CISA waarschuwt dat dreigingsactoren aanvallen opvoeren tegen ongepatchte Log4Shell-kwetsbaarheid in VMware-servers.
De Cybersecurity and Infrastructure Security Agency (CISA) en Coast Guard Cyber Command (CGCYBER) hebben een gezamenlijk advies waarschuwing dat de Log4Shell-fout wordt misbruikt door bedreigingsactoren die openbare VMware Horizon- en Unified Access Gateway (UAG) -servers in gevaar brengen.
De VMware Horizon is een platform dat door beheerders wordt gebruikt om virtuele desktops en apps in de hybride cloud uit te voeren en te leveren, terwijl UAG veilige toegang biedt tot de bronnen die zich in een netwerk bevinden.
Volgens de CISA compromitteert in één geval de APT-actor (Advance Per Persistent Threat) het interne netwerk van het slachtoffer, koopt een netwerk voor noodherstel aan en extraheert gevoelige informatie. "Als onderdeel van deze uitbuiting implanteerden vermoedelijke APT-actoren loader-malware op gecompromitteerde systemen met ingebouwde uitvoerbare bestanden die remote command and control (C2) mogelijk maakten", voegde CISA eraan toe.
Log4Shell is een kwetsbaarheid voor het uitvoeren van externe code (RCE) die de logging-bibliotheek beïnvloedt die bekend staat als "Log4j" in Apache. De bibliotheek wordt veel gebruikt door verschillende organisaties, ondernemingen, applicaties en diensten.
Aanvalsanalyse
De CGCYBER voert een proactieve opsporing van bedreigingen uit bij een organisatie die is gecompromitteerd door de bedreigingsactoren die Log4Shell in VMware Horizon hebben uitgebuit. Hieruit bleek dat de aanvaller, na de eerste toegang tot het systeem van het slachtoffer, malware te hebben geüpload die werd geïdentificeerd als "hmsvc.exe".
De onderzoekers analyseerden het monster van de hmsvc.exe-malware en bevestigden dat het proces zich voordeed als een legitieme Windows-service en een gewijzigde versie van SysInternals LogonSessions-software.
Volgens de steekproef van onderzoekers van hmsvc.exe draaide malware met het hoogste privilegeniveau op een Windows-systeem en bevat het een ingebed uitvoerbaar bestand waarmee bedreigingsactoren toetsaanslagen kunnen registreren, payloads kunnen uploaden en uitvoeren.
"De malware kan functioneren als een C2-tunneling-proxy, waardoor een externe operator naar andere systemen kan draaien en verder in een netwerk kan gaan." De eerste uitvoering van malware zorgde voor een geplande taak die elk uur moet worden uitgevoerd.
Volgens CISA in een ander onsite incident response engagement, observeerden ze bidirectioneel verkeer tussen het slachtoffer en het vermoedelijke APT IP-adres.
De aanvallers krijgen in eerste instantie toegang tot de productieomgeving van het slachtoffer (een set computers waarop de gebruiksklare software of update wordt geïmplementeerd), door Log4Shell te misbruiken in niet-gepatchte VMware Horizon-servers. Later merkte CISA op dat de aanvaller Powershell-scripts gebruikt om zijwaartse bewegingen uit te voeren, de loader-malware op te halen en uit te voeren met de mogelijkheid om op afstand een systeem te bewaken, reverse shell te verkrijgen en gevoelige informatie te exfiltreren.
Nadere analyse wees uit dat aanvallers met toegang tot de test- en productieomgeving van de organisatie misbruik maakten van CVE-2022-22954, een RCE-fout in VMware Workspace ONE Access en Identity Manager. om de Dingo J-spy webshell te implanteren,
Reactie op incidenten en mitigaties
CISA en CGCYBER hebben meerdere acties aanbevolen die moeten worden ondernomen als een beheerder gecompromitteerde systemen ontdekt:
- Gecompromitteerd systeem isoleren
- Analyseer de relevante log, gegevens en artefacten.
- Alle software moet worden bijgewerkt en gepatcht vanaf het .
- Verminder de niet-essentiële openbare hostingservice om het aanvalsoppervlak te beperken en implementeer DMZ, strikte netwerktoegangscontrole en WAF om te beschermen tegen aanvallen.
- Organisaties wordt aangeraden best practices voor identiteits- en toegangsbeheer (IAM) te implementeren door multifactor-authenticatie (MFA) te introduceren, sterke wachtwoorden af te dwingen en beperkte gebruikerstoegang.