Criminelen maken gebruik van een bekende kwetsbaarheid in Confluence om organisaties met ransomware te infecteren. Dat meldt antivirusbedrijf Sophos in aan analyse. Confluence is een door Atlassian ontwikkeld wikiplatform waarmee teams van organisaties kunnen samenwerken.

Een kwetsbaarheid in de software, aangeduid als CVE-2021-26084, maakt het mogelijk voor een aanvaller om willekeurige code op het systeem uit te voeren en zo volledige controle over de server te krijgen. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 met een 9,8 beoordeeld. Op 25 augustus verscheen er een beveiligingsupdate voor de kwetsbaarheid.

Sophos beschrijft een aanval op een organisatie waarbij de aanvallers via de Confluence-kwetsbaarheid op 13 september toegang tot een server wisten te krijgen. Vanaf de Confluence-server wisten de aanvallers zich lateraal door het netwerk te bewegen en verschillende andere servers te compromitteren. Op 24 september, elf dagen na de initiele infectie, vond de ransomware-aanval plaats.

De aanvallers gebruikten eerst het programma RClone om allerlei data van besmette servers naar een Dropbox-account te kopiëren. Vervolgens werden de domeincontrollers in het netwerk gebruikt om de ransomware naar alle endpoints in het netwerk te verspreiden en uit te voeren. Naast de ransomwaregroep was er ook een andere aanvaller die de kwetsbare Confluence-server had gevonden en hierop een cryptominer installeerde.