Группировка вымогателей Lorenz проникает в корпоративные сети через телефонные системы

[Artifact]

Злоумышленники используют критическую уязвимость в VOIP-устройствах Mitel MiVoice.

ИБ-специалисты из Arctic Wolf Labs раскрыли новый метод атаки группировки Lorenz, сравнив его с тактиками, техниками и процедурами других кибервымогателей, использовавших критическую уязвимость CVE-2022-29499 для получения первоначального доступа к системам жертв, о чем компания Crowdstrike сообщала в июне этого года.
И хотя произошедшие кибератаки не были связаны с конкретной бандой киберпреступников, Arctic Wolf Labs смогла с высокой степенью уверенности приписала их банде Lorenz.
В своем отчете исследователи сообщают, что цепочка атак началась с VoIP-устройства Mitel, расположенного в периметре сети. Группировка Lorenz использует CVE-2022-29499 для создания обратной оболочки, с последующим запуском web-оболочки на VoIP-устройстве и загрузки прокси-инструмента Chisel с открытым исходным кодом.
Уязвимость стала опасным оружием в арсенале банды, учитывая то, что VoIP-устройства от Mitel используются организациями по всему миру, при этом более 19 000 устройств уязвимы к атакам с использованием CVE-2022-29499. Стоит отметить, что компания устранила уязвимость, выпустив исправления безопасности в начале июня 2022 года.