https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

新聞

MITRE公布遭駭細節及攻擊指標

2024 / 05 / 08
編輯部
MITRE公布遭駭細節及攻擊指標
美國非營利機構MITRE公司公布近期遭網路攻擊的更多詳細資訊。根據調查,最早的入侵證據可追溯到2023年12月31日。
 
上個月曝光的該起攻擊,透過利用Ivanti Connect Secure的兩個零日漏洞CVE-2023-46805及CVE-2024-21887,鎖定MITRE的實驗與研究網路環境NERVE(Networked Experimentation, Research, and Virtualization Environment)。
 
相關文章:Ivanti零日漏洞延燒! MITRE遭駭客成功入侵 
 
MITRE表示,駭客利用遭竊取的管理員帳號,在VMware架構中操控研究網路,隨後部署一系列後門程式與網路惡意程式,以維持存在並收集憑證。"
 
雖然MITRE先前曾透露,駭客從2024年1月開始對其網路進行偵查,但最新的技術深入分析將最早的入侵跡象追溯至2023年12月底,當時駭客植入一種名為ROOTROT的Perl腳本程式,獲取初步存取權。
 
根據Google旗下Mandiant的說法, ROOTROT內嵌於合法的Connect Secure .ttc檔,該檔案存在於"/data/runtime/tmp/tt/setcookie.thtml.ttc"。ROOTROT是由中國網路間諜集團UNC5221所設計,該集團也與BUSHWALK、CHAINLINE、FRAMESTING及LIGHTWIRE等其他網路惡意腳本程式有關聯。
 
部署惡意腳本之後,該威脅團體探勘NERVE環境並與多個ESXi主機建立通訊,最終控制MITRE的VMware基礎架構,並植入一種稱為BRICKSTORM的Golang後門程式,以及一個先前未公開的網路惡意腳本BEEFLUSH。
 
MITR解釋,這些行動讓駭客取得持續存取權限,能夠執行任意指令並與控制伺服器通訊。駭客利用SSH操作與執行可疑指令等手法,維持對受侵系統的控制。"
 
進一步分析顯示,在這雙漏洞於2024年1月11日公開揭露的隔日,該威脅團體也部署了另一種稱為WIREFIRE(又名GIFTEDVISITOR)的惡意腳本,以建立隱密通訊並外洩資料。
 
除了於2024年1月19日利用BUSHWALK腳本將NERVE網路內的資料傳送給控制伺服器之外,駭客也企圖進行橫向移動,並在2月到3月中旬期間維持在NERVE內的存在。
 
MITR表示,駭客曾嘗試利用MITRE公司的其中一部網域控制站,橫向滲透MITRE的其他系統,但未能成功。

相關文章:Ivanti 零時差攻擊在全球激增! 尚未有修補程式

本文轉載自thehackernews。