🌟 Atualização imperdível para quem gosta de estar bem informado!
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética divulgaram detalhes de um grupo de crimes cibernéticos de língua chinesa chamado UAT-10147, que tem como alvo servidores web Windows e Linux globalmente nos setores de educação, mídia, tecnologia e jogos.
A grande maioria dos alvos está localizada no Brasil, Bolívia, China, Canadá e Vietnã. Detalhes da atividade de ameaça vieram à tona após a descoberta de um diretório aberto hospedado em “139.180.197[.]150”, que foi observado comunicando-se com uma das máquinas comprometidas.
“O ator aproveitou vulnerabilidades divulgadas publicamente para obter acesso inicial em escala”, disse Cisco Talos em um relatório de duas partes publicado na semana passada. O ator empregou uma mistura de estruturas ofensivas de código aberto, incluindo Metasploit, ysoserial, PentestGPT, DeepAudit e múltiplas explorações de escalonamento de privilégios para automatizar operações de intrusão e estabelecer persistência."
O UAT-10147 foi descrito como um ator de ameaça que conduz fraudes de otimização de mecanismos de pesquisa (SEO) e roubo de dados, ao mesmo tempo que integra ferramentas alimentadas por inteligência artificial (IA) em várias fases do ciclo de ataque para facilitar a exploração, reconhecimento, geração de carga útil, validação e persistência.
Especificamente, isso envolve o uso de IA para refinar explorações, solucionar problemas de lógica, automatizar fluxos de trabalho pós-exploração, validar explorações e gerar documentação operacional, indicando uma tentativa de implementar técnicas comerciais ofensivas em escala.
Uma análise do diretório exposto identificou um arquivo de texto contendo uma lista de alvos com aproximadamente 170.000 URLs, com o invasor dividindo-o em 17 arquivos menores contendo cerca de 10.000 URLs cada para analisar o conjunto com mais eficiência. Os cinco principais destinos com base na lista de destinos consistem nos EUA, Índia, Reino Unido, Alemanha e Holanda.
As cadeias de ataque envolvem a exploração de falhas conhecidas para obter execução remota de código (RCE) em um site ou servidor IIS vulnerável e, em seguida, executar um script automatizado para instalar e implantar malware para fraude de SEO ou roubo de dados. Instâncias selecionadas envolvem a implantação de um web shell, que abre caminho para BadIIS e backdoors adicionais para acesso persistente.
Algumas das outras etapas realizadas pelo UAT-10147 são as seguintes -
Usando um script em lote que emprega certutil para baixar uma ferramenta de escalonamento de privilégios ("EfsPotato"), um script em lote secundário e Quasar RAT de um servidor remoto ("adminapi.tippusoni[.]in")
Usando EfsPotato para obter privilégios elevados de sistema, configure exclusões do Microsoft Defender
Excluindo cargas iniciais para cobrir seus rastros e impedir análises forenses
Implantação de implantes subsequentes como Gh0stCringe e um implante de plataforma cruzada anteriormente não relatado chamado SPECTRE
Usando o script em lote secundário para executar silenciosamente o Quasar RAT e estabelecer persistência usando uma tarefa agendada enganosa chamada "Google Chrome Start"
Abusar dos privilégios elevados para baixar um terceiro script em lote, que então instala o BadIIS
Curiosamente, o malware principal do BadIIS é a mesma variante específica conhecida por operar sob um modelo de malware como serviço (MaaS) e é usada por vários grupos de crimes cibernéticos de língua chinesa.
Os ataques do Linux, como no caso, aproveitam várias vulnerabilidades conhecidas para obter uma posição inicial, seguido pelo abuso de vários exploits conhecidos de escalonamento de privilégios locais (LPE) para escalar para root, incluindo CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 e CVE-2022-0847.
Depois que o acesso no nível raiz é desbloqueado, o agente da ameaça foi observado implantando vários backdoors como Noodle RAT (uma variante de Gh0st RAT e Rekoobe), SPECTRE e Meterpreter para permitir conexões de saída para infraestrutura de comando e controle remoto (C2). Algumas das vulnerabilidades transformadas em arma pelo ator da ameaça ao longo da campanha incluem CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI para ASP.NET AJAX), CVE-2021-29441 e CVE-2021-29442 (Alibaba Nacos).
“Ao rotear os dados exfiltrados para um serviço legítimo de gerenciamento de configuração baseado em nuvem, os invasores combinam efetivamente seu tráfego com operações administrativas normais”, disse Joey Chen, pesquisador da Talos. “Esta escolha de infraestrutura atua como um coletor de exfiltração assíncrona, permitindo que os adversários investiguem sua própria instância Nacos para verificar a exploração bem-sucedida entre as vítimas, sem a sobrecarga operacional ou risco de detecção de estabelecer um shell reverso persistente ou manter conexões de entrada diretas.”
Um aspecto notável do trabalho comercial do UAT-10147 diz respeito a uma estrutura orientada por IA chamada DeepAudit para verificação de vulnerabilidades. A Talos disse que não encontrou nenhuma evidência de que o agente da ameaça explorasse vulnerabilidades descobertas pela ferramenta nos ambientes das vítimas, embora tenha sido deixada acessível no servidor de gerenciamento.
