Cisa, denizaltı olarak bilinen yeni kötü amaçlı yazılımların, federal ajansların ağlarındaki barracuda ESG (e-posta güvenlik ağ geçidi) cihazlarını artık kılıflı sıfır günlük bir hatadan yararlanarak kullandığını söyledi.
Şüpheli bir Çin yanlısı hacker grubu (UNC4841), arka kapıyı Mayıs ayında tespit edilen ancak en az Ekim 2022'den beri aktif bir dizi veri-hırsızlığı saldırısına yerleştirdi.
Barracuda, saldırganların CVE-2023-2868 Uzaktan Komut Enjeksiyonu Sıfır-Gün'den daha önce bilinmeyen kötü amaçlı yazılımları ve Seaspy olarak adlandırılan kötü amaçlı yazılımları ve kolay uzaktan erişim için ters kabuklar oluşturmak için Seaside adlı kötü niyetli bir aracı sömürdüğünü açıkladı.
Geçen ay Barracuda alışılmadık bir yaklaşım benimsedi ve etkilenen tüm müşterilere ücretsiz olarak yedek cihazlar sundu.
Bu karar, tüm tehlikeye atılan ESG'nin (E-posta Güvenlik Ağ Geçidi) cihazların sadece yeni ürün yazılımı ile yeniden hayal etmek yerine derhal değiştirilmeleri gerektiği konusunda bir uyarı verdikten sonra geldi.
Mantiant olay müdahale yöneticisi John Palmisano, şirketin kötü amaçlı yazılımların tamamen kaldırılmasını sağlayamadığı için bunun dikkatsizce önerildiğini söyledi.
CISA, denizaltı olarak bilinen ve Maniant tarafından derindencharch olarak izlenen başka bir yeni kötü amaçlı yazılım suşunun, tespit edilen aletlerde, algılama kaçakçılığı, kalıcılık ve veri hasat için kullanılan çok bileşenli bir arka kapıda bulunduğunu açıkladı.
"Denizaltı, ESG cihazında yapılandırılmış bir sorgu dilinde (SQL) veritabanında yaşayan yeni bir kalıcı arka kapıdır. Denizaltı, çok aşamalı bir işlemde kök ayrıcalıkları, kalıcılık, komuta ve kontrol ile yürütmeyi etkinleştiren birden fazla eser içerir. , "Cisa Cuma günü yayınlanan bir kötü amaçlı yazılım analiz raporunda dedi.
"Denizaltına ek olarak, CISA kurbandan ilişkili çok amaçlı internet posta uzantıları (MIME) ek dosyaları aldı. Bu dosyalar, hassas bilgiler içeren tehlikeye atılan SQL veritabanının içeriğini içeriyordu."
Saldırıların ardından Barracuda, etkilenen müşterilere rehberlik etti ve saldırganların ağlarındaki diğer cihazlardan ödün vermediğini doğrulamak için ortamlarını kapsamlı bir şekilde gözden geçirmelerini tavsiye etti.
Barracuda, "Bu ek kötü amaçlı yazılım, Müşteri ESG cihazlarına kalıcı erişim yaratmak amacıyla Barracuda’nın iyileştirme eylemlerine yanıt olarak tehdit oyuncusu tarafından kullanıldı. Bu kötü amaçlı yazılım çok az sayıda tehlikeye atılmış ESG cihazında ortaya çıktı."
"Barracuda’nın tavsiyesi değişmedi. Müşteriler, yeni bir ESG sanal veya donanım cihazı elde etmek için tehlikeye atılan ESG cihazının kullanımını bırakmalı ve Barracuda Desteği (support@barracuda.com) ile iletişime geçmelidir."
Tavsiye, "kötü amaçlı yazılımın yanal hareket için ciddi bir tehdit oluşturduğunu" söyleyen CISA'nın bugünkü uyarısıyla uyumludur.
Denizaltı kötü amaçlı yazılımları ve Barracuda ESG saldırılarıyla bağlantılı şüpheli faaliyetlerle karşılaşanların CISA'nın 7/24 Operasyon Merkezi ile report@cisa.gov adresinden iletişime geçmesi istenir.
Barracuda, hizmetlerinin ve ürünlerinin Samsung, Delta Airlines, Kraft Heinz ve Mitsubishi gibi yüksek profilli olanlar da dahil olmak üzere dünya çapında 200.000'den fazla kuruluş tarafından kullanıldığını söylüyor.
Fin8 siber suçlu çetesi backround, yeni Sardonik kötü amaçlı yazılımlarla orgs orgs
Romcom Hacker'ları kimlik avı saldırılarında NATO zirvesi katılımcılarını hedef
Yeni PowerExchange Kötü Yazılım Backroors Microsoft Exchange Sunucuları
CISA: Netwrix Denetçisi RCE Hata TrueBot kötü amaçlı yazılım saldırılarında sömürüldü
Çin APT15 hackerları yeni Graphican kötü amaçlı yazılımlarla yeniden ortaya çıkıyor
Kaynak: Bleeping Computer