ПоверДроп злонамерни софтвер
Америчка ваздухопловна индустрија постала је мета неидентификованог злонамерног глумца који користи новооткривени злонамерни софтвер заснован на ПоверСхелл-у познат као ПоверДроп. Извештај истраживача сајбер безбедности открива да ПоверДроп користи софистициране методе да избегне откривање, укључујући превару, кодирање и шифровање. У мају 2023. откривен је злонамерни софтвер уграђен у системе неоткривеног америчког извођача за ваздушну одбрану.
Претеће функције ПоверДроп-а превазилазе почетни приступ и омогућавају претњи да послужи као алат за пост-експлоатацију. То значи да када нападач уђе у мрежу жртве алтернативним методама, ПоверДроп се примењује да прикупи вредне информације из компромитованих система. Његов примарни циљ је извлачење осетљивих података и спровођење надзора унутар мреже жртве. Детаље о претњи објавили су стручњаци за инфосец у Адлумину.
ПоверДроп злонамерни софтвер користи легитимне процесе и системе
Злонамерни софтвер користи ехо захтеве протокола ИЦМП (Интернет Цонтрол Мессаге Протоцол) као средство за успостављање комуникације са сервером за команду и контролу (Ц2). Ово омогућава малверу да покрене своје злонамерне операције.
По пријему поруке ИЦМП ехо захтева, Ц2 сервер одговара шифрованом командом, која се затим декодира и извршава на компромитованом хосту. Да би се ексфилтрирали резултати извршене инструкције, користи се слична ИЦМП пинг порука.
Приметно је да је извршење команде ПоверСхелл олакшано коришћењем услуге Виндовс Манагемент Инструментатион (ВМИ). Овај избор указује на то да противник намерно користи тактику живота ван земље, са циљем да избегне откривање користећи легитимне системске процесе.
Иако основна структура ове претње можда нема инхерентно сложен дизајн, њена способност да прикрије сумњиве активности и избегне откривање од стране безбедносне одбране крајње тачке сугерише укључивање софистициранијих актера претњи.
Актери претњи користе више метода да пробију појединачне и корпоративне мреже
Актери претњи користе различите методе и технике за инфилтрирање у корпоративне системе, искоришћавајући рањивости и слабости унутар безбедносне инфраструктуре организације. Ове технике инфилтрације могу бити различите и софистициране, са циљем да заобиђу одбрану и добију неовлашћени приступ осетљивим информацијама. Неке уобичајене методе укључују:
- Пецање и друштвени инжењеринг: Актери претњи могу да користе обмањујуће тактике, као што су пхисхинг мејлови или телефонски позиви, да преваре запослене да открију осетљиве информације, као што су акредитиви за пријаву или лични подаци. Технике социјалног инжењеринга манипулишу појединцима како би добили неовлашћени приступ корпоративним системима.
- Злонамерни софтвер и злоупотребе: Нападачи могу да унесу малвер у првој фази у корпоративне системе на различите начине, укључујући злонамерне прилоге е-поште, заражене веб локације или компромитовани софтвер. Искоришћавањем рањивости у софтверу или системима, актери претњи могу добити неовлашћени приступ и контролу над критичном инфраструктуром.
- Напади на ланац снабдевања: Учесници претњи могу да циљају продавце трећих страна или добављаче са слабијим безбедносним мерама, искоришћавајући рањивости у својим системима да би добили приступ корпоративној мрежи. Када уђу, могу се кретати бочно и ескалирати своје привилегије.
- Напади грубом силом: Нападачи могу покушати да добију приступ корпоративним системима систематски испробавајући бројне комбинације корисничких имена и лозинки док не открију исправне акредитиве.
- Напади протокола удаљене радне површине (РДП): Актери претњи циљају на изложене РДП портове како би добили неовлашћени приступ корпоративним системима. Они могу да искористе слабе лозинке или рањивости у РДП софтверу да компромитују мрежу.
- Експлоатације нултог дана: Рањивости нултог дана односе се на непознате софтверске рањивости које актери претњи откривају пре него што програмери могу да их закрпе. Нападачи могу да искористе ове рањивости да би добили неовлашћени приступ корпоративним системима.
Актери претњи непрестано развијају своје технике и усвајају нове методе за инфилтрирање у корпоративне системе. Као резултат тога, организације морају применити свеобухватне мере безбедности, укључујући редовна ажурирања софтвера, обуку запослених, сегментацију мреже, системе за откривање упада и робусне контроле приступа, како би се заштитиле од ових покушаја инфилтрације.
