society'nin favori taktikleri, tekniklerini ve prosedürlerinin (TTP'ler) bir listesini yaptı.
Cisco Talos, "Lateral hareket ve kurbanın ağında kalıcılık için yeni güvenlik açıklarından yararlanmak için hızlıdır" dedi.
"Ayrıca, son nokta algılama tepkisi ile yenilikçi olmaya çalışıyorlar" ve "Yasak taleplerini ödemeyi seçmeyen mağdurlardan çıkan verileri yayınlamak için kullandıkları bir veri sızıntısı sitesini çalıştırıyorlar."
Toplum Yardımcısı, Mağdur ağlarında yanal olarak yayılacak olan PrintNightMare'i (CVE-2021-1675 / CVE-2021-34527) aktif olarak kullanır. Ransomware alanında yeni bir oyuncu. Büyük oyun avcılık ve çift gasp ataklarını başlattı https://t.co/hqqrxemfyc
Conti ve Magniber Ransomware çeteleri de, yazılmamış Windows sunucularını ödün vermek için PrintNightMare istismarlarını kullanıyor.
Magniber'in Güney Koreli mağdurlara karşı saldırılardaki Windows yazdırma biriktirici güvenlik açıklarından yararlanma girişimleri, Haziran ortalarında Crowdstrike tarafından tespit edildi.
Vahşi doğada PrintNightMare sömürüsü raporları [1, 2, 3], kırılganlık ilk bildirildiği için yavaş yavaş damıtıyor ve konsept-konsept kanıtları sızdırıldı.
Cisco Talos, "Çok farklı tehdit aktörleri şimdi PrintNightMare'den faydalanıyor ve bu benimsenmesi, etkili olduğu sürece artmaya devam edecek" dedi.
"PrintNightMare olarak bilinen güvenlik açığının kullanımı, rakiplerin dikkatini çekeceğini ve saldırıları sırasında çeşitli amaçlar için faydalı buldukları yeni araçları hızlı bir şekilde dahil edeceğini göstermektedir."
Bu devam eden saldırılara karşı savunmak için, mümkün olan en kısa sürede, mevcut bir PrintNightMare yamasını mümkün olan en kısa sürede uygulamanız ve saldırı vektörünü kaldırmak için Microsoft tarafından sağlanan geçici çözümleri uygulamalısınız.
Ransomware çetesi, Windows sunucularını ihlal etmek için PrintNightMare kullanıyor
Ransomware'de Hafta - 13 Ağustos 2021 - Lockbit'in Yükselişi
Accenture, Hackbit Ransomware Veri Kayak Tehditlerinden Sonra Hack'i Onaylar
Synack Ransomware, El_Cometa Rebrand'dan sonra şifre çözme anahtarlarını serbest bırakır.
Microsoft, başka bir Windows yazdırma biriktiricisi sıfır gün böcek onaylar
Kaynak: Bleeping Computer