Red Canary: тысячи корпоративных серверов заражены вирусом-майнером XMRRig

По предварительным последним сведениям экспертов Red Canary, не так давно обнаруженная хак-группа Blue Mockingbird активна с конца 2019 г. и уже взломала тысячи корпоративных систем. Ученые пишут, что Blue Mockingbird атакует доступные из интернета серверы, на которых работают приложения ASP.NET, использующие уязвимые версии фремворка Telerik.

Хакеры эксплуатируют уязвимость CVE-2019-18935 для внедрения веб-оболочки в атакуемый сервер. Об этом пишет ZDNet ссылаясь на компанию по обеспечению безопасности облачных сервисов Red Canary. Потом злоумышленники прибегаю к помощи Juicy Potato, чтобы получить привилегии администратора, поменять настройки сервера и обеспечить себе постоянное присутствие в системе.

Ежели с сервера открывался доступ во внутреннюю сеть компании, хакеры заражали и остальные машины.

«Как и у любая компании, занимающейся безопасностью, видимость ландшафта угроз у нас урезана», — сообщил уполномоченный Red Canary.

— В частности, данная угроза задела только небольшой процент компаний, чьи эндпоинты мы отслеживаем. «Тем не менее, мы зафиксировали около 1000 случаев заражения в этих организациях, произошедших за короткий период времени», — проинформировали в компании, добавив, что настоящее число заражённых устройств может быть значительно выше, а в зоне риска находятся даже те системы, которые на текущий момент кажутся безопасными.

Настоящее количество компаний, подвергшихся нападениям может оказаться намного больше, а еще больше тех, которые ошибочно считают себя в безопасности. Это связано с тем, что многие компании и создатели могут даже не знать, что полагаются на уязвимую инфраструктуру. Между тем хакеры активно пользовались этим незнанием на протяжении прошедшего года еще до того, как информация о данной уязвимости стала достоянием общественности.

Часто организации лишены возможности обновить свои уязвимые приложения. В данном случае рекомендуется закрыть доступ к уязвимости на уровне брандмауэра. Ежели нет и брандмауэра, нужно сканировать серверы и рабочие станции в поисках признаков атак Blue Mockingbird.