Aktor ancaman telah menggunakan malware yang sebelumnya tidak terlihat yang disebut Overstep yang memodifikasi proses boot dari peralatan akses seluler Sonicwall Secure Secure yang sepenuhnya ditonton tetapi tidak lagi didukung.
Backdoor adalah rootkit mode pengguna yang memungkinkan peretas untuk menyembunyikan komponen jahat, mempertahankan akses yang persisten pada perangkat, dan mencuri kredensial sensitif.
Para peneliti di Google Ancaman Intelijen (GTIG) mengamati rootkit dalam serangan yang mungkin mengandalkan “kerentanan eksekusi kode jarak jauh yang tidak diketahui”.
Aktor ancaman dilacak sebagai UNC6148 dan telah beroperasi sejak setidaknya Oktober lalu, dengan sebuah organisasi menjadi sasaran baru -baru ini Mei.
Karena file yang dicuri dari korban kemudian diterbitkan di dunia kebocoran (Pemburu Rebrand Internasional) Situs bocor data, para peneliti GTIG percaya bahwa UNC6148 terlibat dalam pencurian data dan serangan pemerasan, dan juga dapat menggunakan ransomware jurang (dilacak sebagai vsociety oleh GTIG).
Peretas siap
Para peretas menargetkan perangkat Sonicwall SMA 100 Series End-of-Life (EOL) yang menyediakan akses jarak jauh yang aman ke sumber daya perusahaan di jaringan lokal, di cloud, atau pusat data hybrid.
Tidak jelas bagaimana peretas memperoleh akses awal, tetapi para peneliti yang menyelidiki serangan UNC6148 memperhatikan bahwa aktor ancaman sudah memiliki kredensial administrator lokal pada alat yang ditargetkan.
“GTIG menilai dengan keyakinan tinggi bahwa UNC6148 mengeksploitasi kerentanan yang diketahui untuk mencuri kredensial administrator sebelum alat SMA yang ditargetkan diperbarui ke versi firmware terbaru (10.2.1.15-81SV)” – Google Ancaman Intelijen Grup
Melihat metadata lalu lintas jaringan, para penyelidik menemukan bukti yang menunjukkan bahwa UNC6148 telah mencuri kredensial untuk alat yang ditargetkan pada bulan Januari.
Beberapa kerentanan n-hari (CVE-2021-20038, CVE-2024-38475, CVE-2021-20035, CVE-2021-20039, CVE-2025-32819) Bisa dieksploitasi untuk efek ini, yang tertua dari mereka diungkapkan pada tahun 2021 dan makhluk terbaru dari Mei 2025.
Dari jumlah tersebut, para peretas mungkin telah mengeksploitasi CVE-2024-38475 karena memberikan “kredensial administrator lokal dan token sesi yang valid yang dapat digunakan kembali UNC6148.”
Namun, responden insiden di Mandiant (perusahaan Google) tidak dapat mengkonfirmasi bahwa penyerang mengeksploitasi kerentanan.
Misteri reverse-shell
Dalam serangan pada bulan Juni, UNC6148 menggunakan kredensial admin lokal untuk terhubung ke alat SMA 100 Series yang ditargetkan selama sesi SSL-VPN.
Peretas memulai cangkang terbalik, meskipun akses shell tidak boleh dimungkinkan dengan desain pada peralatan ini.
Tim Respons Insiden Keamanan Produk Sonicwall (PSIRT) mencoba menentukan bagaimana ini mungkin tetapi tidak dapat menghasilkan penjelasan, dan satu jawaban bisa menjadi eksploitasi masalah keamanan yang tidak diketahui.
Dengan akses shell pada alat, aktor ancaman menjalankan pengintaian dan kegiatan manipulasi file, dan pengaturan impor yang mencakup aturan kebijakan kontrol akses jaringan baru untuk memungkinkan alamat IP peretas.
Rootkit terlepas tidak meninggalkan petunjuk
Setelah ini, UNC6148 mengerahkan Rootkit Overstep melalui serangkaian perintah yang mendekodekan biner dari Base64 dan menanamnya sebagai file .elf.
“Mengikuti instalasi, penyerang secara manual membersihkan log sistem sebelum memulai kembali alat, mengaktifkan backdoor overstep” – Google Ancaman Intelijen Group
Overstep bertindak sebagai pintu belakang yang membuat cangkang terbalik dan mencuri kata sandi dari host. Ini juga mengimplementasikan kemampuan rootkit mode pengguna untuk menyembunyikan komponennya pada host.
Komponen rootkit memberikan aktor ancaman kegigihan jangka panjang dengan memuat dan mengeksekusi kode jahat setiap kali seorang yang dapat dieksekusi dinamis dimulai.
Fitur anti-forensik Overstep memungkinkan penyerang secara selektif menghapus entri log dan dengan demikian menutupi trek mereka. Kemampuan ini dan kurangnya riwayat komando pada disk menolak visibilitas peneliti dalam kegiatan pasca-kompromi aktor ancaman.
Namun, GTIG memperingatkan bahwa overstep dapat mencuri file sensitif seperti persist.db File database dan sertifikat, yang memberi peretas akses ke kredensial, biji OTP, dan sertifikat yang memungkinkan kegigihan.
Sementara para peneliti tidak dapat menentukan tujuan sebenarnya dari serangan UNC6148, mereka menyoroti “tumpang tindih yang patut diperhatikan” dalam aktivitas aktor ancaman ini dan analisis insiden di mana ransomware terkait Abyss dikerahkan.
Pada akhir 2023, peneliti Truesec diselidiki Insiden Ransowmare Abyss yang terjadi setelah peretas mengerahkan shell web pada alat SMA, mekanisme penyembunyian, dan kegigihan yang ada di seluruh pembaruan firmware.
Beberapa bulan kemudian pada bulan Maret 2024, Infoguard Ag Inscident Responder Stephan Berger menerbitkan posting Menggambarkan kompromi serupa dari perangkat SMA yang berakhir dengan penyebaran malware Abyss yang sama.
Organisasi dengan peralatan SMA disarankan untuk memeriksa perangkat untuk kompromi potensial dengan memperoleh gambar disk, yang harus mencegah gangguan dari rootkit.
GTIG menyediakan serangkaian indikator kompromi bersama dengan tanda -tanda yang harus dicari analis untuk menentukan apakah perangkat itu diretas.
8 Ancaman Umum pada tahun 2025
Sementara serangan awan mungkin tumbuh lebih canggih, penyerang masih berhasil dengan teknik yang sangat sederhana.
Menggambar dari deteksi Wiz di ribuan organisasi, laporan ini mengungkapkan 8 teknik utama yang digunakan oleh aktor ancaman fluen cloud.
