Badacze bezpieczeństwa zgłaszają ataki hakerów na wrażliwe cele

Badacze bezpieczeństwa z Palo Alto Networks poinformowali o niepokojących ustaleniach dotyczących wysiłków hakerów mających na celu włamanie się do docelowych podmiotów działających w wrażliwych sektorach, takich jak obrona, opieka zdrowotna i energetyka. Śledztwo prowadzone przez firmę ochroniarską było wspierane przez amerykańską Agencję Bezpieczeństwa Cyberbezpieczeństwa i Infrastruktury.

Zgodnie z informacjami, które Palo Alto po raz pierwszy udostępnił CNN, co najmniej dziewięć odrębnych podmiotów działających w tych wrażliwych sektorach było celem na całym świecie, przy czym „co najmniej” jeden z tych podmiotów znajdował się w Stanach Zjednoczonych.

Przygotowania do ataków rozpoczęły się w połowie września 2021 r., a cyberprzestępcy wykorzystywali „dzierżawioną infrastrukturę” zlokalizowaną na terenie Stanów Zjednoczonych do skanowania dużej liczby sieci firmowych w poszukiwaniu luk w zabezpieczeniach. Spośród setek przeskanowanych podmiotów, Palo Alto uważa, że co najmniej dziewięć zostało pomyślnie włamanych, a co najmniej jedno z udanych włamań dotyczyło organizacji amerykańskiej.

Osoby atakujące wykorzystały teraz załataną lukę w oprogramowaniu ManageEngine firmy Zoho Corporation. Luka była śledzona pod oznaczeniem CVE-2021-40539.

Ponieważ wektor ataku i użyty ładunek były takie same we wszystkich atakowanych organizacjach, wydaje się, że wszystko to wykonał ten sam cyberprzestępca. Do skompromitowanych sieci została przesłana powłoka internetowa Godzilla. W ograniczonej puli celów zainstalowano również backdoora.

Po wdrożeniu narzędzi cyberprzestępcy wykorzystywali je do ruchu bocznego i eksfiltracji plików. Gdy hakerzy uzyskali dostęp do kontrolera domeny, zainstalowali również narzędzie umożliwiające im kradzież danych logowania.

Nie ma twardych informacji na temat tożsamości napastników, ale według Palo Alto niektóre taktyki stosowane w infiltracji sieci są zgodne z metodami chińskiego cyberprzestępcy. Powłoka internetowa Godzilla użyta w atakach była również chińską wersją narzędzia. Cyberszpiegostwo pozostaje poważnym zagrożeniem, jak pokazuje to ostatnie wspólne odkrycie Palo Alto i amerykańskiej CISA. Organizacje muszą chronić się zarówno przed żądnymi pieniędzy cyberprzestępcami, jak i przed atakami szpiegowskimi podobnymi do tego najnowszego włamania.