Платформа Jenkins использовалась для атаки на IBM и Стэнфордский университет

[Artifact]

Эксперты ожидают волну кибератак с использованием описанных методов

Компания CloudSEK использовала свою ИИ платформу цифровых рисков XVigil для идентификации сообщения на форуме по киберпреступности, в котором упоминалась серверная open-source платформа автоматизации Jenkins как одна из TTP (тактики, методы и процедуры), используемых злоумышленником в атаках на IBM и Стэнфордский университет.
Сообщение киберпреступника на форуме было замечено CloudSEK 7 мая 2022 года и содержало снимок экрана в качестве доказательства доступа к панели управления Jenkins.

Злоумышленник смог обойти панель инструментов Jenkins, которая содержала внутренние хосты и сценарии, а также логины и пароли базы данных.

Хакер использовал Shodan для атаки на порт 9443 скомпрометированной компании, а затем запустил скрипт для фаззинга , чтобы заставить уязвимые экземпляры использовать обход неправильной конфигурации rproxy. По словам киберпреступника, он скомпрометировал сценарии администраторов и конфигурации брандмауэра для внутренних сетей IBM Tech Company
В своих последующих сообщениях хакер рассказал об эксплойте для получения доступа к системе Стэнфордского университета:

• Субъект угрозы использовал инструмент Sudomy для перечисления всех поддоменов университета;

• Затем киберпреступник использовал httpx для предоставления доменам пути, такого как «-path /wp-content/plugins/»;

• Уязвимый 0-day-эксплойт возвращает данные из всех поддоменов и позволяет злоумышленнику удаленно выполнить код.

Компания CloudSEK заявила, что TTP, используемый злоумышленником, может быть использован другими хакерами для проведения аналогичных атак. «Подобные модули могут обеспечить постоянство и изощренные атаки программ-вымогателей. Злоумышленник может осуществлять боковое перемещение, чтобы сохранять устойчивость и похищать учетные данные», — пишут эксперты по безопасности.
«Поскольку повторное использование пароля является обычной практикой, киберпреступник также может использовать открытые учетные данные для доступа к другим учетным записям пользователя», - добавили исследователи. Специалисты CloudSEK ожидают , что эта вредоносная кампания усилит атаку с помощью ботов.