Çinli hackerlar, bir şirketten ödün vermek ve kurban tarafından işletilen buluta barındırılmış web sunucularını ihlal etmek için Sophos güvenlik duvarında eleştirel-yüzlü bir kırılganlık için sıfır gün istismarı kullandılar.
Güvenlik sorunu bu arada düzeltildi, ancak çeşitli tehdit aktörleri, kimlik doğrulamasını atlamak ve birden fazla kuruluşta keyfi kod çalıştırmak için onu kullanmaya devam etti.
25 Mart'ta Sophos, CVE-2022-1040 hakkında bir güvenlik danışmanlığı yayınladı, bu da Sophos güvenlik duvarının kullanıcı portalını ve Webadmin'ini etkileyen bir kimlik doğrulama bypass güvenlik açığı yayınladı ve keyfi kodu uzaktan yürütmek için kullanılabilir.
Üç gün sonra şirket, tehdit aktörlerinin Güney Asya bölgesindeki çeşitli kuruluşları hedeflemek için güvenlik sorununu kullandıkları konusunda uyardı.
Bu hafta, siber güvenlik şirketi Volexity, Sophos'un bir yama yayınlamasından üç haftadan biraz fazla bir süre önce, Mart ayı başından beri CVE-2022-1040'ı kullanan DriftingCloud olarak izledikleri Çinli ileri süren bir tehdit grubundan bir saldırı detaylandırdı.
Düşman, Sophos güvenlik duvarı tarafından korunan ağ dışındaki harici sistemlerin uzlaşmasını sağlayacak Web Shell backoors ve kötü amaçlı yazılım yüklemek için güvenlik duvarından ödün vermek için sıfır gün istismarını kullandı.
Volexity soruşturmaya başladığında, tehdit oyuncusu hala aktifti ve araştırmacılar saldırının adımlarını izleyebilir ve tespit edilmemiş kalmaya çaba gösteren sofistike bir düşman ortaya çıkarabilirler.
Araştırmacılar, saldırganın, "login.jsp" adlı meşru dosya talepleri yoluyla yüklü webshell'e erişerek trafiğini harmanlamaya çalıştığını belirtti.
“İlk bakışta, bu bir arka kapı ile etkileşim yerine kaba kuvvetli bir giriş girişimi gibi görünebilir. Günlük dosyalarında normalden çıkan tek gerçek öğeler, yönlendirici değerler ve yanıt durumu kodları idi ” -Volexity
Daha derine inen araştırmacılar, saldırganın CVE-2022-26134'ü izni sunucularında kullanan diğer Çin APT grupları tarafından da kullanıldığına inandıkları Seepter çerçevesini kullandığını buldular.
Webshell'in yanı sıra, Volexity, kalıcılık sağlayan ve tehdit aktörünün saldırılarını daha da ileriye götürmesine izin veren daha fazla kötü niyetli etkinlik buldu:
Araştırmacılar, Sophos güvenlik duvarına erişim kazanmanın, saldırının ilk adımı olduğunu ve düşmanın kurban şirketi tarafından yönetilen belirli web siteleri için DNS yanıtlarını değiştirerek ortada insan (MITM) etkinliği gerçekleştirmesine izin verdiğini söylüyor.
“Bu, saldırganın Web Sitelerinin İçerik Yönetim Sistemine (CMS) idari erişimden kullanıcı kimlik bilgilerini ve oturum çerezlerini kesmesine izin verdi” - Volexity
Saldırganın, çalıntı oturum çerezlerini kullanarak CMS yönetici sayfalarına eriştikleri ve Web Sitesindeki dosyaları işlemek için Dosya Yöneticisi eklentisini yükledikçe bu denemede başarılı olduğu görülüyor (yükle, indir, sil, düzenle).
Web sunucusuna eriştikten sonra, DriftingCloud hacker'ları Pupyrat, Pantegana ve Sliver'ı yükledi- halka açık olan uzaktan erişim için üç kötü amaçlı yazılım ailesi.
Volexity, DrifitingCloud hackleme grubunun sıfır gün güvenlik açıkları geliştirmek için yeterince sofistike olduğunu veya bunları satın alacak kadar iyi finanse edildiğini değerlendirir.
Sophos, CVE-2022-1040'ı otomatik olarak ele alan sıcaklıklar ve güvenlik duvarını kullanan kuruluşların güvenlik açığından yararlanmaya karşı korumalarına yardımcı olan azaltmalar sağladı.
Benzer saldırıları tanımlamak için Volexity, ağ geçidi cihazlarından trafiği algılayan ve kaydeden ağ güvenlik izleme mekanizmalarının dağıtılmasını önerir.
Şirket ayrıca, uzlaşmaları daha kolay araştırmak için UNIX tabanlı sunucularda AuditD aracının kullanılmasını önerir. Tedarikçiler veya çevre cihazları da olası uzlaşmaları incelemek için yöntemler sağlamalıdır.
Volexity ayrıca, bu tür saldırılardan şüpheli etkinlikleri işaretleyebilecek bir dizi Yara kuralına da ulaştı.
Microsoft, Office Zero-Day için Azaltma Paylaşımları Saldırılarda Susturan
Windows Msdt Zero-Day şimdi Çince Hackers tarafından sömürüldü
Zyxel, saldırıya uğramış ağlara yol açabilecek güvenlik duvarı kusurlarını düzeltiyor
Rus hackerlar Ukrayna'yı Follina istismarları ile hedeflemeye başladı
BPFDOOR: Gizli Linux kötü amaçlı yazılım, uzaktan erişim için güvenlik duvarlarını atlar
Kaynak: Bleeping Computer