Beveiligingsonderzoekers melden hackeraanvallen op gevoelige doelen
Beveiligingsonderzoekers van Palo Alto Networks rapporteerden verontrustende bevindingen over de pogingen van hackers om doelwitten te doorbreken die werkzaam zijn in gevoelige sectoren zoals defensie, gezondheidszorg en energie. Het onderzoek van het beveiligingsbedrijf werd ondersteund door het Amerikaanse Cybersecurity and Infrastructure Security Agency.
Volgens de informatie die Palo Alto voor het eerst met CNN deelde, werden wereldwijd ten minste negen afzonderlijke entiteiten die in die gevoelige sectoren actief waren, aangevallen, waarbij "ten minste" één van die entiteiten in de VS was gevestigd.
De voorbereiding op de aanvallen begon medio september 2021, waarbij dreigingsactoren gebruik maakten van "gehuurde infrastructuur" in de VS om een groot aantal bedrijfsnetwerken te scannen op kwetsbaarheden. Van de honderden gescande entiteiten gelooft Palo Alto dat er ten minste negen met succes zijn geschonden, en ten minste één van de succesvolle inbreuken was gericht tegen een Amerikaanse organisatie.
De aanvallers gebruikten een nu gepatchte kwetsbaarheid in de ManageEngine-software van Zoho Corporation. De kwetsbaarheid is opgespoord onder de aanduiding CVE-2021-40539.
Aangezien de gebruikte aanvalsvector en payload hetzelfde waren voor alle getargete organisaties, lijkt het erop dat dit allemaal werd uitgevoerd door dezelfde dreigingsactor. De gecompromitteerde netwerken hadden de Godzilla-webshell naar hen geüpload. In een beperkte pool van doelen werd ook een achterdeur geïnstalleerd.
Nadat de tools waren ingezet, gebruikten de dreigingsactoren ze voor laterale verplaatsing en bestandsexfiltratie. Toen de hackers toegang kregen tot domeincontrollers, installeerden ze ook een tool waarmee ze inloggegevens konden stelen.
Er is geen harde informatie over de identiteit van de aanvallers, maar volgens Palo Alto zijn sommige van de tactieken die worden gebruikt om de netwerken te infiltreren in overeenstemming met de methoden van een Chinese dreigingsactor. De Godzilla-webshell die bij de aanvallen werd gebruikt, was ook de Chineestalige versie van de tool. Cyberspionage blijft een grote bedreiging, zoals blijkt uit deze laatste gezamenlijke ontdekking van Palo Alto en de Amerikaanse CISA. Organisaties moeten zich wapenen tegen zowel geldhongerige ransomware-actoren als tegen spionageaanvallen die vergelijkbaar zijn met deze laatste inbreuk.
