Gli attori dell'APT iraniano violano la rete del governo degli Stati Uniti

Un server VMware Horizon privo di patch ha consentito a un gruppo APT sponsorizzato dal governo iraniano di utilizzare la vulnerabilità Log4Shell non solo per violare i sistemi della Federal Civilian Executive Branch (FCEB) degli Stati Uniti, ma anche per distribuire malware XMRing cryptominer per buona misura.

FCEB è il braccio del governo federale che comprende l'ufficio esecutivo del presidente, i segretari di gabinetto e altri dipartimenti del ramo esecutivo.

Un nuovo aggiornamento della Cybersecurity and Infrastructure Security Agency (CISA) ha affermato che insieme all'FBI, le agenzie hanno determinato il Gruppo di minaccia sostenuto dall'Iran è stato in grado di spostarsi lateralmente al controller di dominio, rubare credenziali e distribuire proxy inversi Ngrok per mantenere la persistenza nei sistemi FCEB. L'attacco è avvenuto da metà giugno a metà luglio, ha detto CISA.

"CISA e FBI incoraggiano tutte le organizzazioni con sistemi VMware interessati che non hanno applicato immediatamente patch o soluzioni alternative ad assumere compromessi e avviare attività di caccia alle minacce", afferma CISA avviso di violazione spiegato. "Se viene rilevato un sospetto accesso iniziale o compromissione sulla base di IOC o TTP descritti in questo CSA, CISA e FBI incoraggiano le organizzazioni ad assumere movimenti laterali da parte di attori delle minacce, indagare sui sistemi connessi (incluso il DC) e controllare gli account con privilegi".