Peretas negara Iran menggunakan Log4Shell untuk menginfeksi server VMware yang belum ditambal

Peretas negara Iran menggunakan Log4Shell untuk menginfeksi server VMware yang belum ditambal

Daftar Isi

TUNNELING IN —

TunnelVision group mengeksploitasi kelemahan kritis untuk menginfeksi target dengan ransomware.

Dan Goodin –

Peretas yang bersekutu dengan pemerintah Iran mengeksploitasi kerentanan Log4j yang kritis untuk menginfeksi pengguna VMware yang belum ditambal dengan ransomware, kata peneliti pada hari Kamis.

Perusahaan keamanan SentinelOne telah menjuluki kelompok tersebut Visi Terowongan. Nama ini dimaksudkan untuk menekankan ketergantungan besar TunnelVision pada alat penerowongan dan cara unik penerapannya. Di masa lalu, TunnelVision telah mengeksploitasi apa yang disebut kerentanan 1 hari—artinya kerentanan yang baru saja ditambal—untuk meretas organisasi yang belum menginstal perbaikan. Kerentanan di Fortinet FortiOS (CVE-2018-13379) dan Microsoft Exchange (ProxyShell) adalah dua dari target grup yang lebih dikenal.

Masukkan Log4Shell

Baru-baru ini , SentinelOne melaporkan, TunnelVision telah mulai mengeksploitasi kerentanan kritis di Log4j, sebuah utilitas logging open source yang terintegrasi ke dalam ribuan aplikasi. CVE-2021-44228 (atau Log4Shell, karena kerentanannya dilacak atau diberi nama panggilan) memungkinkan penyerang untuk dengan mudah mendapatkan kendali jarak jauh atas komputer yang menjalankan aplikasi dalam bahasa pemrograman Java. Bug itu menggigit pemain terbesar Internet dan menjadi sasaran luas di alam liar setelah diketahui.

Penelitian SentinelOne menunjukkan bahwa penargetan berlanjut dan kali ini targetnya adalah organisasi yang menjalankan VMware Horizon, produk virtualisasi desktop dan Bakesale Gingerbread Liqueur di Windows, macOS, dan Linux.

“Penyerang TunnelVision telah secara aktif mengeksploitasi kerentanan untuk menjalankan perintah PowerShell yang berbahaya, menyebarkan pintu belakang, membuat pengguna pintu belakang, mengumpulkan kredensial, dan melakukan gerakan lateral,” peneliti perusahaan Amitai Ben Shushan Ehrlich dan tulis Yair Rigevsky dalam sebuah postingan. “Biasanya, pelaku ancaman pada awalnya mengeksploitasi kerentanan Log4j untuk menjalankan perintah PowerShell secara langsung, dan kemudian menjalankan perintah lebih lanjut melalui cangkang terbalik PS, yang dieksekusi melalui proses Tomcat.”

Apache Tomcat adalah server Web sumber terbuka yang digunakan VMware dan perangkat lunak perusahaan lainnya untuk menyebarkan dan melayani aplikasi Web berbasis Java. Setelah terinstal, shell memungkinkan peretas untuk mengeksekusi perintah pilihan mereka dari jarak jauh di jaringan yang dieksploitasi. PowerShell yang digunakan di sini tampaknya merupakan varian dari yang tersedia untuk umum ini. Setelah diinstal, Lihat lima menit:

  • Jalankan perintah pengintaian
  • Buat pengguna pintu belakang dan tambahkan ke grup administrator jaringan
  • Panen kredensial menggunakan ProcDump, SAM hive dumps, dan comsvcs MiniDump
    • Unduh dan jalankan alat tunneling, termasuk Plink dan Ngrok, yang digunakan untuk terowongan lalu lintas protokol desktop jarak jauh

    Peretas menggunakan beberapa layanan yang sah untuk mencapai dan mengaburkan aktivitas mereka. Layanan tersebut meliputi:

      • transfer.sh

    • pastebin.com
  • webhook.site
  • ufile.io

    • raw.githubusercontent.com

    Orang yang mencoba menentukan apakah organisasi mereka terpengaruh harus mencari koneksi keluar yang tidak dapat dijelaskan ke layanan publik yang sah ini.

