ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), antivirüs ürünleri tarafından büyük ölçüde tespit edilmeyen, sömürülen nabız güvenli cihazlarda bulunan bir düzineden fazla kötü amaçlı yazılım örneğinden daha fazla bir uyarı verdi.
En az 2020 yılından bu yana, ABD hükümet kurumlarında nabız emniyetli cihazlar, kritik altyapı varlıkları ve çeşitli özel sektör kuruluşları, tehdit aktörlerinden gelen saldırıların hedefi olmuştur.
Başlangıç girişi için birden fazla güvenlik açığı (CVE-2019-11510, CVE-2020-8260, CVE-2020-8243, CVE-20202660, CVE-2020-8243, CVE-2021-22289) kaldırdı ve arka kapı erişim için web kabuklarını yerleştirin.
Günümüzde CISA, 13 kötü amaçlı yazılım parçaları için analiz raporları yayınladı, bazıları, bazı darbeli emniyetli cihazlarda bulunan birden fazla dosyadan oluşur. Yöneticiler, uzlaşma göstergelerinin raporlarını gözden geçirmeye ve tehdit aktörünün taktikleri, tekniklerini ve prosedürlerini (TTPS) hakkında bilgi edinmek için şiddetle teşvik edilir.
CISA'nın analiz edildiği tüm dosyalar, tehlikeli darbe bağlamada bulundu ve bunlardan bazıları meşru nabız güvenli komut dosyalarının değiştirilmiş versiyonları değiştirildi.
Çoğu durumda, kötü amaçlı dosyalar, kalıcı ve uzaktan erişim için uzak komutları etkinleştirmek ve çalıştırmak için web kabukları idi, ancak yardımcı programlar da mevcuttu.
Kötü amaçlı yazılım örneklerinden biri için, CISA notaları, sistemin yükseltme prosedüründeki bir çekirdek dosyanın "bir darbe emniyetli perl modülünün modifiye edilmiş bir versiyonu" olduğunu; uzak komutlar.
CISA'nın saldırgan tarafından değiştirileceği meşru nabız güvenli dosyalarının listesi de aşağıdakileri içerir:
Yukarıdaki dosyaların bazıları, mandiant siber güvenlik firması tarafından araştırılan bu yılın başlarında olaylardaki kötü amaçlı amaçlar için değiştirilmiştir. Nisan ayındaki bir raporda, araştırmacılar, şüpheli Çin tehdidi aktörünün, ilk giriş için CVE-2021-22893'ü kaldırdığını unutmayın.
Mandiant'ın raporuna göre, rakip, meşru dosyaları Webhells SteadyPulse, Hardpulse ve SightPulse ve Thinblood Logwiper Yardımcı Programı'nın varyantı değişkenine dönüştürdü.
Başka bir durumda, tehdit oyuncusu, başarıyla giriş yapan kullanıcılardan kimlik bilgisi verilerini çalmak için bir darbe emniyet sistemi dosyasını değiştirdi. Toplanan bilgiler daha sonra cihazdaki geçici dizinde bir dosyada saklandı.
CISA'nın analizi ayrıca, bir UNIX UNSOTH uygulamasının, saldırganın kalıcılığını ve uzaktan erişimi, uzlaşmış bir UNIX cihazının çıkarma işlevselliğini bağlayarak getiren bir versiyonunu da oluşturur.
Bu saldırılarda bulunan bir diğer Linux aracı, "Dsclslog" adı altında gizlenmiş, Thinblood günlük sileceğidir. Adı belirttiği gibi, yardımcı programın amacı, erişim ve olay günlük dosyalarını silmektir.
Hacklenmiş darbe emniyetli cihazlarda bulunan CISA'nın çoğu, analiz sırasında antivirüs çözeltileri tarafından tespit edilmedi; Ve bunlardan sadece biri, iki ay önce eklenen ve bir antivirüs motoru tarafından atriyum webshell'in bir çeşidi olarak algılanan virustotal dosya tarama platformunda bulundu.
Ajans, yöneticilerin en iyi uygulamaları takip ederek güvenlik duruşunu güçlendirmelerini önerir:
Bir önlem olarak, sistem sahipleri ve yöneticileri, herhangi bir olaydan kaçınmak için, uygulamadan önce her yapılandırma değişikliğini kontrol etmelidir.
Çin devlet bilgisayar korsanları bir düzine ABD boru hattı operatörünü ihlal etti
CISA, Federal Ajansları Windows Patch PriceNnightMare Hatası'na emir
Yazılım yapımcısı, radyo cihazlarına kök erişimini veren "arka kapı" kaldırır
Yeni BioPass Kötü Amaçlı Yazılımlar Canlı Akışlar Mağdurun Bilgisayar Ekranı
Sahte Kaseya VSA Güvenlik Güncellemesi Kobalt Grevi ile Backdoors Ağları
Kaynak: Bleeping Computer