Gelişmiş bilgisayar korsanları, VMware Workspace One Access'i (eski adıyla VMware Identity Manager olarak adlandırılan) etkileyen kritik bir uzaktan kod yürütme (RCE) güvenlik açığı olan CVE-2022-22954 aktif olarak kullanıyor.
Sorun, 20 gün önce iki RCE ile birlikte bir güvenlik güncellemesinde ele alındı-CVE-2022-22957 ve CVE-2022-22958 Ayrıca VMware Kimlik Yöneticisi (VIDM), VMware Vrealize Otomasyonu (VRA), VMware Cloud Foundation ve Vrealize Suite LifeCcle Manager.
Kusurların halka açıklanmasından kısa bir süre sonra, kamusal alanda kavram kanıtı (POC) istismar kodu ortaya çıktı ve korsanların savunmasız VMware ürün dağıtımlarını hedeflemelerini sağladı. VMware, vahşi doğada CVE-2022-22954 sömürüsünü onayladı.
Şimdi, Morphisec'teki araştırmacılar, gelişmiş Kalıcı Tehdit (APT) aktörlerinden, özellikle de APT35, AKA “Roket Kitten” olarak izlenen bir İran hack grubundan sömürü gördüğünü bildiriyor.
Rakipler, RCE üçlüsünde hedef sunucuya yönetimsel erişim gerektirmeyen ve ayrıca halka açık bir POC istismarına sahip olan CVE-2022-22954'ten yararlanarak çevreye ilk erişim elde eder.
Saldırı, bir Stager'ı başlatan savunmasız hizmette (kimlik yöneticisi) bir PowerShell komutu yürütmekle başlar.
Stager daha sonra PowerTrash yükleyicisini komut ve kontrol (C2) sunucusundan yüksek derecede gizlenmiş bir biçimde getirir ve sistem belleğine bir çekirdek darbe aracısı yükler.
Çekirdek etki, Kobalt Strike'ın kötü niyetli kampanyalarda nasıl konuşlandırıldığına benzer şekilde, bu durumda hain amaçlar için kötüye kullanılan meşru bir penetrasyon test aracıdır.
Yine de bu yeni bir unsur değil. Trend Micro, geçmişte temel etki kötüye kullanımının 2015 yılına kadar uzanan APT35 tarafından bildirilmiştir.
“Morphisec Research, saldırganların zaten bu güvenlik açığını (CVE-2022-22954) tersine çeviren gözlemledi (büyük ölçüde kobalt grevi, metasploit veya çekirdek çarpma işaretleri”-Morphisec
Morphisec CTO Michael Gorelik, BleepingComputer'a, arka kapı durdurulmasına rağmen saldırganın ağdaki yan hareketi denediğini söyledi.
Morphisec, “Ayrıcalıklı erişimle, bu tür saldırılar antivirüs (AV) ve uç nokta tespit ve yanıtı (EDR) dahil olmak üzere tipik savunmaları atlayabilir” diye ekliyor.
Morphisec, Stager Server’ın C2 adresini, Core Impact istemci sürümünü ve C2 iletişimi için kullanılan 256 bit şifreleme anahtarını alabildi ve sonunda operasyonu bir kişiye ve Stark Industries adlı bir şirkete bağladı.
BleepingComputer, sahtekarlık maruziyeti veritabanında Neculiti adını ortak veya faydalanıcı olarak listeleyen birkaç şirket buldu. Veritabanı, spam ve kimlik avı kampanyalarında kullanılan yasadışı web sitelerini desteklediği iddia edilen bir barındırma firması içeriyordu.
Neculiti veya ilgili şirketlerin siber suçlu kampanyalarda yer alıp almadığı, bilerek ya da hiçbir şekilde olup olmadığı belirsizdir.
GÜNCELLEME [26 Nisan 12:04]: BleepingComputer, P.Q.'dan bir açıklama aldı. Merkezi Moldova'da ve Stark Industries'in ana şirketi olan S.R.L.
"15.000'den fazla aktif müşterimiz var, aralarında elbette savaştığımız davetsiz misafirler var. Ev sahibi şirketlerin hiçbiri yarın aynı saldırganların onlara geleceği gerçeğinden bağışık değil."
"Stark Industries Company, satıcılarımıza beyaz bir etiket sağlamak için yaratıldı ve hiçbir şeyi gizlediğimiz için değil, hizmetlerimizi daha kolay satabilirlerdi."
Android'deki kritik hata, kullanıcıların medya dosyalarına erişim sağlayabilir
Kritik Apache Struts RCE güvenlik açığı tamamen sabit değildi, şimdi yama
Bilgisayar korsanları Kritik VMware CVE-2022-22954 Bug, Şimdi Yama'dan İstismar
Microsoft, bulut hizmetlerinde Spring4shell saldırılarını algılar
VMware Yamaları Spring4Shell RCE Kusurlu Birden Fazla Ürünlerde
Kaynak: Bleeping Computer