      Terowongan, mineral, dan anak kucing

      Laporan hari Kamis mengatakan bahwa TunnelVision tumpang tindih dengan beberapa kelompok ancaman yang terpapar oleh peneliti lain selama bertahun-tahun. Microsoft telah menjuluki satu kelompok Fosfor. Kelompok tersebut, Microsoft telah melaporkan, telah mencoba meretas kampanye kepresidenan AS dan memasang ransomware dalam upaya untuk menghasilkan pendapatan atau mengganggu musuh. Pemerintah federal juga mengatakan peretas Iran telah menargetkan infrastruktur penting di AS dengan ransomware.

      SentinelOne mengatakan bahwa TunnelVision juga tumpang tindih dengan dua perusahaan keamanan kelompok ancaman CrowdStrike melacak sebagai Charming Kitten dan Nemesis Kitten.

      “Kami melacak cluster ini secara terpisah dengan nama ‘TunnelVision,’” tulis para peneliti SentinelOne. “Ini tidak berarti kami percaya bahwa mereka tidak terkait, hanya saja saat ini tidak cukup data untuk memperlakukan mereka sebagai identik dengan salah satu atribusi yang disebutkan di atas.”

      Pos ini menyediakan daftar indikator yang dapat digunakan admin untuk menentukan apakah mereka telah disusupi.

    Rekomendasi:

