Les acteurs iraniens de l'APT violent le réseau du gouvernement américain

Un serveur VMware Horizon non corrigé a permis à un groupe APT parrainé par le gouvernement iranien d'utiliser la vulnérabilité Log4Shell non seulement pour violer les systèmes de la Federal Civilian Executive Branch (FCEB) des États-Unis, mais également pour déployer le logiciel malveillant XMRing cryptominer pour faire bonne mesure.

FCEB est le bras du gouvernement fédéral qui comprend le Bureau exécutif du Président, les secrétaires du Cabinet et d'autres départements de l'exécutif.

Une nouvelle mise à jour de la Cybersecurity and Infrastructure Security Agency (CISA) indique qu'avec le FBI, les agences ont déterminé le Groupe menaçant soutenu par l'Iran a pu se déplacer latéralement vers le contrôleur de domaine, voler des informations d'identification et déployer des proxys inverses Ngrok pour maintenir la persistance dans les systèmes FCEB. L'attaque s'est produite de la mi-juin à la mi-juillet, a indiqué la CISA.

« La CISA et le FBI encouragent toutes les organisations ayant des systèmes VMware concernés qui n'ont pas immédiatement appliqué les correctifs ou les solutions de contournement disponibles à assumer un compromis et à lancer des activités de chasse aux menaces », a déclaré la CISA. alerte de violation expliqué. "Si un accès ou une compromission initiale suspectée est détectée sur la base des IOC ou des TTP décrits dans cette CSA, la CISA et le FBI encouragent les organisations à assumer le mouvement latéral des acteurs de la menace, à enquêter sur les systèmes connectés (y compris le DC) et à auditer les comptes privilégiés."