Atacul hackerilor exploatând o vulnerabilitate de tip Remote Code Execution (RCE) în Microsoft SharePoint demonstrează tacticile sofisticate ale atacatorilor și necesitatea unor măsuri de securitate robuste. Evenimentul s-a desfășurat timp de două săptămâni fără a fi detectat.
TL;DR
- Hackerii au exploatat o vulnerabilitate critică în SharePoint pentru acces inițial.
- Atacatorii au folosit un webshell pentru a compromite sistemul.
- S-a utilizat lateralizarea în rețea pentru a ajunge la conturi cu privilegii ridicate.
- Măsuri de acoperire a urmelor și evaziune a detecției au fost implementate.
Detalii despre vulnerabilitate
Hackerii au folosit o vulnerabilitate de tip RCE în Microsoft SharePoint pentru a executa cod de la distanță, instalând un fișier webshell pe serverul țintă. Echipa de Răspuns la Incidente de la Rapid7 a descoperit încălcarea inițială, aceasta desfășurându-se prin exploatarea CVE-2024-38094.
Tactici și instrumente folosite
Odată ce au avut acces în rețea, hackerii au compromis conturi cu privilegii ridicate și au utilizat diverse instrumente pentru a-și extinde accesul. Printre acestea se numără Impacket pentru interacțiuni de protocol, Huorong Antivirus pentru a dezactiva soluțiile de securitate existente și Fast Reverse Proxy (FRP) pentru a menține accesul extern prin firewall-uri.
Acoperirea urmelor și persistența
Pentru a acoperi urmele și a-și menține accesul, atacatorii au dezactivat logurile sistemului, instalând software de antivirus care dezactiva măsurile de securitate existente.
Cum să te protejezi de RCE
RCE (Remote Code Execution) permite atacatorilor să execute cod arbitrar pe un sistem vulnerabil. Utilizatorii și organizațiile pot să se protejeze prin actualizări regulate ale sistemelor, utilizarea de soluții de securitate avansate și monitorizarea continuă pentru a detecta activități neobișnuite.
Evenimentele subliniază importanța monitorizării și pregătirii unui răspuns rapid pentru a minimiza riscurile incidentelor majore de securitate.
Sursa articolului:
https://cybersecuritynews.com/hackers-exploiting-sharepoint-rce-vulnerability/
Pe Threat Spotting apar articole identificate de specialiști în securitate cibernetică și simplificate prin inteligență artificială (AI). De aceea, e bine să consultați sursele oficiale întrucât tehnologiile AI curente pot genera informații incomplete sau parțial adevărate. Citește mai multe despre proiect aici.