    • Rekan REvil ditangkap dalam tindakan keras… Dua orang yang diduga melakukan 5.000 serangan ransomware REvil ditangkap oleh polisi Rumania minggu lalu saat tindakan keras internasional terhadap geng kejahatan meningkat Oleh Alex Scroxton, Editor Keamanan Diterbitkan: 08…
    • Menavigasi Lautan Digital: Peran Perangkat Lunak… Dunia transaksi online sangatlah luas, bagaikan lautan yang tak berujung. Saat dunia usaha menavigasi lautan digital ini, mereka terus-menerus mewaspadai pembajak – yaitu penipu yang ingin mengeksploitasi kerentanan. Bertindak sebagai…
    • Datang ke laptop di dekat Anda: Jenis chip keamanan… AT LONG LAST — AMD menjadi pembuat CPU pertama yang mengintegrasikan chip rancangan Microsoft ke dalam produknya. Dan Goodin - 4 Jan 2022 22:15 UTC Pada November 2020, Microsoft meluncurkan…
    • FIA Analyzer: Alat Analisis Terdepan untuk Keperluan… FIA Analyzer: DoMyHomeworkAbc Menyebutkan 10 SEO dan Ranking di Mesin Pencari Google Salam Sobat Sekitar! Selamat datang di dunia optimasi mesin pencari (SEO) yang penuh tantangan! Bagi Anda yang peduli…
    • Serangan Ransomware pada Planned Parenthood mencuri… DATA FUMBLE — Peretas memiliki akses ke bab Los Angeles Planned Parenthood selama 8 hari. Dan Goodin - 2 Des 2021 21:33 UTC Peretas ransomware masuk ke jaringan Planned Parenthood…
    • WhiteSource menambahkan deteksi, perbaikan untuk… Bergabunglah dengan para eksekutif terkemuka hari ini secara online di Data Summit pada 9 Maret. Daftar disini. WhiteSource hari ini berkembang melampaui pengamanan penggunaan kode sumber terbuka dalam pengembangan aplikasi,…
    • Neil Young menuntut Spotify menghapus musiknya… A hot potato: Penyanyi legendaris Neil Young menuntut musiknya dihapus dari Spotify, dan itu tidak ada hubungannya dengan royalti. Musisi menolak untuk berbagi platform dengan Joe Rogan, yang telah lama…
    • Ubisoft bertanya-tanya mengapa itu belum dibeli Dalam konteks: Dalam enam bulan terakhir, setengah lusin studio game, termasuk Activision Blizzard, Bungie, dan Bethesda telah diakuisisi dengan nilai miliaran. Semua orang bertanya-tanya studio mana yang akan menjadi yang…
    • Setahun Setelah SolarWinds, Ancaman Rantai Pasokan… Setahun yang lalu hari ini, firma keamanan FireEye membuat pengumuman yang mengejutkan sekaligus mengkhawatirkan. Peretas yang canggih diam-diam menyelinap ke dalam jaringan perusahaan, dengan hati-hati menyesuaikan serangan mereka untuk menghindari…
    • Ide besar seputar unikernels Tahukah Anda bahwa Linux mendekati usia 30 tahun? Tahukah Anda bahwa Unix berusia sekitar 50 tahun? Saya tidak bermaksud menjatuhkannya — saya telah menggunakan Linux sejak mereka didistribusikan di disket.…
    • USMCA Maju ke 2023 - Bab 1: Keamanan Nasional USMCA melayani peran keamanan nasional Bradley Martin Direktur, Institut Rantai Pasokan Keamanan Nasional RANDPeneliti Kebijakan Senior, RAND Corporation Dengan latar belakang politik yang diratifikasi pada tahun 1994, Perjanjian Perdagangan Bebas…
    • Pengguna OpenSea Menuntut $1 Juta Karena Pencurian… Waktu Membaca: 2 menitSeorang pengguna OpenSea menggugat platform sebesar $1 juta atas hilangnya NFT Kera Bosan dua minggu lalu Timothy McKimmy kehilangan NFT-nya pada awal Februari yang dijual seharga 0,01…
    • Iran Memulai Latihan Militer 'Berskala… Kami mendeteksi aktivitas yang tidak biasa dari jaringan komputer Anda Untuk melanjutkan, silakan klik kotak di bawah untuk memberi tahu kami bahwa Anda bukan robot. Baca selengkapnya
    • Kerentanan Log4j membuka pintu bagi operator ransomware 17 Desember 2021 17:23 Kredit Gambar: Getty Images Dengarkan pendapat dari CIO, CTO, dan eksekutif tingkat C dan senior lainnya tentang data dan strategi AI di Future of Work Summit…
    • Ribuan pelanggan AT&T di AS terinfeksi oleh malware… BELAKANG! — Malware mengeksploitasi kerentanan 2017 di perangkat tepi jaringan yang banyak digunakan. Dan Goodin - 1 Des 2021 13:24 UTC Getty ImagesRibuan perangkat jaringan milik pelanggan Internet AT&T di…
