可用

朝鲜黑客利用 Log4Shell 漏洞攻击美国、加拿大、日本能源供应商

  • 浏览次数 5184
  • 喜欢 0
  • 评分 12345

Cisco Talos发现Lazarus 集团在今年的一波攻击,主要锁定VMware Horizon环境中含有Log4Shell漏洞的能源业者。Lazarus 此前曾被美国网络安全和基础设施安全局 (CISA)归咎于朝鲜政府。

在于Java纪录框架Apache Log4j中的Log4Shell漏洞(CVE-2021-44228),持续成为黑客入侵组织的起始点,朝鲜黑客集团Lazarus 从今年2月到7月间,锁定了VMware Horizon中修补该漏洞的美国、加拿大与日本的能源供应商并展开攻击,并在这些组织的系统内植入其它恶意程序。

640

据悉,思科曾评估这些攻击是由朝鲜国家支持的威胁组织 Lazarus Group 发起的。在Cisco Talos调查中,确定了威胁参与者使用的三种不同的 RAT,包括由 Lazarus 独家开发和分发的 VSingle 和 YamaBot。日本 CERT (JPCERT/CC) 最近发布了报告(VSingle、YamaBot),详细描述了它们并将这些活动归因于 Lazarus 威胁参与者。

2021年11月被公布的Log4Shell为一任意程序执行漏洞,其CVSS风险等级高达10,大约有20个Apache专案受到Log4Shell漏洞的影响,而因为采用Log4j或相关专案而受到波及的商业服务则不计其数,安永会计师事务所(Ernest & Young)曾估计93%的云端环境都存在风险,而VMware的虚拟桌面及程序管理平台VMware Horizon也是众多受害者之一。

Cisco Talos指出,Lazarus把VMware产品中的Log4Shell漏洞当作进入企业网络的初步通道,继之再部署该集团所开发的恶意程序,以常驻于受害网络上,目的是为了窃取这些组织的机密资讯与智慧财产,以进行间谍活动或是支持朝鲜政府的目标。由于VMware Horizon是以管理权限执行,使得黑客完全不必担心权限问题,并在进入受害网络之后,关闭系统的防毒软件。

640 (1)

在这波攻击被锁定的加拿大、美国与日本能源供应商的攻击活动中,Lazarus集团使用了3种客制化恶意程序,其中的两款是已知的VSingle与YamaBot,以及新的MagicRAT。

VSingle早在去年3月就被公开,它是个HTTP机器人,能与远端的C&C伺服器通讯,以自远端执行任意程序,或是下载与执行外挂程序;YamaBot则是个以Golang撰写的恶意程序,原本锁定Linux平台,但亦有支援Windows的版本,两个版本皆允许黑客自远端执行命令,至于新发现的MagicRAT使用与VSingle及YamaBot不同的C&C伺服器,功能亦是用来维系黑客对系统的存取能力。

网络安全专家建议,在部署涉及Log4Shell的软件漏洞时,最好先确定现有的漏洞尚未被黑客开采,再进行软件更新,否则也许早就遭客黑渗透而不自知。


转自 E安全,原文链接:https://mp.weixin.qq.com/s/GuqwiHVZMa_dVt4Q8GiLTQ

封面来源于网络,如有侵权请联系删除