Isto levantou a possibilidade
A grande maioria dos alvos está localizada no Brasil, Bolívia, China, Canadá e Vietnã. Detalhes da atividade de ameaça vieram à tona após a descoberta de um diretório aberto hospedado em “139.180.197[.]150”, que foi observado comunicando-se com uma das máquinas comprometidas.
“O ator aproveitou vulnerabilidades divulgadas publicamente para obter acesso inicial em escala”, disse Cisco Talos em um relatório de duas partes publicado na semana passada. O ator empregou uma mistura de estruturas ofensivas de código aberto, incluindo Metasploit, ysoserial, PentestGPT, DeepAudit e múltiplas explorações de escalonamento de privilégios para automatizar operações de intrusão e estabelecer persistência."
O UAT-10147 foi descrito como um ator de ameaça que conduz fraudes de otimização de mecanismos de pesquisa (SEO) e roubo de dados, ao mesmo tempo que integra ferramentas alimentadas por inteligência artificial (IA) em várias fases do ciclo de ataque para facilitar a exploração, reconhecimento, geração de carga útil, validação e persistência.
Especificamente, isso envolve o uso de IA para refinar explorações, solucionar problemas de lógica, automatizar fluxos de trabalho pós-exploração, validar explorações e gerar documentação operacional, indicando uma tentativa de implementar técnicas comerciais ofensivas em escala.
Uma análise do diretório exposto identificou um arquivo de texto contendo uma lista de alvos com aproximadamente 170.000 URLs, com o invasor dividindo-o em 17 arquivos menores contendo cerca de 10.000 URLs cada para analisar o conjunto com mais eficiência. Os cinco principais destinos com base na lista de destinos consistem nos EUA, Índia, Reino Unido, Alemanha e Holanda.
As cadeias de ataque envolvem a exploração de falhas conhecidas para obter execução remota de código (RCE) em um site ou servidor IIS vulnerável e, em seguida, executar um script automatizado para instalar e implantar malware para fraude de SEO ou roubo de dados. Instâncias selecionadas envolvem a implantação de um web shell, que abre caminho para BadIIS e backdoors adicionais para acesso persistente.
Algumas das outras etapas realizadas pelo UAT-10147 são as seguintes -
Usando um script em lote que emprega certutil para baixar uma ferramenta de escalonamento de privilégios ("EfsPotato"), um script em lote secundário e Quasar RAT de um servidor remoto ("adminapi.tippusoni[.]in")
Usando EfsPotato para obter privilégios elevados de sistema, configure exclusões do Microsoft Defender
Excluindo cargas iniciais para cobrir seus rastros e impedir análises forenses
Implantação de implantes subsequentes como Gh0stCringe e um implante de plataforma cruzada anteriormente não relatado chamado SPECTRE
Usando o script em lote secundário para executar silenciosamente o Quasar RAT e estabelecer persistência usando uma tarefa agendada enganosa chamada "Google Chrome Start"
Abusar dos privilégios elevados para baixar um terceiro script em lote, que então instala o BadIIS
Curiosamente, o malware principal do BadIIS é a mesma variante específica conhecida por operar sob um modelo de malware como serviço (MaaS) e é usada por vários grupos de crimes cibernéticos de língua chinesa.
Os ataques do Linux, como no caso, aproveitam várias vulnerabilidades conhecidas para obter uma posição inicial, seguido pelo abuso de vários exploits conhecidos de escalonamento de privilégios locais (LPE) para escalar para root, incluindo CVE-2022-0995, CVE-2021-3156, CVE-2015-5287, CVE-2015-3246, CVE-2010-3904 e CVE-2022-0847.
Depois que o acesso no nível raiz é desbloqueado, o agente da ameaça foi observado implantando vários backdoors como Noodle RAT (uma variante de Gh0st RAT e Rekoobe), SPECTRE e Meterpreter para permitir conexões de saída para infraestrutura de comando e controle remoto (C2). Algumas das vulnerabilidades transformadas em arma pelo ator da ameaça ao longo da campanha incluem CVE-2022-27925 (Zimbra), CVE-2021-23758 (AjaxPro), CVE-2019-18935 (Telerik UI para ASP.NET AJAX), CVE-2021-29441 e CVE-2021-29442 (Alibaba Nacos).
“Ao rotear os dados exfiltrados para um serviço legítimo de gerenciamento de configuração baseado em nuvem, os invasores combinam efetivamente seu tráfego com operações administrativas normais”, disse Joey Chen, pesquisador da Talos. “Esta escolha de infraestrutura atua como um coletor de exfiltração assíncrona, permitindo que os adversários investiguem sua própria instância Nacos para verificar a exploração bem-sucedida entre as vítimas, sem a sobrecarga operacional ou risco de detecção de estabelecer um shell reverso persistente ou manter conexões de entrada diretas.”
Um aspecto notável do trabalho comercial do UAT-10147 diz respeito a uma estrutura orientada por IA chamada DeepAudit para verificação de vulnerabilidades. A Talos disse que não encontrou nenhuma evidência de que o agente da ameaça explorasse vulnerabilidades descobertas pela ferramenta nos ambientes das vítimas, embora tenha sido deixada acessível no servidor de gerenciamento.
Isto levantou a possibilidade
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #uat10147 #usa #ia #para #dimensionar #ataques #ao #servidor, #implanta #spectre #com #edr #bypass #e #linux #rootkit
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário