Actorii iranieni APT încalcă rețeaua guvernamentală SUA

Un server VMware Horizon fără corecții a permis unui grup APT sponsorizat de guvernul iranian să folosească vulnerabilitatea Log4Shell nu numai pentru a încălca sistemele Federal Civil Executive Branch (FCEB) din SUA, ci și pentru a implementa malware XMRing criptominer, pentru o bună măsură.

FCEB este brațul guvernului federal care include Biroul Executiv al Președintelui, secretarii de cabinet și alte departamente ale ramurilor executive.

O nouă actualizare a Agenției de Securitate Cibernetică și Securitate a Infrastructurii (CISA) a spus că, împreună cu FBI, agențiile au determinat Grup de amenințare susținut de Iran a putut să se deplaseze lateral la controlerul de domeniu, să fure acreditări și să implementeze proxy inverse Ngrok pentru a menține persistența în sistemele FCEB. Atacul a avut loc de la mijlocul lunii iunie până la jumătatea lunii iulie, a spus CISA.

„CISA și FBI încurajează toate organizațiile cu sisteme VMware afectate care nu au aplicat imediat patch-urile sau soluțiile disponibile să își asume compromisuri și să inițieze activități de vânătoare a amenințărilor”, spune CISA. alertă de încălcare explicat. „Dacă este detectat un acces inițial suspect sau un compromis pe baza IOC-urilor sau a TTP-urilor descrise în acest CSA, CISA și FBI încurajează organizațiile să își asume mișcarea laterală a actorilor amenințărilor, să investigheze sistemele conectate (inclusiv DC) și să auditeze conturile privilegiate.”