Actores iraníes de APT infringen red del gobierno de EE. UU.

Un servidor VMware Horizon sin parches permitió que un grupo APT patrocinado por el gobierno iraní utilizara la vulnerabilidad Log4Shell no solo para violar los sistemas de la Rama Ejecutiva Civil Federal de EE. UU. (FCEB), sino también para implementar el malware criptominero XMRing.

FCEB es el brazo del gobierno federal que incluye la Oficina Ejecutiva del Presidente, los Secretarios del Gabinete y otros departamentos del poder ejecutivo.

Una nueva actualización de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) dijo que junto con el FBI, las agencias determinaron el Grupo de amenazas respaldado por Irán pudo moverse lateralmente al controlador de dominio, robar credenciales e implementar proxies inversos de Ngrok para mantener la persistencia en los sistemas FCEB. El ataque ocurrió desde mediados de junio hasta mediados de julio, dijo CISA.

“CISA y el FBI alientan a todas las organizaciones con sistemas VMware afectados que no aplicaron de inmediato los parches o soluciones alternativas disponibles a asumir compromisos e iniciar actividades de búsqueda de amenazas”, dijo CISA. alerta de incumplimiento explicado. "Si se detecta un acceso o compromiso inicial sospechoso en base a los IOC o TTP descritos en este CSA, CISA y el FBI alientan a las organizaciones a asumir el movimiento lateral de los actores de amenazas, investigar los sistemas conectados (incluido el DC) y auditar las cuentas privilegiadas".