هکرها MSPs را خراب می کنند و از کنسول Webroot SecureAnywhere برای آلوده کردن رایانه های شخصی با Ransomware Sodinokibi استفاده می کنند.
بنیاد ransomware زیرساخت حداقل سه ارائهدهنده سرویسدهنده مدیریت (MSP) را نقض کرده است و از ابزارهای کنترل از راه دور در اختیار آنها، یعنی کنسول Webroot SecureAnywhere، برای استفاده از سیستمهای رانوموئر در سیستم مشتریان MSPs استفاده کرده است.
عفونت های ransomware برای اولین بار در بخش Reddit اختصاص یافته به MSPs - شرکت هایی که خدمات از راه دور IT و پشتیبانی از شرکت ها در سراسر جهان را ارائه می دهند، امروزه گزارش شده است.
کایل Hanslovan، یکی از بنیانگذاران و مدیر عامل شرکت Huntress Lab، آنلاین بود و به برخی از MSPs تاثیر گذار در مورد حوادث کمک کرد.
هکرها از طریق RDP دریافت کردند
Hanslowan گفت که هکرها از طریق RDP (Remote Pointing Point Remote)، امتیازات بالا در سیستم های به خطر افتاده و دستی حذف محصولات AV مانند ESET و Webroot، MSP ها را از بین برد.
در مرحله بعد از حمله، هکرها حسابهای Webroot SecureAnywhere، نرم افزار مدیریت از راه دور (کنسول) مورد استفاده توسط MSPs را برای مدیریت ایستگاه های کاری مستقر از راه دور (در شبکه مشتریان خود) جستجو کردند.
با توجه به Hanslovan، هکرها از کنسول برای اجرای یک اسکریپت Powershell در ایستگاه های کاری از راه دور استفاده می کردند؛ اسکریپت که دانلود و نصب sansomware Sodinokibi.
مدیر عامل شرکت شکارچی گفت که حداقل سه MSP به این ترتیب آموزش هک شده اند. برخی از کاربران Reddit همچنین گزارش دادند که در بعضی موارد ممکن است هکرها از کنسول مدیریت راه دور Kaseya VSA استفاده کرده باشند، اما این هیچگاه رسما تایید نشده است.
هانسلووان گفت: "دو شرکت ذکر شده تنها میزبانانی بودند که Webroot را آلوده کرده بودند." "با توجه به کنسول مدیریت Webroot، مدیران اجازه می دهند از فایل های نقطه به نقطه از راه دور فایل ها را دانلود و اجرا کنند، این به نظر می رسد یک بردار حمله قابل قبول است."
WEBROOT DEFLOWERS 2FA برای حساب های امن
براساس یک ایمیل Hanslovan دریافت کرد، Webroot بعدا در روز شروع به اعمال قدرت مجاز به تأیید احراز هویت دو عامل (2FA) برای حسابهای SecureAnywhere کرد، امیدوار بود که هکرها از هر گونه حساب دیگر که به طور بالقوه ربوده شده است، برای استفاده از رنج نرم افزار جدید در طول روز استفاده کنند.
SecureAnywhere از 2FA پشتیبانی می کند که به طور پیش فرض برای همه کاربران فعال است، اما برخی از کاربران ظاهرا آن را خاموش کرده اند. در این ایمیل، این شرکت اعلام کرد که 2FA مجددا فعال خواهد شد، بدون این که کاربران بتوانند آن را غیر فعال کنند.
"اخیرا تیم تروجان پیشرفته Webroot کشف کرد که تعداد کمی از مشتریان تحت تاثیر یک بازیگر تهدید قرار گرفته است که با استفاده از ترکیبی از شیوه های بهداشت روانی سنتی مشتری در حوزه تأیید هویت و RDP،" چاد باخر، SVP محصولات، WEBROOT، شرکت کربنیت، به ZDNet از طریق ایمیل به ZDNet گفت.
وی افزود: "برای اطمینان از بهترین حفاظت برای کل جامعه مشتری وبروت، ما تصمیم گرفتیم زمان لازم برای احراز هویت دو عامل را اجباری کنیم. ما این کار را با انجام خروج کنسول و به روز رسانی نرم افزار صبح روز 20 ژوئن انجام دادیم."
"ما همه می دانیم که احراز هویت دو عامل (2FA) یک روش بهتر برای بهداشت سایبر است و ما مشتریان را برای استفاده از کنسول داخلی 2ROAS کنسول Webroot تشویق کردیم. ما همیشه از محیط تهدید نظارت می کنیم و همچنان اقدامات پیشگیرانه مانند این را ادامه دهید تا بهترین محافظت را برای مشتریان فراهم کنید. "
نرم افزار Sodinokibi rensomware نسبتا جدید است که در اواخر آوریل کشف شد. در آن زمان یک بازیگر تهدید با استفاده از اوراکل WebLogic صفر روز برای هک کردن شبکه های شرکت و نصب ransomware بود.
حادثه امروز موج دوم حملات عمده است که طی آن هکرها MSP ها و ابزارهای کنترل از راه دور خود را برای استفاده از ransomware در شبکه های مشتریان خود سوء استفاده کردند.
اولین حادثه در اواسط ماه فوریه اتفاق افتاد زمانی که یک گروه هکر استفاده از آسیب پذیری ها در ابزارهای معمول MSP برای استفاده از Ransomware GandCrab در ایستگاه های کاری مشتریان.
به طور تصادفی، در زمان وقوع این حادثه در Reddit، رسانه های محلی در رومانی گزارش دادند که پنج بیمارستان به وسیله ی ransomware در بوخارست، پایتخت کشور آلوده شده اند. با این حال، شواهدی وجود ندارد که دو رویداد در خارج از دوران عفونت ارتباط داشته باشند.
فعال کردن تایید دو مرحله ای اکانت گوگل
استفاده ,های ,کنسول ,راه ,مشتریان ,هکرها ,راه دور ,استفاده از ,از راه ,برای استفاده ,هکرها از
درباره این سایت