Artikel top billede

(Foto: 2017 Getty Images / Dave Kotinsky)

Ny ransomware-hackergruppe tvinger sig adgang til Exchange-servere gennem længe kendt sårbarhed

Microsoft havde egentligt patchet disse åbne døre ind i Mivrosoft Exchange-servere, men ProxyShell-sårbarhederne skaber nu ulovlige indgange for en ny ransomware-gruppe.

En ny ramsomare-hackergruppe, som har fået navnet LockFile, er blevet kendt for at kryptere Windows-domæner ved at hacke sig ind på ofrenes Microsoft Exchange-servere gennem en allerede velkendt sårbarhed.

Sårbarheden, som har fået navnet ProxyShell, består egentligt af en kombination af tre Microsoft Exchange-sårbarheder, der når man kobler den sammen, giver indtrængere beføjelser til at køre ondsindet kode på enhederne. Det skriver BleepingComputer.

ProxyShell-sårbarhederne, som egentligt blevet opdaget ved Pwn2Own 2021 hacker-konkurrence tilbage i april i år, var egentligt blevet lappet af Microsoft så sent som i maj. Men nyopdagede tekniske detaljer i sammenkædningen har gjort det muligt for både white-hat og black-hat-hackere at genskabe den potentielle udnyttelsesmulighed.

Derfor scanner trusselsaktører som LockFile lige nu efter Microsoft Exchange-servere, hvori de kan udnytte ProxyShell-sårbarheder. LockFile-hackerne har gennem disse sårbarheder kunne droppe webshells - en digital fjernstyringsmekanisme - i serverne, som har tilladt hackerne at installere og køre kode på serverne fra distancen.

Efter de har fundet vej ind via ProxyShell, bruger LockFile-gruppen en anden sårbarhed - PetitPotam-sårbarheden - til at overtage en domænecontroller og altså dermed Windows-domænet.

Herfra er det let for LockFile-gruppen af implentere ransomware i hele server-netværket.

Hvem er LockFile?

Gruppen, der lige nu huserer i virksomheders og organisationers sårbare Exchange-servere, har fået sit navn efter titlen på en fil, som gruppen i juli sendte til et af sine ofre, som indeholdt en afpresningsmeddelelse.

Filen havde de døbt "LOCKFILE-README.hta".

Når gruppen krypterer ofrenes filer, bliver ".lockfile" desuden tilføjet til filnavnet.

Gruppen fik offeret til at kontakte hackerne via Tox eller e-mail for at forhandle om løsesummen.

LockFile henviser ofrene til contact@contipauper.com - muligvis en reference til conti-ransomwaren, som er observeret første gang i 2020. Netop denne ransomware-type berører alle versioner af Microsoft Windows.

Det er dog uvist om bagmændene bag ProxyShell-angrebene er de samme, som dem, der står bag Conti-angrebene.

Det siger sig selv, at det anbefales kraftigt fra både Microsoft og sikkerhedseksperter at Windows-administratorer opdaterer sine systemer med det samme.

Det gælder både patching af ProxyShell-sårbarhederne og PetitPotam-sårbarhederne.




IT-JOB
Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Ciklum ApS
Offshore software- og systemudvikling.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Er der en vej uden om usikker, kostbar og kompleks clouddrift?

Få indsigt i konklusionerne fra en nylig, storstilet undersøgelse fra Computerworld og Veritas med svar fra mere end 100 danske IT-topchefer i detaljer om deres erfaringer med de seneste års bevægelse mod cloudbaserede platforme og services. Derudover får du bud på, hvordan man som virksomhed både høster fordelene ved øget clouddrift og et stigende antal leverandører. Vel at mærke samtidig med, at man får det overblik, som gør det muligt at drive infrastrukturen sikkert og effektivt.

05. oktober 2023 | Læs mere


OT-sikkerhed i produktionsmiljøer - hvor kommer truslerne fra og hvordan opnår I optimal modstandsdygtighed overfor cyberangreb?

Til trods for den intense fokus på cybersikkerhed og NIS2 er mange produktionsvirksomheder og organisationer stadig usikre på, hvad de konkret skal gøre for at sikre, at de lever op til direktivets nye skærpede krav, når det gælder risikostyring, dokumentation og indberetning samt kravene om at garantere sikkerheden igennem hele forsyningskæden – og det ansvar, der følger med.

10. oktober 2023 | Læs mere


Øg virksomhedens agilitet med modulære og fleksible forretningssystemer

Hvordan kan kravet til øget fleksibilitet og agilitet afspejles i din virksomheds valg af forretningssystemer? Med udgangspunkt i Microsoft Dynamics 365-platformen giver vi i webinaret inspiration til, hvordan du bliver i stand til at reagere hurtigt på skiftende markedsvilkår, begivenheder og kriser, der kan udfordre din forretning.

11. oktober 2023 | Læs mere