攻击者部署后门，窃取 Exchange 电子邮件
*** 安全研究人员将该 APT 组织追踪为 UNC3524，并强调在某些情况下，该组织可以对受害者环境进行超过 18 个月的访问，展示了其 “先进 “的隐匿能力。
在每一个 UNC3524 受害者环境中，攻击者都会针对一个子集的邮箱，集中其注意力在执行团队和从事企业发展、兼并和收购的员工或 IT 安全人员身上。
获取权限后，立刻窃取数据
Mandiant 表示，一旦 UNC3524 成功获得受害者邮件环境特权凭证后，就立刻开始向企业内部的 Microsoft Exchange 或 Microsoft 365 Exchange Online 环境提出 Exchange *** 服务（EWS）API 请求。
另外，UNC3524 在不支持安全监控和恶意软件检测工具的 *** 设备上，部署一个被称为 QUIETEXIT 的后门（以开源的 Dropbear SSH 软件为灵感开发），以保持长期攻击。
在一些攻击中，UNC3524 也会在 DMZ *** 服务器上部署 reGeorg *** 外壳（注：该版本与俄罗斯赞助的 APT28/Fancy Bear 组织有关联），以创建一个SOCKS 隧道作为进入受害者 *** 的替代接入点。
UNC3524 隧道
UNC3524 通过这些设备（如无线接入点控制器、SAN 阵列和负载平衡器）上部署的恶意软件，大大延长了初始访问与受害者检测到其恶意活动，并切断访问之间的时间间隔。
值得一提的是，Mandiant 表示，即使延长了时间，UNC3524 组织也没有浪费时间，一直使用各种机制重新破坏环境，立即重新启动其数据盗窃活动。
QUIETEXIT 后门命令和控制服务器是僵尸 *** 的一部分，该僵尸 *** 通过默认凭证，破坏暴露在互联网上的 LifeSize和D-Link IP视频会议摄像机系统。
在获得访问权并部署其后门后，UNC3524 获得了受害者邮件环境的特权凭证，并开始通过 Exchange *** 服务（EWS）API请求，瞄准企业内部的Microsoft Exchange或Microsoft 365 Exchange Online邮箱。
值得注意的是，UNC3524 组织通常窃取执行团队和从事企业发展、并购或 IT员工的所有电子邮件，而不是挑选感兴趣的电子邮件。
转自 FreeBuf ，原文链接：https://www.freebuf.com/news/332061.html
封面来源于 *** ，如有侵权请联系删除
“攻击者部署后门，窃取 Exchange 电子邮件” 的相关文章
黑客演示入侵电影制片人 Mac 计算机 证明 macOS 无法主动抵御网络威胁
近日，两位安全研究人员成功入侵了亿万富翁兼电影制片人 Jeffrey Katzenberg 的 Mac 计算机，意味着 macOS 设备并不能自动抵御网络威胁。虽然没有提到特定的 macOS 设备型号，深谙社会工程的 SocialProof Security 首席执行官 Rachel Tobac 还...
黑客滥用 Mitel 设备将 DDoS 攻击放大40亿倍
Hackernews 编译，转载请注明出处： 研究员发现，黑客滥用高影响反射/放大方法，实施长达14小时的持续分布式拒绝服务攻击，放大率达到了破纪录的4294967296倍。 这种攻击载体被称为 TP240PhoneHome (CVE-2022-26143) ，已经被武器化，可以...
SentinelLabs：俄罗斯利用 AcidRain 擦除恶意软件攻击了 ViaSat
早些时候，美国卫星通信服务提供商 Viasat 遭受了一轮网络攻击，结果导致中东欧地区的服务出现了中断。而由 SentinelLabs 研究人员 Juan Andres Guerrero-Saade 和 Max van Amerongen 最新发布的安全研究报告可知，这口锅应该扣在一款名为“酸雨”（...
美国在俄罗斯对乌克兰采取军事行动前已展开网络防御秘密任务
在俄罗斯对乌克兰采取军事行动的几个月前，一队美国人在乌克兰各地寻找一种非常特殊的威胁。据悉，其中一些小组成员是美国陆军网络司令部的士兵，其他人则是民用承包商和一些美国公司的雇员，他们帮助保护关键基础设施免受俄罗斯机构对乌克兰采取的网络攻击。 自2015年乌克兰电网遭遇网络攻击进而导致基辅部分地区停...
黑客正利用虚假 Windows 11 升级引诱受害者上钩
Bleeping Computer 报道称，已有黑客在利用伪造的 Windows 11 升级安装包，来引诱毫无戒心的受害者上钩。为了将戏演得更真一些，当前正在活跃的恶意软件活动甚至会利用中毒后的搜索结果，来推送一个模仿微软 Windows 11 促销页面的网站。若不幸入套，或被恶意软件窃取浏览器数据...
谷歌修复了积极利用的 Android 内核漏洞
近期谷歌发布了Android的5月安全补丁的第二部分，其中包括对积极利用的Linux内核漏洞的修复。该漏洞编号为CVE-2021-22600，是Linux内核中的一个权限提升漏洞，威胁者可以通过本地访问来利用该漏洞。由于Android使用修改后的Linux内核，因此该漏洞也会影响操作系统。 谷歌的...
评论列表
发表评论
