Peretas menargetkan klien SimpleHelp RMM yang rentan untuk membuat akun administrator, drop backdoors, dan berpotensi meletakkan dasar untuk serangan ransomware.
Kelemahan dilacak sebagai CVE-2024-57726, CVE-2024-57727, dan CVE-2024-57728 dan dilaporkan berpotensi dieksploitasi secara aktif oleh Serigala Arktik minggu lalu. Namun, perusahaan cybersecurity tidak dapat mengkonfirmasi dengan pasti apakah kekurangan digunakan.
Efek Field Field Field Cybersecurity telah mengkonfirmasi kepada BleepingComputer bahwa kelemahan sedang dieksploitasi dalam serangan terbaru dan dirilis Laporan Itu menjelaskan aktivitas pasca-eksploitasi.
Selain itu, para peneliti keamanan siber menyebutkan bahwa kegiatan yang diamati memiliki tanda-tanda serangan ransomware Akira, meskipun mereka tidak memiliki cukup bukti untuk membuat atribusi kepercayaan tinggi.
Menargetkan SimpleHelp RMM
Serangan dimulai dengan para aktor ancaman yang mengeksploitasi kerentanan pada klien RMM SimpleHelp untuk membangun koneksi yang tidak sah ke titik akhir target.
Penyerang yang terhubung dari IP 194.76.227[.]171, server berbasis Estonia yang menjalankan instance SimpleHelp di port 80.
Setelah terhubung melalui RMM, para penyerang dengan cepat menjalankan serangkaian perintah penemuan untuk mempelajari lebih lanjut tentang lingkungan target, termasuk detail sistem dan jaringan, pengguna dan hak istimewa, tugas dan layanan yang dijadwalkan, dan informasi pengontrol domain.
Efek lapangan juga mengamati perintah yang mencari suite keamanan Falcon Crowdstrike, kemungkinan bypass bypass.
Memanfaatkan akses dan pengetahuan mereka, para penyerang kemudian melanjutkan untuk membuat akun administrator baru bernama “Sqladmin” untuk mempertahankan akses ke lingkungan, diikuti oleh pemasangan kerangka kerja pasca-eksploitasi sliver (Agent.exe).
Sliver adalah kerangka kerja pasca-eksploitasi yang dikembangkan oleh Bishopfox yang telah dilihat Peningkatan penggunaan selama beberapa tahun terakhir Sebagai alternatif untuk serangan kobalt, yang semakin terdeteksi oleh perlindungan titik akhir.
Saat digunakan, Sliver akan terhubung kembali ke server perintah dan kontrol (C2) untuk membuka cangkang terbalik atau menunggu perintah untuk dieksekusi pada host yang terinfeksi.
The Sliver Beacon yang diamati dalam serangan dikonfigurasi untuk terhubung ke C2 di Belanda. Efek lapangan juga mengidentifikasi IP cadangan dengan Protokol Desktop Jarak Jauh (RDP) yang diaktifkan.
Dengan kegigihan yang ditetapkan, para penyerang pindah lebih dalam ke jaringan dengan mengkompromikan domain controller (DC) menggunakan klien RMM SimpleHelp yang sama dan membuat akun admin lain (“FPMHLTTECH”).
Alih -alih backdoor, para penyerang memasang terowongan Cloudflare yang menyamar sebagai Windows SvChost.exe untuk mempertahankan akses diam -diam dan memotong kontrol keamanan dan firewall.
Melindungi SimpleHelp dari serangan
Pengguna SimpleHelp disarankan untuk menerapkan pembaruan keamanan yang tersedia yang membahas CVE-2024-57726, CVE-2024-57727, dan CVE-2024-57728 sesegera mungkin. Untuk info lebih lanjut, Periksa buletin vendor.
Selain itu, cari akun administrator bernama ‘Sqladmin’ dan ‘fpmhlttech,’ atau orang lain yang tidak Anda kenal, dan cari koneksi ke IPS yang tercantum dalam laporan Efek Lapangan.
Pada akhirnya, pengguna harus membatasi akses SimpleHelp ke rentang IP tepercaya untuk mencegah akses yang tidak sah.
