Amerikaanse bedrijven en overheidsinstellingen zijn vorig jaar meerdere keren gehackt, waarbij de aanvallers oude lekken in Adobe ColdFusion, Apache Tomcat/JBoss, Cacti en Drupal gebruikten. Ook werden organisaties aangevallen via kwetsbaarheden in Joomla en Oracle E-Business Suite.

Dat blijkt uit een waarschuwing die de FBI onder organisaties heeft verspreid. Volgens de Amerikaanse opsporingsdienst gaat het om cyberspionage, waarbij de aanvallers het op vertrouwelijke informatie hebben voorzien. De waarschuwing bevat een overzicht van aanvallen die vorig jaar plaatsvonden. Daarbij werden acht verschillende kwetsbaarheden ingezet. Slechts twee daarvan, in Joomla en Oracle E-Business Suite, dateerden van 2015.

De overige zes kwetsbaarheden werden in de jaren daarvoor al gepatcht, maar de aangevallen organisaties hadden de betreffende updates nooit uitgerold. Volgens de FBI laat dit zien hoe belangrijk het is om tijdig te patchen, zeker in het geval van webapplicaties. "Dit is de primaire verdedigingslijn voor infrastructuur die publiek toegankelijk is", aldus de waarschuwing (pdf) die de Washington Free Beacon in handen kreeg.

Apenfilmpje

Naast het aanvallen van webapplicaties via oude beveiligingslekken gebruikten de aanvallers ook spearphishingmails en kwaadaardige e-maibijlagen. Daarbij wordt onder andere het gebruik van een grappig apenfilmpje genoemd. Specifieke details geeft de FBI niet, maar het lijkt om dit apenfilmpje te gaan waar vorig jaar ook al voor werd gewaarschuwd. De aanvallers versturen zogenaamde Flash-filmpjes als e-mailbijlage, zoals "Office Monkeys LOL Video.zip". Het zip-bestand bevat een exe-bestand dat een Flash-video van een paar apen in een kantoor laat zien. In de achtergrond installeert het exe-bestand geraffineerde malware.

Om dergelijke aanvallen te voorkomen adviseert de FBI om alle systemen te patchen en dan met name internetservers en de eerder genoemde software. Verder moeten er geen bijlagen in ongevraagde e-mails worden geopend en moet er whitelisting worden toegepast, of moeten in ieder geval uitvoerbare bestanden in de Windows temp-directory worden geblokkeerd. Verder worden maatregelen aangeraden om te voorkomen dat aanvallers de inloggegevens van beheerders in handen krijgen en is het verstandig om PowerShell te upgraden, aangezien nieuwere versies over betere loggingmogelijkheden beschikken.