    • Serangan Rusia ke Ukraina sangat buruk bagi… Presiden Rusia Vladimir Putin pada 22 Februari memerintahkan pasukan “penjaga perdamaian” ke dua wilayah Ukraina yang diperebutkan oleh separatis yang didukung Rusia, meningkatkan kebuntuan militer yang telah mengumpulkan tenaga selama…
    • Normalisasi Suriah menandakan tatanan baru Timur Tengah Minggu ini, Liga Arab memilih untuk mengembalikan keanggotaan Suriah, mengakhiri penangguhan yang diberlakukan pada tahun 2011 sebagai tanggapan atas tindakan keras pemerintah Assad terhadap protes damai. Pemungutan suara merupakan titik…
    • Microsoft: Eksploitasi Log4j memperluas penambangan… 12 Desember 2021 14:33 Abstrak yang indah dari konsep ilustrasi cryptocurrency menunjukkan garis dan simbol Bitcoin di latar belakang gelap.Kredit Gambar: Getty Images Dengarkan dari CIO , CTO, dan eksekutif…
    • Google menyoroti Chromebook yang dapat diperbaiki… Google hari ini mengumumkan melalui blog Google for Education bahwa mereka memulai program yang dapat diperbaiki untuk membantu sekolah memperbaiki Chromebook secara internal, dan mengubahnya menjadi peluang pelatihan yang berharga…
    • PM Israel Naftali Bennett Mengatakan Kesepakatan… Kami mendeteksi aktivitas yang tidak biasa dari jaringan komputer Anda Untuk melanjutkan, silakan klik kotak di bawah untuk memberi tahu kami bahwa Anda bukan robot. Baca selengkapnya
    • Anonim Dilaporkan Berjanji untuk Membayar Tentara… Sumber: Twitter/@IAPonomarenkoKolektif hacker internasional Anonymous dilaporkan mencoba untuk membeli pasukan Rusia yang sudah terdemoralisasi dengan menawarkan USD 44.280 dalam bitcoin (BTC) sebagai imbalan untuk setiap tangki yang menyerah. Grup peretas…
    • Pemerintah Inggris mengusulkan aturan baru untuk… Sergey Nivens - stock.adobe.com Proposal dapat melihat penyedia layanan TI yang diwajibkan secara hukum untuk mematuhi Kerangka Penilaian Cyber ​​NCSC, antara lain Oleh Alex Scroxton, Editor Keamanan Diterbitkan: 15 Nov…
    • Palang Merah meminta peretas untuk tidak membocorkan… RED CROSS HACK — Kontraktor penyimpanan Peretasan Palang Merah mengikuti insiden peretasan terpisah tahun lalu. Dan Goodin - 20 Jan 2022 1:17 am UTC Palang Merah pada hari Rabu memohon…
    • Peretas menggunakan server FBI asli untuk mengirim… Apa yang baru saja terjadi? Sebuah email peringatan dari serangan cyber yang kompleks baru-baru ini ditemukan sebagai tipuan yang dilakukan menggunakan server FBI yang sebenarnya. The Spamhaus Project, sebuah organisasi…
    • Houthi yang didukung Iran dikatakan akan menahan 25… Kami mendeteksi aktivitas yang tidak biasa dari jaringan komputer Anda Untuk melanjutkan, klik kotak di bawah untuk memberi tahu kami bahwa Anda bukan robot. Baca selengkapnya
    • Pelaku Ransomware telah menemukan cara licik untuk… Beranda BeritaKomputasi ) (Kredit gambar: Shutterstock) Peneliti keamanan siber telah menemukan ransomware grup, yang setelah gagal secara langsung enkripsi file korban mereka, menyalinnya ke arsip yang dilindungi kata sandi, sebelum…
    • Kemitraan Keamanan Cloud Keamanan cloud adalah tanggung jawab bersama antara bisnis yang memanfaatkan cloud dan penyedia layanan cloud mereka. Untuk menangkal ancaman keamanan siber, penting bagi keduanya untuk benar-benar memahami cara membangun dan…
    • Crypto tidak menimbulkan risiko besar bagi ekonomi… Kanada adalah salah satu negara pertama yang menyetujui ETF Bitcoin dan merupakan negara terbesar keempat dalam hal tingkat hash. 2093 Total penayangan 50 Jumlah saham Cryptocurrency seperti Bitcoin (BTC) tidak…
    • Pengarahan Kebijakan Teknologi Global untuk November… Halo dan selamat datang kembali di Citizen Tech, Ringkasan kebijakan bulanan dari InformationWeek. Bulan ini kami melihat pelaporan insiden dunia maya untuk bank, kekurangan chip semikonduktor, pertempuran Uni Eropa dengan…
    • Moscow Exchange, Situs Web Sberbank Dilumpuhkan… Sberbank dan Bursa Moskow keduanya disebut sebagai target Angkatan Darat TI Ukraina. Situs web untuk keduanya tidak aktif pada hari Senin. MICHAL CIZEK/AFP via Getty Images Senin pagi, situs web…
    Designed by SuaraSekitar Terkini
    © Copyright 2025, All Rights Reserved