Irańscy aktorzy APT naruszają amerykańską sieć rządową

Niezałatany serwer VMware Horizon pozwolił sponsorowanej przez rząd irański grupie APT wykorzystać lukę w zabezpieczeniach Log4Shell nie tylko do włamania do systemów amerykańskiego Federalnego Cywilnego Oddziału Wykonawczego (FCEB), ale także do wdrożenia złośliwego oprogramowania do kopania kryptowalut XMRing.

FCEB jest ramieniem rządu federalnego, które obejmuje Biuro Wykonawcze Prezydenta, sekretarzy gabinetu i inne departamenty władzy wykonawczej.

Nowa aktualizacja Agencji Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) mówi, że wraz z FBI agencje ustaliły Grupa zagrożenia wspierana przez Iran był w stanie przenieść się w bok do kontrolera domeny, ukraść dane uwierzytelniające i wdrożyć odwrotne serwery proxy Ngrok, aby zachować trwałość w systemach FCEB. Według CISA atak miał miejsce od połowy czerwca do połowy lipca.

„CISA i FBI zachęcają wszystkie organizacje, których systemy VMware, których dotyczy problem, które nie zastosowały od razu dostępnych poprawek lub obejść, do przyjęcia kompromisu i rozpoczęcia działań związanych z polowaniem na zagrożenia”, CISA ostrzeżenie o naruszeniu wyjaśniono. „W przypadku wykrycia podejrzenia wstępnego dostępu lub naruszenia bezpieczeństwa na podstawie IOC lub TTP opisanych w niniejszym CSA, CISA i FBI zachęcają organizacje do zakładania ruchu bocznego przez cyberprzestępców, badania połączonych systemów (w tym DC) i przeprowadzania audytu uprzywilejowanych kont”.