攻击者部署后门，窃取 Exchange 电子邮件
*** 安全研究人员将该 APT 组织追踪为 UNC3524，并强调在某些情况下，该组织可以对受害者环境进行超过 18 个月的访问，展示了其 “先进 “的隐匿能力。
在每一个 UNC3524 受害者环境中，攻击者都会针对一个子集的邮箱，集中其注意力在执行团队和从事企业发展、兼并和收购的员工或 IT 安全人员身上。
获取权限后，立刻窃取数据
Mandiant 表示，一旦 UNC3524 成功获得受害者邮件环境特权凭证后，就立刻开始向企业内部的 Microsoft Exchange 或 Microsoft 365 Exchange Online 环境提出 Exchange *** 服务（EWS）API 请求。
另外，UNC3524 在不支持安全监控和恶意软件检测工具的 *** 设备上，部署一个被称为 QUIETEXIT 的后门（以开源的 Dropbear SSH 软件为灵感开发），以保持长期攻击。
在一些攻击中，UNC3524 也会在 DMZ *** 服务器上部署 reGeorg *** 外壳（注：该版本与俄罗斯赞助的 APT28/Fancy Bear 组织有关联），以创建一个SOCKS 隧道作为进入受害者 *** 的替代接入点。
UNC3524 隧道
UNC3524 通过这些设备（如无线接入点控制器、SAN 阵列和负载平衡器）上部署的恶意软件，大大延长了初始访问与受害者检测到其恶意活动，并切断访问之间的时间间隔。
值得一提的是，Mandiant 表示，即使延长了时间，UNC3524 组织也没有浪费时间，一直使用各种机制重新破坏环境，立即重新启动其数据盗窃活动。
QUIETEXIT 后门命令和控制服务器是僵尸 *** 的一部分，该僵尸 *** 通过默认凭证，破坏暴露在互联网上的 LifeSize和D-Link IP视频会议摄像机系统。
在获得访问权并部署其后门后，UNC3524 获得了受害者邮件环境的特权凭证，并开始通过 Exchange *** 服务（EWS）API请求，瞄准企业内部的Microsoft Exchange或Microsoft 365 Exchange Online邮箱。
值得注意的是，UNC3524 组织通常窃取执行团队和从事企业发展、并购或 IT员工的所有电子邮件，而不是挑选感兴趣的电子邮件。
转自 FreeBuf ，原文链接：https://www.freebuf.com/news/332061.html
封面来源于 *** ，如有侵权请联系删除
“攻击者部署后门，窃取 Exchange 电子邮件” 的相关文章
西班牙政府证实首相及防长手机被通过“飞马”间谍软件窃听
法新社消息，西班牙政府2日表示，该国首相桑切斯和国防部长罗伯斯的手机在一次“非法的、外部的 ”干预中被通过“飞马”间谍软件窃听。报道还称，西班牙首相府、议会关系与民主记忆大臣费利克斯·博拉尼奥斯·加西亚也证实说，“这不是推测，是非常严重的事实，希望司法部门进行调查。” 法新社报道截图 去年7月，这...
商业间谍黑客 RedCurl 再次现身
Hackernews编译，转载请注明出处： 一个企业网络间谍黑客组织在消失了7个月后重新浮出水面，今年它针对4家公司进行新入侵行动，其中包括俄罗斯最大的批发商店之一，同时对其工具集进行了战术性改进，以试图阻挠分析。 Group-IB 的伊万 · 皮萨列夫说: “在每一次攻击中，攻击者都展示了广泛的...
谷歌修复了积极利用的 Android 内核漏洞
近期谷歌发布了Android的5月安全补丁的第二部分，其中包括对积极利用的Linux内核漏洞的修复。该漏洞编号为CVE-2021-22600，是Linux内核中的一个权限提升漏洞，威胁者可以通过本地访问来利用该漏洞。由于Android使用修改后的Linux内核，因此该漏洞也会影响操作系统。 谷歌的...
Meta 在新报告中提及黑客组织发布虚假的“乌克兰军队投降”信息
根据Meta（Facebook的母公司）的一份新的安全报告，一个与白俄罗斯有关的黑客组织试图入侵乌克兰军事人员的Facebook账户，并从黑客账户发布视频，谎称乌克兰军队投降。这场黑客行动之前被安全研究人员称为”Ghostwriter”，是由一个名为UNC1151的组织实施的，该组织在Mandian...
美政府将在 Colonial 遭黑客攻击后发布针对燃料管道公司的网络安全法规
据外媒报道，美国主要燃油、燃气管道运营商Colonial Pipeline此前遭到黑客攻击–这使东海岸的石油供应中断了近两周–这既是灾难性的，也是可以预防的。然而，美国国土安全部（DHS）的一个部门希望通过改变 Colonial公司和管道行业其他公司的网络安全和信息披露规则来纠正这一问题。 正如《华...
美警署文件服务器发生数据泄露 黑客威胁不交付赎金就曝光线人信息
近日，Babuk Locker 勒索软件团伙在网站上曝光了哥伦比亚大都会警察局的内部服务器文件，威胁如何不支付赎金，就释出警方调查和线人的相关信息。华盛顿特区警察局公共发言人 Sean Hickman 在致外媒 The Record 的一封电子邮件中称，其已知晓内部文件服务器上发生了未经授权的访问。...
评论列表
发表评论
