FBI, Rus devlet destekli bilgisayar korsanlarının, yanlış yapılandırılmış varsayılan multifactor kimlik doğrulamasının (MFA) protokollerinin sömürüsünü takiben, kuruluşun DUO MFA'sında kendi cihazlarını kaydettikten sonra, bir sivil toplum örgütüne (STK) bulutu kazandığını söylüyor.
Ağı ihlal etmek için, kuruluşun Active Directory'de henüz devre dışı bırakılmayan, kayıtlı olmayan ve etkin olmayan bir hesaba erişmek için kaba kuvvetli bir şifre tahmin saldırısında tehlikeye atılan kimlik bilgilerini kullandılar.
"DUO'nun varsayılan yapılandırma ayarları, uyuyan hesaplar için yeni bir cihazın yeniden kaydedilmesine izin verdiği için, aktörler bu hesap için yeni bir aygıtı kaydetmek, kimlik doğrulama gereksinimlerini tamamlamak ve mağdur ağına erişim sağlamak", "federal ajanslar açıkladı.
"Mağdur hesabı, uzun süre hareketsizlik süresi nedeniyle Duo'dan kayıt olmuştu ancak Active Directory'de devre dışı bırakılmadı."
Bir sonraki adım, bir etki alanı denetleyicisi dosyasını değiştirdikten sonra DUO sunucusu yerine tüm Duo MFA çağrılarını yerelhostere yönlendirerek MFA hizmetini devre dışı bırakmaktı.
Bu, STK'yı sanal özel ağına (VPN) yönetici olmayan kullanıcılar olarak kimlik doğrulamalarını, Uzak Masaüstü Protokolü (RDP) üzerinden Windows etki alanı denetleyicilerine bağlanmalarını ve diğer etki alanı hesapları için kimlik bilgilerini almalarını sağladı.
Bu tehlikeye atılan hesapların yardımı ve MFA'yı zorla, Rus destekli tehdit aktörleri yanal olarak hareket edebilir ve bulut depolama ve e-posta hesaplarına erişebilir ve verileri exfiltrate.
FBI ve CISA, bugün tüm organizasyonları bugün aşağıdaki azaltma önlemlerini uygulamak için birleştirmeye çağırdı:
CISA, "Her kuruluş, tüm çalışanlar ve müşteriler için MFA'yı zorlamalıdır ve her kullanıcı mevcut olduğunda MFA'ya kaydolmalıdır" dedi.
"MFA'yı uygulayan kuruluşlar, sofistike bir rakiplerin bu kontrolü engelleyebileceği olasılığını azaltmak için varsayılan yapılandırmaları incelemeli ve gerektiği gibi değiştirmelidir."
İki federal ajans, taktikler, teknikler ve prosedürler (TTPS), uzlaşma göstergeleri (IOC'ler) ve ortak danışmanlıktaki bu kötü amaçlı aktiviteye karşı korunacak önerileri paylaştı.
Önceki Ortak Tavsiyeler, ABD Ordusu, ABD Hava Kuvvetleri, ABD Donanması, ABD Uzay Kuvvetleri ve DoD ve İstihbarat Programlarını destekleyen ABD Savunma Müteahhitleri hedefleyen ve ödün veren Rus Devlet Hackerları konusunda da uyarıldı.
APT29, APT28 ve SANDWORM ekibi de dahil olmak üzere Rus hack grupları, ABD kritik altyapı sektörlerinden organizasyonları da hedef aldı.
Temmuz 2021'de, ABD hükümeti, kritik altyapı ağlarını hedef alan devlet hackerları tarafından koordine edilen kötü amaçlı faaliyetler hakkında bilgi için 10 milyon dolara kadar bir ödül verdi.
ABD, Rus devlet bilgisayar korsanlarının savunma müteahhitlerini ihlal ettiğini söylüyor
Android Malware ESCOBAR, Google Authenticator MFA Kodlarınızı Çalıştırır
ABD Hazinesi: Rusya, Ransomware ödemelerini kullanarak yaptırımları atlayabilir
FBI: Ransomware Gang, 52 ABD Kritik Altyapı ORG'lerini ihlal etti
CISA ve FBI, potansiyel veri silme saldırılarını silerek
Kaynak: Bleeping Computer