APT-группировки атаковали правительственные сети в США

[Artifact]

Преступники эксплуатируют уязвимость в VPN-сервере Fortinet FortiOS Secure Socket Layer и уязвимость Zerologon в Windows.

Киберпреступные APT-группировки осуществили ряд атак правительственные сети в США, проэксплуатировав уязвимости в VPN и Windows. Об этом https://us-cert.cisa.gov/ncas/alerts/aa20-283aФедеральное бюро расследований (ФБР) и Агентство по кибербезопасности и безопасности инфраструктуры (CISA) в совместном предупреждении.
Атаки были нацелены на федеральные, местные, и территориальные правительственные сети, а также критическую инфраструктуру США. Оба агентства заявили, что также были зафиксированы атаки на негосударственные сети.
«CISA известно о некоторых случаях, когда преступная деятельность хакеров привела к несанкционированному доступу к избирательным системам. На сегодняшний день CISA не имеет доказательств того, что целостность данных о выборах была скомпрометирована», — сообщило агентство.
В ходе атак преступники эксплуатируют две уязвимости — https://www.securitylab.ru/vulnerability/499234.php?R=1и https://www.securitylab.ru/vulnerability/511062.php . Первая проблема содержится в VPN-сервере Fortinet FortiOS Secure Socket Layer (SSL), предназначенном для использования в качестве безопасного шлюза для доступа к корпоративным сетям из удаленных мест. Уязвимость позволяет злоумышленникам загружать вредоносные файлы на незащищенные системы и перехватывать контроль над VPN-серверами Fortinet.
Вторая уязвимость, известная под названием Zerologon, связана с использованием ненадежного алгоритма шифрования в механизме аутентификации Netlogon. Zerologon позволяет имитировать любой компьютер в сети в процессе аутентификации на контроллере домена, отключать функции безопасности Netlogon и изменять пароль в базе данных Active Directory контроллера домена.
Как писал SecurityLab, российская киберпреступная группировка TA505 (известная как Evil Corp) также https://www.securitylab.ru/news/%D0%...ews/512913.phpэксплуатировать в своих атаках уязвимость Zerologon. Недавно ИБ-эксперты https://www.securitylab.ru/news/512241.phpсвидетельства сотрудничества TA505 с северокорейской киберпреступной группировкой Lazarus.
Злоумышленники объединяют данные уязвимости, чтобы перехватить контроль над серверами Fortinet, а затем взломать внутренние сети с помощью Zerologon.
Кроме того, хакеры могут использовать вместо уязвимости в Fortinet любую другую проблему с аналогичным доступом в продуктах VPN и шлюзов, обнаруженную за последние несколько месяцев:
Pulse Connect Secure VPN ( https://www.cybersecurity-help.cz/vu...ilities/27029/ );
VPN-серверы Palo Alto Networks "Global Protect" ( https://www.securitylab.ru/vulnerability/500139.php );
Серверы Citrix «ADC» и сетевые шлюзы ( https://www.securitylab.ru/vulnerability/504008.php );
Серверы управления мобильными устройствами MobileIron ( https://www.securitylab.ru/vulnerability/512251.php );
Сетевые балансировщики F5 BIG-IP ( https://www.cybersecurity-help.cz/vdb/SB2020070120 ).