欢迎光临
我们一直在努力

黑客利用VPN在太阳风猎户座上部署超新星恶意软件

黑客利用VPN在太阳风猎户座上部署超新星恶意软件


美国网络安全和基础设施安全局(CISA)披露了一种新的高级持久性威胁(APT)的详细信息,该威胁在通过连接到脉冲安全VPN设备访问网络后,利用超新星后门破坏SolarWinds Orion的安装。

该机构周四表示:“威胁行为人通过Pulse-Secure虚拟专用网络(VPN)设备连接到该实体的网络,横向移动到其SolarWinds Orion服务器,安装了被安全研究人员称为SUPERNOVA(一个.NET网络外壳)的恶意软件,并收集了凭据。”。

CISA表示,它在一个未命名组织的事件响应中确认了威胁演员,并发现攻击者通过使用VPN证书在2020年3月至2021年2月之间访问了近一年的企业网络。

有趣的是,据说对手使用了启用了多因素身份验证(MFA)的有效帐户,而不是利用漏洞来连接VPN,从而允许他们伪装成受影响实体的合法远程工作雇员。

2020年12月,微软披露,第二个间谍组织可能正在滥用IT基础设施提供商的猎户座软件,在目标系统上投放一个名为Supernova的持久后门。自那以后,这些入侵被认为是与中国有关的威胁行为体“螺旋”。

与Sunburst和其他与太阳风危害有关的恶意软件不同,Supernova是一个。NET web shell通过修改SolarWinds Orion应用程序的“app_web_logoimagehandler.ashx.b6031896.dll”模块实现。这些修改是通过利用Orion API中的身份验证绕过漏洞实现的,该漏洞被追踪为CVE-2020-10148,从而允许远程攻击者执行未经身份验证的API命令。

对这起事件的调查正在进行中。与此同时,CISA建议各组织为特权帐户实施MFA,使防火墙能够过滤未经请求的连接请求,实施强大的密码策略,以及安全的远程桌面协议(RDP)和其他远程访问解决方案。

赞(0) 打赏
未经允许不得转载:黑客技术网 » 黑客利用VPN在太阳风猎户座上部署超新星恶意软件
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