Эксперты ожидают волну кибератак с использованием описанных методов
https://www.securitylab.ru/upload/ib...e04904716f.jpg
Компания CloudSEK использовала свою ИИ платформу цифровых рисков XVigil для идентификации сообщения на форуме по киберпреступности, в котором упоминалась серверная open-source платформа автоматизации Jenkins как одна из TTP (тактики, методы и процедуры), используемых злоумышленником в атаках на IBM и Стэнфордский университет.
Сообщение киберпреступника на форуме было замечено CloudSEK 7 мая 2022 года и содержало снимок экрана в качестве доказательства доступа к панели управления Jenkins.
https://www.securitylab.ru/upload/im...t-img(167).png
Злоумышленник смог обойти панель инструментов Jenkins, которая содержала внутренние хосты и сценарии, а также логины и пароли базы данных.
https://www.securitylab.ru/upload/im...t-img(168).png
Хакер использовал Shodan для атаки на порт 9443 скомпрометированной компании, а затем запустил скрипт для фаззинга , чтобы заставить уязвимые экземпляры использовать обход неправильной конфигурации rproxy. По словам киберпреступника, он скомпрометировал сценарии администраторов и конфигурации брандмауэра для внутренних сетей IBM Tech Company
В своих последующих сообщениях хакер рассказал об эксплойте для получения доступа к системе Стэнфордского университета:<ul><li>Субъект угрозы использовал инструмент Sudomy для перечисления всех поддоменов университета;</li>
</ul><ul><li>Затем киберпреступник использовал httpx для предоставления доменам пути, такого как «-path /wp-content/plugins/»;</li>
</ul><ul><li>Уязвимый 0-day-эксплойт возвращает данные из всех поддоменов и позволяет злоумышленнику удаленно выполнить код.</li>
</ul>Компания CloudSEK заявила, что TTP, используемый злоумышленником, может быть использован другими хакерами для проведения аналогичных атак. «Подобные модули могут обеспечить постоянство и изощренные атаки программ-вымогателей. Злоумышленник может осуществлять боковое перемещение, чтобы сохранять устойчивость и похищать учетные данные», — пишут эксперты по безопасности.
«Поскольку повторное использование пароля является обычной практикой, киберпреступник также может использовать открытые учетные данные для доступа к другим учетным записям пользователя», - добавили исследователи. Специалисты CloudSEK ожидают , что эта вредоносная кампания усилит атаку с помощью ботов.