De Amerikaanse geheime dienst NSA heeft de Russische inlichtingendienst GRU ervan beschuldigd bruteforce-aanvallen uit te voeren tegen netwerken en cloudomgevingen van organisaties wereldwijd. Volgens de NSA vinden de aanvallen sinds halverwege 2019 plaats en zijn honderden Amerikaanse en buitenlandse organisaties doelwit geworden. Het gaat zowel om overheidsinstanties, denktanks, politieke partijen als advocatenkantoren, onderwijsinstellingen, defensiebedrijven, energiebedrijven en politieke consultants.
Wanneer de bruteforce-aanval succesvol is en het de aanvallers lukt om geldige inloggegevens te achterhalen, worden deze inloggegevens gecombineerd met bekende kwetsbaarheden in Microsoft Exchange (CVE 2020-0688 en CVE 2020-17144). Op deze manier kan de Exchange-server worden gecompromitteerd en zijn verdere aanvallen tegen achterliggende netwerk mogelijk, aldus de NSA in een document over de aanvallen (pdf).
Bij de waargenomen aanvallen gebruikten de aanvallers onder andere een gecompromitteerd Office 365 service-account met globale beheerdersrechten om e-mail uit inboxes te stelen. Naast e-mail stelt de NSA dat de aanvallers ook bestanden van gedeelde netwerkschijven, lokale systemen en OWA-servers buitmaken. De gestolen data wordt vervolgens door middel van het archiveringsprogramma WinRAR ingepakt. Om detectie te voorkomen hernoemen de aanvallers het WinRAR-bestand.
De Amerikaanse geheime dienst adviseert organisaties om multifactorauthenticatie toe te passen, sterke wachtwoorden te verplichten, time-out en lock-out features te implementeren, het gebruik van een Zero Trust-securitymodel en het monitoren op verdachte inlogpogingen. Verder kunnen organisaties overwegen om alle inkomende verbindingen van bekende vpn-diensten en het Tor-netwerk die van normaal gebruik verschillen te blokkeren, zo laat het advies van de NSA verder weten.
De waarschuwing van Amerikaanse geheime dienst bevat ook ip-adressen en user agents die de aanvallers gebruiken, alsmede een Yara-rule waarmee een door de aanvallers gebruikte webshell is te detecteren.
Deze posting is gelocked. Reageren is niet meer mogelijk.